Kubernetes证书使用年限修改方法   Kubernetes的apiservice.crt证书默认只有一年的使用期限,查看方法: cd /etc/kubernetes/pki [root@Centos8 pki]# openssl x509 -in apiserver.crt -text -noout Certificate: Data: Version: 3 (0x2) Serial Number: 8195991627692645852 (0x71be02f60eb21ddc) Sig

K8S的api-server证书包含很多IP和域名,有时候后期才发现证书内有错误,需要重新生成该证书. 修改server-csr.json,修改后基于原来的ca证书重新生成server.perm  server-key.pem cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes server-csr.json | cfssljson -bare server cp serve

在这种比较极端的情况下,要小心翼翼的规划和操作,才不会让集群彻底死翘翘.首先,几个ca根证书是10年期,应该还没有过期.我们可以基于这几个根证书,来重新生成一套可用的各组件认证证书. 前期,先制定以下方案步骤,能否实现,待验证. 一,制作证书的基本文件. Ca-csr.json(因为根证书是OK的,所以这个文件,可是列在这里,不会用上) { "CN": "kubernetes", "key": { "algo": "

1.k8s 集群架构描述 kubeadm v1.10.2创建k8s集群. master节点高可用,三节点(10.18.60.3.10.18.60.4.10.18.60.5). LVS实现master三节点代理. 2.K8S集群证书过期,日志报错如下 Unable to authenticate the request due to an error: x509: certificate has expired or is not yet valid 3.故障排定,查看证书 # openssl x

参考 kubeadm alpha certs renew Kubeadm1.14 证书调整 kubeadm 部署的 kubernetes 集群,默认的证书有效时间是1年,需要每年手工更新. 1. 重新编译kubeadm 1.1 准备 # 下载对应的kubernetes源代码,这里采用 "v1.14.1" 版本 wget https://codeload.github.com/kubernetes/kubernetes/tar.gz/v1.14.1 # untar tar -zxvf k

1.概述 Kubenetes集群的控制平面节点(即Master节点)由数据库服务(Etcd)+其他组件服务(Apiserver.Controller-manager.Scheduler...)组成. 整个集群系统运行的交互数据都将存储到数据库服务(Etcd)中,所以Kubernetes集群的高可用性取决于数据库服务(Etcd)在多个控制平面(Master)节点构建的数据同步复制关系. 由此搭建Kubernetes的高可用集群可以选择以下两种部署方式: 使用堆叠的控制平面(Master)节点,其中

kubeadm安装的k8s集群默认需要用户登陆认证,无法直接使用命令curl访问.所以首先的第一步就是获取token. 先找到k8s集群中的dns组件coredns,之前的版本使用的是kube-dns. [root@k8s-master ~]# kubectl -n kube-system get sa coredns -o yaml apiVersion: v1 kind: ServiceAccount metadata: creationTimestamp: "2019-09-26T12:2

1)下载cfssl #!/bin/bash wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64 wget https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64 wget https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64 chmod +x cfssl_linux-amd64 cfssljson_linux-amd64 cfssl-certinfo_l

目的 内网k8s开发环境配置HTTPS,保持与生产环境的配置的一致性,其必要性有: PWA开发,HTTPS是必要条件 网页引入HTTP资源,如果开发环境是HTTP就不会被开发和测试人员发现,造成生产环境故障 HTTP/2,与HTTP相差太大,必须保持环境一致 cert-manager介绍 cert-manager是Kubernetes的附加组件,用于自动管理和颁发各种发行来源的TLS证书.它将确保证书有效并定期更新,并尝试在到期前的适当时间更新证书. 方法 开发环境在内网,做不了域名验证,无法使

创建svc资源报错显示:provided port is not in the valid range. The range of valid ports is 30000-32767 k8s集群默认端口是在30000-32767,我可以通过修改kube-apiserver来修改,apiserver文件路径在/etc/kubernetes/manifests/kube-apiserver.yaml,如果不知道路径在那,可以通过ps -ef |grep kube-apiserver,这里就会有启动

用命令行总是很麻烦,因为要自定义一些证书的位置....... curl https://1.2.3.1:443/api/v1/nodes \ --cacert /etc/kubernetes/pki/ca.crt \ --cert /etc/kubernetes/pki/apiserver-kubelet-client.crt \ --key /etc/kubernetes/pki/apiserver-kubelet-client.key

自定义证书使用kubectl认证接入API Serverkubeconfig是API Server的客户端连入API Server时使用的认证格式的客户端配置文件.使用kubectl config view查看其配置 kubectl config view apiVersion: v1 clusters: #集群列表 - cluster: certificate-authority-data: DATA+OMITTED server: https://192.168.1.100:6443 nam

1.在1.7版本后使用HostAliases修改pod的hosts文件.该文件由kubelet管理 在deployment的yaml文件中添加在pod template 的spec里面即可: apiVersion: extensions/v1beta1 kind: Deployment metadata: labels: app: runner name: gitlab-runner-gitlab-runner spec: replicas: selector: matchLabels: app

这个证书很重要,不用说. 但手工生成证书,确实工作量大且容易出错. 推荐的方式,是保留/etc/kubernetes/pki目录下的ca.crt,ca.key,sa.crt,sa.key. 这四个文件,前两个是10年过期,后两个没有过期概念,可以保证现有群集的顺利升级证书. 然后,使用kubeadm命令,来解决证书过期问题. 但kubeadm的生成证书和配置的命令,在1.10和1.14之间发生了比较大的变化, 现在作个记录. 一,1.10 This command is not meant to

修改节点角色: kubectl label nodes cn-thin05 node-role.kubernetes.io/node= 卸载节点: kubectl drain jupiter --delete-local-data --force --ignore-daemonsets 删除节点: kubectl delete node jupiter 清空init配置,需要删除的节点上执行 kubeadm reset

0.前言 整体架构目录:ASP.NET Core分布式项目实战-目录 k8s架构目录:Kubernetes(k8s)集群部署(k8s企业级Docker容器集群管理)系列目录 一.服务器设置 1.把每一个服务器的selinux 设置为 disabled 设置方式: vi  /etc/selinux/config 将 SELINUX=disabled,然后保存,然后 执行命令: setenforce 0,使之生效. 2.同步每一台服务器的时间(此步骤很重要,会影响后面的软件环境运行) 3.每一台服务

一.脚本说明: 本实验中master.node.etcd都是单体. 安装顺序为:先安装test1节点主要组件,然后开始安装test2节点,最后回头把test1节点加入集群中,这样做目的是理解以后扩容都需要进行哪些操作 实验架构: test1: 192.168.0.91 etcd.kubectl工具.kube-apiserver.kube-controller-manager.kube-scheduler.kubelet组件.cni.kube-proxy test2: 192.168.0.92 d

#证书自签名脚本 root@k8s-master: ~/k8s/k8s-cert :: $ cat k8s-cert.sh cat > ca-config.json <<EOF { "signing": { "default": { "expiry": "87600h" }, "profiles": { "kubernetes": { "expiry"

查看证书过期时期 [root@node1 ~]# openssl x509 -in /etc/kubernetes/pki/apiserver.crt -noout -text |grep ' Not ' Not Before: Sep 4 08:29:00 2019 GMT Not After : Sep 3 08:29:02 2020 GMT 备份etcd [root@node1 etcd-backup]# export ETCDCTL_API=3 [root@node1 etcd-back

在 K8s 中,kube-apiserver 使用 etcd 对 REST object 资源进行持久化存储,本文介绍如何配置生成自签 https 证书,搭建 etcd 集群给 apiserver 使用,并附相关坑点记录. 1. 安装 cfssl 工具 cd /data/work wget https://github.com/cloudflare/cfssl/releases/download/v1.6.0/cfssl_1.6.0_linux_amd64 -O cfssl wget https

证书: k8s里创建证书(使用证书文件命令创建): kubectl create secret tls scdsc-org-cn --cert=/etc/letsencrypt/live/scdsc.org.cn/fullchain.pem --key=/etc/letsencrypt/live/scdsc.org.cn/privkey.pem -n gymop k8s里创建证书(yaml文件创建): apiVersion: v1 data: tls.crt: (certtag) tls.key