修改 Kubeadm 源码中的 Kubernetes 证书过期时间为100年

修改 Kubeadm 源码中的 Kubernetes 证书过期时间为100年

2021-09-16 12:41:00KUBERNETESKUBEADM

文章目录

  !版权声明：本博客内容均为原创,每篇博文作为知识积累,写博不易,转载请注明出处。

相关地址:

系统环境:

  • 操作系统: CentOS 7.9
  • Golang 版本: 1.15.15
  • Docker 版本: 20.10.8
  • Kubeadm 版本: 1.20.9
  • Kubernetes 版本: 1.20.9

Kubernetes 官方提供了 kubeadm 工具安装 kubernetes 集群，使用这个工具安装集群非常便捷，使部署和升级 Kubernetes 变得简单起来。

不过该工具有点坑的就是，使用其安装的 kubernetes 集群的大部分证书有效期只有一年，需要在证书过期前，使用更新操作更新集群，使证书的有效期再续一年。如果忘记这个操作，那么在使用过程中证书到期将导致集群不可用，应用无法访问，急急忙忙解决也需要半天时间，这个问题是致命的。

不过实际情况下，在现网环境中大部分人追求稳定，一般不会大改 Kubernetes 版本，所以解决 kubeadm 集群证书有效期只有一年的最好办法就是重新编译 kubeadm 源码，将里面的 1 年有效期修改为 10 年或者 100 年，也不会影响使用 kubeadm 后续的升级，所以修改源码能很好的规避这个证书过期风险。

在执行修改 Kubeadm 源码且重新编译之前，我们先通观察下使用的官方的 Kubeadm 工具初始化的 Kubernetes 集群，观察在默认情况下证书过期时间，执行的命令如下:

$ kubeadm alpha certs check-expiration
 
BASH

然后可以看到输出的过期时间如下:


CERTIFICATE                EXPIRES                  RESIDUAL TIME   CERTIFICATE AUTHORITY   EXTERNALLY MANAGED
admin.conf                 Aug 14, 2022 03:15 UTC   364d                                     no
apiserver                  Aug 14, 2022 03:15 UTC   364d             ca                      no
apiserver-etcd-client      Aug 14, 2022 03:15 UTC   364d             etcd-ca                 no
apiserver-kubelet-client   Aug 14, 2022 03:15 UTC   364d             ca                      no
controller-manager.conf    Aug 14, 2022 03:15 UTC   364d                                     no
etcd-healthcheck-client    Aug 14, 2022 03:15 UTC   364d             etcd-ca                 no
etcd-peer                  Aug 14, 2022 03:15 UTC   364d             etcd-ca                 no
etcd-server                Aug 14, 2022 03:15 UTC   364d             etcd-ca                 no
front-proxy-client         Aug 14, 2022 03:15 UTC   364d             front-proxy-ca          no
scheduler.conf             Aug 14, 2022 03:15 UTC   364d                                     no

CERTIFICATE AUTHORITY   EXPIRES                  RESIDUAL TIME   EXTERNALLY MANAGED
ca                      Aug 14, 2031 03:15 UTC   9y             no
etcd-ca                 Aug 14, 2031 03:15 UTC   9y             no
front-proxy-ca          Aug 14, 2031 03:15 UTC   9y             no
 
BASH

从上面可以了解到，默认情况下 ETCD 证书有效期是 10 年时间，其它证书有效期为 1 年时间，所以如果我们安装集群时没有修改证书过期时间，那么默认 1 年后可能会出现证书过期集群不可用的问题，所以接下来我们进入修改 kubeadm 源码过程。

由于 Kubeadm 是 Go 语言编写的，所以我们提前安装好编译 Kubeadm 源码的工具，操作过程按下面执行即可:

(1) 安装编译工具

$ yum install -y gcc make rsync jq
 
BASH

(2) 下载并配置 Golang 环境

## 下载 golang 1.15.15
$ wget https://dl.google.com/go/go1.15.15.linux-amd64.tar.gz

## 解压并放置在一个目录中
$ tar zxvf go1.15.15.linux-amd64.tar.gz  -C /usr/local

## 编辑 /etc/profile 文件,添加 Go 环境配置内容
$ vi /etc/profile

export GOROOT=/usr/local/go
export GOPATH=/usr/local/gopath
export PATH=$PATH:$GOROOT/bin

## 使配置生效
$ source /etc/profile

## 测试 Go 命令是否配置成功,成功则显示如下
$ go version

go version go1.15.15 linux/amd64
 
BASH

下载 Kubernetes 源码，然后切换到指定版本，操作的命令如下:

## 下的 kubernetes 源码
$ git clone https://github.com/kubernetes/kubernetes.git

## 进入 Kubernetes 目录
$ cd kubernetes

## 切换 Kubernetes 版本
$ git checkout v1.20.9
 
BASH

接下来我们修改 Kubernetes 代码中与 kubeadm 证书有效期相关的源码，操作的命令如下:

(1) 修改 constants.go 文件，操作如下:

$ vim cmd/kubeadm/app/constants/constants.go


########### 后面追加个 * 100 (注掉部分为源代码,后面跟着的是修改后的代码)
#const duration365d = time.Hour * 24 * 365
const duration365d = time.Hour * 24 * 365 * 100

// Config contains the basic fields required for creating a certificate
type Config struct {
        CommonName   string
        Organization []string
        AltNames     AltNames
        Usages       []x509.ExtKeyUsage
}
 
BASH

(2) 修改 cert.go 文件，操作如下:

$ vim staging/src/k8s.io/client-go/util/cert/cert.go


########### 修改10年为100年(注掉部分为源代码,后面跟着的是修改后的代码)
#NotAfter:             now.Add(duration365d * 10).UTC(),
NotAfter:              now.Add(duration365d * 100).UTC(),
KeyUsage:              x509.KeyUsageKeyEncipherment | x509.KeyUsageDigitalSignature | x509.KeyUsageCertSign,
BasicConstraintsValid: true,
IsCA:                  true,
......
 
BASH

使用 make 命令编译 kubeadm, 执行的命令如下:

$ make all WHAT=cmd/kubeadm GOFLAGS=-v
 
BASH

编译成功后的 kubeadm 会放到当前目录中的 ./_output/local/bin/linux/amd64/ 目录中，我们进入到该文件下，查看是否有对应的文件。

## 进入
$ cd ./_output/local/bin/linux/amd64/

## 查看文件列表
$ ls -l

-rwxr-xr-x 10:03 conversion-gen
-rwxr-xr-x 10:03 deepcopy-gen
-rwxr-xr-x 10:03 defaulter-gen
-rwxr-xr-x 10:03 go2make
-rwxr-xr-x 10:04 go-bindata
-rwxr-xr-x 10:04 kubeadm
-rwxr-xr-x 10:47 kubectl
-rwxr-xr-x 10:34 kubelet
-rwxr-xr-x 10:04 openapi-gen
-rwxr-xr-x 10:03 prerelease-lifecycle-gen
 
BASH

在使用我们自己编译的 kubeadm 之前，有一个需要注意的点，那就是我们一定要先提前安装好官方 kubeadm，并且版本和我们编译的 kubeadm 版本要一致，否则使用 kubeadm 初始化集群会报错，这里安装 kubeadm 执行的命令如下:

(1) 配置可用的 Kubernetes 国内 yum 源

$ cat <<EOF > /etc/yum.repos.d/kubernetes.repo

[kubernetes]
name=Kubernetes
baseurl=https://mirrors.aliyun.com/kubernetes/yum/repos/kubernetes-el7-x86_64/
enabled=1
gpgcheck=0
repo_gpgcheck=0
gpgkey=https://mirrors.aliyun.com/kubernetes/yum/doc/yum-key.gpg https://mirrors.aliyun.com/kubernetes/yum/doc/rpm-package-key.gpg

EOF
 

(2) 使用 yum 命令安装 kubeadm 的 1.20.9 版本

$ yum install -y kubeadm-1.20.9
 
BASH

接下来我们使用自定义编译的 kubeadm 工具，将已经安装的 kubeadm 给替换掉，执行的操作命令如下:

## 备份已有的 kubeadm 工具
$ mv /usr/bin/kubeadm  /usr/bin/kubeadm_backup

## 使用自己编译的 kubeadm 替换现有的 kubeadm 工具
$ cp ./_output/local/bin/linux/amd64/kubeadm  /usr/bin/kubeadm

## 修改文件的执行权限
$ chmod +x /usr/bin/kubeadm
 
BASH

当将我们自己编译的 kubeadm 替换原来的 kubeadm 工具后，我们就可以使用 kubeadm init 命令初始化 Kubernetes 集群进行测试，命令如下:

  • --service-cidr: 集群内部虚拟网络，Pod统一访问入口。
  • --pod-network-cidr: Pod网络，与部署CNI网络组件yaml文件中需保持一致。
  • --image-repository: 设置下载 Kubernetes 相关镜像的镜像仓库地址。
  • --kubernetes-version: 指定 Kubernetes 版本，需要和安装的版本保持一致。
  • --apiserver-advertise-address: 配置 kube-apiserver 的服务器地址。
$ kubeadm init \
--image-repository registry.aliyuncs.com/google_containers  \
--apiserver-advertise-address=192.168.2.31  \
--service-cidr=10.96.0.0/12   \
--pod-network-cidr=10.96.0.0/12  \
--kubernetes-version=1.20.9
 
BASH

等待集群初始化一段时间，然后我们执行 kubeadm 查看证书过期时间命令查看新装的 Kubernetes 集群过期时间，操作如下:

$ kubeadm alpha certs check-expiration
 
BASH

命令执行后，输出的结果如下:

CERTIFICATE                EXPIRES                  RESIDUAL TIME   CERTIFICATE AUTHORITY   EXTERNALLY MANAGED
admin.conf                 Aug 14, 2121 05:15 UTC   99y                                     no
apiserver                  Aug 14, 2121 05:15 UTC   99y             ca                      no
apiserver-etcd-client      Aug 14, 2121 05:15 UTC   99y             etcd-ca                 no
apiserver-kubelet-client   Aug 14, 2121 05:15 UTC   99y             ca                      no
controller-manager.conf    Aug 14, 2121 05:15 UTC   99y                                     no
etcd-healthcheck-client    Aug 14, 2121 05:15 UTC   99y             etcd-ca                 no
etcd-peer                  Aug 14, 2121 05:15 UTC   99y             etcd-ca                 no
etcd-server                Aug 14, 2121 05:15 UTC   99y             etcd-ca                 no
front-proxy-client         Aug 14, 2121 05:15 UTC   99y             front-proxy-ca          no
scheduler.conf             Aug 14, 2121 05:15 UTC   99y                                     no

CERTIFICATE AUTHORITY   EXPIRES                  RESIDUAL TIME   EXTERNALLY MANAGED
ca                      Aug 14, 2121 05:15 UTC   99y             no
etcd-ca                 Aug 14, 2121 05:15 UTC   99y             no
front-proxy-ca          Aug 14, 2121 05:15 UTC   99y             no
 
BASH

可以看到证书过期时间已经变更，有效期为 100 年。

本人已经将修改后的 kubeadm-1.20.9 工具放到本人的 Github，可以访问本人 Github 进行下载。

注意: 如果使用编译后的 kubeadm 执行 upgrade 命令，更新原有的证书有效期为 1 年的 Kubernetes 集群，证书更新也是有效果的，不过 kubeadm 更新操作并不会更新 ETCD 证书，所以 ETCD 证书有效期还是默认的 10 年，需要手动更新。

posted @   技术颜良  阅读(545)  评论(0)  编辑  收藏  举报
相关博文：
· kubeadm 初始化 k8s 证书过期解决方案
· K8S上生产环境后，90%都会遇到这个故障
· 修改kubeadm证书过期时间及更新k8s集群证书
· Kubernetes 编译 kubeadm 修改证书有效期到 100 年
· Kubernetes v1.22 编译 kubeadm 修改证书有效期到 100 年
阅读排行：
· 全网最简单！3分钟用满血DeepSeek R1开发一款AI智能客服，零代码轻松接入微信、公众号、小程
· .NET 10 首个预览版发布，跨平台开发与性能全面提升
· 《HelloGitHub》第 107 期
· 全程使用 AI 从 0 到 1 写了个小工具
· 从文本到图像：SSE 如何助力 AI 内容实时呈现？（Typescript篇）
历史上的今天：
2021-02-25 ansible设置串行的方法
2021-02-25 给k8s集群中的node节点加标签
2018-02-25 让外部网络访问K8S service的四种方式
点击右上角即可分享
微信分享提示