Kubernetes API Server 证书过期会导致控制平面瘫痪，需手动更新证书链；优先用 kubeadm certs renew all 续签并重启 kubelet，若 CA 失效则需重建 CA 并重签所有证书。
当 Kubernetes 集群的 API Server 证书过期，会导致 kube-apiserver 启动失败、kubectl 无法连接、控制平面瘫痪。这不是简单重启能解决的问题，需手动更新证书并重启组件。核心思路是：重签或续签 apiserver 及相关 TLS 证书（含 CA、apiserver、front-proxy、etcd 客户端等），确保所有组件使用一致且有效的新证书链。
确认证书是否真的过期
别急着重签，先验证问题根源：
- 查看 kube-apiserver 日志：
kubectl logs -n kube-system <apiserver-pod-name>或直接查宿主机日志（如/var/log/pods/.../kube-apiserver/0.log），搜索x509: certificate has expired或invalid certificate - 检查 apiserver 的证书有效期：
openssl x509 -in /etc/kubernetes/pki/apiserver.crt -noout -dates（路径以你实际部署为准） - 同步检查关联证书：
apiserver-kubelet-client.crt、front-proxy-client.crt、etcd/server.crt（若 etcd TLS 启用）、ca.crt（CA 自身不过期，但若用的是自签名短效 CA，也可能到期）
使用 kubeadm 自动续签（推荐，适用于 kubeadm 部署集群）
如果你的集群是用 kubeadm 初始化的（绝大多数标准部署），优先走官方支持的续签流程：
- 备份当前证书目录：
cp -r /etc/kubernetes/pki /etc/kubernetes/pki.backup-$(date +%Y%m%d) - 执行续签命令：
kubeadm certs renew all（会更新所有内置证书） - 重启控制平面组件：
sudo systemctl restart kubelet（kubelet 会自动拉起新的 static pod） - 验证：等待几分钟后，
kubectl get nodes应恢复正常；检查各证书时间：kubeadm certs check-expiration
注意：该命令仅更新证书文件，不修改 kubeconfig 中的 client-certificate-data。若使用 kubeadm kubeconfig user 生成的 admin.conf 过期，需重新生成：kubeadm init phase kubeconfig admin --cert-dir /etc/kubernetes/pki，再替换 ~/.kube/config。
手动重签证书（适用于非 kubeadm 集群或 kubeadm 续签失败）
当 kubeadm 不可用、证书结构被自定义修改，或 CA 已失效时，需手动操作：
- 确认 CA 是否仍有效。若
ca.crt过期，必须先重建 CA（风险高，需同步更新所有依赖它的证书）；若 CA 有效，只需重签 leaf 证书 - 用原有 CA 签发新 apiserver 证书：准备 CSR（含 SAN 列表：localhost、节点 IP、VIP、域名等），用
openssl x509 -req -in apiserver.csr -CA /etc/kubernetes/pki/ca.crt -CAkey /etc/kubernetes/pki/ca.key -CAcreateserial -out apiserver.crt -days 3650 - 同步更新
apiserver-kubelet-client.crt、front-proxy-client.crt、etcd/server.crt（如使用独立 etcd TLS） - 替换所有证书文件后，重启 kubelet：
sudo systemctl restart kubelet；若为容器化 etcd，也需重启 etcd 容器
预防下次再发生
证书过期不是偶发故障，而是可预见的风险：
- 将
kubeadm certs check-expiration加入定期巡检脚本（例如每月 cron） - 在证书到期前 30–45 天自动触发
kubeadm certs renew all+ 通知 - 对生产集群，考虑使用 cert-manager + 自定义 Issuer 管理 K8s 组件证书（需额外集成，适合高级场景）
- 记录所有证书路径、有效期和签发方式，纳入集群文档
