写点什么

手动轮换 Rancher Kubernetes 集群的证书

  • 2020-05-16
  • 本文字数:2882 字

    阅读完需:约 9 分钟

手动轮换Rancher Kubernetes集群的证书

Kubernetes 集群通常使用 ssl 证书来加密通信,Rancher 会自动为集群生成证书。在 Rancher v2.0.14、v2.1.9 之前的版本,Rancher 配置集群的自动生成证书的有效期为 1 年,这意味着如果您在大约 1 年前使用这些版本创建了 Rancher 配置集群,那么您需要尽快开始轮换证书,否则证书过期后集群将进入错误状态。轮换证书是一次性操作,新生成的证书有效期为 10 年。


本文将为您详细介绍如何进行轮换证书的操作。即使您的证书现在已经过期,您也可以依照以下步骤进行证书的轮换。但请注意先不要升级 rancher server,根据本文最后一节【证书已过期导致无法连接 k8s】进行处理。


注意

在重新启动组件时,轮换 Kubernetes 证书可能会导致您的群集暂时不可用。此外,对于生产环境,建议在维护窗口期间执行此操作。

通过 UI 轮换证书(业务集群)

注:可用版本 Rancher v2.2.0 +


在 Rancher v2.2.0 以及更高版本,可通过 UI 的证书轮换功能对集群证书进行更新,此功能适用于【自定义安装的集群】。


证书轮换之后,Kubernetes 组件将自动重新启动,重启不影响应用 Pod,重启时间需要 3 到 5 分钟。


证书轮换可用于下列服务:


  • etcd

  • kubelet

  • kube-apiserver

  • kube-proxy

  • kube-scheduler

  • kube-controller-manager


通过 UI 轮换证书,目前支持:


  • 批量更新所有服务证书(CA 证书不变)

  • 更新某个指定服务(CA 证书不变)

(重要)集群更新

如果 Rancher 版本是从 v2.x.x 升级到 2.2.x,则需要先做一次 集群更新 操作。


1、进入【全局\集群视图】;


2、选择【目标集群】右侧的【省略号菜单】,选择升级;



3、点击右侧【显示高级选项】,检查【Etcd 快照轮换】功能是否开启,建议开启此功能;



4、在【授权集群访问地址】中,检查功能是否已开启,建议开始此功能,下边的域名可以不用填写;



5、最后点击【保存】,集群将自动进行更新


轮换证书

1、进入【全局\集群视图】;


2、选择对应集群右侧的【省略号菜单】,选择更新证书有效期;



3、选择更新所有服务证书,并点击保存



4、集群将自动更新证书



5、因为证书改变,相应的 token 也会变化,在集群证书更新完成后,需要对连接 API SERVER 的 Pod 进行重建,以获取新的 token。


  • cattle-system/cattle-cluster-agent

  • cattle-system/cattle-node-agent

  • cattle-system/kube-api-auth

  • ingress-nginx/nginx-ingress-controller

  • kube-system/canal

  • kube-system/kube-dns

  • kube-system/kube-dns-autoscaler

  • 其他应用 Pod

通过 UI API 轮换证书(业务集群)

注:可用版本 Rancher v2.0.14+ v2.1.9+


对于 Rancher v2.0.14、v2.1.9 以及更高版本,可通过 API 对集群证书进行更新。API 证书轮换将会同时对所有组件证书进行更新,不支持指定组件更新证书。


1、在【全局】视图中,定位到需要更新证书的集群,然后点击右侧省略号菜单,然后点击【API 查看】。



2、点击右上方的 RotateCertificates



3、点击 Show Request


4、点击 Send Request



5、因为证书改变,相应的 token 也会变化,在集群证书更新完成后,需要对连接 API SERVER 的 Pod 进行重建,以获取新的 token。


  • cattle-system/cattle-cluster-agent

  • cattle-system/cattle-node-agent

  • cattle-system/kube-api-auth

  • ingress-nginx/nginx-ingress-controller

  • kube-system/canal

  • kube-system/kube-dns

  • kube-system/kube-dns-autoscaler

  • 其他应用 Pod

RKE 证书轮换(local 集群和业务集群通用)

注:可用版本 rke v0.2.0+

如果以前是通过 rke v0.2.0 之前的版本创建的 Kubernetes 集群,在轮换证书前先执行 rke up 操作,请参考:

https://www.cnrancher.com/docs/rke/latest/cn/cert-mgmt/


通过 RKE 轮换证书,目前支持:


  • 批量更新所有服务证书(CA 证书不变)

  • 更新某个指定服务(CA 证书不变)

  • 轮换 CA 和所有服务证书


1、批量更新所有服务证书(CA 证书不变)



2、更新指定服务(CA 证书不变)



3、轮换 CA 和所有服务证书


rke cert rotate --rotate-ca
INFO[0000] Initiating Kubernetes clusterINFO[0000] Rotating Kubernetes cluster certificatesINFO[0000] [certificates] Generating CA kubernetes certificatesINFO[0000] [certificates] Generating Kubernetes API server aggregation layer requestheader client CA certificatesINFO[0000] [certificates] Generating Kubernetes API server certificatesINFO[0000] [certificates] Generating Kube Controller certificatesINFO[0000] [certificates] Generating Kube Scheduler certificatesINFO[0000] [certificates] Generating Kube Proxy certificatesINFO[0000] [certificates] Generating Node certificateINFO[0001] [certificates] Generating admin certificates and kubeconfigINFO[0001] [certificates] Generating Kubernetes API server proxy client certificatesINFO[0001] [certificates] Generating etcd-xxxxx certificate and keyINFO[0001] [certificates] Generating etcd-yyyyy certificate and keyINFO[0001] [certificates] Generating etcd-zzzzz certificate and keyINFO[0001] Successfully Deployed state file at [./cluster.rkestate]INFO[0001] Rebuilding Kubernetes cluster with rotated certificates
复制代码


4、因为证书改变,相应的 token 也会变化,在集群证书更新完成后,需要对连接 API SERVER 的 Pod 进行重建,以获取新的 token


  • cattle-system/cattle-cluster-agent

  • cattle-system/cattle-node-agent

  • cattle-system/kube-api-auth

  • ingress-nginx/nginx-ingress-controller

  • kube-system/canal

  • kube-system/kube-dns

  • kube-system/kube-dns-autoscaler

  • 其他应用 Pod

独立容器 Rancher server 证书更新

Rancher v2.0.14+ 、v2.1.9+、v2.2.0+会自动检查证书有效期,如果发现证书过期,将会自动生成新的证书。所以独立容器运行的 Rancher server 只需把 rancher 版本升级到支持的版本,无需做其他操作。

故障处理

提示 CA 证书为空

如果执行更新证书后出现如下错误提示,因为没有执行集群更新操作。



解决方法


1、选择对应问题集群,然后查看浏览器的集群 ID,如下图:



2、执行命令 kubectl edit clusters <clusters_ID>


  • 如果 Rancher 是 HA 安装,直接在 local 集群中,通过 rke 生成的 kube 配置文件执行以上命令;

  • 如果 Rancher 是单容器运行,通过 docker exec -ti <容器 ID> bash 进入容器中,然后执行 apt install vim -y 安装 vim 工具,然后再执行以上命令;


3、删除 spec.rancherKubernetesEngineConfig.rotateCertificates 层级下的配置参数:



修改为



输入:wq 保存 yaml 文件后集群将自动更新,更新完成后再进行证书更新。

证书已过期导致无法连接 K8S

如果集群证书已经过期,那么即使升级到 Rancher v2.0.14、v2.1.9 以及更高版本也无法轮换证书。rancher 是通过 Agent 去更新证书,如果证书过期将无法与 Agent 连接。


解决方法


可以手动设置节点的时间,把时间往后调整一些。因为 Agent 只与 K8S master 和 Rancher server 通信,如果 rancher server 证书未过期,那就只需调整 K8S master 节点时间。


调整命令:



然后再对 rancher server 进行升级,接着按照证书轮换步骤进行证书轮换,等到证书轮换完成后再把时间同步回来。



检查证书有效期



2020-05-16 17:151300

评论

发布
暂无评论
发现更多内容

智汇华云 | 安超OS为企业数字化转型构建坚实的云基座

华云数据

Java 异常处理

大海

Java java异常处理

Serverless 在 SaaS 领域的最佳实践

Serverless Devs

Serverless 云原生 SaaS

APICloud的发展和应用

anyRTC开发者

ios android 跨平台 sdk APICloud

从美国《拜杜法案》到中国供应链体系形成的内在逻辑

JiangX

供应链 28天写作 制造

【PS】给黑白照片上色

德育处主任

PhotoShop ps 28天写作

进来抄作业:分布式系统中保证高可用性的常用经验

华为云开发者联盟

高可用 运维 设计 分布式系统 系统

实时媒体AI,打破内容创作天花板,加速视频创新

华为云开发者联盟

人工智能 云原生 媒体 视频

重学JS | 异步编程 Generator()

梁龙先森

面试 大前端 编程语言 28天写作

知乎问答:“既然生命无意义,为什么要活着?”

三只猫

28天写作

Socket粘包问题终极解决方案—Netty版(2W字)!

王磊

Java socket Netty

Android开发时的多点触控是如何实现的?

博文视点Broadview

科技赋能传统产业:工业绿色可视化—核电站工艺流程组态仿真

一只数据鲸鱼

物联网 数据可视化 组态软件 绿色工业 核电站

新鲜出炉!阿里内部开源SpringCloud Alibaba全解(全彩版)全网首发

Java架构追梦

Java 学习 架构 面试 SpringCloud Alibaba

跨越全场景统一架构三大挑战,MindSpore亮出“四招”

华为云开发者联盟

深度学习 联邦学习 mindspore 算子 ai框架

快抛弃你错误的坚持

石君

生活随想 28天写作

十八般武艺玩转GaussDB(DWS)性能调优:路径干预

华为云开发者联盟

数据库 sql 性能调优 GaussDB 算子

看图学NumPy:掌握n维数组基础知识点,看这一篇就够了

华为云开发者联盟

Python 机器学习 数组 Numpy

高频量化交易机器人系统开发|高频量化交易机器人APP软件开发

系统开发

软件测试--selenium安装使用

测试人生路

软件测试

开发复杂业务系统,有哪些设计思路

邴越

Redis 学习笔记 02:链表

架构精进之路

redis 七日更 28天写作

智能合约上链系统开发|智能合约上链APP软件开发

系统开发

微信视频号常见问题 | 视频号 28 天 (06)

赵新龙

28天写作

低代码开发技术

Sam678678

港股配资系统搭建

软件开发大鱼V15988750073

金融科技 港股交易系统开发 在线开户系统 CFD交易系统 港股多账户系统

盘点2020| 开启小马哥的新未来

小马哥

盘点2020

林昊获中国计算机学会杰出工程师奖,阿里中间件再获高度肯定,“三位一体”推动技术普惠

阿里巴巴云原生

阿里巴巴 阿里云 开发者 云原生 中间件

大型企业引进低代码开发技术是大趋势

Sam678678

okhttp3 第一次使用

我就感觉到快

手动轮换Rancher Kubernetes集群的证书_文化 & 方法_Rancher_InfoQ精选文章