求助：Azure AKS集群突发无响应，kubectl报x509证书过期或无效

这种情况我碰到过好几次，大概率是本地kubeconfig里的客户端证书过期了——AKS默认给kubeconfig里的证书有效期是1年，到期后就会触发这个错误，而Azure门户因为只监控集群本身的状态，不会管你本地的配置，所以才会显示正常。下面是一步步的排查和解决方法：

第一步：确认问题根源 #

先看看是不是本地证书真的过期了，执行这个命令（先跑kubectl config current-context查看当前上下文，替换成对应集群的用户名称）：

kubectl config view --raw -o jsonpath='{.users[?(@.name == "<your-cluster-user-name>")].user.client-certificate-data}' | base64 -d | openssl x509 -text -noout | grep "Not After"

如果输出的日期早于当前时间，那就是证书过期实锤了。另外别忘了检查本地系统时间，要是你的电脑时间和集群所在区域时间差太多，也会触发证书验证失败，这个坑很容易被忽略。

第二步：快速解决——刷新kubeconfig #

最直接的解决方式就是重新从AKS集群获取最新的kubeconfig，覆盖本地旧的配置。用Azure CLI执行：

az aks get-credentials --resource-group <你的资源组名称> --name <你的AKS集群名称> --overwrite-existing

执行完之后再跑kubectl get nodes试试，应该就能正常访问了。

其他可能的排查方向 #

如果刷新kubeconfig还是不行，那得考虑其他情况：

• 确认当前用的是正确的Kubernetes上下文：kubectl config get-contexts，如果有多个上下文，用kubectl config use-context <正确的上下文名称>切换过去再试。
• 要是你用的是服务账号的证书访问集群，那可能是服务账号的token过期了，需要重新生成服务账号的kubeconfig或者token。
• 极端情况（很少见）：集群的API服务器证书过期了，但Azure门户没更新状态。可以用Azure CLI检查集群状态：

az aks show --resource-group <你的资源组名称> --name <你的AKS集群名称> --query "provisioningState"

如果状态是Succeeded，那基本可以排除集群本身的问题，还是回到本地配置上找原因。

内容的提问来源于stack exchange，提问作者Kent Munthe Caspersen