コントロールプレーンの証明書の自動更新の動作を変更する方法

Products

• VMware vSphere Kubernetes Service

Issue/Introduction

免責事項：これは英文の記事「How to change behaviour of automatic Control Plane certificate renewal」の日本語訳です。
記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

VKSクラスタにおいて、ワーカーノードには影響がなかったものの、すべてのコントロールプレーンノードが突然再作成された。

# kubectl get nodes
NAME                                                         STATUS   ROLES           AGE   VERSION
<CLUSTER NAME>-tkg-cluster-nodepool-nn8w-swsd9-txvfc-75h6v   Ready    <none>         330d   v1.29.4+vmware.3-fips.1
<CLUSTER NAME>-zcptp-5vm79                                   Ready    control-plane   10m   v1.29.4+vmware.3-fips.1

Environment

VMware vSphere Kubernetes Service - vCenter 8.0 U3 以降

Cause

これは、vSphere Supervisor 8.0 U3 で実装された VKS クラスター向けの証明書自動更新機能によるものです。
証明書を更新するために、コントロールプレーンノードはロールアウトします。

Resolution

証明書の自動更新の動作を変更するには、以下のようにクラスターを編集します:

kubectl vsphere login --insecure-skip-tls-verify --server <Supervisor Endpoint>
kubectl config use-context <Supervisor context>
kubectl edit -n <Cluster namespace> cluster <Cluster name>

// under .spec.topology.variables
...
   - name: controlPlaneCertificateRotation
     value:
       activate: true # <--- Change to "false" if you want to disable it
       daysBefore: 90 # <--- Control the date of the auto renewal

Additional Information

Tanzu Kubernetes Grid v2.5.x 環境においても、同様のロールアウトが発生します。
Kubernetes Control Plane nodes get recreated unexpectedly