Kubernetes Kubelet 证书自动续签方案

可以看到，CA 根证书有效期较长（如 9 年），但派发的客户端证书（如 apiserver、kubelet-client）通常只有 1 年。一旦过期，必须及时更新。

启用 TLS Bootstrap 与证书轮转

当 Node 节点数量较多时，手动颁发客户端证书工作量巨大。Kubernetes 引入了 TLS Bootstrap 机制，允许 kubelet 以低权限用户自动向 apiserver 申请证书，并由 apiserver 动态签署。这大大简化了集群扩展时的证书管理流程。

要实现 Kubelet 证书的自动续签，主要依赖两个配置：

1. Controller Manager 端：调整证书签发时长并开启轮转特性。
2. Kubelet 端：确保开启证书轮转功能。

步骤一：配置 kube-controller-manager

编辑控制器管理器配置文件（通常在 /etc/kubernetes/manifests/kube-controller-manager.yaml），添加或修改以下参数：

spec:
  containers:
  - command:
    - kube-controller-manager
    - --experimental-cluster-signing-duration=87600h0m0s
    - --feature-gates=RotateKubeletServerCertificate=true

• --experimental-cluster-signing-duration：设置自动颁发证书的有效期，单位小时。这里设置为 10 年（87600 小时），避免频繁续签。
• --feature-gates=RotateKubeletServerCertificate=true：启用服务器证书轮转，确保证书过期后能自动替换。

修改完成后，重启 Pod 使配置生效：

kubectl delete pod kube-controller-manager-k8s-master -n kube-system

步骤二：开启 kubelet 证书轮转

在 Node 节点上，检查 /var/lib/kubelet/config.yaml 文件，确保包含以下配置：

rotateCertificates: true

默认情况下该选项通常为启用状态，若未启用请手动添加。

步骤三：验证自动续签效果

为了验证配置是否生效，可以模拟证书即将过期的场景。在测试环境中，修改 Node 节点系统时间至证书过期日附近，然后重启 kubelet 服务。

# 查看当前证书有效期
openssl x509 -in /var/lib/kubelet/pki/kubelet-client-current.pem -noout -dates

# 修改时间模拟过期（测试用）
date -s "20211114"

# 重启 kubelet
systemctl restart kubelet

随后观察 Master 节点上的 CSR（证书签名请求）状态：

kubectl get csr

你会看到类似 Approved,Issued 的状态，表明新证书已签发。再次检查 Node 节点证书日期，应已更新为新的有效期。

总结

对于生产环境，建议优先采用 kubeadm 部署并结合 TLS Bootstrap 机制。通过延长 cluster-signing-duration 并开启证书轮转，可以有效规避证书过期导致的节点失联问题。虽然二进制部署允许更灵活的证书周期控制，但自动化续签能显著降低长期运维成本。