手动轮换 CA 证书

    你必须拥有一个 Kubernetes 的集群，同时你的 Kubernetes 集群必须带有 kubectl 命令行工具。 如果你还没有集群，你可以通过 构建一 个你自己的集群，或者你可以使用下面任意一个 Kubernetes 工具构建：

    您的 Kubernetes 服务器版本必须不低于版本 v1.13. 要获知版本信息，请输入 .

    • 要了解 Kubernetes 中用户认证的更多信息，参阅 认证；
    • 要了解与 CA 证书最佳实践有关的更多信息，参阅。

    手动轮换 CA 证书

    1. 将新的 CA 证书和私钥（例如：ca.crt、ca.key、front-proxy-ca.crt 和 front-proxy-client.key）分发到所有控制面节点，放在其 Kubernetes 证书目录下。

    2. 更新 kube-controller-manager 的 --root-ca-file 标志，使之同时包含老的和新的 CA，之后重启组件。

      自此刻起，所创建的所有服务账号都会获得同时包含老的 CA 和新的 CA 的 Secret。

    3. 更新所有服务账号令牌，使之同时包含老的和新的 CA 证书。

    4. 将老的和新的 CA 都追加到 kube-apiserver 配置的 --client-ca-file 和 --kubelet-certificate-authority 标志所指的文件。

    5. 将老的和新的 CA 都追加到 kube-scheduler 配置的 --client-ca-file 标志所指的文件。

    6. 通过替换 client-certificate-data 和 client-key-data 中的内容，更新用户账号的证书。

      有关为独立用户账号创建证书的更多信息，可参阅 。

      另外，还要更新 kubeconfig 文件中的 certificate-authority-data 节，使之包含 Base64 编码的老的和新的证书机构数据。

    7. 遵循下列步骤执行滚动更新

      1. 重新启动所有其他 被聚合的 API 服务器 或者 Webhook 处理程序，使之信任新的 CA 证书。

      2. 在所有节点上更新 kubelet 配置中的 clientCAFile 所指文件以及 kubelet.conf 中的 certificate-authority-data 并重启 kubelet 以同时使用老的和新的 CA 证书。

        如果你的 kubelet 并未使用客户端证书轮换，则在所有节点上更新 kubelet.conf 中 和 client-key-data 以及 kubelet 客户端证书文件（通常位于 /var/lib/kubelet/pki 目录下）

      3. 使用用新的 CA 签名的证书 （apiserver.crt、apiserver-kubelet-client.crt 和 front-proxy-client.crt） 来重启 API 服务器。 你可以使用现有的私钥，也可以使用新的私钥。 如果你改变了私钥，则要将更新的私钥也放到 Kubernetes 证书目录下。

        • 重启调度器以使用新的 CA 证书。

      4. 为 Daemonset 和 Deployment 添加注解，从而触发较安全的滚动更新，替换 Pod。

        示例：

    8. 如果你的集群使用启动引导令牌来添加节点，则需要更新 kube-public 名字空间下的 ConfigMap cluster-info，使之包含新的 CA 证书。

    9. 验证集群的功能正常

      1. 验证控制面组件的日志，以及 kubelet 和 kube-proxy 的日志，确保其中没有 抛出 TLS 错误，参阅 .

      2. 验证被聚合的 API 服务器的日志，以及所有使用集群内配置的 Pod 的日志。

    10. 完成集群功能的检查之后：

      1. 更新所有的服务账号令牌，使之仅包含新的 CA 证书。

        • 使用集群内 kubeconfig 的 Pod 最终也需要被重启，以获得新的服务账号 Secret 数据，进而不再信任老的 CA 证书。

      2. 从 kubeconfig 文件和 --client-ca-file 以及 标志所指向的文件 中去除老的 CA 数据，之后重启控制面组件。