Aller au contenu principal

Mettre à jour le certificat de votre kubeconfig

Votre kubeconfig embarque le certificat de l'autorité (la « CA ») qui signe le point d'accès Kubernetes de France Nuage. Ce certificat vit 90 jours et un nouvel exemplaire est émis tous les 60 jours. Un kubeconfig qui garde un ancien exemplaire cesse de fonctionner le jour où celui-ci expire, et kubectl répond alors x509: certificate has expired or is not yet valid.

Vous trouverez ici le certificat en cours de chaque point d'accès, son empreinte et la commande qui le remplace dans votre kubeconfig. Votre jeton et vos droits ne changent pas.

Page mise à jour le 20 octobre 2026.

Prochaines échéances

Un kubeconfig qui vise kube.france-nuage.fr:31443 et embarque encore l'exemplaire précédent cesse de fonctionner le 21 octobre 2026 à 11 h 34. Pour kube-dc05.france-nuage.fr:31443, la date est le 30 octobre 2026 à 3 h 55. La commande de la section Lire le certificat de votre kubeconfig vous dit si le vôtre est concerné.

Les échéances​

Le point d'accès que vous utilisez se lit sur la ligne server: de votre kubeconfig. Les heures sont celles de Paris.

Point d'accèsL'exemplaire précédent expire leL'exemplaire en cours expire le
kube.france-nuage.fr:3144321 octobre 2026 à 11 h 3420 décembre 2026 à 10 h 34
kube-dc05.france-nuage.fr:3144330 octobre 2026 à 3 h 5529 décembre 2026 à 3 h 55

Le prochain exemplaire est attendu le 20 novembre 2026 pour kube.france-nuage.fr et le 29 novembre 2026 pour kube-dc05.france-nuage.fr.

Lire le certificat de votre kubeconfig​

La commande suivante affiche la date de fin et l'empreinte du certificat que votre kubeconfig embarque, pour le contexte courant :

kubectl config view --raw --minify \
  -o jsonpath='{.clusters[0].cluster.certificate-authority-data}' \
  | base64 --decode \
  | openssl x509 -noout -enddate -fingerprint -sha256

Comparez l'empreinte affichée par openssl à celle de votre point d'accès :

Point d'accèsEmpreinte SHA-256 de l'exemplaire en cours
kube.france-nuage.fr:314431D:26:E9:FE:1D:A4:4B:1B:E0:D6:BF:5C:42:7E:57:93:28:94:7E:C1:EA:69:9A:42:19:ED:25:E5:EE:49:13:F7
kube-dc05.france-nuage.fr:31443CC:67:50:FE:1A:43:C5:CE:B7:A7:D1:52:E3:CC:68:4B:91:79:E5:AC:F8:1F:70:EC:83:7F:AA:EA:CF:D6:EF:A5

Si les deux empreintes sont identiques, votre kubeconfig est à jour jusqu'à la date du tableau des échéances. Dans le cas contraire, remplacez le certificat.

Remplacer le certificat​

1. Enregistrer l'exemplaire en cours​

Copiez le bloc de votre point d'accès dans un terminal. Il écrit le certificat dans le fichier kube-ca.crt du dossier courant.

Voici le bloc pour kube.france-nuage.fr:31443 :

cat > kube-ca.crt <<'EOF'
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
EOF

Et celui pour kube-dc05.france-nuage.fr:31443 :

cat > kube-ca.crt <<'EOF'
-----BEGIN CERTIFICATE-----
MIIBjTCCATKgAwIBAgIQX3QLhBsNkEbVL0/AH9Ok9TAKBggqhkjOPQQDAjAmMSQw
IgYDVQQDExtjYXBzdWxlLXByb3h5LXNlbGZzaWduZWQtY2EwHhcNMjYwOTMwMDI1
NTIxWhcNMjYxMjI5MDI1NTIxWjAmMSQwIgYDVQQDExtjYXBzdWxlLXByb3h5LXNl
bGZzaWduZWQtY2EwWTATBgcqhkjOPQIBBggqhkjOPQMBBwNCAARRW25+S7P4msWN
pBJ1EQhYsPcYRRi0yzJcOIzAXQfqOU1wyNbQZ4rWRm9fJoRNoMthSmw5rm2uNGww
LGgOhvKIo0IwQDAOBgNVHQ8BAf8EBAMCAqQwDwYDVR0TAQH/BAUwAwEB/zAdBgNV
HQ4EFgQUPRFQYvIVj6oELeJx3UX5Cr8DMtwwCgYIKoZIzj0EAwIDSQAwRgIhAKdl
zSkOEXIq7+TwMVs1bu+yBVUCk5LuKUpqH/uJ3jROAiEApAVHMpKdSRUHxYa+mF7/
m/8K13UochIThTKD4lYqECo=
-----END CERTIFICATE-----
EOF

2. Contrôler l'empreinte du fichier​

Avant de vous en servir, vérifiez que le fichier kube-ca.crt porte bien l'empreinte du tableau précédent, via la commande :

openssl x509 -in kube-ca.crt -noout -fingerprint -sha256 -enddate

3. Injecter le certificat dans le kubeconfig​

La commande kubectl config set-cluster remplace le certificat du contexte courant :

kubectl config set-cluster \
  "$(kubectl config view --minify -o jsonpath='{.clusters[0].name}')" \
  --certificate-authority=kube-ca.crt --embed-certs=true

Elle écrit dans ~/.kube/config, ou dans le fichier que désigne la variable KUBECONFIG si vous l'avez définie. Seul le certificat change, l'adresse du serveur et votre jeton restent en place.

4. Vérifier l'accès​

Une commande de lecture sur l'un de vos namespaces Kubernetes suffit à confirmer que la connexion passe :

kubectl get pods -n <votre-namespace>

Vos pipelines CI​

Un kubeconfig stocké dans une variable de CI expire à la même date que celui de votre poste, et rien ne prévient avant l'échec du premier déploiement. Une fois votre fichier mis à jour, recopiez son contenu dans la variable. Si vous avez suivi le tutoriel Déployer sur Kubernetes depuis GitLab CI, il s'agit de la variable KUBE_CONFIG, de type File.

Dépannage​

"certificate has expired or is not yet valid"​

Ce message signifie que le certificat embarqué dans votre kubeconfig a dépassé sa date de fin. La date que kubectl cite après is after est celle de votre ancien exemplaire. Reprenez les étapes de la section Remplacer le certificat.

"certificate signed by unknown authority"​

Ce message signifie que le certificat de votre kubeconfig appartient à un autre point d'accès. Relisez la ligne server: du kubeconfig, puis reprenez le bloc qui lui correspond, puisque kube et kube-dc05 ont chacun leur certificat.

"i/o timeout"​

Un délai dépassé vient du réseau. Les deux points d'accès ne répondent qu'à travers votre VPN, vérifiez d'abord qu'il est connecté.