阿里云容器服务Kubernetes版更新Kubernetes集群即将过期的证书

手动更新worker节点证书

1. 任意路径下，复制以下内容，创建job-node.yml文件。

   apiVersion: batch/v1
   kind: Job
   metadata:
     name: ${jobname}
     namespace: kube-system
   spec:
     backoffLimit: 0
     completions: ${nodesize}
     parallelism: ${nodesize}
     template:
       spec:
         activeDeadlineSeconds: 3600
         affinity:
           podAntiAffinity:
             requiredDuringSchedulingIgnoredDuringExecution:
             - labelSelector:
                 matchExpressions:
                 - key: job-name
                   operator: In
                   values:
                   - ${jobname}
               topologyKey: kubernetes.io/hostname
         containers:
         - command:
           - /renew/upgrade-k8s.sh
           - --role
           - node
           - --rootkey
           - ${key}
           image: registry.cn-hangzhou.aliyuncs.com/acs/cert-rotate:v1.0.0
           imagePullPolicy: Always
           name: ${jobname}
           securityContext:
             privileged: true
           volumeMounts:
           - mountPath: /alicoud-k8s-host
             name: ${jobname}
         hostNetwork: true
         hostPID: true
         restartPolicy: Never
         schedulerName: default-scheduler
         securityContext: {}
         volumes:
         - hostPath:
             path: /
             type: Directory
           name: ${jobname}

   
   说明 如果worker节点带有taint，需要在job-node.yml文件中增加对该taint的tolerations，即在securityContext: {}与volumes:之间增加以下内容（若有n个带有taint的worker节点，请复制n次）：

         tolerations:
         - effect: NoSchedule
           key: ${key}
           operator: Equal
           value: ${value}

   获取${name}和${value}的方法如下：

   1. 任意路径下，复制以下内容，创建taint.tml文件。

      {{printf "%-50s %-12s\n" "Node" "Taint"}}
      {{- range .items}}
          {{- if $taint := (index .spec "taints") }}
              {{- .metadata.name }}{{ "\t" }}
              {{- range $taint }}
                  {{- .key }}={{ .value }}:{{ .effect }}{{ "\t" }}
              {{- end }}
              {{- "\n" }}
          {{- end}}
      {{- end}}

   2. 执行以下命令，查询带有taint的worker节点的${name}和${value}。

      $ kubectl get nodes -o go-template-file="taint.tml"

      

2. 执行以下命令，获取集群的CAKey。

   $ sed '1d' /etc/kubernetes/pki/ca.key | base64 -w 0

3. 执行以下命令替换job-node.yml文件中指定的变量${jobname}、${nodesize}和${key}。

   $ sed 's/${jobname}/cert-node-2/g; s/${nodesize}/nodesize/g; s/${key}/key/g' job-node.yml > job-node2.yml

   其中：

   • ${jobname}为Job和Pod的名称，此处设置为cert-node-2。
   • ${nodesize}为worker节点个数，获取方法可参考手动更新master节点证书的步骤2。此处请将nodesize替换为集群的worker个数。
   • ${key}为集群的CAKey，此处请将key替换为手动更新worker节点证书步骤3获取到的CAKey。
4. 执行以下命令创建 Job。

   $ kubectl create –f job-node2.yml

5. 执行以下命令查看Job状态，当SUCCESSFUL为集群worker节点数时，证书完成更新。

   $ kubectl get job –nkube-system