KubeApiCertExpiresCritical: что делать при алерте

Правило алерта

alert: KubeApiCertExpiresCritical
expr: histogram_quantile(0.01, sum by (instance, le) (
  rate(apiserver_client_certificate_expiration_seconds_bucket{job="apiserver"}[5m])
)) / 86400 < 1
for: 5m
severity: critical

Сообщение алерта: Клиентский сертификат kube-apiserver истекает менее чем через сутки ({{ $labels.instance }})

Что значит

Клиентские сертификаты для обращения к kube-apiserver истекают менее чем через сутки (или уже истекли). После истечения компоненты и пользователи могут потерять доступ к кластеру.

Частые причины

Те же, что у KubeApiCertExpiresSoon: продление пропущено.

Диагностика

kubeadm certs check-expiration
openssl x509 -noout -enddate -in /etc/kubernetes/pki/apiserver-kubelet-client.crt
ls -l /etc/kubernetes/pki /var/lib/kubelet/pki

Как исправить

Немедленно продлить сертификаты (kubeadm certs renew all и перезапуск компонентов control plane), обновить kubeconfig администраторов. Перед операцией сделайте резервную копию /etc/kubernetes.

Когда можно заглушить

Нельзя, пока не продлено.