檢視次數:
設定檔適用性：等級 1 - 主節點
在控制器管理器上啟用 kubelet 伺服器憑證輪換。
RotateKubeletServerCertificate 會使 kubelet 在引導其客戶端憑證後請求服務憑證，並在現有憑證過期時旋轉憑證。這種自動定期旋轉確保不會因憑證過期而導致停機，從而解決 CIA 安全三元組中的可用性問題。
注意
注意
此建議僅適用於您讓 kubelet 從 API 伺服器獲取證書的情況。如果您的 kubelet 證書來自外部授權機構/工具（例如密碼保險箱），則您需要自行處理輪換。
注意
注意
預設情況下，RotateKubeletServerCertificate 設定為 True；此建議會驗證它是否未被禁用。

稽核

在控制平面節點上執行以下命令：
ps -ef | grep kube-controller-manager
驗證 RotateKubeletServerCertificate 參數是否存在並設置為 true。

補救措施

編輯控制平面節點上的 Controller Manager pod 規範檔案 /etc/kubernetes/manifests/kube-controller-manager.yaml，並將 --feature-gates 參數設置為包含 RotateKubeletServerCertificate=true。
--feature-gates=RotateKubeletServerCertificate=true