证书异常排查路径
从报错现象进入，逐步定位客户端、控制面、kubelet 或集群根证书问题
访问失败或组件报错
x509、Unauthorized、TLS handshake
先判断故障面
单用户、单节点、控制面或全局
kubectl 失败
检查 kubeconfig
用户证书和上下文
节点异常
检查 kubelet
client/server 证书
控制面异常
检查 apiserver
etcd 与前端证书
过期确认
openssl / kubeadm
影响评估
范围、窗口、回滚点
排查原则：先缩小影响面，再确认过期对象，最后选择续期、分发、重启和回滚顺序