📚 课程目录第1章课程概述

1. 课程概述：证书轮换失败导致调度异常的场景总览、课程目标与受众、前置知识要求

在 Kubernetes 生产集群中，证书轮换是保障控制面与工作节点之间 mTLS 通信安全的基础运维操作。当证书轮换流程因配置错误、过期时间差、组件重启顺序不当或 CA 信任链断裂而失败时，集群调度系统将出现一系列连锁故障。

本课程聚焦于以下 6 类典型故障场景，这些场景覆盖了从控制面组件到 kubelet 再到调度器自身的证书相关异常：

故障场景编号	故障名称	核心影响	调度异常表现
S-01	kube-apiserver 证书过期	API Server 拒绝所有 TLS 连接	kube-scheduler 无法 watch Pod/Node，调度队列冻结
S-02	kubelet 服务端证书轮换失败	kubelet 无法向 API Server 注册 Node 状态	Node 状态为 NotReady，调度器跳过该节点
S-03	kube-controller-manager 证书不匹配	CSR 审批与 Node Lifecycle 控制器异常	新节点无法加入，Pod 无法调度到新节点
S-04	kube-scheduler 自身证书轮换失败	调度器与 API Server 的 mTLS 中断	调度器 leader 选举失败，调度决策停滞
S-05	CA 证书链未同步	中间 CA 或根 CA 不被信任	组件间双向验证失败，调度链路完全断裂
S-06	证书轮换时间窗口重叠	多个组件证书同时过期或轮换冲突	集群进入级联故障，调度系统完全不可用

  关键洞察： 超过 70% 的证书轮换失败并非由证书本身过期直接导致，而是由轮换流程中的顺序错误、信任链断裂或组件重启时机不当引发。本课程将逐一拆解这些隐性根因。

完成本课程后，学员将具备以下能力：

诊断能力： 能够从调度异常现象（如 Pod Pending、调度队列阻塞、Node NotReady）反向定位到证书轮换失败的根因。
排查能力： 熟练使用 openssl、cfssl、kubeadm certs、kubectl certificate 等工具链验证证书链与轮换状态。
修复能力： 掌握证书手动轮换、自动轮换配置修复、CA 信任链重建以及组件安全重启的标准化操作流程。
预防能力： 建立证书生命周期监控告警体系，设计轮换窗口与灰度策略，避免级联故障。

角色	适用程度	预期收益
K8s 运维工程师	核心受众	掌握证书轮换故障的标准化排查手册与修复脚本
SRE / 平台工程师	核心受众	构建证书生命周期自动化与故障自愈体系
K8s 集群管理员	适用	理解证书轮换对调度稳定性的影响，提升运维决策质量
K8s 开发者	参考	了解调度器与证书模块的交互机制，辅助调试自定义调度器

为顺利学习本课程，学员应具备以下基础：

Kubernetes 核心概念： 理解 Pod、Node、kube-scheduler、kube-apiserver、kubelet 的基本职责与通信方式。
PKI / TLS 基础： 了解证书、私钥、CA、CSR、SAN、证书链、mTLS 等基本概念。
命令行操作： 熟练使用 kubectl、openssl、systemctl 或 journalctl 进行基础排查。
YAML 配置阅读： 能够阅读 kubeadm 配置、kubelet 配置以及调度器配置中的证书相关字段。

建议： 如果你对 PKI 基础尚不熟悉，建议先阅读 openssl 的证书操作入门文档，或参考本课程附录 A《K8s 证书体系速查表》。

下图展示了证书轮换失败时，调度系统各组件之间的故障传播路径。理解这一架构是后续排查的基础。

本课程共分为 30 章，按以下逻辑组织：

重要提示： 本课程所有排查步骤均基于 kubeadm 部署的集群（v1.24+）以及 kubelet 证书自动轮换 特性。如果你使用二进制部署或托管集群（如 EKS、AKS），部分操作路径可能不同，但排查逻辑与根因分析思路完全通用。