K3s 集群时间不同步导致证书验证失败或 etcd 异常

K3s集群节点时间偏差超1分钟会导致TLS证书验证失败和etcd异常，需用timedatectl检查时间同步状态，启用systemd-timesyncd或chrony校准，重启k3s服务并验证节点Ready及日志无x509/etcd错误。

K3s 集群节点间时间偏差超过 1 分钟，就可能触发 TLS 证书验证失败（如 x509: certificate has expired or is not yet valid）或 etcd 启动/通信异常（如 context deadline exceeded、etcdserver: request timed out）。根本原因是 kubernetes 组件（包括 k3s server/agent、etcd、kube-apiserver）高度依赖系统时间一致性来校验证书有效期、生成 Token、协调 Raft 时间戳等。

确认时间是否不同步

在所有节点上运行：

timedatectl status | grep -E "(Local time|System clock|NTP service)"

重点关注：
• Local time：各节点实际本地时间（建议误差 ≤ 500ms）
• System clock synchronized：应为 yes
• NTP service：应为 active（如 systemd-timesyncd、chronyd 或 ntpd）

启用并配置 NTP 同步服务

K3s 不自带时间同步，需由操作系统层保障。推荐使用轻量级 systemd-timesyncd（默认启用）或 chrony：

• 启用 timesyncd：sudo systemctl enable --now systemd-timesyncd
• 检查配置：cat /etc/systemd/timesyncd.conf，确保 NTP= 行指向可靠 NTP 源（如 cn.pool.ntp.org 或内网 NTP 服务器）
• 若用 chrony，安装后启动：sudo apt install chrony && sudo systemctl enable --now chrony（debian/ubuntu）
• 强制立即同步一次：sudo systemctl restart systemd-timesyncd && sudo timedatectl set-ntp true

重启 K3s 服务并验证组件状态

时间校准后必须重启 K3s，否则旧进程仍按错误时间运行：

• 服务端节点：sudo systemctl restart k3s
• Agent 节点：sudo systemctl restart k3s-agent
• 等待 30 秒后检查：sudo k3s kubectl get nodes -o wide 确认状态为 Ready
• 查看 etcd 日志是否有超时或证书错误：sudo journalctl -u k3s -n 100 --no-pager | grep -i "etcd|certificate|x509"

长期防护建议

避免问题复发，建议：

• 所有节点统一配置可信 NTP 源，禁用本地硬件时钟漂移补偿（如 bios 中关闭“Fast Boot”可能干扰 RTC）
• 在集群部署脚本中加入时间校验步骤（例如用 timedatectl show --Property=TimeUSec --value 获取微秒级时间并比对）
• 监控告警：通过 prometheus + Node Exporter 抓取 node_timex_sync_status 和 node_time_seconds，对时间偏移 > 500ms 的节点触发告警