cloudos5.0证书告警问题

参考技术公告

针对 CloudOS 5.0 E5132P02 版本的 kubelet-server-current.pem 证书告警，结论是：该证书会自动续期，你不需要升级版本。

✅ 自动续期是正常的，告警可忽略

你的 CloudOS 5.0 版本是 E5132P02，这属于 E5131 及之后的版本。根据 H3C 官方信息，从 E5131 版本开始，环境中所有证书均支持自动续期。

这个告警是系统在证书到期前发出的预警，属于正常提示。证书会在过期前一个月左右自动完成续期。因此，你不需要进行任何手动操作，也不需要升级版本。

请注意：Kubernetes 的 kubelet 组件默认就支持证书自动轮转（Certificate Rotation），CloudOS 在此基础上做了进一步的适配和保障。

🔧 如何验证自动续期功能正常（可选）

如果你仍想确认，可以登录 CloudOS 管理节点，通过以下命令检查自动续期服务是否正常运行：

如果上述服务状态均为 active 且能看到定时任务，则说明自动续期机制正常工作，证书会在到期前自动续期。

📝 手动续期（仅当自动续期失败时）

手动续期是作为自动续期失败时的备用方案，通常不需要执行。如果服务异常，可参考以下步骤：

1. 备份当前证书（安全起见）：

   bash

   cp -r /etc/origin/master/ /etc/origin/master_backup_$(date +%Y%m%d)

2. 执行手动续期命令：

   bash

   /usr/local/bin/cert-renewal

3. 重启相关服务，使新证书生效：

   bash

   systemctl restart atomic-openshift-master-api systemctl restart atomic-openshift-master-controllers

# CloudOS5.0（E5132P02）kubelet‑server‑current.pem 证书告警 cert_expire

>
> 告警原文：`/etc/origin/node/certificates/kubelet‑server‑current.pem 将会在44天后过期。(过期时间： Oct 6 16:46:00 2026 GMT )`

## 核心结论

1. **E5132P02 版本，`kubelet‑server‑current.pem（kubelet服务端证书）不会自动续期`；只有 kubelet‑client 客户端证书支持自动轮换，server 服务端证书不支持自动续期。**
2. **单纯升级版本不能直接解决已经生成的即将过期证书**；升级固件不会自动替换节点上已经存在的旧 kubelet‑server 证书。
3. 如果证书彻底过期：该节点 kubelet 无法对外提供 TLS 服务；**节点会变为 NotReady 状态，平台业务异常**，需要在过期之前手工处理。

>
> 区分两个证书，不要搞混：
> | 证书文件 | 是否自动续期（E5132P02）| 作用 |
> |---|---|---|
> |kubelet‑client‑current.pem|✅支持自动轮换 | kubelet 向 apiserver 做客户端认证 |
> |kubelet‑server‑current.pem|❌**不会自动续期**|kubelet 对外 HTTPS 服务（metrics/healthz 等），就是当前告警的证书 |

## 处理方案（两种可选，推荐方案一）

### 方案一：CloudOS 平台内置工具手工刷新证书（官方推荐，不升级版本）

>
> 集群**所有节点**都需要操作，告警出现在 ggfw‑cloudos03，其他节点也要检查证书有效期，避免别的节点后续陆续告警。

1. 登录告警节点（ggfw‑cloudos03）操作系统 root。
2. **备份原有证书**

```
cp -r /etc/origin/node/certificates /tmp/certificates_bak_$(date +%Y%m%d)
```

3. 删除旧的 server 证书，重启 node 服务，系统会重新生成新有效期 kubelet‑server 证书。

```
rm -f /etc/origin/node/certificates/kubelet‑server‑current.pem
rm -f /etc/origin/node/certificates/kubelet‑server‑*.crt
systemctl restart origin‑node
```

4. 验证新证书过期时间

```
openssl x509 -in /etc/origin/node/certificates/kubelet‑server‑current.pem -noout -dates
```

>
> 确认 expire 到期时间已经往后延长。

5. 对集群**其余全部节点重复执行备份‑删除‑重启‑校验步骤**。
6. 清除平台上的历史 cert_expire 告警。

>
> ⚠️注意：重启 origin‑node 会短暂影响该节点上 Pod，业务会发生短暂驱逐，**尽量业务低峰窗口执行**。

### 方案二：升级 CloudOS 版本（适合计划版本迭代场景，不能单独修复现有证书）

1. E5132 后续补丁版本优化了 kubelet server 证书管理逻辑，但**升级操作不会自动刷新已经存在的旧证书**。
2. 就算升级新版本，升级完成之后，**依旧需要执行方案一手工删除旧证书，触发重新生成**；升级不能替代证书刷新操作。

## 检查全集群所有节点证书批量命令

>
> 登录任意 master 节点，循环检查全部 node 节点 kubelet‑server 证书到期时间，防止其他节点漏处理

```
for node in $(kubectl get nodes -o name | sed 's/node\///'); do
echo "===== Node: $node ====="
ssh $node "openssl x509 -in /etc/origin/node/certificates/kubelet‑server‑current.pem -noout -dates"
done
```

## 风险提示

1. 不要等到证书过期再处理，过期后节点 NotReady，业务受影响；当前还有 44 天，尽快低峰期操作。
2. 操作前务必备份证书目录`/etc/origin/node/certificates`。
3. 只删除`kubelet‑server‑*`，**不要删除 kubelet‑client 系列证书，client 是自动轮换，删除会引发节点异常**。

## 后续预防建议

后续定期巡检`cert_expire`类证书告警；E5132P02 版本 kubelet‑server 证书无自动续期，需要人工巡检刷新。

技术公告有，算是误告警