K3s集群证书轮换：不停机更新操作指南

K3s集群证书轮换：不停机更新操作指南

【免费下载链接】k3sK3s 是一个轻量级的 Kubernetes 发行版，用于在资源受限的环境和物联网设备上部署 Kubernetes 群集。 * 轻量级的 Kubernetes 发行版、在资源受限的环境和物联网设备上部署 Kubernetes 群集 * 有什么特点：资源消耗低、易于使用、支持多种物联网设备和操作系统项目地址: https://gitcode.com/GitHub_Trending/k3/k3s

K3s作为轻量级Kubernetes发行版，其证书管理是集群安全运维的关键环节。本文将详细介绍K3s证书轮换的完整流程，包括叶子证书和CA证书的不停机更新操作，帮助您掌握K3s集群证书管理的核心技能。

K3s证书体系架构解析

K3s采用双层级证书体系设计，确保集群通信安全可靠：

• CA证书（证书颁发机构）：有效期约10年（3650天），用于签发所有叶子证书
• 叶子证书（客户端和服务端证书）：有效期1年（365天），包含kube-apiserver、etcd等组件证书
• 自动续期机制：叶子证书在到期前90天启动时自动续期

证书相关代码位于pkg/cli/cert/cert.go和pkg/cli/cmds/certs.go，实现了完整的证书管理功能。

证书状态检查与监控

在执行证书轮换前，首先检查当前证书状态：

# 检查所有证书状态 k3s certificate check # 以JSON格式输出 k3s certificate check --output json # 检查特定服务证书 k3s certificate check --service kube-apiserver --service etcd

K3s内置证书监控机制，通过pkg/certmonitor/certmonitor.go定期检查证书有效期，当证书即将过期时会生成告警事件。

叶子证书轮换操作指南

叶子证书轮换是最常见的操作，支持不停机更新：

1. 服务器节点证书轮换

# 自动检测并轮换服务器所有证书 k3s certificate rotate # 轮换后查看状态 k3s certificate check

轮换过程自动备份旧证书到tls-{timestamp}目录，确保可回滚。具体实现在cert.go的rotate函数中。

2. 代理节点证书轮换

# 在代理节点执行 k3s certificate rotate

代理节点自动检测并仅轮换代理相关证书，无需手动指定服务类型。

3. 选择性服务证书轮换

# 仅轮换特定服务证书 k3s certificate rotate --service kube-apiserver --service etcd # 可用服务列表 k3s certificate rotate --help

支持的服务包括：admin、api-server、controller-manager、scheduler、k3s-server、etcd等。

CA证书轮换完整流程

CA证书轮换是更复杂的操作，需要按步骤执行：

第一步：生成新CA证书

# 使用内置脚本生成新CA证书 DATA_DIR=/var/lib/rancher/k3s ./contrib/util/rotate-default-ca-certs.sh

脚本位于contrib/util/rotate-default-ca-certs.sh，生成的新证书存储在${DATA_DIR}/server/rotate-ca目录。

第二步：应用新CA证书

# 将新CA证书写入数据存储 k3s certificate rotate-ca --path=/var/lib/rancher/k3s/server/rotate-ca

第三步：重启集群组件

# 重启K3s服务 systemctl restart k3s # 或逐个重启组件 systemctl restart k3s-agent

CA证书轮换测试用例详见tests/integration/cacertrotation。

证书轮换最佳实践

1. 定期检查计划

# 每月检查一次证书状态 0 0 1 * * /usr/local/bin/k3s certificate check >> /var/log/k3s-cert-check.log

2. 轮换前备份策略

# 手动备份证书目录 cp -r /var/lib/rancher/k3s/server/tls /backup/k3s-tls-$(date +%Y%m%d)

3. 验证轮换结果

# 验证证书哈希值变化 md5sum /var/lib/rancher/k3s/server/tls/client-ca.crt md5sum /var/lib/rancher/k3s/server/tls/serving-kube-apiserver.crt

4. 监控与告警配置

集成K3s证书监控到现有监控系统，关注pkg/certmonitor生成的告警事件。

故障排查与恢复

常见问题解决

1. 证书轮换后服务无法启动

   # 恢复备份的证书 cp -r /var/lib/rancher/k3s/server/tls-1234567890/* /var/lib/rancher/k3s/server/tls/ systemctl restart k3s

2. CA证书不匹配错误

   # 强制替换CA证书 k3s certificate rotate-ca --path=/path/to/new/ca --force

3. 证书过期紧急处理

   # 立即轮换所有证书 k3s certificate rotate --service all systemctl restart k3s

回滚操作

# 查看备份目录 ls -la /var/lib/rancher/k3s/server/ | grep tls- # 恢复特定备份 cp -r /var/lib/rancher/k3s/server/tls-1234567890/* /var/lib/rancher/k3s/server/tls/

高级配置与优化

自定义证书有效期

通过修改证书配置相关参数，可调整证书有效期，但需谨慎操作。

多集群证书管理

对于大规模部署，建议：

• 使用统一的证书管理工具
• 建立证书轮换自动化流水线
• 实施证书生命周期监控

安全加固建议

1. 定期轮换证书，不超过建议周期
2. 监控证书过期告警
3. 实施最小权限原则
4. 审计证书使用情况

总结

K3s证书轮换是保障集群安全的重要操作，通过本文的指南，您可以：

• 掌握叶子证书和CA证书的轮换方法
• 实现不停机证书更新
• 建立证书生命周期管理流程
• 快速排查证书相关问题

记住定期检查证书状态，提前规划轮换操作，确保K3s集群持续稳定运行。详细的实现代码可参考pkg/cli/cert目录和tests/integration中的测试用例。

【免费下载链接】k3sK3s 是一个轻量级的 Kubernetes 发行版，用于在资源受限的环境和物联网设备上部署 Kubernetes 群集。 * 轻量级的 Kubernetes 发行版、在资源受限的环境和物联网设备上部署 Kubernetes 群集 * 有什么特点：资源消耗低、易于使用、支持多种物联网设备和操作系统项目地址: https://gitcode.com/GitHub_Trending/k3/k3s