永久替换 API 服务器证书答案

【问题标题】：Permanently replacing API server certificates永久替换 API 服务器证书
【发布时间】：2020-04-01 08:07:12
【问题描述】：

我有 microK8S 集群，并在我的域中公开 API 服务器。 /var/snap/microk8s/1079/certs 中的 server.crt 和 server.key 需要替换为包含我的域的那些。否则，正如预期的那样，我得到错误：

Unable to connect to the server: x509: certificate is valid for kubernetes, kubernetes.default, kubernetes.default.svc, kubernetes.default.svc.cluster, kubernetes.default.svc.cluster.local, not mydonaim.com

在 cert-manager 的帮助下，我制作了证书并替换了它们，我的系统运行良好。

问题：每次重启服务器，server.crt和server.key都会在 /var/snap/microk8s/1079/certs。我的自定义证书被删除，导致 API 服务器无法远程访问。我怎样才能阻止系统一直这样做？

解决方法？ 我是否应该将我的证书放在其他地方并使用这些证书的路径编辑配置文件，如/var/snap/microk8s/1079/args/kube-controller-manager？这些配置文件是否也会自动替换？

集群信息：

Kubernetes 版本：1.16.3
正在使用的云：裸机、单节点
集群安装方式：Ubuntu Server with Snaps
主机操作系统：Ubuntu 18.04.3 LTS

【问题讨论】：

标签： ssl kubernetes kubernetes-apiserver microk8s

【解决方案1】：

似乎有 an existing issue 描述了复制和修改 /var/snap/microk8s/current/certs/csr.conf.template 以包含生成证书的任何额外 IP 或 DNS 条目

【讨论】：

是的，开发人员热情地回答了我的问题。我应该更新这个问题

【解决方案2】：

请注意https://discuss.kubernetes.io/t/services-and-ports/11263/6 中的建议更新。在我的环境中运行需要以下命令：

sudo microk8s refresh-certs

【讨论】：