OKD项目安装过程中证书过期问题的分析与解决方案

问题背景

在使用OKD 4.15.0版本进行集群安装时，用户遇到了证书过期导致安装失败的问题。具体表现为在执行openshift-install create ignition-configs命令时，系统提示多个Bootstrap Ignition配置证书已过期，包括aggregator-ca、kube-apiserver等多个关键组件的证书。

问题分析

1. 证书过期现象：系统检测到13个关键证书在2024年9月7日已过期，这会导致Ignition配置生成失败，进而影响整个集群的安装过程。

2. 根本原因：

   • 安装目录重用：用户在重复安装尝试时未彻底清理旧的安装目录，特别是隐藏的.openshift_install_state.json文件，导致系统重复使用已过期的证书。
   • 证书生命周期：OKD中的Bootstrap证书默认具有较短的有效期（通常为24小时），过期后必须重新生成。

3. 连带问题：

   • 在解决初始问题后，用户又遇到了master节点无法从bootstrap系统下载配置的问题，错误提示为"self signed certificate in certificate chain"。
   • 经排查发现这是由haproxy配置错误导致的，错误地将22623端口的后端配置为6443。

解决方案

1. 彻底清理安装目录：

   • 删除整个安装目录而不仅是可见文件
   • 特别注意清理隐藏文件.openshift_install_state.json
   • 建议每次安装尝试都使用全新的目录

2. 证书验证方法：

   • 使用openssl s_client命令验证证书链
   • 检查证书的有效期和签发者信息
   • 示例命令：openssl s_client --showcerts --connect api-int.example.com:22623 </dev/null

3. 配置检查要点：

   • 确保haproxy配置中所有端口的后端服务配置正确
   • 验证负载均衡器配置中22623端口指向正确的服务
   • 检查所有网络连接是否使用正确的证书链

最佳实践建议

1. 安装环境准备：

   • 为每次安装创建全新的工作目录
   • 记录并验证所有网络服务的端口映射关系

2. 证书管理：

   • 定期检查集群证书状态
   • 了解OKD证书的默认有效期设置
   • 考虑在测试环境中调整证书有效期参数

3. 故障排查流程：

   • 首先检查证书有效期
   • 验证服务端点和端口配置
   • 检查网络连接和负载均衡设置
   • 逐步验证从bootstrap到master节点的各个组件通信

总结

OKD安装过程中的证书问题通常源于环境清理不彻底或配置错误。通过建立规范的安装流程、彻底的环境清理和仔细的配置验证，可以避免大多数证书相关的问题。对于生产环境，建议建立完善的证书监控机制，提前发现并处理证书过期问题，确保集群的稳定运行。