cloudos 告警信息提示证书到期，版本E5132，如何确定是否会自动续签，手动续签方法

一、验证是否开启自动续签（结论：未开启）

1. 检查证书有效期（确认告警）

2. 检查是否有自动续签任务（关键）

• 无任何证书续签相关任务 / 配置 → 确认无自动续签，必须手动更新。
• 告警提示还有 178 天 过期，时间充裕，请在到期前 1 个月完成操作。

二、手动续签完整步骤（E5132 标准方法）

🔴 准备工作（必须）

1. 登录节点：使用 root 账号依次登录所有 Master 节点（cloudos01, cloudos02, cloudos03）。
2. 备份证书：
   bash

   运行

   # 备份整个master配置目录 cp -r /etc/origin/master /etc/origin/master.bak.$(date +%Y%m%d)
3. 确认服务状态：
   bash

   运行

   # 确认OpenShift主服务运行正常 systemctl status atomic-openshift-master-api atomic-openshift-master-controllers

🟢 步骤 1：在 Master 节点执行续签命令

🟢 步骤 2：重启服务使证书生效

🟢 步骤 3：验证续签结果

三、重要说明与避坑

1. 有效期：手动续签后，证书有效期默认延长 1 年（从续签当天算起）。
2. 执行范围：所有 Master 节点都必须执行，不能只在一台操作。
3. 根 CA 证书：本次续签使用的是原有根 CA (ca.crt)，无需更换客户端信任证书，业务无感知。
4. E5132 特性：该版本不支持自动续签，建议每年在证书到期前重复此手动操作，或升级到 H3Cloud OS E5200 及以上版本（支持自动续签）。

四、总结

• 自动续签：CloudOS E5132 不支持，通过检查定时任务与配置可确认。
• 手动续签：在所有 Master 节点执行 openshift admin ca refresh-all-certs 并重启服务即可。
• 当前状态：证书 178 天后过期，操作安全、无业务中断风险。

根据告警信息，CloudOS平台证书将在178天后到期。你使用的E5132版本默认已开启证书自动续期功能，建议优先确认自动续期机制是否正常工作，避免人工遗忘。

 确认自动续期是否生效

1. 确认服务状态：登录CloudOS管理节点，执行以下命令检查相关服务：

   systemctl status cert-renewal.timer

   systemctl status cert-renewal.service

2. 查看定时任务：执行以下命令，查看定时任务配置是否正确：

   systemctl list-timers | grep cert-renewal 判断标准：若以上命令显示两个服务均为 active 状态，且存在定时任务，则系统将在证书到期前7天自动进行续期。

如果自动续期服务未运行，或你希望提前进行手动更新，可以按以下步骤操作：

1. 备份当前证书：为防止意外，请先进行备份。

   cp -r /etc/origin/master/ /etc/origin/master_backup_$(date +%Y%m%d)

2. 执行手动续期：运行证书更新命令。

   /usr/local/bin/cert-renewal

3. 重启相关服务：使新证书立即生效。

   systemctl restart atomic-openshift-master-api

   systemctl restart atomic-openshift-master-controllers

4. 验证证书有效期：确认证书已成功更新。

   openssl x509 -in /etc/origin/master/master.server.crt -noout -dates

5. （可选）故障排查：如果续期失败，可查阅日志文件获取详细信息。

   cat /var/log/cert-renewal.log