kubeadm certs
kubeadm certs 提供了管理证书的实用工具。有关如何使用这些命令的更多详细信息，请参阅使用 kubeadm 进行证书管理。
kubeadm certs
用于操作 Kubernetes 证书的操作集合。
与处理 Kubernetes 证书相关的命令
概要
与处理 Kubernetes 证书相关的命令
kubeadm certs [flags]
选项
| -h, --help | |
certs 的帮助信息 | |
从父命令继承的选项
| --rootfs string | |
“真实”主机根文件系统的路径。这将导致 kubeadm chroot 进入提供的路径。 | |
kubeadm certs renew
您可以使用 all 子命令更新所有 Kubernetes 证书，或选择性地更新它们。有关更多详细信息，请参阅手动证书更新。
更新 Kubernetes 集群的证书
概要
更新 Kubernetes 集群的证书
kubeadm certs renew [flags]
选项
| -h, --help | |
renew 的帮助信息 | |
从父命令继承的选项
| --rootfs string | |
“真实”主机根文件系统的路径。这将导致 kubeadm chroot 进入提供的路径。 | |
更新所有可用的证书
概要
更新运行控制平面所需的所有已知证书。无论过期日期如何，都会无条件运行更新。也可以单独运行更新以进行更多控制。
kubeadm certs renew all [flags]
选项
| --cert-dir string 默认值: "/etc/kubernetes/pki" | |
保存证书的路径 | |
| --config string | |
kubeadm 配置文件的路径。 | |
| -h, --help | |
all 的帮助信息 | |
| --kubeconfig string 默认值: "/etc/kubernetes/admin.conf" | |
与集群通信时要使用的 kubeconfig 文件。如果未设置该标志，则可以搜索一组标准位置以查找现有的 kubeconfig 文件。 | |
从父命令继承的选项
| --rootfs string | |
“真实”主机根文件系统的路径。这将导致 kubeadm chroot 进入提供的路径。 | |
更新嵌入在 kubeconfig 文件中的证书，供管理员和 kubeadm 本身使用
概要
更新嵌入在 kubeconfig 文件中的证书，供管理员和 kubeadm 本身使用。
更新无条件运行，无论证书过期日期如何；诸如 SAN 之类的额外属性将基于现有的文件/证书，无需重新提供它们。
默认情况下，更新尝试使用 kubeadm 管理的本地 PKI 中的证书颁发机构；作为替代方案，可以使用 K8s 证书 API 进行证书更新，或者作为最后一个选项，生成 CSR 请求。
更新后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新后的证书（如果该文件在其他地方使用）。
kubeadm certs renew admin.conf [flags]
选项
| --cert-dir string 默认值: "/etc/kubernetes/pki" | |
保存证书的路径 | |
| --config string | |
kubeadm 配置文件的路径。 | |
| -h, --help | |
admin.conf 的帮助信息 | |
| --kubeconfig string 默认值: "/etc/kubernetes/admin.conf" | |
与集群通信时要使用的 kubeconfig 文件。如果未设置该标志，则可以搜索一组标准位置以查找现有的 kubeconfig 文件。 | |
从父命令继承的选项
| --rootfs string | |
“真实”主机根文件系统的路径。这将导致 kubeadm chroot 进入提供的路径。 | |
更新 apiserver 用于访问 etcd 的证书
概要
更新 apiserver 用于访问 etcd 的证书。
更新无条件运行，无论证书过期日期如何；诸如 SAN 之类的额外属性将基于现有的文件/证书，无需重新提供它们。
默认情况下，更新尝试使用 kubeadm 管理的本地 PKI 中的证书颁发机构；作为替代方案，可以使用 K8s 证书 API 进行证书更新，或者作为最后一个选项，生成 CSR 请求。
更新后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新后的证书（如果该文件在其他地方使用）。
kubeadm certs renew apiserver-etcd-client [flags]
选项
| --cert-dir string 默认值: "/etc/kubernetes/pki" | |
保存证书的路径 | |
| --config string | |
kubeadm 配置文件的路径。 | |
| -h, --help | |
apiserver-etcd-client 的帮助信息 | |
| --kubeconfig string 默认值: "/etc/kubernetes/admin.conf" | |
与集群通信时要使用的 kubeconfig 文件。如果未设置该标志，则可以搜索一组标准位置以查找现有的 kubeconfig 文件。 | |
从父命令继承的选项
| --rootfs string | |
“真实”主机根文件系统的路径。这将导致 kubeadm chroot 进入提供的路径。 | |
更新 API 服务器连接到 kubelet 的证书
概要
更新 API 服务器连接到 kubelet 的证书。
更新无条件运行，无论证书过期日期如何；诸如 SAN 之类的额外属性将基于现有的文件/证书，无需重新提供它们。
默认情况下，更新尝试使用 kubeadm 管理的本地 PKI 中的证书颁发机构；作为替代方案，可以使用 K8s 证书 API 进行证书更新，或者作为最后一个选项，生成 CSR 请求。
更新后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新后的证书（如果该文件在其他地方使用）。
kubeadm certs renew apiserver-kubelet-client [flags]
选项
| --cert-dir string 默认值: "/etc/kubernetes/pki" | |
保存证书的路径 | |
| --config string | |
kubeadm 配置文件的路径。 | |
| -h, --help | |
apiserver-kubelet-client 的帮助信息 | |
| --kubeconfig string 默认值: "/etc/kubernetes/admin.conf" | |
与集群通信时要使用的 kubeconfig 文件。如果未设置该标志，则可以搜索一组标准位置以查找现有的 kubeconfig 文件。 | |
从父命令继承的选项
| --rootfs string | |
“真实”主机根文件系统的路径。这将导致 kubeadm chroot 进入提供的路径。 | |
更新用于服务 Kubernetes API 的证书
概要
更新用于服务 Kubernetes API 的证书。
更新无条件运行，无论证书过期日期如何；诸如 SAN 之类的额外属性将基于现有的文件/证书，无需重新提供它们。
默认情况下，更新尝试使用 kubeadm 管理的本地 PKI 中的证书颁发机构；作为替代方案，可以使用 K8s 证书 API 进行证书更新，或者作为最后一个选项，生成 CSR 请求。
更新后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新后的证书（如果该文件在其他地方使用）。
kubeadm certs renew apiserver [flags]
选项
| --cert-dir string 默认值: "/etc/kubernetes/pki" | |
保存证书的路径 | |
| --config string | |
kubeadm 配置文件的路径。 | |
| -h, --help | |
apiserver 的帮助信息 | |
| --kubeconfig string 默认值: "/etc/kubernetes/admin.conf" | |
与集群通信时要使用的 kubeconfig 文件。如果未设置该标志，则可以搜索一组标准位置以查找现有的 kubeconfig 文件。 | |
从父命令继承的选项
| --rootfs string | |
“真实”主机根文件系统的路径。这将导致 kubeadm chroot 进入提供的路径。 | |
更新嵌入在 kubeconfig 文件中的证书，供控制器管理器使用
概要
更新嵌入在 kubeconfig 文件中的证书，供控制器管理器使用。
更新无条件运行，无论证书过期日期如何；诸如 SAN 之类的额外属性将基于现有的文件/证书，无需重新提供它们。
默认情况下，更新尝试使用 kubeadm 管理的本地 PKI 中的证书颁发机构；作为替代方案，可以使用 K8s 证书 API 进行证书更新，或者作为最后一个选项，生成 CSR 请求。
更新后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新后的证书（如果该文件在其他地方使用）。
kubeadm certs renew controller-manager.conf [flags]
选项
| --cert-dir string 默认值: "/etc/kubernetes/pki" | |
保存证书的路径 | |
| --config string | |
kubeadm 配置文件的路径。 | |
| -h, --help | |
controller-manager.conf 的帮助信息 | |
| --kubeconfig string 默认值: "/etc/kubernetes/admin.conf" | |
与集群通信时要使用的 kubeconfig 文件。如果未设置该标志，则可以搜索一组标准位置以查找现有的 kubeconfig 文件。 | |
从父命令继承的选项
| --rootfs string | |
“真实”主机根文件系统的路径。这将导致 kubeadm chroot 进入提供的路径。 | |
更新用于活性探测以健康检查 etcd 的证书
概要
更新用于活性探测以健康检查 etcd 的证书。
更新无条件运行，无论证书过期日期如何；诸如 SAN 之类的额外属性将基于现有的文件/证书，无需重新提供它们。
默认情况下，更新尝试使用 kubeadm 管理的本地 PKI 中的证书颁发机构；作为替代方案，可以使用 K8s 证书 API 进行证书更新，或者作为最后一个选项，生成 CSR 请求。
更新后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新后的证书（如果该文件在其他地方使用）。
kubeadm certs renew etcd-healthcheck-client [flags]
选项
| --cert-dir string 默认值: "/etc/kubernetes/pki" | |
保存证书的路径 | |
| --config string | |
kubeadm 配置文件的路径。 | |
| -h, --help | |
etcd-healthcheck-client 的帮助信息 | |
| --kubeconfig string 默认值: "/etc/kubernetes/admin.conf" | |
与集群通信时要使用的 kubeconfig 文件。如果未设置该标志，则可以搜索一组标准位置以查找现有的 kubeconfig 文件。 | |
从父命令继承的选项
| --rootfs string | |
“真实”主机根文件系统的路径。这将导致 kubeadm chroot 进入提供的路径。 | |
更新 etcd 节点相互通信的证书
概要
更新 etcd 节点相互通信的证书。
更新无条件运行，无论证书过期日期如何；诸如 SAN 之类的额外属性将基于现有的文件/证书，无需重新提供它们。
默认情况下，更新尝试使用 kubeadm 管理的本地 PKI 中的证书颁发机构；作为替代方案，可以使用 K8s 证书 API 进行证书更新，或者作为最后一个选项，生成 CSR 请求。
更新后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新后的证书（如果该文件在其他地方使用）。
kubeadm certs renew etcd-peer [flags]
选项
| --cert-dir string 默认值: "/etc/kubernetes/pki" | |
保存证书的路径 | |
| --config string | |
kubeadm 配置文件的路径。 | |
| -h, --help | |
etcd-peer 的帮助信息 | |
| --kubeconfig string 默认值: "/etc/kubernetes/admin.conf" | |
与集群通信时要使用的 kubeconfig 文件。如果未设置该标志，则可以搜索一组标准位置以查找现有的 kubeconfig 文件。 | |
从父命令继承的选项
| --rootfs string | |
“真实”主机根文件系统的路径。这将导致 kubeadm chroot 进入提供的路径。 | |
更新用于服务 etcd 的证书
概要
更新用于服务 etcd 的证书。
更新无条件运行，无论证书过期日期如何；诸如 SAN 之类的额外属性将基于现有的文件/证书，无需重新提供它们。
默认情况下，更新尝试使用 kubeadm 管理的本地 PKI 中的证书颁发机构；作为替代方案，可以使用 K8s 证书 API 进行证书更新，或者作为最后一个选项，生成 CSR 请求。
更新后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新后的证书（如果该文件在其他地方使用）。
kubeadm certs renew etcd-server [flags]
选项
| --cert-dir string 默认值: "/etc/kubernetes/pki" | |
保存证书的路径 | |
| --config string | |
kubeadm 配置文件的路径。 | |
| -h, --help | |
etcd-server 的帮助信息 | |
| --kubeconfig string 默认值: "/etc/kubernetes/admin.conf" | |
与集群通信时要使用的 kubeconfig 文件。如果未设置该标志，则可以搜索一组标准位置以查找现有的 kubeconfig 文件。 | |
从父命令继承的选项
| --rootfs string | |
“真实”主机根文件系统的路径。这将导致 kubeadm chroot 进入提供的路径。 | |
更新前端代理客户端的证书
概要
更新前端代理客户端的证书。
更新无条件运行，无论证书过期日期如何；诸如 SAN 之类的额外属性将基于现有的文件/证书，无需重新提供它们。
默认情况下，更新尝试使用 kubeadm 管理的本地 PKI 中的证书颁发机构；作为替代方案，可以使用 K8s 证书 API 进行证书更新，或者作为最后一个选项，生成 CSR 请求。
更新后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新后的证书（如果该文件在其他地方使用）。
kubeadm certs renew front-proxy-client [flags]
选项
| --cert-dir string 默认值: "/etc/kubernetes/pki" | |
保存证书的路径 | |
| --config string | |
kubeadm 配置文件的路径。 | |
| -h, --help | |
front-proxy-client 的帮助信息 | |
| --kubeconfig string 默认值: "/etc/kubernetes/admin.conf" | |
与集群通信时要使用的 kubeconfig 文件。如果未设置该标志，则可以搜索一组标准位置以查找现有的 kubeconfig 文件。 | |
从父命令继承的选项
| --rootfs string | |
“真实”主机根文件系统的路径。这将导致 kubeadm chroot 进入提供的路径。 | |
更新嵌入在 kubeconfig 文件中的证书，供调度器管理器使用
概要
更新嵌入在 kubeconfig 文件中的证书，供调度器管理器使用。
更新无条件运行，无论证书过期日期如何；诸如 SAN 之类的额外属性将基于现有的文件/证书，无需重新提供它们。
默认情况下，更新尝试使用 kubeadm 管理的本地 PKI 中的证书颁发机构；作为替代方案，可以使用 K8s 证书 API 进行证书更新，或者作为最后一个选项，生成 CSR 请求。
更新后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新后的证书（如果该文件在其他地方使用）。
kubeadm certs renew scheduler.conf [flags]
选项
| --cert-dir string 默认值: "/etc/kubernetes/pki" | |
保存证书的路径 | |
| --config string | |
kubeadm 配置文件的路径。 | |
| -h, --help | |
scheduler.conf 的帮助信息 | |
| --kubeconfig string 默认值: "/etc/kubernetes/admin.conf" | |
与集群通信时要使用的 kubeconfig 文件。如果未设置该标志，则可以搜索一组标准位置以查找现有的 kubeconfig 文件。 | |
从父命令继承的选项
| --rootfs string | |
“真实”主机根文件系统的路径。这将导致 kubeadm chroot 进入提供的路径。 | |
更新嵌入在 kubeconfig 文件中的证书，供超级管理员使用
概要
更新嵌入在 kubeconfig 文件中的证书，供超级管理员使用。
更新无条件运行，无论证书过期日期如何；诸如 SAN 之类的额外属性将基于现有的文件/证书，无需重新提供它们。
默认情况下，更新尝试使用 kubeadm 管理的本地 PKI 中的证书颁发机构；作为替代方案，可以使用 K8s 证书 API 进行证书更新，或者作为最后一个选项，生成 CSR 请求。
更新后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新后的证书（如果该文件在其他地方使用）。
kubeadm certs renew super-admin.conf [flags]
选项
| --cert-dir string 默认值: "/etc/kubernetes/pki" | |
保存证书的路径 | |
| --config string | |
kubeadm 配置文件的路径。 | |
| -h, --help | |
super-admin.conf 的帮助信息 | |
| --kubeconfig string 默认值: "/etc/kubernetes/admin.conf" | |
与集群通信时要使用的 kubeconfig 文件。如果未设置该标志，则可以搜索一组标准位置以查找现有的 kubeconfig 文件。 | |
从父命令继承的选项
| --rootfs string | |
“真实”主机根文件系统的路径。这将导致 kubeadm chroot 进入提供的路径。 | |
kubeadm certs certificate-key
此命令可用于生成新的控制平面证书密钥。该密钥可以作为 --certificate-key 传递给kubeadm init 和kubeadm join，以便在加入其他控制平面节点时自动复制证书。
生成证书密钥
概要
此命令将打印出一个安全的随机生成的证书密钥，该密钥可与 "init" 命令一起使用。
您也可以在不指定证书密钥的情况下使用 "kubeadm init --upload-certs"，它将为您生成并打印一个密钥。
kubeadm certs certificate-key [flags]
选项
| -h, --help | |
certificate-key 的帮助信息 | |
从父命令继承的选项
| --rootfs string | |
“真实”主机根文件系统的路径。这将导致 kubeadm chroot 进入提供的路径。 | |
kubeadm certs check-expiration
此命令检查 kubeadm 管理的本地 PKI 中证书的过期时间。有关更多详细信息，请参阅检查证书过期时间。
检查 Kubernetes 集群的证书过期时间
概要
检查 kubeadm 管理的本地 PKI 中证书的过期时间。
kubeadm certs check-expiration [flags]
选项
| --allow-missing-template-keys 默认值: true | |
如果为 true，则在模板中缺少字段或映射键时，忽略模板中的任何错误。仅适用于 golang 和 jsonpath 输出格式。 | |
| --cert-dir string 默认值: "/etc/kubernetes/pki" | |
保存证书的路径 | |
| --config string | |
kubeadm 配置文件的路径。 | |
| -h, --help | |
check-expiration 的帮助信息 | |
| --kubeconfig string 默认值: "/etc/kubernetes/admin.conf" | |
与集群通信时要使用的 kubeconfig 文件。如果未设置该标志，则可以搜索一组标准位置以查找现有的 kubeconfig 文件。 | |
| -o, --output string 默认值: "text" | |
输出格式。以下之一: text|json|yaml|go-template|go-template-file|template|templatefile|jsonpath|jsonpath-as-json|jsonpath-file。 | |
| --show-managed-fields | |
如果为 true，则在 JSON 或 YAML 格式中打印对象时保留 managedFields。 | |
从父命令继承的选项
| --rootfs string | |
“真实”主机根文件系统的路径。这将导致 kubeadm chroot 进入提供的路径。 | |
kubeadm certs generate-csr
此命令可用于为所有控制平面证书和 kubeconfig 文件生成密钥和 CSR。然后，用户可以使用他们选择的 CA 对 CSR 进行签名。要了解有关如何使用此命令的更多信息，请参阅对 kubeadm 生成的证书签名请求 (CSR) 进行签名。
生成密钥和证书签名请求
概要
为运行控制平面所需的所有证书生成密钥和证书签名请求 (CSR)。此命令还会生成部分 kubeconfig 文件，其中私钥数据位于“users > user > client-key-data”字段中，并且为每个 kubeconfig 文件创建一个相应的“.csr”文件。
此命令设计用于 Kubeadm 外部 CA 模式。它会生成 CSR，然后您可以将其提交到外部证书颁发机构进行签名。
然后，应将 PEM 编码的签名证书与密钥文件一起保存，使用“.crt”作为文件扩展名，或者对于 kubeconfig 文件，应将 PEM 编码的签名证书进行 base64 编码，并添加到 kubeconfig 文件中的“users > user > client-certificate-data”字段中。
kubeadm certs generate-csr [flags]
示例
# The following command will generate keys and CSRs for all control-plane certificates and kubeconfig files:
kubeadm certs generate-csr --kubeconfig-dir /tmp/etc-k8s --cert-dir /tmp/etc-k8s/pki
选项
| --cert-dir string | |
保存证书的路径 | |
| --config string | |
kubeadm 配置文件的路径。 | |
| -h, --help | |
generate-csr 的帮助信息 | |
| --kubeconfig-dir string 默认值："/etc/kubernetes" | |
保存 kubeconfig 文件的路径。 | |
从父命令继承的选项
| --rootfs string | |
“真实”主机根文件系统的路径。这将导致 kubeadm chroot 进入提供的路径。 | |
下一步
- kubeadm init 用于引导 Kubernetes 控制平面节点
- kubeadm join 用于将节点连接到集群
- kubeadm reset 用于还原
kubeadm init或kubeadm join对此主机所做的任何更改