控制面证书为什么会过期
自建集群的控制面组件之间使用证书互相认证，由工具在初始化时签发，默认有效期通常是一年，签发机构的有效期更长。过期后组件之间无法完成认证，控制面会整体不可用，且故障来得非常突然。定期检查剩余有效期并提前续期，是自建集群必须排进日程的动作。
基本信息
| 适用平台 | 使用自动化工具搭建的自建集群 |
|---|---|
| 默认有效期 | 组件证书通常一年，签发机构更长 |
| 检查工具 | 初始化工具自带的证书检查子命令 |
| 续期范围 | 续期命令可一次处理全部组件证书 |
| 生效条件 | 续期后需要重启相关静态组件 |
典型使用场景
- 例行巡检时确认证书剩余天数
- 升级前统一续期，避免升级后证书仍将过期
- 排查组件之间认证失败：先看证书是否过期
- 新节点加入前的证书状态核对
- 归档记录每次续期时间与结果
检查与续期
检查与续期
kubeadm certs check-expiration # 列出各证书剩余有效期
kubeadm certs renew all # 在控制面节点执行续期
# 续期后重启控制面静态组件，使新证书生效
kubectl -n kube-system get pods | grep -E 'apiserver|controller|scheduler|etcd'
systemctl restart kubelet # 节点侧组件按需处理对象与处理
| 对象 | 默认有效期 | 处理方式 |
|---|---|---|
| 接口服务证书 | 约一年 | 续期后重启对应组件 |
| 控制器与调度器证书 | 约一年 | 随续期一并处理 |
| 数据后端证书 | 约一年 | 续期后重启数据后端 |
| 签发机构证书 | 更长 | 到期需按官方流程更换 |
| 节点客户端证书 | 随节点加入签发 | 支持自动轮换时由节点自行更新 |
节点上的客户端证书支持自动轮换（需要在节点配置中开启）。开启后节点证书会在临近到期时自动更新，但控制面组件证书仍需人工续期。
续期不等于立即生效：静态组件需要重建或重启才会加载新证书。续期完成后必须确认组件已经重启并处于就绪状态，否则过期风险依然存在。