Kubernetes 集群证书轮换

Question

我正在寻找有关证书轮换程序的一些建议。我一直在练习使用 Kelsey Hightower 的 Kubernetes the hard way 从头开始​​安装集群。很高兴了解在构成 Kubernetes 集群的组件之间建立信任所需的证书。

但是查阅有关证书轮换的官方文档，我只找到了this resource，其中只提到了 kubelet 组件。

我猜证书轮换的想法是改变所有涉及的证书：controller-manager、kube-proxy、scheduler、api-server 等。

所以，我的问题是：

• 是否有任何关于该主题的资源可以推荐？
• 在更新组件时我应该遵循什么顺序以最大程度地减少服务中断？我想会有一段时间会出现通信问题，因为一些组件将使用旧证书，而另一些组件将使用新证书
• 假设我备份了旧证书（在不同的路径中创建一个副本）并用新生成的证书替换当前文件。我是否仍需要重新启动包含某些证书配置的系统单元（或静态 Pod/常规 Pod），或者配置是否会“热”重新加载？

谢谢

Answer 1

side-car proxy service such as Istio 管理会更好

它提供开箱即用的证书 ttl，with by default 90 days。
rotation is not automated though.
使用external provider like Let'sEncrypt can help（如described here）。