kubeadm手动更新节点的kubelet证书

问题描述

1.在kubernetes-dev-worker-2节点某次重启服务器之后发现kubelet不可用，其/var/lib/kubelet/pki/kubelet-client-current.pem证书中的内容空了（不知道咋回事），所以不能再注册到kube-api中。

2.kubelet在修复完k8s的ssl漏洞后，重启kubelet报错

kubelet[6809]: E0103 13:35:04.707272 6809 bootstrap.go:265] part of the existing bootstrap client certificate is expired: 2024-12-13 09:04:01 +0000 UTC

表明kubelet 的引导客户端证书已经部分过期，证书过期时间是 2024 年 12 月 13 日。其/var/lib/kubelet/pki/kubelet-client-current.pem有内容，kubelet仍然不能启动。

3.只要重启kubelet就报错，如2报错kubelet 的引导客户端证书已经部分过期。

上述三种情况均可通过如下方法进行过程,但是这种方式生成的证书只有3年：

1.在master节点，执行一下，表示给kubernetes-dev-worker-2节点生成新的kubelet.conf证书

kubeadm init phase kubeconfig kubelet --node-name kubernetes-dev-worker-2 --kubeconfig-dir /tmp/

 

2.在/tmp/kubelet.conf中复制全部内容到kubernetes-dev-worker-2的/etc/kubernetes/kubelet.conf中进行替换

3.在kubernetes-dev-worker-2节点执行

systemctl restart kubelet

后查看systemctl status kubelet 已变成运行模式，查看/var/lib/kubelet/pki/kubelet-client-current.pem已有新内容。

可以通过openssl 命令查看证书有效期，但是虽然在有效期内，重启kubelet仍然会报证书过期问题，需要重新生成一个证书。。。。

openssl x509 -noout -dates -in xx.crt

 

使用kubectl get nodes 可以看到kubernetes-dev-worker-2已经为Ready状态

 

备注：kubeadm命令开始时候报错找不到是因为在/usr/local/bin/kubeadm中，把他移到/usr/bin/kubeadm就可以全局用拉，不知道为啥这个命令在/usr/local/bin中不能用