El servidor de API es un componente clave del plano de control en un clúster de Container Service for Kubernetes (ACK). Este servidor se instala con el certificado de servidor interno LoopbackClient. El periodo de validez del certificado proporcionado por la comunidad es de un año. La rotación automática del certificado solo ocurre cuando se reinicia el pod del servidor de API. Actualmente, la comunidad no tiene planes para ampliar este periodo de validez. Para obtener más información, consulte el issue #86552.
Para cumplir con distintos requisitos de operación y mantenimiento, ACK ha ampliado el periodo de validez del certificado interno a 10 años.
Alcance del impacto
El periodo de validez del certificado interno LoopbackClient del servidor de API en un clúster administrado de ACK o un clúster dedicado de ACK es de un año.
En los clústeres de ACK creados antes del 15 de marzo de 2023, el periodo de validez del certificado interno LoopbackClient del servidor de API es de un año.
En los clústeres de ACK creados o actualizados (a Kubernetes 1.20.11 o posterior) el 15 de marzo de 2023 o después, el periodo de validez del certificado interno LoopbackClient del servidor de API es de 10 años. Estos clústeres no se ven afectados.
Solución
Clústeres administrados de ACK
Compruebe si sus clústeres administrados de ACK están afectados según su fecha de creación. Para los clústeres administrados de ACK cuyos certificados LoopbackClient tienen una validez de un año, ACK completará la verificación y el reinicio del servidor de API antes del 1 de noviembre de 2023. Si prefiere que Alibaba Cloud no reinicie el servidor de API, actualice su clúster de ACK a Kubernetes 1.24 o a una major version posterior. Para obtener más información, consulte Update an ACK cluster.
Clústeres dedicados de ACK
Inicie sesión en un nodo maestro y ejecute el siguiente comando para consultar la fecha de vencimiento del certificado LoopbackClient.
Reemplace XX.XX.XX.XX con la dirección IP local del nodo maestro.
curl --resolve apiserver-loopback-client:6443:xx.xx.xx.xx -k -v https://apiserver-loopback-client:6443/healthz 2>&1 |grep expireSi sus clústeres de ACK tienen certificados LoopbackClient próximos a vencer o ya vencidos (periodo de validez de un año), esté atento a las release notes y actualice los clústeres a Kubernetes 1.24 o a una versión principal posterior. Le recomendamos actualizar los clústeres a ACK Pro. Para obtener más información, consulte Update an ACK cluster y Hot migration from ACK dedicated clusters to ACK Pro clusters.
Para los clústeres dedicados de ACK que no se puedan actualizar, inicie sesión en todos los nodos maestros y reinicie manualmente el servidor de API.