Ejercicio 3, CKA – Certificados y PKI. Bloque 1.4. Cluster Architecture, Installation & Configuration

📝 Enunciado:

Estás administrando un clúster Kubernetes y necesitas validar, gestionar y reemplazar un certificado TLS caducado del kube-apiserver. Además, debes revisar la autoridad certificadora (CA) utilizada por el clúster y entender el flujo de validación de certificados.

---

🎯 Objetivos:

🔹 Paso 1: Localiza y examina el certificado TLS usado por el kube-apiserver.

🔹 Paso 2: Comprueba su fecha de expiración y emisor.

🔹 Paso 3: Renueva el certificado manualmente usando openssl (simulación), firmándolo con la CA del clúster.

🔹 Paso 4: Reemplaza el certificado antiguo por el nuevo y reinicia el componente.

🔹 Paso 5: Verifica que el API Server vuelve a estar operativo y el nuevo certificado está en uso.

---

📦 Datos del entorno:

• El certificado del API server está en:

  /etc/kubernetes/pki/apiserver.crt
  

• La clave privada está en:

  /etc/kubernetes/pki/apiserver.key
  

• La CA que firma los certificados está en:

  /etc/kubernetes/pki/ca.crt
  /etc/kubernetes/pki/ca.key
  

---

💻 Comandos útiles:

1. Ver info de un certificado:

openssl x509 -in /etc/kubernetes/pki/apiserver.crt -text -noout

2. Generar un nuevo CSR (simulado):

openssl req -new -key /etc/kubernetes/pki/apiserver.key -out /tmp/apiserver.csr -subj "/CN=kube-apiserver"

3. Firmar el nuevo certificado con la CA:

openssl x509 -req -in /tmp/apiserver.csr -CA /etc/kubernetes/pki/ca.crt -CAkey /etc/kubernetes/pki/ca.key \
  -CAcreateserial -out /etc/kubernetes/pki/apiserver.crt -days 365 -sha256

4. Reiniciar el kube-apiserver (si es un static Pod):

docker ps | grep kube-apiserver
# o
crictl ps | grep kube-apiserver
# borra el contenedor si es necesario o espera a que se reinicie automáticamente al modificar el archivo

---

✅ Resultado esperado:

• El nuevo certificado debe tener una nueva fecha de expiración.

• El API Server debe estar accesible tras el reinicio:

  bash
  kubectl get componentstatuses
  kubectl get nodes