VIP20

本课程属于：040-集群故障排查证书轮换作业 云原生架构与平台工程 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

Kubernetes证书轮换kubelet心跳故障修复

共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

证书轮换导致kubelet心跳上报失… · 影响范围与课程目标

课程导论kubelet

Kubernetes证书体系概述

CA证书 · 服务端证书 · 客户端证书

Kubernetes证书体系概述

kubelet证书轮换机制

kubelet证书签名请求(CSR)… · 证书轮换触发条件 · 自动轮换配置

kubelet证书轮换机制

kubelet心跳上报原理

NodeLease机制 · NodeStatus更新 · 心跳超时阈值与节点状态转换

kubelet心跳上报原理

证书轮换失败典型场景

证书过期未轮换 · CSR被拒绝 · 证书签名速度慢

证书轮换失败典型…证书过期未轮换

故障排查前置准备

检查kubelet日志 · 查看证书文件 · 确认集群时间同步

故障排查前置准备kubelet

检查kubelet证书状态

使用openssl查看证书有效期 · 证书签发者 · 证书主题(CN/O)

检查kubelet CSR状态

使用kubectl查看Pending… · 查看CSR详情

检查kubelet日志

journalctl查看kubele… · 过滤证书相关错误 · 分析日志时间戳

检查NodeLease对象

查看NodeLease的更新时间 · 比较心跳间隔 · 判断心跳是否停滞

NodeLease检查

检查NodeStatus更新

查看Node的LastHeartbe… · 检查NodeReady状态 · 分析状态转换

NodeStatus检查

检查kubelet配置

查看kubelet配置文件中的rot… · tlsCertFile · tlsPrivateKeyFile

检查集群CA证书

确认CA证书是否过期 · CA证书是否被替换 · CA证书分发一致性

检查kubelet证书文件权限

证书文件属主 · 权限设置 · SELinux/AppArmor影响

检查kubelet与API Server网络连通性

使用curl测试API Server… · 检查DNS解析 · 检查防火墙规则

检查kubelet证书与节点绑定

证书中的CN/O是否匹配节点名称 · 证书是否被吊销

手动触发证书轮换

删除旧证书文件 · 重启kubelet · 观察CSR自动生成与批准

手动触发证书轮换删除旧证书文件

手动批准CSR

使用kubectl certific… · 批量批准CSR · 设置自动批准控制器

CSR手动批准

修复证书轮换配置

修改kubelet-config.y… · 设置rotateCertificat… · 重启kubelet

修复证书轮换配置kubelet-conf…

修复集群CA证书问题

更新CA证书 · 分发新CA证书 · 重启所有组件

修复kubelet证书文件权限

chown · chmod · 恢复SELinux上下文

修复网络连通性问题

检查kubelet绑定地址 · 检查API Server Servi… · 检查网络插件

修复网络连通性问…kubelet

修复节点名称不匹配

修改kubelet hostname… · 重新签发证书 · 更新Node对象

修复节点名称不匹…kubelet

设置自动CSR批准

配置kube-controller-… · 部署approver策略

CSR设置自动

监控证书轮换状态

使用Prometheus监控证书过期… · 设置告警规则 · 定期巡检

监控证书轮换状态Prometheus

证书轮换最佳实践

证书有效期设置 · 轮换窗口规划 · 灰度发布策略

证书轮换最佳实践证书有效期设置

故障模拟演练

搭建测试环境 · 模拟证书过期 · 模拟CSR拒绝

故障模拟演练搭建测试环境

故障恢复验证

确认kubelet心跳恢复 · 确认NodeReady状态 · 确认Pod调度正常

故障恢复验证kubelet

故障复盘与文档化

记录故障时间线 · 根因分析 · 改进措施

故障复盘文档化

课程总结与扩展

证书轮换故障排查思维导图 · 常见问题FAQ · 推荐学习资源

课程总结扩展