Ansichten:
Profilanwendbarkeit: Stufe 1 - Masterknoten
Aktivieren Sie die Rotation des kubelet-Serverzertifikats im Controller-Manager.
RotateKubeletServerCertificate veranlasst den Kubelet, sowohl ein Dienstzertifikat nach dem Bootstrapping seiner Client-Anmeldeinformationen anzufordern als auch das Zertifikat zu rotieren, wenn seine bestehenden Anmeldeinformationen ablaufen. Diese automatisierte periodische Rotation stellt sicher, dass es keine Ausfallzeiten aufgrund abgelaufener Zertifikate gibt und somit die Verfügbarkeit im CIA-Sicherheitsdreieck gewährleistet wird.
Hinweis
Hinweis
Diese Empfehlung gilt nur, wenn Sie kubelets ihre Zertifikate vom API-Server beziehen lassen. Falls Ihre kubelet-Zertifikate von einer externen Autorität/Tool (z.B. Vault) stammen, müssen Sie sich selbst um die Rotation kümmern.
Hinweis
Hinweis
Standardmäßig ist RotateKubeletServerCertificate auf True eingestellt; diese Empfehlung überprüft, dass es nicht deaktiviert wurde.

Prüfung

Führen Sie den folgenden Befehl auf dem Steuerungsebenenknoten aus:
ps -ef | grep kube-controller-manager
Überprüfen Sie, ob das Argument RotateKubeletServerCertificate existiert und auf true gesetzt ist.

Wiederherstellung

Bearbeiten Sie die Controller-Manager-Pod-Spezifikationsdatei /etc/kubernetes/manifests/kube-controller-manager.yaml auf dem Steuerungsebenenknoten und setzen Sie den Parameter --feature-gates, um RotateKubeletServerCertificate=true einzuschließen.
--feature-gates=RotateKubeletServerCertificate=true