proto.lib

Xoay vòng chứng chỉ TLS trong control plane Kubernetes

Control plane Kubernetes là một PKI nhỏ (CA, API server, kubelet client/serving, etcd peer) với hạn dùng cụ thể; khi chứng chỉ hết hạn, các thành phần đơn giản là ngừng xác thực được nhau — kubelet chuyển NotReady dù Pod vẫn chạy bình thường, và rotate CA là ca khó nhất vì phải tin cả CA cũ lẫn mới trong lúc chuyển tiếp.

Data CenterNâng cao2026-08-21
Xoay vòng chứng chỉ TLS trong control plane Kubernetes

Tags

#tls#certificate-rotation#pki#kubelet#csr#ca-rotation#control-plane

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

Data CenterTrung bình

Nâng cấp phiên bản cluster Kubernetes (đúng thứ tự)

Nâng cấp một cluster đang chạy phải theo đúng trình tự: kiểm tra API deprecated rồi sửa workload trước, nâng control plane từng API server một sau LB, rồi mới tới node — luôn tuân thủ chính sách version-skew (kubelet không được vượt phiên bản API server) và chỉ nhảy đúng một minor version mỗi lần.

#kubernetes#upgrade#control-plane#version-skew
Data CenterNâng cao

Swap có kiểm soát trên Node Kubernetes

Bật swap có giới hạn cho các Pod Burstable để kernel page-out vùng anonymous memory lạnh ra đĩa thay vì kubelet phải evict Pod ngay khi vượt memory request, đổi lấy độ trễ khó đoán khi trang bị swap-in trở lại; Pod Guaranteed/nhạy độ trễ được loại trừ khỏi swap để tránh rủi ro này.

#kubernetes#swap#kubelet#memory-management
Data CenterTrung bình

In-Place Pod Resize: đổi CPU/Memory không cần tạo lại Pod

Kubernetes cho phép cập nhật requests/limits của một container đang chạy mà không cần xoá và tạo lại Pod; kubelet nhận resize qua PATCH subresource, áp trực tiếp vào cgroup nếu node đủ tài nguyên, giữ nguyên kết nối mạng và cache đã warm của tiến trình.

#kubernetes#pod-resize#cgroup#kubelet