1.查看证书过期时间

kubeadm certs check-expiration

2. 更换证书(自定义证书有效期)

2.1 安装 go 语言基础环境

# 如果 k8s 版本较高，则需要 go 语言版本 1.19 以上

# 01. 下载 go 语言软件包
mkdir -p /root/tools
cd /root/tools
wget https://studygolang.com/dl/golang/go1.19.1.linux-amd64.tar.gz

# 02. 解压并配置环境变量
tar xf go1.19.1.linux-amd64.tar.gz -C /usr/local

cat >> /etc/profile <<'EOF'
export PATH=$PATH:/usr/local/go/bin
EOF
source /etc/profile

# 03. 检查
go version

2.2 下载 k8s 源码，进行编译

注意： 下载 当前环境对应版本的 源码

# 01. 查看当前环境 k8s 版本
kubectl version


# 02. 下载源码
cd /root/tools
wget https://github.com/kubernetes/kubernetes/archive/refs/tags/v1.22.0.tar.gz

# 03. 解压
tar xf v1.22.0.tar.gz

2.2.1 修改 CA 有效期为 100 年（默认10 年）

01. 备份源文件
cd /root/tools/kubernetes-1.22.0/staging/src/k8s.io/client-go/util/cert
cp cert.go{,.bak}
# 02. 修改文件内容
vi cert.go
func NewSelfSignedCACert(cfg Config, key crypto.Signer) (*x509.Certificate, error) {
        now := time.Now()
        tmpl := x509.Certificate{
                SerialNumber: new(big.Int).SetInt64(0),
                Subject: pkix.Name{
                        CommonName:   cfg.CommonName,
                        Organization: cfg.Organization,
                },
                DNSNames:              []string{cfg.CommonName},
                NotBefore:             now.UTC(),
                //NotAfter:              now.Add(duration365d * 10).UTC(),
                // 修改为 100 年，默认为 10 年
                NotAfter:              now.Add(duration365d * 100).UTC(),
                KeyUsage:              x509.KeyUsageKeyEncipherment | x509.KeyUsageDigitalSignature | x509.KeyUsageCertSign,
                BasicConstraintsValid: true,
                IsCA:                  true,
        }

        certDERBytes, err := x509.CreateCertificate(cryptorand.Reader, &tmpl, &tmpl, key.Public(), key)
        if err != nil {
                return nil, err
        }

修改后

2.2.2 修改证书 有效期为 100年（默认1年）

# 01. 备份源文件
cd /root/tools/kubernetes-1.22.0/cmd/kubeadm/app/constants
cp constants.go{,.bak}

# 02. 修改文件内容

const (
        // KubernetesDir is the directory Kubernetes owns for storing various configuration files
        KubernetesDir = "/etc/kubernetes"
        // ManifestsSubDirName defines directory name to store manifests
        ManifestsSubDirName = "manifests"
        // TempDirForKubeadm defines temporary directory for kubeadm
        // should be joined with KubernetesDir.
        TempDirForKubeadm = "tmp"

        // CertificateValidity defines the validity for all the signed certificates generated by kubeadm
       // CertificateValidity = time.Hour * 24 * 365 
       // 修改为 100 年，默认为 1 年
        CertificateValidity = time.Hour * 24 * 365 * 100

修改后

2.2.3 编译 更换 原来的 kubeadm 命令

# 01. 重新编译kubeadm
cd /root/tools/kubernetes-1.22.0/
make all WHAT=cmd/kubeadm GOFLAGS=-v


# 02. 替换原来的 kubeadm
mv /usr/bin/kubeadm{,.bak}
cp _output/local/bin/linux/amd64/kubeadm /usr/bin/kubeadm
chmod +x /usr/bin/kubeadm

2.3 备份原来 证书和文件

# 01. 备份原证书
cp -a /etc/kubernetes/pki{,.bak}

# 02. 备份元配置文件
cd /etc/kubernetes
mkdir backup
cp -a *.conf backup/

2.4 更新证书

kubeadm certs renew all

2.5 检查结果

kubeadm certs check-expiration

2.6 重启kube-apiserver, kube-controller-manager, kube-scheduler and etcd

docker ps |grep -E 'k8s_kube-apiserver|k8s_kube-controller-manager|k8s_kube-scheduler|k8s_etcd_etcd' | awk '{print $1}' |xargs docker restart 

3. 多master证书更新

3.1 在另外master节点上重复执行2更新证书操作。