恢复已删除的kOps CA cert/key secret及集群升级问题咨询

问题结论总览 #

针对kOps升级场景下CA私钥丢失的问题，两个核心疑问的结论如下：

1. CA私钥恢复可能性 #

• 仅通过当前持有的CA公钥（crt文件）无法恢复对应私钥：非对称加密的机制决定公钥无法反向推导私钥，如果你没有对删除的CA私钥做任何离线备份，该私钥已彻底丢失，没有恢复途径。

2. 无CA私钥完成kOps升级的可行方案 #

kOps标准流程需要CA私钥签发集群组件、节点的证书，无私钥场景下无法走默认升级流程，但可通过以下两种路径推进升级：

方案A：导入现有CA公钥，跳过私钥校验完成升级

• 首先将你从三处获取的一致CA公钥导入kOps状态存储，执行命令：
  kops create secret ca --cert /path/to/your/ca.crt --name <你的集群名称> --state s3://<你的kOps状态存储桶路径>
• 执行kops update cluster校验配置，遇到缺失CA私钥的报错时，添加--allow-missing-cert-keys参数跳过私钥校验。
• 由于缺失私钥kOps无法自动签发新证书，你需要先手动完成全集群证书轮换：
  • 轮换控制平面所有组件（kube-apiserver、kube-controller-manager、etcd等）的证书，配置为你保留的新CA签发的证书
  • 轮换所有节点kubelet证书、节点本地kubeconfig的CA配置
  • 轮换serviceaccount密钥，同步更新所有调用APIServer的业务服务的信任CA
• 全集群证书校验正常后，执行kops rolling-update cluster --yes完成版本升级。

方案B：使用新CA做全集群重建式升级

如果你的业务可容忍短时间访问中断，可选择操作复杂度更低的重建方案：

• 直接沿用当前kOps生成的新CA secret，先滚动重建所有控制平面节点，完成控制平面根CA替换
• 逐批滚动重建工作节点，完成节点侧证书全量更新
• 提前更新所有外部访问集群的kubeconfig、业务侧信任的CA证书为新CA公钥，避免访问中断。

注意：两种方案操作前都必须先对etcd做全量快照备份，避免升级失败导致集群数据丢失。

内容的提问来源于stack exchange，提问作者shapeshifter