为什么 kubeadm 证书有效期只有 1 年？

[zhoudaiyu]

如果想改长有效期的话，需要改 kubeadm 代码并重新编译，很麻烦。为啥不像 openshift 或者其他国内一些部署工具一样，把证书有效期设置长一些，或者暴露出参数可以修改呢？是有安全方面的考虑还是为什么？

[hutoer]

貌似是鼓励经常升级

[Judoon]

因为版本的维护和升级一年一次是必须的

[yaoyao1128]

2020 年 9 月 1 日起，ssl/tls 证书标准不超过 397 天
https://chromium.googlesource.com/chromium/src/+/ae4d6809912f8171b23f6aa43c6a4e8e627de784
https://blog.mozilla.org/security/2020/07/09/reducing-tls-certificate-lifespans-to-398-days/
https://support.apple.com/en-us/HT211025

[zhoudaiyu]

@hutoer 跑在生产的东西，这也不是谁敢随便动的呀
@Judoon

@yaoyao1128 这就是个自签证书，无所谓吧

[eason1874]

有提供 renew 命令

不过我建议你们直接不验证证书，忽略警告就完事，长达一年不维护的系统能有多重要呢，系统安全都得不到管理，网络传输安全那更不用管了

[sologgfun]

这个真的坑 业务正常在跑 没事谁更新底层 k8s

[idblife]

@sologgfun
我每年升级两次，哈哈

[ch2]

这是什么大坑，快告诉我一劳永逸的办法

[leeg810312]

现在大公司的安全策略也不是铁板一块，不是以前那种可以用就永不升级，我在好几个世界 500 强的项目中就收到每月运维邮件，通知停机升级或打补丁，哪些系统哪个时段停服务，一年升级 1-2 次也没什么大不了