🔁 Renovación y Rotación de Certificados en Kubernetes (kubeadm certs)

 

🎯 Introducción

En un clúster de Kubernetes, la mayoría de los certificados generados por kubeadm tienen una validez de un año. Para evitar interrupciones en los componentes críticos, es fundamental revisar periódicamente su vigencia y saber cómo renovarlos correctamente.

En este artículo aprenderás:

• Cómo comprobar la expiración de los certificados

• Cómo renovarlos automáticamente con kubeadm

• Cómo simular una renovación manual con openssl

• Cómo aplicar los cambios reiniciando los componentes afectados

---

🕵️‍♂️ Comprobación del estado de los certificados

Kubernetes ofrece una herramienta integrada para revisar los certificados del clúster:

kubeadm certs check-expiration

Este comando muestra información clave:

• Fecha de expiración

• Tipo de certificado

• Ruta en el sistema

📌 Salida de ejemplo:

CERTIFICATE                EXPIRES                  RESIDUAL TIME   CERTIFICATE AUTHORITY
apiserver                 Jan 06, 2026 19:56 UTC   330d            ca
apiserver-kubelet-client  Jan 06, 2026 19:56 UTC   330d            ca

---

📍 Ubicación de los certificados a renovar

Los certificados generados por kubeadm están en:

/etc/kubernetes/pki/

Ejemplo:

• /etc/kubernetes/pki/apiserver.crt → Certificado TLS del API Server

• /etc/kubernetes/pki/apiserver.key → Clave privada

• /etc/kubernetes/pki/ca.crt y ca.key → CA usada para firmarlos

---

🔄 Renovación automática con kubeadm

Para renovar los certificados del clúster automáticamente:

sudo kubeadm certs renew all

También puedes renovar certificados de forma individual:

sudo kubeadm certs renew apiserver

Esto genera nuevos certificados con nuevas fechas de expiración, reutilizando las claves privadas existentes.

⚠️ Nota: Tras renovar, es recomendable reiniciar los componentes afectados si no se reinician automáticamente.

---

🔧 Renovación manual con OpenSSL (simulación para el CKA)

Para propósitos educativos o simulaciones (como en el ejercicio del examen), también puedes generar y firmar certificados manualmente.

✅ Paso 1: Revisar el certificado actual

openssl x509 -in /etc/kubernetes/pki/apiserver.crt -text -noout

Busca:

• Not After: Fecha de expiración

• Issuer: Emisor (normalmente la CA del clúster)

• Subject: Identidad del servicio (CN=kube-apiserver)

---

✅ Paso 2: Crear un nuevo CSR (Certificate Signing Request)

Utilizando la misma clave privada:

openssl req -new -key /etc/kubernetes/pki/apiserver.key \
  -out /tmp/apiserver.csr -subj "/CN=kube-apiserver"

---

✅ Paso 3: Firmar el CSR con la CA del clúster

openssl x509 -req -in /tmp/apiserver.csr \
  -CA /etc/kubernetes/pki/ca.crt \
  -CAkey /etc/kubernetes/pki/ca.key \
  -CAcreateserial \
  -out /etc/kubernetes/pki/apiserver.crt \
  -days 365 -sha256

Esto reemplaza el certificado anterior por uno nuevo firmado por la misma CA.

⚠️ Importante: No cambies el Subject ni el SAN, o el API Server no arrancará correctamente. Para agregar SANs en una renovación manual, necesitarías usar un archivo de configuración externo (-extfile).

---

🔁 Paso 4: Reiniciar el API Server

Si el API Server es un Static Pod (como en la mayoría de clústeres kubeadm), se reiniciará automáticamente si detecta cambios en su certificado.

Verifica con:

docker ps | grep kube-apiserver
# o si usas containerd:
crictl ps | grep kube-apiserver

Puedes borrar el contenedor para forzar el reinicio:

docker rm -f <container_id>
# o
crictl rm <container_id>

---

🧪 Paso 5: Verificar el resultado

Una vez reiniciado, comprueba que el clúster está operativo y que el nuevo certificado está en uso:

kubectl get componentstatuses
kubectl get nodes

Y revisa de nuevo el certificado para ver su nueva fecha de expiración:

openssl x509 -in /etc/kubernetes/pki/apiserver.crt -text -noout

📝 Pregunta tipo examen (resumen)
Necesitas renovar el certificado del API Server manualmente y verificar que esté en uso.

Pasos esperados:


Revisas el certificado actual con openssl


Generas un CSR con la clave existente


Firmas el nuevo certificado con la CA del clúster


Reemplazas el .crt


Reinicias el API Server (static pod)


Compruebas que está activo y el nuevo certificado en uso