重要提醒 | 手动轮换Rancher Kubernetes集群的证书

注意

在重新启动组件时，轮换Kubernetes证书可能会导致您的群集暂时不可用。此外，对于生产环境，建议在维护窗口期间执行此操作。

在Rancher v2.2.0以及更高版本，可通过UI的证书轮换功能对集群证书进行更新，此功能适用于【自定义安装的集群】。

证书轮换之后，Kubernetes组件将自动重新启动，重启不影响应用Pod，重启时间需要3到5分钟。

证书轮换可用于下列服务:

• etcd

• kubelet

• kube-apiserver

• kube-proxy

• kube-scheduler

• kube-controller-manager

通过UI轮换证书，目前支持:

• 批量更新所有服务证书(CA证书不变)

• 更新某个指定服务(CA证书不变)

3、点击Show Request

4、点击Send Request

5、因为证书改变，相应的 token 也会变化，在集群证书更新完成后，需要对连接 API SERVER 的Pod进行重建，以获取新的 token 。

• cattle-system/cattle-cluster-agent

• cattle-system/cattle-node-agent

• cattle-system/kube-api-auth

• ingress-nginx/nginx-ingress-controller

• kube-system/canal

• kube-system/kube-dns

• kube-system/kube-dns-autoscaler

• 其他应用Pod

通过RKE轮换证书，目前支持:

• 批量更新所有服务证书(CA证书不变)

• 更新某个指定服务(CA证书不变)

• 轮换CA和所有服务证书

3、轮换CA和所有服务证书

rke cert rotate --rotate-ca

INFO[0000] Initiating Kubernetes cluster
INFO[0000] Rotating Kubernetes cluster certificates
INFO[0000] [certificates] Generating CA kubernetes certificates
INFO[0000] [certificates] Generating Kubernetes API server aggregation layer requestheader client CA certificates
INFO[0000] [certificates] Generating Kubernetes API server certificates
INFO[0000] [certificates] Generating Kube Controller certificates
INFO[0000] [certificates] Generating Kube Scheduler certificates
INFO[0000] [certificates] Generating Kube Proxy certificates
INFO[0000] [certificates] Generating Node certificate
INFO[0001] [certificates] Generating admin certificates and kubeconfig
INFO[0001] [certificates] Generating Kubernetes API server proxy client certificates
INFO[0001] [certificates] Generating etcd-xxxxx certificate and key
INFO[0001] [certificates] Generating etcd-yyyyy certificate and key
INFO[0001] [certificates] Generating etcd-zzzzz certificate and key
INFO[0001] Successfully Deployed state file at [./cluster.rkestate]
INFO[0001] Rebuilding Kubernetes cluster with rotated certificates

2、执行命令 kubectl edit clusters <clusters_ID>

• 如果Rancher是HA安装，直接在local集群中，通过 rke 生成的 kube 配置文件执行以上命令；

• 如果Rancher是单容器运行，通过 docker exec -ti <容器ID> bash 进入容器中，然后执行 apt install vim -y 安装vim工具，然后再执行以上命令；

3、删除 spec.rancherKubernetesEngineConfig.rotateCertificates 层级下的配置参数:

如果集群证书已经过期，那么即使升级到Rancher v2.0.14、v2.1.9以及更高版本也无法轮换证书。rancher是通过 Agent 去更新证书，如果证书过期将无法与 Agent 连接。

解决方法

可以手动设置节点的时间，把时间往后调整一些。因为 Agent 只与 K8S master 和 Rancher server 通信，如果rancher server证书未过期，那就只需调整 K8S master 节点时间。

调整命令：