1. 课程导论：K8s集群升级中证书轮换与Pod调度协同的背景、重要性及课程目标

1.1 背景：为什么证书轮换与Pod调度会成为升级中的“双难”问题

Kubernetes 集群的生命周期管理离不开版本升级。在升级过程中，证书轮换与Pod 调度看似分属安全与调度两个独立领域，但在实际生产环境中，它们之间存在深层的耦合关系，处理不当会直接导致集群不可用或服务中断。

证书轮换的背景源于 Kubernetes 对 mTLS（双向 TLS）通信的深度依赖。kube-apiserver、kube-controller-manager、kube-scheduler、kubelet 等核心组件之间，以及组件与 etcd 之间，均通过自签或 CA 签发的证书进行身份认证与通道加密。证书具有有效期（通常为 1 年），在集群升级时，如果证书已过期或即将过期，升级操作会因 TLS 握手失败而中断。

Pod 调度在升级过程中面临的是“节点排空”与“工作负载可用性”之间的平衡。升级节点时，kubelet 需要重启，节点上的 Pod 会被驱逐并重新调度到其他节点。如果证书轮换导致 kubelet 与 apiserver 之间的信任关系断裂，调度器将无法正确获取节点状态，进而引发调度失败或 Pod 调度到不可用节点上。

1.2 重要性：协同方案对生产集群的三大价值

从安全角度看，证书轮换是集群安全基线的核心操作。Kubernetes 社区推荐证书有效期不超过 1 年，部分企业甚至要求 90 天轮换一次。如果升级周期与证书轮换周期重叠，必须设计协同方案，否则安全合规与业务连续性将产生冲突。

1.3 课程目标：掌握可落地的协同方案设计能力

本课程旨在帮助学员建立从“理解问题”到“动手解决”的完整知识链路。具体目标包括：

• 理解证书体系：掌握 Kubernetes 证书的类型、签发机制、存储位置及过期检测方法。
• 掌握调度原理：深入理解 Pod 调度器在节点排空、污点容忍、亲和性调度中的决策逻辑。
• 设计协同流程：学会将证书轮换操作嵌入升级流程，设计“先轮换、再排空、后升级”或“滚动轮换与调度协同”等方案。
• 自动化实现：基于 Operator 模式或自定义控制器，实现证书轮换与 Pod 调度的自动化协同。
• 故障排查：掌握证书相关调度失败的排查工具与修复方法。

1.4 协同方案整体架构

下图展示了证书轮换与 Pod 调度协同方案的核心组件与交互关系。该架构将证书管理、调度决策、节点升级三个环节串联为闭环。

1.5 课程内容概览

本课程共分为 6 个模块，从基础概念到高级实践，逐步深入：