集群证书到期后 kubectl 连不上，先续期再重启组件

证书过期后 apiserver 拒绝连接，kubectl 直接报错。

先 check-expiration 看各证书剩余天数。

用 renew all 一次续期，续完必须重启组件。

控制面是静态 Pod，清单挪走再挪回就会重建。

续期后同步 kubeconfig，否则客户端还是旧证书。

# 1) 看各证书到期时间
kubeadm certs check-expiration

# 2) 一次性续期全部（也可 renew apiserver 等单项）
kubeadm certs renew all

# 3) 重启控制面组件：静态 Pod 清单移出再移回，kubelet 会重建
mv /etc/kubernetes/manifests/kube-apiserver.yaml /tmp/
sleep 20
mv /tmp/kube-apiserver.yaml /etc/kubernetes/manifests/

# 4) 同步 kubeconfig，否则本地 kubectl 仍拿旧证书
cp -i /etc/kubernetes/admin.conf $HOME/.kube/config

# 5) 验证
kubectl get nodes