大家的生产环境中 k8s 集群的 CA 证书有效期都是多久？

[d0m2o08]

大家的生产环境中 k8s 集群的 CA 证书有效期都是多久？
生产环境的 k8s 定期升级版本么？

[mdjxyz]

5 年

[swap123]

rke 集群 10 年

[ExplodingFKL]

有效期：改了 kubeadm 源码， 默认 100 年
升级： 定期升级，但只会升级大版本且大版本出了 2 个修复版本后（无高危漏洞的情况下），例如 1.26.x -> 1.27.2

[asilin]

手动创建 CA 证书，直接签发了 100 年，避免了官方的固定 10 年期限。

至于控制节点的的证书，则每隔 30 天通过 kubeadm certs renew all 续签更新所有签发的证书有效期一年，再通过下面的命令重启控制节点的相关程序使新证书生效：
kubectl -n kube-system delete pod -l component=kube-apiserver
kubectl -n kube-system delete pod -l component=kube-controller-manager
kubectl -n kube-system delete pod -l component=kube-scheduler

PS：etcd 服务不需要重启，它每次连接时都会读取证书文件，新证书自动生效。

[kd9yYw2RyhQwAwzn]

一年 每年续期

[laminux29]

能自签的当然直接 100 年拉满，没必要年年换。

[gotosre]

99 年

[Tomcatxde]

@asilin 应该还需要重启 kubelet 吧