Masa berlaku sertifikat internal server API ditingkatkan - Container Service for Kubernetes

Server API adalah komponen utama bidang kontrol klaster Container Service for Kubernetes (ACK). Server API dilengkapi dengan sertifikat server LoopbackClient internal. Masa berlaku sertifikat yang disediakan oleh komunitas adalah satu tahun. Sertifikat ini hanya diperbarui secara otomatis ketika pod server API di-restart. Saat ini, komunitas tidak memiliki rencana untuk memperpanjang masa berlaku sertifikat tersebut. Untuk informasi lebih lanjut, lihat #86552.

Untuk memenuhi berbagai kebutuhan operasional dan pemeliharaan, ACK telah meningkatkan masa berlaku sertifikat internal menjadi 10 tahun.

Ruang lingkup dampak

Masa berlaku sertifikat internal LoopbackClient server API dalam klaster terkelola ACK atau klaster khusus ACK adalah satu tahun.

Untuk klaster ACK yang dibuat sebelum 15 Maret 2023, masa berlaku sertifikat internal LoopbackClient server API adalah satu tahun.
Untuk klaster ACK yang dibuat atau diperbarui (ke Kubernetes 1.20.11 atau lebih baru) pada 15 Maret 2023 atau setelahnya, masa berlaku sertifikat internal LoopbackClient server API adalah 10 tahun. Klaster ini tidak terpengaruh.

Solusi

Klaster terkelola ACK

Periksa apakah klaster terkelola ACK Anda terpengaruh berdasarkan waktu pembuatannya. Untuk klaster terkelola ACK yang sertifikat LoopbackClient-nya berlaku selama satu tahun, ACK akan menyelesaikan pemeriksaan dan me-restart server API sebelum 1 November 2023. Jika Anda tidak ingin Alibaba Cloud me-restart server API untuk Anda, perbarui klaster ACK Anda ke Kubernetes 1.24 atau versi utama yang lebih baru. Untuk informasi lebih lanjut, lihat Memperbarui klaster ACK.

Klaster khusus ACK

Masuk ke Node master dan jalankan perintah berikut untuk menanyakan tanggal kedaluwarsa sertifikat LoopbackClient.

Ganti XX.XX.XX.XX dengan alamat IP lokal Node master.

curl --resolve apiserver-loopback-client:6443:xx.xx.xx.xx -k -v https://apiserver-loopback-client:6443/healthz 2>&1 |grep expire

Untuk klaster ACK yang sertifikat LoopbackClient-nya akan segera kedaluwarsa atau sudah kedaluwarsa (masa berlaku satu tahun), perhatikan catatan rilis dan perbarui klaster ke Kubernetes 1.24 atau versi utama yang lebih baru. Kami merekomendasikan agar Anda meningkatkan klaster ke ACK Pro. Untuk informasi lebih lanjut, lihat Memperbarui klaster ACK dan Migrasi panas dari klaster khusus ACK ke klaster ACK Pro.

Penting

Untuk klaster khusus ACK yang tidak dapat ditingkatkan, masuk ke semua Node master dan restart server API secara manual.