kubeadm续期K8s集群证书后kubectl报未登录授权错误的问题咨询

核心原因 #

kubeadm alpha certs renew all 仅会更新控制面节点/etc/kubernetes/pki/目录下的服务端组件证书，不会自动同步更新kubectl使用的kubeconfig配置文件内存储的客户端管理员凭证。
此时服务端已经切换为新的证书链，而本地kubeconfig里存的还是续期前的老客户端证书，服务端通过CA校验客户端证书时，发现凭证和当前集群信任的有效客户端凭证不匹配，就会返回Unauthorized错误——完全不需要新建整套证书替换原有配置，只需要同步最新的客户端配置即可。

修复操作步骤 #

• 排查当前kubeconfig的证书引用
  执行命令输出当前生效的kubeconfig完整内容，确认kubectl正在使用的客户端证书来源：
  kubectl config view --raw
  重点检查users.admin段的配置，如果client-certificate-data字段内嵌的是base64编码的老证书数据，就是故障根因。
• 同步最新的客户端配置（核心修复动作）
  kubeadm执行证书续期时，已经在控制面节点上生成了和新服务端证书匹配的全新admin客户端证书，对应文件路径是/etc/kubernetes/admin.conf，直接同步这个文件替换本地旧配置即可：
  • 控制面节点本地操作场景：
    执行命令将最新配置写入用户家目录的kubeconfig路径：
    cp /etc/kubernetes/admin.conf ~/.kube/config
chown $(id -u):$(id -g) ~/.kube/config
  • 远程客户端操作场景：
    从控制面节点拉取最新的/etc/kubernetes/admin.conf文件，替换本地客户端的~/.kube/config内容即可，不需要单独生成新证书、新配置。
• 有效性验证
  • 校验kubeconfig内的客户端证书有效期，确认和续期后的时间匹配：
    cat ~/.kube/config | grep client-certificate-data | awk '{print $2}' | base64 -d | openssl x509 -noout -dates
  • 重新执行kubectl get pods，确认可以正常返回集群资源列表，无未授权报错。

进阶排查点（如果同步配置后仍报错） #

以下情况不需要重建证书，逐项核对即可：

• 检查控制面节点和本地客户端的系统时间差，证书校验对时间偏差非常敏感，时间差超过5分钟就可能触发校验失败
• 检查kubeconfig里配置的apiserver访问地址，确认流量没有被路由到尚未完成证书续期的旧控制面节点
• 检查apiserver的RBAC授权规则、Webhook授权配置，确认没有因为之前的证书故障出现配置漂移

内容的提问来源于stack exchange，提问作者E235