3、kubelet 证书轮换机制

kubelet 与 kube-apiserver 之间的所有通信都依赖 TLS 证书进行身份认证与加密。默认情况下，kubelet 在启动时会生成一个自签名证书或由集群 CA 签发的初始证书，该证书具有固定的有效期（通常为 1 年）。当证书即将过期或已经过期时，kubelet 将无法成功向 apiserver 上报心跳（NodeLease 或 NodeStatus），导致集群将该节点标记为 NotReady。理解证书轮换的完整流程是排查此类故障的前提。

3.1 kubelet 证书签名请求（CSR）流程

kubelet 证书轮换的核心机制基于 Kubernetes 内置的 证书签名请求（CertificateSigningRequest, CSR） 资源。当 kubelet 需要新证书时，它会生成一个私钥和证书签名请求，并将 CSR 对象提交到集群。集群中的证书控制器（kube-controller-manager 中的 csrapproving 和 csrsigning 控制器）负责自动批准和签发证书。

3.2 证书轮换触发条件

kubelet 不会等到证书完全过期才发起轮换，而是根据证书剩余有效期提前触发。触发条件由以下参数控制：

3.3 自动轮换配置

kubelet 证书自动轮换功能由两个核心开关控制，需要在 kubelet 配置文件中正确设置：

# kubelet 配置文件片段 (config.yaml)
kind: KubeletConfiguration
apiVersion: kubelet.config.k8s.io/v1beta1
rotateCertificates: true                    # 启用证书轮换功能
serverTLSBootstrap: true                    # 启用服务端证书自动引导
featureGates:
  RotateKubeletServerCertificate: true      # 允许轮换服务端证书（K8s 1.7+ 默认启用）

配置参数详解：

3.4 证书轮换状态验证

运维人员可以通过以下命令查看 kubelet 当前的证书状态和轮换历史：

# 查看 kubelet 证书文件信息
openssl x509 -in /var/lib/kubelet/pki/kubelet-client-current.pem -text -noout | grep -E "Not Before|Not After|Subject"

# 查看集群中的 CSR 对象（已批准和待处理的）
kubectl get csr --sort-by=.metadata.creationTimestamp

# 查看特定 CSR 的详细信息
kubectl describe csr <csr-name>

# 查看 kubelet 日志中的证书轮换事件
journalctl -u kubelet -f | grep -i "certificate\|rotation\|csr"

当证书轮换正常工作时，kubectl get csr 的输出应显示最近有 Approved,Issued 状态的 CSR 记录。如果出现大量 Pending 状态的 CSR，说明自动批准机制可能失效，需要检查证书控制器的日志。