k8s-certificate-expired

Kubernetes 证书过期的定位与续期

现象

x509: certificate has expired or is not yet valid，apiserver/kubelet/etcd 连接失败，kubectl 报证书错误，控制面组件不断重启。

快速定位

kubeadm certs check-expiration
kubeadm certs certificate-key
openssl x509 -in /etc/kubernetes/pki/apiserver.crt -noout -dates
openssl x509 -in /etc/kubernetes/pki/ca.crt -noout -dates
journalctl -u kubelet --since '30 min ago' | grep -i certificate
date -u

常见根因

1. 集群证书未在到期前续期。
2. CA 过期（CA 通常 10 年，但手工证书可能更短）。
3. 系统时间偏差，证书被判为未生效/已过期。
4. 自签证书/外部证书未更新到所有组件。
5. kubeconfig 里嵌入的客户端证书过期。

修复

• 先确认是叶子证书还是 CA 过期，以及系统时间。
• kubeadm 集群用 kubeadm certs renew all，然后重启控制面组件。
• 更新 kubelet/kubeconfig 中的客户端证书。
• CA 过期需要按官方流程轮换，影响面大，先备份。
• 外部证书更新后同步到 apiserver/etcd/kubelet。
• 修复后检查所有节点和组件，配置到期监控。

相关命令

• kubeadm — 证书检查与续期
• openssl — 证书有效期
• systemctl — 重启组件
• kubectl — 集群验证