kubernetes的官方文献上提到，为了避免复杂的时钟同步问题，kubernetes的所有容器化的控制面组件都统一使用世界协调时UTC时间，类似calico,flannel这类的网络组件以及prometheus监控组件默认也都使用UTC时间。即便UTC时间比我们常用的CST时间慢8小时，kubernetes组件已经比较偏"系统"的网络、监控组件使用UTC时间对用户日常应用不会带来负面影响。但一旦在业务pod中误用UTC时间，以至于业务pod与节点本地时间相差8小时，可能会造成严重的业务故障。

使用kubeadm部署的kubernetes集群，在实际使用过程中非常容易遇到一个与etcd数据库体积超限而引发的错误，在etcd的pod日志，或执行kubectl指令、调用apiserver的api时都会看到该错误提示： ``` mvcc: database space exceeded ``` 该故障通常有两种原因: 1、etcd数据库大小超过etcd的磁盘配额。使用kubeadm工具部署的kubernetes集群etcd的磁盘空间配额默认是2G，比较容易触发超额 2、etcd数据目录所在磁盘空间不足

通常,kubernetes的证书过期都通过kubeadm工具来解决，但kubeadm并不处理kubelet的证书，kubelet使用了两类证书: 1)、client证书, 用于kubelet访问apiserver 2）、服务证书, kubelet在10250端口提供https服务 kubelet的client证书只有一年，一旦过期将导致节点`Not Ready`, kuernetes官方自1.8+版本以后默认开启自动轮替，通常不会造成生产问题 kubelet的server证书也只有一年有效期，由集群`ca`为`/etc/kubernetes/pki/ca.crt`签发，证书位置如下: ```shell cert: /var/lib/kubelet/pki/kubelet.crt key : /var/lib/kubelet/pki/kubelet.key ```

harbor是比较流行的私有镜像registry解决方案，使用harbor的朋友可能会遇到一个比较尴尬的场景就是一不留神忘记了admin的密码，而harbor设计比较简洁，连最常见的重置密码功能都未提供。万一忘记了harbor密码，得采用比较特殊的手段来处理，以下讲述处理的全部操作过程.

在生产环境使用harbor时，处于安全的需求harbor使用https提供服务。使用权威CA签发的TLS证书配置简单，但存在证书费用。在内网使用的harbor时使用的往往是自签发的非权威证书。使用自签发的非权威证书时涉及到harbor本身，docker甚至os层面的配置，对初次接触harbor的用户而言存在一定困难。 升级harbor为https协议时其实要考虑两个场景，harbor本身作为服务端提供镜像存取服务，或者作为client端从其它使用https协议的harbor中同步镜像。这两种场景有配置差异，本文从这两种应用场景都给予了讲解。