4. 证书轮换触发场景：集群升级、证书过期、CA更换、安全合规要求

在Kubernetes集群生命周期管理中，证书轮换并非周期性维护任务，而是由明确的触发事件驱动。理解这些触发场景，是制定轮换策略与Pod调度协同方案的前提。本章深入分析四种核心触发场景及其对集群运行的影响。

4.1 触发场景总览

证书轮换的触发场景可归纳为计划性触发与应急性触发两类。下表对比了各场景的关键属性：

4.2 场景一：集群升级

集群升级是证书轮换最频繁的触发场景。Kubernetes控制平面组件（kube-apiserver、kube-controller-manager、kube-scheduler）以及kubelet使用的证书，在升级过程中可能因以下原因需要轮换：

• 证书有效期重置： kubeadm管理的集群，升级控制平面时会自动将证书有效期延长至升级后的时间点。
• 签名算法升级： 从旧版集群升级时，可能要求从SHA-1升级到SHA-256签名算法，必须重新签发证书。
• 组件版本变更： 新版本kube-apiserver可能要求证书包含特定的扩展密钥用法（Extended Key Usage）。
• 节点标识更新： 升级过程中节点IP或DNS名称变更，需要重新签发kubelet证书。

4.3 场景二：证书过期

证书过期是最常见的应急触发场景。Kubernetes集群中各类证书的默认有效期差异显著：

4.4 场景三：CA更换

CA（证书颁发机构）更换是影响最大的证书轮换场景，通常发生在以下情况：

• CA私钥泄露： 必须立即更换CA并重新签发所有下游证书。
• CA证书过期： CA证书本身过期后，所有由其签发的证书将不再被信任。
• 合规迁移： 从自签名CA迁移到企业CA或公共CA。
• 算法升级： 从RSA 2048升级到ECDSA P-384等更强算法。

CA更换需要执行“信任迁移”策略，确保新旧CA证书在过渡期内同时被信任：

# 1. 生成新CA证书和密钥
kubeadm init phase certs ca --config new-ca-config.yaml

# 2. 将新CA证书添加到集群信任链
kubectl create configmap -n kube-system kubelet-ca-bundle \
  --from-file=ca.crt=/etc/kubernetes/pki/ca.crt \
  --from-file=new-ca.crt=/etc/kubernetes/pki/new-ca.crt

# 3. 逐步重新签发组件证书（使用新CA）
kubeadm certs renew all --config new-ca-config.yaml

# 4. 重启控制平面组件加载新证书
kubectl delete pod -n kube-system -l component=kube-apiserver
kubectl delete pod -n kube-system -l component=kube-controller-manager
kubectl delete pod -n kube-system -l component=kube-scheduler

4.5 场景四：安全合规要求

安全合规要求驱动的证书轮换通常具有强制性时间窗口，常见于以下标准：

合规场景下的证书轮换需要与Pod调度协同，确保在轮换期间服务不中断：

• 分批轮换： 按节点池或可用区逐步执行，每次只轮换20%-30%的节点。
• PodDisruptionBudget： 为关键工作负载设置PDB，防止轮换期间Pod被全部驱逐。
• 审计日志： 记录每次轮换的时间、操作人、证书指纹，满足合规审计要求。
• 自动化验证： 轮换后自动执行TLS握手测试，确保证书链完整。

4.6 触发场景与Pod调度协同关系

下图展示了四种触发场景如何影响Pod调度决策，以及证书轮换与Pod调度的协同流程：

4.7 场景优先级与响应策略

不同触发场景需要不同的响应优先级和协同策略：