事象

Kubernetesのワーカーノードでjournalctlやsystemctl status kubeletでこんな感じのログが大量発生しました。

Current certificate CN (kubelet) does not match requested CN (system:node:xxx)

対処方

CSR名を洗い出し

kubectl get csr | grep Pending

承認する

kubectl certificate approve csr-xxxxx

※PendingのCSRが出なくなるまで繰り返し

多分、kubeletの--rotate-server-certificatesパラメータが原因。
CSR承認しろって書いてあった。

Requires the RotateKubeletServerCertificate feature gate to be enabled, and approval of the submitted CertificateSigningRequest objects.

ApproveしたCSRはしばらくするとkubectl get csrで見られなくなるので、エビデンス求められるなら早めにとった方が良さげ

OKE v1.27.2
デフォルトでは--rotate-server-certificates入っていないが、カスタムして入れました