Container Service for Kubernetes:Atualizar certificados expirados de cluster dedicado ACK

Atualizar automaticamente todos os certificados de nó com kubectl

curl http://aliacs-k8s-cn-hangzhou.oss-cn-hangzhou.aliyuncs.com/public/cert-update/renew.sh | bash

Verificar o resultado

Certifique-se de estar conectado ao cluster com kubectl. Consulte Conectar-se a um cluster Kubernetes usando kubectl .

1. Visualize o status dos nós mestre e worker.

   kubectl get nodes

   [root@xxx ~]# kubectl get nodes
   NAME                      STATUS    ROLES     AGE       VERSION
   cn-hangzhou.xxx           Ready     <none>    23d       v1.11.2
   cn-hangzhou.xxx           Ready     <none>    23d       v1.11.2
   cn-hangzhou.xxx           Ready     master    47d       v1.11.2
   cn-hangzhou.xxx           Ready     master    47d       v1.11.2
   cn-hangzhou.xxx           Ready     master    47d       v1.11.2
   cn-hangzhou.xxx           Ready     <none>    47d       v1.11.2
   cn-hangzhou.xxx           Ready     <none>    47d       v1.11.2
   [root@xxx ~]#

2. Verifique o status dos jobs. A atualização estará concluída quando COMPLETIONS de cada job de nó mestre for 1/1 e as conclusões do job de nó worker corresponderem ao total de nós worker no cluster.

   kubectl -n kube-system get job

   [root@                              ~]# kubectl get job -nkube-system
   NAME                                  COMPLETIONS   DURATION   AGE
   aliyun-cert-renew-master-1            1/1           46s        4m49s
   aliyun-cert-renew-master-2            1/1           28s        4m19s
   aliyun-cert-renew-master-3            1/1           26s        3m48s
   aliyun-cert-renew-worker              6/6           46s        3m18s
   ingress-nginx-admission-create        1/1           29s        3d
   ingress-nginx-admission-patch         1/1           43s        3d
   kube-eventer-init-1.5-5e0e7cl-aliyun  1/1           31s        3d

Atualizar manualmente os certificados dos nós mestre

1. Em qualquer diretório, crie um arquivo job-master.yml com o seguinte conteúdo.

   apiVersion: batch/v1
   kind: Job
   metadata:
     name: ${jobname}
     namespace: kube-system
   spec:
     backoffLimit: 0
     completions: 1
     parallelism: 1
     template:
       spec:
         activeDeadlineSeconds: 3600
         affinity:
           nodeAffinity:
             requiredDuringSchedulingIgnoredDuringExecution:
               nodeSelectorTerms:
               - matchExpressions:
                 - key: kubernetes.io/hostname
                   operator: In
                   values:
                   - ${hostname}
         containers:
         - command:
           - /renew/upgrade-k8s.sh
           - --role
           - master
           image: registry.cn-hangzhou.aliyuncs.com/acs/cert-rotate:v1.0.0
           imagePullPolicy: Always
           name: ${jobname}
           securityContext:
             privileged: true
           volumeMounts:
           - mountPath: /alicoud-k8s-host
             name: ${jobname}       
         hostNetwork: true
         hostPID: true
         restartPolicy: Never
         schedulerName: default-scheduler
         securityContext: {}
         tolerations:
         - effect: NoSchedule
           key: node-role.kubernetes.io/master
         volumes:
         - hostPath:
             path: /
             type: Directory
           name: ${jobname}

2. Obtenha a quantidade e os nomes dos nós mestre no cluster.

   • Método 1: Linha de comando

     Execute o seguinte comando:

     kubectl get nodes

     [root@xxx            ~]# kubectl get nodes
     NAME               STATUS    ROLES     AGE    VERSION
     cn-hangzhou.ixxx   Ready     <none>    22d    v1.11.2
     cn-hangzhou.ixxx   Ready     <none>    22d    v1.11.2
     cn-hangzhou.ixxx   Ready     master    46d    v1.11.2
     cn-hangzhou.ixxx   Ready     master    46d    v1.11.2
     cn-hangzhou.ixxx   Ready     master    46d    v1.11.2
     cn-hangzhou.ixxx   Ready     <none>    46d    v1.11.2
     cn-hangzhou.ixxx   Ready     <none>    46d    v1.11.2
     [root@xxx            ~]#

   • Método 2: Console

     1. Faça login no console ACK. No painel de navegação à esquerda, clique em Clusters.

     2. Na página Clusters, clique no nome do cluster de destino ou em Details na coluna Actions.

     3. No painel de navegação à esquerda da página de gerenciamento do cluster, escolha Nodes > Nodes para visualizar a quantidade, nomes, IPs e IDs das instâncias dos nós mestre.

3. Substitua as variáveis ${jobname} e ${hostname} no arquivo job-master.yml.

   sed 's/${jobname}/cert-job-2/g; s/${hostname}/hostname/g' job-master.yml > job-master2.yml

   Parâmetros:

   • ${jobname}: nome do job. Neste exemplo, defina como cert-job-2.

   • ${hostname}: nome de um nó mestre. Substitua hostname pelo nome obtido na Etapa 2.

4. Crie o job.

   kubectl create -f job-master2.yml

5. Verifique o status do job. O certificado será atualizado quando COMPLETIONS for 1/1.

   kubectl get job -nkube-system

6. Repita as Etapas 3 a 5 para cada nó mestre restante.

   [root@xxx ~]# kubectl get job -nkube-system
   NAME          COMPLETIONS   DURATION   AGE
   cert-job-2    1/1           46s        22m
   cert-job-3    1/1           28s        2m
   cert-job-4    1/1           26s        1m
   [root@xxx ~]#