kubeadm certs renew 常见问题：证书更新失败如何排查？

Question

在使用 `kubeadm certs renew` 更新 Kubernetes 集群证书时，常遇到证书更新失败的问题。常见原因包括：集群状态异常（如节点未就绪）、权限不足、证书路径被占用或损坏、以及旧证书已过期导致无法续订。此外，若使用了自定义证书路径或启用了外部 CA 模式，也可能引发更新失败。排查时应检查 kubelet 状态、相关组件日志（如 kube-apiserver、controller-manager）、以及 kubeadm 日志，确认具体错误信息。同时，可运行 `kubeadm certs check-expiration` 查看证书状态，并确保所有控制平面组件正常运行。