延长集群核心证书的有效期
OpenShift集群正常运行中涉及到非常多的证书，有各节点通信的证书，有数据库的证书，有私有镜像仓库的证书，还有各种组件的证书（EFK、ClusterMonitor、Metrics等）。对于集群的相关证书可以通过在inventory文件中添加如下配置就可以非常方便地更改相关证书的默认有效期。
openshift_hosted_registry_cert_expire_days=3650
openshift_ca_cert_expire_days=3650
openshift_master_cert_expire_days=3650
etcd_ca_default_days=3650
但是以上的几个配置对于一些组件并不起作用，如EFK等。
延长一些特殊组件证书的有效期
openshift自签应用证书的有效期为2 or 5年。其中crt证书默认为两年，ca证书为5年。例如es中的证书中，admin-ca有效期为5年，admin-crt有效期为2年。
也就是说按照当前OpenShift安装的默认步骤安装的EFK组件，证书最短有效期为两年，两年后需要执行证书更新操作。而ES证书更新时，需要对ES应用进行重启，这将会影响到ES的可用性。那么如果我们希望在在安装部署EFK组件的时候，将证书设置为更长的时间的话，就不需要进行证书的更新，也就不会影响到ES的服务了。那么怎样做到这一点呢？
带着这个问题，仔细研究了OpenShift部署的脚本，发现要实现这点并不困难，只需要将生成证书的地方添加过期时间就ok了。
与相关证书有效期有关的地方有如下五类：
1. 使用create-signer-cert命令创建的证书
以ES服务为例，admin-ca证书的有效期时间默认为5年，将roles/openshift_logging/tasks/generate_certs.yaml中的oc adm ca create-signer-cert命令添加过期时间--expire-days=36500，例如
{{ openshift_client_binary }} adm --config={{ mktemp.stdout }}/admin.kubeconfig ca create-signer-cert
--key={{generated_certs_dir}}/ca.key --cert={{generated_certs_dir}}/ca.crt
--serial={{generated_certs_dir}}/ca.serial.txt --name=logging-signer-test --expire-days=36500
2. 使用keytool创建的证书
以ES服务为例，admin-crt有效期时间默认为2年。将roles/openshift_logging/files/generate-jks.sh脚本中的默认过期时间设置-validity设置为36500（一百年）即可，例如
keytool -genkey \
-alias $NODE_NAME \
-keystore $dir/$NODE_NAME.jks \
-keyalg RSA \
-keysize 2048 \
-validity 36500\
-startdate "$startdate" \
-keypass $ks_pass \
-storepass $ks_pass \
-dname "CN=$NODE_NAME, OU=OpenShift, O=Logging"
3. 使用create-server-cert命令创建的证书
oc adm ca create-server-cert命令创建的证书的过期时间为2年，所以对于这些命令生成的证书脚本也需要设置过期时间--expire-days=36500,例如metrics_server/tasks/generate_certs_and_apiservice.yaml文件中：
- name: generate new serving cert secrets if needed
when: existing_metrics_server_secret.rc != 0
block:
- name: generate ca certificate chain
command: >
{{ openshift_client_binary }} adm ca create-signer-cert
--config={{ mktemp.stdout }}/admin.kubeconfig
--key='{{ mktemp.stdout }}/ca.key'
--cert='{{ mktemp.stdout }}/ca.crt'
--serial='{{ mktemp.stdout }}/ca.serial.txt'
--name="metrics-signer@{{lookup('pipe','date +%s')}}"
--expire-days=36500
- name: generate metrics-server keys
command: >
{{ openshift_client_binary }} adm ca create-server-cert
--config={{ mktemp.stdout }}/admin.kubeconfig
--key='{{ mktemp.stdout }}/metrics-server.key'
--cert='{{ mktemp.stdout }}/metrics-server.crt'
--hostnames='metrics-server,metrics-server.{{ openshift_metrics_server_project }}.svc,metrics-server.{{ openshift_metrics_server_project }}.svc.cluster.local'
--signer-cert='{{ mktemp.stdout }}/ca.crt'
--signer-key='{{ mktemp.stdout }}/ca.key'
--signer-serial='{{ mktemp.stdout }}/ca.serial.txt'
--expire-days=36500
4. 使用oc adm ca create-master-certs创建的证书
oc adm ca证书创建相关的命令还有create-master-certs，通过它能够创建master的证书，OpenShift已经提供了相关的配置ansible/hosts中添加变量：openshift_master_cert_expire_days与openshift_ca_cert_expire_days来设置证书的过期时间，不需要更改playbook脚本与shell脚本。
5. 使用openssl创建的证书
openssl req -out xx.csr -days 712这是脚本中创建证书默认指定为2年。可将-days 712改为新的有效期时间。例如roles/openshift_logging/tasks/generate_pems.yaml。
另外openssl ca -in ...也需要添加-days 36500，也在该文件下
openssl ca -in {{generated_certs_dir}}/{{component}}.csr -notext -out {{generated_certs_dir}}/{{component}}.crt
-config {{generated_certs_dir}}/signing.conf -extensions v3_req -batch -extensions server_ext -days 36500
