4.4. ノード証明書
4.4.1. 目的
ノード証明書はクラスターによって署名され、kubelet が Kubernetes API サーバーと通信できるようにします。これらは、ブートストラッププロセスで生成される kubelet CA 証明書から取得されます。
4.4.2. 場所
kubelet CA 証明書は、openshift-kube-apiserver-operator namespace の kube-apiserver-to-kubelet-signer シークレットにあります。
4.4.3. 管理
これらの証明書は、ユーザーではなく、システムによって管理されます。
4.4.4. 有効期限
ノード証明書は 292 日後に自動的にローテーションされ、365 日後に期限切れになります。
4.4.5. 更新
Kubernetes API Server Operator は、292 日後に新規の kube-apiserver-to-kubelet-signer CA 証明書を自動的に生成します。古い CA 証明書は 365 日後に削除されます。kubelet CA 証明書を更新または削除しても、ノードは再起動されません。
クラスター管理者は、次のコマンドを実行して kubelet CA 証明書を手動で更新できます。
$ oc annotate -n openshift-kube-apiserver-operator secret kube-apiserver-to-kubelet-signer auth.openshift.io/certificate-not-after-
