1. 课程导论：证书轮换导致 kubelet 心跳上报失败的故障现象、影响范围与课程目标

1.1 故障现象描述

在 Kubernetes 集群的日常运维中，kubelet 与 API Server 之间的通信依赖于 TLS 证书进行身份认证与加密。当集群开启自动证书轮换（RotateKubeletServerCertificate 特性门控）或手动更新证书后，若轮换流程出现异常，kubelet 将无法向 API Server 发送心跳（NodeLease 或 NodeStatus），导致节点状态异常。典型故障现象包括：

• 节点状态频繁波动：kubectl get nodes 输出中节点在 Ready 与 NotReady 之间反复切换，间隔时间不固定。
• kubelet 日志持续报错：kubelet 日志中出现大量 Unauthorized、certificate has expired 或 failed to heartbeat 错误。
• Pod 驱逐与调度异常：节点被标记为 NotReady 后，运行中的 Pod 被驱逐，新 Pod 无法调度至该节点。
• 证书文件时间戳异常：检查节点上 /var/lib/kubelet/pki/ 目录下的证书文件，发现 kubelet-client-current.pem 或 kubelet-server-current.pem 的更新时间与预期不符，或证书内容为空。

1.2 影响范围分析

证书轮换导致 kubelet 心跳上报失败的影响范围不仅限于单个节点，而是可能波及整个集群的稳定性与可用性。下表从不同维度梳理了故障的潜在影响：

1.3 课程目标与学习路径

本课程旨在帮助运维人员系统掌握证书轮换导致 kubelet 心跳上报失败的故障排查方法。通过本课程的学习，您将能够：

• 理解证书轮换机制：掌握 kubelet 证书的自动轮换流程、相关特性门控（RotateKubeletServerCertificate、RotateKubeletClientCertificate）以及证书生命周期管理。
• 快速定位故障根因：通过 kubelet 日志、证书文件状态、API Server 审计日志等多维度数据，精准判断故障原因。
• 掌握修复与恢复方法：包括手动触发证书轮换、重启 kubelet 服务、清理过期证书、调整证书轮换参数等操作。
• 建立预防体系：通过监控告警配置、证书有效期检查、定期演练等手段，降低证书轮换故障的发生概率。

1.4 适用人群与前置知识

本课程面向以下人群：

• Kubernetes 运维工程师：负责集群日常维护与故障响应，需要掌握证书轮换相关的排查技能。
• SRE 工程师：关注集群稳定性与自动化运维，需要深入理解证书轮换对集群健康的影响。
• 平台架构师：设计集群架构与安全策略，需要评估证书轮换机制的风险与优化方案。

学习本课程前，建议具备以下基础：

• 熟悉 Kubernetes 基本概念（Node、Pod、kubelet、API Server）。
• 了解 TLS/SSL 证书的基本原理（公钥、私钥、CA 签发）。
• 具备基本的 Linux 命令行操作能力（文件查看、日志分析、进程管理）。