症状
Kubernetes 组件记录 x509: certificate has expired or is not yet valid。它可能在运行数月后突然出现，因为证书未到期前一切照常。
诊断
找出出错证书及其有效期：
kubeadm certs check-expiration
openssl x509 -in /etc/kubernetes/pki/apiserver.crt -noout -dates
timedatectl修复
续期并启用轮换：
kubeadm certs renew all
systemctl restart kubelet配置 kubelet 客户端证书轮换，使其在到期前自动续期。
验证
再次执行 kubeadm certs check-expiration；所有证书显示未来到期时间，kubelet 恢复与 API 服务器的连接，Webhook 也不再报 x509 错误。