Kubernetes集群证书的使用寿命为一年。如果Kubernetes集群证书在Kubernetes master节点上过期，则kubelet服务将失败。使用kubectl命令，例如kubectel get pod或kubectl exec -it container_name bash，将导致类似的消息：
Unable to connect to the server: x509: certificate has expired or is not yet valid
处理方法：重新生成新证书并更新worker节点。
注：以下操作在k8s 1.11.5版本环境上验证OK
注意：
- 执行以下操作前，请先备份相关文件
请勿替换CA证书，原因可参考issue（个人验证发现，是因为kubelet证书未删除导致，删除后重启kubelet问题解决）
-
在/root目录下创建一个配置文件kubeadm.yaml，其中advertiseAddress设置为Kubernetes主节点的IP地址（或集群虚IP）。例如：
apiVersion: kubeadm.k8s.io/v1alpha1 kind: MasterConfiguration api: advertiseAddress: 10.165.80.110 kubernetesVersion: v1.10.11 -
删除现有证书和密钥文件：
rm -rf /etc/kubernetes/pki/apiserver.key rm -rf /etc/kubernetes/pki/apiserver.crt rm -rf /etc/kubernetes/pki/apiserver-kubelet-client.crt rm -rf /etc/kubernetes/pki/apiserver-kubelet-client.key rm -rf /etc/kubernetes/pki/front-proxy-client.crt rm -rf /etc/kubernetes/pki/front-proxy-client.key -
创建新证书：
kubeadm --config /root/kubeadm.yaml alpha phase certs apiserver kubeadm --config /root/kubeadm.yaml alpha phase certs apiserver-kubelet-client kubeadm --config /root/kubeadm.yaml alpha phase certs front-proxy-client -
删除旧的配置文件：
rm -rf /etc/kubernetes/admin.conf rm -rf /etc/kubernetes/kubelet.conf rm -rf /etc/kubernetes/controller-manager.conf rm -rf /etc/kubernetes/scheduler.conf rm -rf /var/lib/kubelet/pki/kubelet* -
生成新配置文件：
kubeadm --config /root/kubeadm.yaml alpha phase kubeconfig all -
确保你的 kubectl 服务正在使用正确的配置文件（根据实际环境配置该环境变量）：
cp -i /etc/kubernetes/admin.conf $HOME/.kube/config export KUBECONFIG=.kube/config 重启Kubernetes主节点。
-
服务器重新启动后，检查以确保kubelet服务正在运行：
systemctl status kubelet -
要重新加入工作节点，您需要一个集群令牌。
对于Kubernetes 1.7，预设了集群令牌。对于Kubernetes1.7之后的版本，您必须创建新令牌，因为在安装时生成的令牌具有有限的生命周期：
kubeadm token create SSH进入每个worker节点并将它们重新连接到Kubernetes主节点。
-
将工作节点加入Kubernetes集群：
kubeadm join --token=cluster_token master_ip:6443其中：
- cluster_token：在步骤9中创建的令牌
- master_ip：Kubernetes主节点的IP地址（或集群虚IP地址）
注意：
某些版本的kubeadm使用--print-join-command命令行参数。在这些情况下， kubeadm输出重新连接Kubernetes master所需的kubeadm join命令。如果发生这种情况，请在每个工作节点上输入此命令（复制和粘贴）。 确认kubelet服务正在运行，并且worker节点和Kubernetes master之间正常通信。
-
等几分钟。然后从Kubernetes主节点运行以下命令以确认worker节点是否可用：
kubectl get nodes
