kubernetes - Kubelet - x509 : certificate is valid for 10. 233.0.1 不适用于 <IP>

Question

我已经使用 kubespray 安装了我的 kubernetes 集群(两个节点) 。现在我添加了第三个节点。我从新节点上的 kubelet 服务器收到错误:

Failed to list *v1.Service: Get https://94.130.25.248:6443/api/v1/services?limit=500&resourceVersion=0: x509: certificate is valid for 10.233.0.1, 94.130.25.247, 94.130.25.247, 10.233.0.1, 127.0.0.1, 94.130.25.247, 144.76.14.131, not 94.130.25.248

IP 94.130.25.248是新节点的IP。

我找到了this post ，其中写了有关重新创建 apicert 的内容。但新版本的kubeadm(v1.13.1)没有这个选项。

我还尝试使用命令更新证书:

kubeadm alpha certs renew all --config /etc/kubernetes/kubeadm-config.yaml

此命令重新生成证书，但具有相同的 ip 和 dns。

我的 kubeadmin-config.yml (certSAN):

  certSANs:
  - kubernetes
  - kubernetes.default
  - kubernetes.default.svc
  - kubernetes.default.svc.cluster.local
  - 10.233.0.1
  - localhost
  - 127.0.0.1
  - heku1
  - heku4
  - heku2
  - 94.130.24.247
  - 144.76.14.131
  - 94.130.24.248

有人可以告诉我如何将 IP 添加到 apicert 吗？

Answer 1

嗯... 我删除了 apiserver.* 和 apiserver-kubelet-client.* 并使用命令重新创建了它:

kubeadm init phase certs apiserver --config=/etc/kubernetes/kubeadm-config.yaml
kubeadm init phase certs apiserver-kubelet-client --config=/etc/kubernetes/kubeadm-config.yaml
systemctl stop kubelet
delete the docker container with kubelet
systemctl restart kubelet