跳到主要内容
版本：v2.9

证书轮换

警告

轮换 Kubernetes 证书可能会导致集群在组件重启时暂时不可用。对于生产环境，建议在维护时段内执行此操作。

默认情况下，Kubernetes 集群需要证书，Rancher 启动的 Kubernetes 集群会自动为 Kubernetes 组件生成证书。在证书过期之前或被泄露后轮换证书非常重要。证书轮换后，Kubernetes 组件会自动重启。

可以为以下服务轮换证书：

  • etcd
  • kubelet（节点证书）
  • kubelet（服务证书，如果启用）
  • kube-apiserver
  • kube-proxy
  • kube-scheduler
  • kube-controller-manager
备注

如果你未轮换 webhook 证书，且证书用了一年后已经过期，请参阅此页面。

证书轮换​

Rancher 启动的 Kubernetes 集群能够通过 UI 轮换自动生成的证书。

  1. 在左上角，单击 ☰ > 集群管理。

  2. 在集群页面上，转到要轮换证书的集群，然后单击 ⋮ > 轮换证书。

  3. 选择要轮换的证书。

    • 轮换所有服务证书（使用相同的 CA）
    • 轮换单个服务，并从下拉菜单中选择其中一项服务。

  4. 单击保存。

结果：将轮换所选证书，相关服务将重新启动以使用新证书。

补充说明​

虽然 RKE CLI 可以为 Kubernetes 集群组件使用自定义证书，但 Rancher 目前不允许在 Rancher 启动的 Kubernetes 集群中上传这些证书。