Kubernetes证书过期后重新部署步骤及Pod健康异常解决方法

别着急，我帮你一步步搞定Kubernetes证书过期和Pod健康异常的问题，先从证书重新部署的具体步骤说起：

• 先做备份，留好后路：操作前先把现有K8s配置和证书备份一份，防止出问题能回滚：

  sudo cp -r /etc/kubernetes /etc/kubernetes.bak
  

• 确认证书过期情况：先检查所有集群证书的过期时间，明确哪些需要更新：

  sudo kubeadm certs check-expiration
  

• 重新生成所有证书：用kubeadm一键更新所有集群证书（包括apiserver、etcd、controller-manager等核心组件的证书）：

  sudo kubeadm certs renew all
  

  注意：如果是高可用集群，需要在每个控制节点上执行这个命令，或者在主节点生成后同步证书到其他节点。

• 更新本地kubeconfig文件：证书更新后，本地的kubeconfig也要同步新证书，否则kubectl会无法连接集群：

  sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
  chown $(id -u):$(id -g) $HOME/.kube/config
  

• 重启控制平面组件：证书更新后，需要让核心组件Pod重新加载新证书，直接删除对应的Pod即可（K8s会自动重建）：

  # 重启kube-apiserver
  sudo kubectl delete pods -n kube-system -l component=kube-apiserver
  # 重启kube-controller-manager
  sudo kubectl delete pods -n kube-system -l component=kube-controller-manager
  # 重启kube-scheduler
  sudo kubectl delete pods -n kube-system -l component=kube-scheduler
  # 重启etcd（如果是外部etcd需要单独处理）
  sudo kubectl delete pods -n kube-system -l component=etcd
  

• 验证更新结果：再次检查证书过期时间，确认所有证书都已成功更新：

  sudo kubeadm certs check-expiration
  

从你提供的日志片段来看，问题出在Elasticsearch Pod上，大概率是证书更新后集群内部通信或Pod信任链出了问题，按以下步骤排查：

• 先看完整日志定位根因：你给的日志被截断了，先获取完整日志才能明确问题：

  # 查看完整日志
  sudo kubectl logs elasticsearch-logging-0 -n <你的命名空间>
  # 如果是崩溃重启的Pod，看之前的日志
  sudo kubectl logs elasticsearch-logging-0 -n <你的命名空间> --previous
  # 实时查看日志
  sudo kubectl logs -f elasticsearch-logging-0 -n <你的命名空间>
  

• 检查Elasticsearch自身证书：如果你的Elasticsearch集群用了自定义证书（比如节点间transport通信的证书、HTTPS证书），要确认这些证书是否也过期了：
  1. 先看Pod的证书挂载配置：

     sudo kubectl describe pod elasticsearch-logging-0 -n <你的命名空间>
     

     找到挂载证书的Volume对应的Secret或ConfigMap名称。
  2. 检查证书有效期：

     # 如果是Secret存储的证书
     sudo kubectl get secret <secret名称> -n <你的命名空间> -o jsonpath='{.data.tls\.crt}' | base64 -d | openssl x509 -noout -dates
     

• 重启Pod加载新证书：如果是因为K8s集群CA证书更新后，Elasticsearch Pod没有重新信任新的CA，先尝试重启Pod：

  sudo kubectl delete pod elasticsearch-logging-0 -n <你的命名空间>
  

  K8s会自动重建Pod，加载最新的集群根证书。
• 检查Elasticsearch集群通信：确认节点间的transport端口（默认9300）能正常通信，以及DNS解析是否正常：

  # 测试节点间通信
  sudo kubectl exec -it elasticsearch-logging-0 -n <你的命名空间> -- curl -k https://elasticsearch-logging-1:9300
  # 测试DNS解析
  sudo kubectl exec -it elasticsearch-logging-0 -n <你的命名空间> -- nslookup elasticsearch-logging-headless
  

• 验证集群状态：Pod重启后，检查Elasticsearch集群健康状态：

  # 如果启用了账号密码认证，替换成你的账号密码
  sudo kubectl exec -it elasticsearch-logging-0 -n <你的命名空间> -- curl -u <用户名>:<密码> https://localhost:9200/_cluster/health?pretty
  

• 更新Elasticsearch证书（如果需要）：如果是Elasticsearch自身的证书过期了，重新生成证书后更新对应的Secret，然后重启所有Elasticsearch Pod即可。

内容的提问来源于stack exchange，提问作者vamsi krishna