前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
圈层
工具
发布
首页
学习
活动
专区
圈层
工具
MCP广场
社区首页 >专栏 >为什么Kubernetes从节点会join失败

为什么Kubernetes从节点会join失败

作者头像
jinjunzhu
发布于 2022-08-23 09:11:35
发布于 2022-08-23 09:11:35
1.1K00
代码可运行
举报
文章被收录于专栏:个人开发个人开发
运行总次数:0
代码可运行

有段时间没有鼓捣Kubernetes了,今天重置Kubernetes集群后,slave节点不能加入master节点了,我把问题和解决方案分享给大家。

我本地的Kubernetes集群包括一个主节点和一个从节点,如下图:

问题

主节点启动后,从节点加入,命令如下:

代码语言:javascript
代码运行次数:0
运行
AI代码解释
复制
kubeadm join 192.168.59.149:6443 --token nf2hbm.h1d67djxey0jv90h --discovery-token-ca-cert-hash sha256:12e71102d6f44c85c1717079f26c36a706cb11894c36af6d055fa39036e805ae

等了一段时间后,报了下面的错误:

代码语言:javascript
代码运行次数:0
运行
AI代码解释
复制
error execution phase preflight: couldn't validate the identity of the API Server: abort connecting to API servers after timeout of 5m0s

日志不够完整,在命令后面加 --v=5,重新执行来查看详细日志,发现下面这个失败日志反复打印:

代码语言:javascript
代码运行次数:0
运行
AI代码解释
复制
Failed to request cluster info: [Get https://192.168.59.149:6443/api/v1/namespaces/kube-public/configmaps/cluster-info?timeout=10s: x509: certificate has expired or is not yet valid。

问题排查

token过期

首先想到的是token过期,查看token,命令和输出如下:

代码语言:javascript
代码运行次数:0
运行
AI代码解释
复制
[root@master ~]# kubeadm token list
failed to list bootstrap tokens: Get https://192.168.59.149:6443/api/v1/namespaces/kube-system/secrets?fieldSelector=type%3Dbootstrap.kubernetes.io%2Ftoken: x509: certificate signed by unknown authority (possibly because of "crypto/rsa: verification error" while trying to verify candidate authority certificate "kubernetes")

这个输出有点诡异,网上说是内存不够了,我查看了内存,并不紧张:

代码语言:javascript
代码运行次数:0
运行
AI代码解释
复制
[root@master ~]# free -h
              total        used        free      shared  buff/cache   available
Mem:           3.7G        1.1G        132M         30M        2.4G        2.1G
Swap:            0B          0B          0B

仔细查看了输出,有个x509,想起了以前的解决方法,执行下面三个命令:

代码语言:javascript
代码运行次数:0
运行
AI代码解释
复制
mkdir -p $HOME/.kube
sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
sudo chown $(id -u):$(id -g) $HOME/.kube/config

再次查看token,可以了,输出如下:

代码语言:javascript
代码运行次数:0
运行
AI代码解释
复制
kubeadm token list
TOKEN                     TTL       EXPIRES                     USAGES                   DESCRIPTION                                                EXTRA GROUPS
o898hy.0y2s6cqsidpwmbkh   23h       2021-05-10T23:26:55+08:00   authentication,signing   The default bootstrap token generated by 'kubeadm init'.   system:bootstrappers:kubeadm:default-node-token

重新生成token和秘钥,命令和输出如下:

代码语言:javascript
代码运行次数:0
运行
AI代码解释
复制
[root@master ~]# kubeadm token create
nf2hbm.h1d67djxey0jv90h
[root@master ~]# openssl x509 -pubkey -in /etc/kubernetes/pki/ca.crt | openssl rsa -pubin -outform der 2>/dev/null | openssl dgst -sha256 -hex | sed 's/^.* //'
12e71102d6f44c85c1717079f26c36a706cb11894c36af6d055fa39036e805ae

生成后,在从节点上用新的token和秘钥继续执行加入命令,问题依旧。

时间问题

Kubernetes的token有效期是24小时,但是秘钥是新生成的,不可能过期。

那是不是系统时间有问题?查看了一下系统时间,果然找到了猫腻。系统时间如下:

主节点系统时间:

代码语言:javascript
代码运行次数:0
运行
AI代码解释
复制
[root@master ~]# date
20210510日 星期一 07:22:42 CST

从节点系统时间:

代码语言:javascript
代码运行次数:0
运行
AI代码解释
复制
[root@worker1 ~]# date
Sun May  9 11:22:28 EDT 2021

主节点的时间晚于从节点,这就是问题所在。

解决问题

在主节点和从节点执行如下命令:

代码语言:javascript
代码运行次数:0
运行
AI代码解释
复制
[root@master ~]# ntpdate ntp1.aliyun.com
 9 May 23:23:00 ntpdate[39100]: step time server 120.25.115.20 offset -28801.403856 sec

[root@worker1 ~]# ntpdate ntp1.aliyun.com
 9 May 11:23:18 ntpdate[22420]: adjust time server 120.25.115.20 offset -0.001241 sec

这下时间一致了。

重新生成token和秘钥,问题解决。

本文参与 腾讯云自媒体同步曝光计划,分享自微信公众号。
原始发表:2021-05-10,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 君哥聊技术 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
目录
  • 问题
  • 问题排查
    • token过期
    • 时间问题
  • 解决问题
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档