檢視次數:
設定檔適用性：等級 1 - 主節點
在控制器管理器上啟用 kubelet 伺服器憑證輪換。
RotateKubeletServerCertificate 使 kubelet 在引導其客戶端憑證後請求服務憑證，並在現有憑證過期時輪換憑證。這種自動定期輪換確保不會因憑證過期而導致停機，從而解決 CIA 安全三元組中的可用性問題。
注意
注意
此建議僅適用於您讓 kubelet 從 API 伺服器獲取其憑證的情況。如果您的 kubelet 憑證來自外部授權機構/工具（例如密碼保險箱），那麼您需要自行處理憑證的輪換。
注意
注意
預設情況下，RotateKubeletServerCertificate 設定為 True；此建議會確認其未被停用。

稽核

在控制平面節點上執行以下命令：
ps -ef | grep kube-controller-manager
驗證RotateKubeletServerCertificate參數是否存在並設定為true。

補救

在控制平面節點上編輯控制器管理器 Pod 規範檔案 /etc/kubernetes/manifests/kube-controller-manager.yaml，並將 --feature-gates 參數設置為包含 RotateKubeletServerCertificate=true。
--feature-gates=RotateKubeletServerCertificate=true