O API Server é um componente central do plano de controle de clusters ACK. Ele usa um certificado interno para operações no lado do servidor com seu LoopbackClient. Nas versões da comunidade, esse certificado tem validade de 1 ano e não passa por rotação automática. A renovação ocorre apenas quando um pod do API Server é reiniciado. A comunidade não planeja estender a validade desse certificado. Para mais informações, consulte #86552.
Para atender a diferentes práticas de operação e manutenção (O&M), o Container Service for Kubernetes alterou recentemente a validade padrão desse certificado integrado para 10 anos.
Escopo de impacto
Essa alteração afeta ACK managed clusters e ACK dedicated clusters cujo certificado LoopbackClient integrado do API Server tem validade de 1 ano.
Clusters ACK criados antes de 15 de março de 2023 têm um certificado LoopbackClient integrado do API Server com validade de 1 ano.
Clusters criados em ou após 15 de março de 2023, ou atualizados para a versão 1.20.11 ou superior, não são afetados. Nesses casos, o certificado LoopbackClient integrado do API Server já tem validade de 10 anos.
Soluções
ACK Managed Clusters
Verifique a data de criação dos seus ACK managed clusters para identificar se eles foram impactados. Para os ACK managed clusters que ainda usam o certificado LoopbackClient de 1 ano, o Container Service for Kubernetes executará verificações automáticas e reinicializações contínuas nos componentes gerenciados até 1º de novembro de 2023. Se você não quiser que a Alibaba Cloud reinicie automaticamente o API Server no lado gerenciado, atualize seu cluster para a version 1.24 ou superior o quanto antes. Para instruções detalhadas, consulte Manually upgrade a cluster.
ACK Dedicated Clusters
Acesse o nó mestre e execute o comando abaixo para consultar a data de expiração do certificado LoopbackClient.
No comando, XX.XX.XX.XX corresponde ao endereço IP local do nó mestre.
curl --resolve apiserver-loopback-client:6443:xx.xx.xx.xx -k -v https://apiserver-loopback-client:6443/healthz 2>&1 |grep expireSe o seu cluster tiver um certificado de 1 ano expirado ou prestes a expirar, atualize o cluster ACK para a versão 1.24 ou superior. Para obter instruções, consulte Manually upgrade a cluster. Recomendamos também migrar para o ACK Managed Cluster Pro Edition. Para etapas detalhadas, veja Manually upgrade a cluster e hot migrate ACK dedicated clusters to ACK Managed Cluster Pro Edition.
Se não for possível atualizar seus ACK dedicated clusters a curto prazo, acesse todos os nós mestres do cluster e reinicie manualmente o API Server.