ארכיון של הערות לגבי גרסאות Kubernetes

בדף הזה מופיע ארכיון היסטורי של הערות לגבי גרסאות Kubernetes שלא נתמכות. כדי לראות נתוני גרסה עדכניים יותר, אפשר לעיין בנתוני הגרסה של Kubernetes.

‫Kubernetes 1.32

1.32.9-gke.1800

הערות לגבי הגרסה של Kubernetes OSS

1.32.8-gke.600

הערות לגבי הגרסה של Kubernetes OSS

1.32.4-gke.200

הערות לגבי הגרסה של Kubernetes OSS

‫Kubernetes 1.31

1.31.11-gke.400

הערות לגבי הגרסה של Kubernetes OSS

1.31.7-gke.1000

הערות לגבי הגרסה של Kubernetes OSS

1.31.6-gke.200

הערות לגבי הגרסה של Kubernetes OSS

1.31.4-gke.500

הערות לגבי הגרסה של Kubernetes OSS

1.31.1-gke.1800

הערות לגבי הגרסה של Kubernetes OSS

‫Kubernetes 1.30

1.30.11-gke.800

הערות לגבי הגרסה של Kubernetes OSS

1.30.10-gke.200

הערות לגבי הגרסה של Kubernetes OSS

1.30.8-gke.100

הערות לגבי הגרסה של Kubernetes OSS

1.30.5-gke.1000

הערות לגבי הגרסה של Kubernetes OSS

1.30.5-gke.200

הערות לגבי הגרסה של Kubernetes OSS

1.30.4-gke.400

הערות לגבי הגרסה של Kubernetes OSS

1.30.3-gke.100

הערות לגבי הגרסה של Kubernetes OSS

  • תכונה: נוספה הגדרה של מערכת צמתים kubeletConfig. התכונה הזו מאפשרת לכם לציין הגדרות בהתאמה אישית במאגרי הצמתים, כולל מדיניות של מנהל המעבד, הגבלת מהירות המעבד ומזהי תהליכים (PIDs).

  • תכונה: הפקודה gcloud beta container fleet memberships get-credentials משתמשת בתכונת תצוגה מקדימה של שער Connect, שמאפשרת להריץ את הפקודות kubectl, attach, cp ו-exec. מידע נוסף מופיע בקטע מגבלות במאמרי העזרה בנושא Connect Gateway.

  • תיקוני אבטחה:

‫Kubernetes 1.29

1.29.14-gke.200

הערות לגבי הגרסה של Kubernetes OSS

1.29.12-gke.100

הערות לגבי הגרסה של Kubernetes OSS

1.29.10-gke.100

הערות לגבי הגרסה של Kubernetes OSS

1.29.8-gke.1800

הערות לגבי הגרסה של Kubernetes OSS

1.29.8-gke.600

הערות לגבי הגרסה של Kubernetes OSS

1.29.7-gke.100

הערות לגבי הגרסה של Kubernetes OSS

1.29.6-gke.600

הערות לגבי הגרסה של Kubernetes OSS

1.29.5-gke.1100

הערות לגבי הגרסה של Kubernetes OSS

1.29.5-gke.700

הערות לגבי הגרסה של Kubernetes OSS

1.29.4-gke.200

הערות לגבי הגרסה של Kubernetes OSS

1.29.3-gke.600

הערות לגבי הגרסה של Kubernetes OSS

‫Kubernetes 1.28

1.28.14-gke.200

הערות לגבי הגרסה של Kubernetes OSS

1.28.13-gke.600

הערות לגבי הגרסה של Kubernetes OSS

1.28.12-gke.100

הערות לגבי הגרסה של Kubernetes OSS

1.28.11-gke.600

הערות לגבי הגרסה של Kubernetes OSS

1.28.10-gke.1300

הערות לגבי הגרסה של Kubernetes OSS

1.28.10-gke.800

הערות לגבי הגרסה של Kubernetes OSS

1.28.9-gke.400

הערות לגבי הגרסה של Kubernetes OSS

1.28.8-gke.800

הערות לגבי הגרסה של Kubernetes OSS

1.28.7-gke.1700

הערות לגבי הגרסה של Kubernetes OSS

  • תיקון באגים: תוקנה הבעיה שבה אמולטור של שירות מטא-נתונים של מופע (IMDS) לפעמים לא הצליח לבצע קישור לכתובת IP בצומת. האמולטור של IMDS מאפשר לצמתים לגשת בצורה מאובטחת למטא-נתונים של מכונות AWS EC2.

1.28.5-gke.1200

הערות לגבי הגרסה של Kubernetes OSS

1.28.5-gke.100

הערות לגבי הגרסה של Kubernetes OSS

1.28.3-gke.700

הערות לגבי הגרסה של Kubernetes OSS

  • שינוי שעלול לשבור תאימות לאחור: החל מ-Kubernetes 1.28, נדרשת קישוריות HTTPS יוצאת לאשכולות אל {GCP_LOCATION}-gkemulticloud.googleapis.com. מוודאים ששרת ה-Proxy או חומת האש מאפשרים את התנועה הזו.

  • שינוי שעלול לגרום לבעיות: החל מ-Kubernetes 1.28, לתפקיד סוכן השירות של Multi-Cloud API נדרשת הרשאה חדשה Iam:getinstanceprofile בפרויקט AWS. ההרשאה הזו משמשת את שירות Multi-Cloud לבדיקת פרופילי המכונות שמצורפים למכונות וירטואליות בתוך האשכול.

  • תכונה: נוספה תמיכה בהחזרה למצב הקודם למאגרי צמתים של AWS שפעולות העדכון שלהם נכשלו. כך הלקוחות יכולים להחזיר את מאגרי הצמתים למצב המקורי שלהם.

  • תכונה: נוספה תמיכה בשליפת תמונות מ-Google Artifact Registry פרטי ומ-Google Container Registry פרטי ללא מפתח של חשבון שירות Google שיוצא. פרטי הכניסה לשליפת התמונות מנוהלים ומוחלפים אוטומטית על ידי Google.

  • תכונה: אין יותר צורך להוסיף באופן מפורש קשרי IAM של Google לרוב התכונות.

    1. כשיוצרים אשכול, כבר לא צריך להוסיף כריכות ל-gke-system/gke-telemetry-agent.
    2. כשמפעילים איסוף נתונים מנוהל בשירות המנוהל של Google ל-Prometheus, לא צריך יותר להוסיף קשירות ל-gmp-system/collector או ל-gmp-system/rule-evaluator.
    3. כשמפעילים הרשאה בינארית, לא צריך יותר להוסיף כריכות ל-gke-system/binauthz-agent.

  • תכונה: AWS Surge update זמינה עכשיו לכולם. עדכוני גל מאפשרים לכם להגדיר את המהירות והשיבוש של עדכוני מאגר הצמתים. לפרטים נוספים על הפעלה והגדרה של הגדרות Surge במאגרי הצמתים שלכם ב-AWS, אפשר לעיין במאמר הגדרת עדכוני Surge של מאגרי צמתים.

  • תכונה: שודרג ליבת המערכת של Ubuntu 22.04 ל-linux-aws 6.2.

  • תכונה: נוספה תמיכה ביצירת מאגרי צמתים באמצעות המופעים הבאים של AWS EC2: ‏ G5,‏ I4g,‏ M7a,‏ M7g,‏ M7i,‏ R7g,‏ R7i ו-R7iz.

  • תיקון באגים: שיפרנו את תהליך יצירת תבניות להשקה. תגים שסופקו על ידי לקוחות מועברים למופעים.

    • השינוי הזה משפר בעיקר את התמיכה בכללי מדיניות IAM. הכלל הזה מתייחס באופן ספציפי לתבניות השקה שלא תומכות בהפצת תגים, גם במקרים שבהם קבוצת ה-Auto Scaling (ASG) המשויכת כן מבצעת הפצת תגים.
    • זה יכול להיות שינוי שובר, בהתאם לפרטים הספציפיים של מדיניות IAM של הלקוח בנוגע לבדיקות תגים. לכן, חשוב לנקוט משנה זהירות במהלך תהליך השדרוג, כי טיפול לא נכון עלול להשאיר את האשכול במצב פגום.
    • נדרשת פעולה ec2:CreateTags במשאב arn:aws:ec2:*:*:instance/* עבור תפקיד סוכן השירות של Anthos Multi-Cloud API. מידע עדכני זמין בכתובת https://cloud.google.com/kubernetes-engine/multi-cloud/docs/aws/how-to/create-aws-iam-roles#create_service_agent_role.
    • אנחנו ממליצים ללקוחות לנסות ליצור אשכול זמני בגרסה 1.28 ולאשר שמדיניות IAM פועלת בצורה תקינה לפני שמנסים לשדרג לגרסה 1.28.

  • תיקון באגים: שדרוג אשכול לגרסה 1.28 ינקה משאבים מיושנים שאולי נוצרו בגרסאות ישנות יותר (עד 1.25), אבל הם כבר לא רלוונטיים. המשאבים הבאים במרחב השמות gke-system נמחקים אם הם קיימים:

    • ‫daemonsets‏ fluentbit-gke-windows ו-gke-metrics-agent-windows
    • ‫configmaps‏ fluentbit-gke-windows-config ו-gke-metrics-agent-windows-conf

  • תיקון באג: שיפרנו את ההטמעה של יומנים מ-אשכולות Anthos ב-AWS ב-Cloud Logging:

    • תוקנה בעיה בניתוח חותמות זמן.
    • הוקצתה רמת חומרה נכונה ליומני השגיאות של anthos-metadata-agent.

  • תיקוני אבטחה

‫Kubernetes 1.27

1.27.14-gke.1600

הערות לגבי הגרסה של Kubernetes OSS

1.27.14-gke.1200

הערות לגבי הגרסה של Kubernetes OSS

1.27.14-gke.700

הערות לגבי הגרסה של Kubernetes OSS

1.27.13-gke.500

הערות לגבי הגרסה של Kubernetes OSS

1.27.12-gke.800

הערות לגבי הגרסה של Kubernetes OSS

1.27.11-gke.1600

הערות לגבי הגרסה של Kubernetes OSS

  • תיקון באגים: תוקנה הבעיה שבה אמולטור של שירות מטא-נתונים של מופע (IMDS) לפעמים לא הצליח לבצע קישור לכתובת IP בצומת. האמולטור של IMDS מאפשר לצמתים לגשת בצורה מאובטחת למטא-נתונים של מכונות AWS EC2.

1.27.10-gke.500

הערות לגבי הגרסה של Kubernetes OSS

1.27.9-gke.100

הערות לגבי הגרסה של Kubernetes OSS

1.27.7-gke.600

הערות לגבי הגרסה של Kubernetes OSS

  • תכונה: נוספה תמיכה ביצירת מאגרי צמתים באמצעות מופע AWS EC2‏ G5.

  • תיקון באג: שיפרנו את ההטמעה של יומנים מ-אשכולות Anthos ב-AWS ב-Cloud Logging:

    • תוקנה בעיה בניתוח חותמות זמן.
    • הוקצתה רמת חומרה נכונה ליומני השגיאות של anthos-metadata-agent.

  • תיקוני אבטחה

1.27.6-gke.700

הערות לגבי הגרסה של Kubernetes OSS

1.27.5-gke.200

הערות לגבי הגרסה של Kubernetes OSS

1.27.4-gke.1600

הערות לגבי הגרסה של Kubernetes OSS * הוצאה משימוש: השבתנו את יציאת 10255 לקריאה בלבד של kubelet ללא אימות. אחרי שמאגר הצמתים ישודרג לגרסה 1.27, עומסי העבודה שפועלים בו לא יוכלו יותר להתחבר ליציאה 10255.

  • תכונה: תכונת העדכון של AWS Surge זמינה במצב טרום-השקה. עדכוני Surge מאפשרים לכם להגדיר את המהירות והשיבוש של עדכוני מאגר הצמתים. כדי להצטרף לגרסת הטרום-השקה, צריך לפנות לצוות ניהול החשבון.
  • תכונה: שודרג EBS CSI Driver לגרסה v1.20.0.
  • תכונה: שודרג EFS CSI Driver לגרסה 1.5.7.

  • תכונה: שדרגנו את snapshot-controller ואת csi-snapshot-validation-webhook לגרסה 6.2.2. בגרסה החדשה הזו יש שינוי חשוב ב-API. בפרט, ממשקי ה-API‏ VolumeSnapshot, VolumeSnapshotContents ו-VolumeSnapshotClass v1beta1 לא זמינים יותר.

  • תכונה: הוספנו תמיכה בדגל admin-groups חדש בממשקי ה-API ליצירה ולעדכון. הדגל הזה מאפשר ללקוחות לאמת במהירות ובקלות קבוצות שמופיעות ברשימה כמנהלי אשכולות, בלי ליצור ולהחיל מדיניות RBAC באופן ידני.

  • תכונה: נוספה תמיכה בBinary Authorization שהוא אמצעי אבטחה בזמן הפריסה, שמבטיח שרק תמונות קונטיינר מהימנות ייפרסו. עם Binary Authorization, אתם יכולים לדרוש חתימה של תמונות על ידי רשויות מהימנות במהלך תהליך הפיתוח, ולאחר מכן לאכוף אימות חתימה במהלך הפריסה. האכיפה של אימות מאפשרת לכם לשלוט יותר בסביבת הקונטיינרים, כי רק קובצי אימג' מאומתים ישולבו בתהליך ה-build וההפצה. פרטים על הפעלת Binary Authorization באשכולות זמינים במאמר איך מפעילים Binary Authorization.

  • תכונה: הופעלה דחיסת gzip עבור fluent-bit (מעבד יומנים ומעביר), gke-metrics-agent (כלי לאיסוף מדדים) ו-audit-proxy (פרוקסי של יומן ביקורת). ‫fluent-bit דוחס נתוני יומן ממישור הבקרה ומעומסי העבודה לפני שליחתם ל-Cloud Logging, gke-metrics-agent דוחס נתוני מדדים ממישור הבקרה ומעומסי העבודה לפני שליחתם ל-Cloud Monitoring, ו-audit-proxy דוחס נתוני יומן ביקורת לפני שליחתם ל-Audit Logging. כך מצמצמים את רוחב הפס ברשת ואת העלויות.

  • תכונה: יצירת מאגרי צמתים של AWS SPOT זמינה עכשיו לכולם.

  • תכונה: התכונה 'תיקון אוטומטי של צמתים' זמינה עכשיו לכולם (GA).

  • תכונה: שיפור האבטחה על ידי הוספת בדיקות שלמות קבצים ואימות טביעות אצבעות עבור ארטיפקטים בינאריים שהורדו מ-Cloud Storage.

  • תכונה: נוספה אפשרות ignore_errors ל-API של המחיקה כדי לטפל במקרים שבהם תפקידי IAM נמחקו בטעות או שמקורות מידע הוסרו באופן ידני, מה שמונע את המחיקה של אשכולות או של מאגרי צמתים. על ידי הוספת ?ignore_errors=true לכתובת האתר של בקשת DELETE, המשתמשים יכולים עכשיו להסיר בכוח אשכולות או מאגרי צמתים. עם זאת, הגישה הזו עלולה לגרום למשאבים יתומים ב-AWS או ב-Azure, ולדרוש ניקוי ידני.

  • תכונה: נוספה תמיכה באיחוי תקופתי אוטומטי של etcd ושל etcd-events במישור הבקרה. התכונה הזו מצמצמת את השימוש בנפח אחסון בדיסק, ועוזרת למנוע את המצבים הבאים: etcd ומישור הבקרה לא זמינים בגלל בעיות בנפח האחסון בדיסק.

  • תכונה: שונה קידומת המדדים של מדדי משאב ב-Kubernetes מ-kubernetes.io/ ל-kubernetes.io/anthos/. פרטים נוספים מופיעים במאמרי העזרה בנושא מדדים.

  • תכונה: שינינו את גרסת ברירת המחדל של etcd ל-v3.4.21 באשכולות חדשים כדי לשפר את היציבות. קלאסטרים קיימים שמשודרגים לגרסה הזו ישתמשו ב-etcd v3.5.6.

  • תכונה: שיפור ניהול המשאבים של הצומת על ידי שמירת משאבים עבור kubelet. התכונה הזו חשובה מאוד למניעת שגיאות של חוסר זיכרון (OOM) כי היא מבטיחה שלמערכת ולתהליכי Kubernetes יהיו המשאבים שהם צריכים, אבל היא עלולה לגרום לשיבושים בעומסי העבודה. הזמנת משאבים ל-kubelet עשויה להשפיע על המשאבים שזמינים ל-Pods, ויכולה להשפיע על היכולת של צמתים קטנים יותר לטפל בעומסי עבודה קיימים. הלקוחות צריכים לוודא שצמתים קטנים יותר עדיין יכולים לתמוך בעומסי העבודה שלהם כשהתכונה החדשה הזו מופעלת.

    • אלה אחוזי הזיכרון ששמורים:
    • ‫255MiB למכונות עם פחות מ-1GB זיכרון
    • ‫25% מ-4GB הראשונים של הזיכרון
    • ‫20% מתוך 4GB הבאים
    • ‫10% מ-8GB הבאים
    • ‫6% מתוך 112GB הבאים
    • ‫2% מכל זיכרון מעל 128GB
    • אלה אחוזי המעבד ששמורים:
    • ‫6% מהליבה הראשונה
    • ‫1% מהליבה הבאה
    • ‫0.5% מ-2 הליבות הבאות
    • ‫0.25% מכל ליבה מעל 4 ליבות

  • תיקוני באגים

    • הפעלת המידרוג האוטומטי באשכול כדי לאזן את הצמתים באזורי זמינות שונים. כדי לעשות את זה, משתמשים בדגל --balance-similar-node-groups.

  • תיקוני אבטחה

‫Kubernetes 1.26

1.26.14-gke.1500

הערות לגבי הגרסה של Kubernetes OSS

  • תיקון באגים: תוקנה הבעיה שבה אמולטור של שירות מטא-נתונים של מופע (IMDS) לפעמים לא הצליח לבצע קישור לכתובת IP בצומת. האמולטור של IMDS מאפשר לצמתים לגשת בצורה מאובטחת למטא-נתונים של מכונות AWS EC2.

1.26.13-gke.400

הערות לגבי הגרסה של Kubernetes OSS

1.26.12-gke.100

הערות לגבי הגרסה של Kubernetes OSS

1.26.10-gke.600

הערות לגבי הגרסה של Kubernetes OSS

  • תכונה: נוספה תמיכה ביצירת מאגרי צמתים באמצעות מופע AWS EC2‏ G5.

  • תיקון באג: שודרג מנהל ההתקן של Elastic File System (EFS) Container Storage Interface (CSI) ‏aws-efs-csi-driver לגרסה v1.3.8-gke.21.

  • תיקון באג: שיפרנו את ההטמעה של יומנים מ-אשכולות Anthos ב-AWS ב-Cloud Logging:

    • תוקנה בעיה בניתוח חותמות זמן.
    • הוקצתה רמת חומרה נכונה ליומני השגיאות של anthos-metadata-agent.

  • תיקוני אבטחה

1.26.9-gke.700

הערות לגבי הגרסה של Kubernetes OSS

1.26.8-gke.200

הערות לגבי הגרסה של Kubernetes OSS

1.26.7-gke.500

הערות לגבי הגרסה של Kubernetes OSS

1.26.5-gke.1400

הערות לגבי הגרסה של Kubernetes OSS

1.26.5-gke.1200

הערות לגבי הגרסה של Kubernetes OSS

  • תיקוני באגים
    • מגדירים את Cluster Autoscaler כדי לאזן את מספר הצמתים באזורי הזמינות באמצעות ‎--balance-similar-node-groups.

1.26.4-gke.2200

הערות לגבי הגרסה של Kubernetes OSS * תכונה: ב-Ubuntu 22.04 נעשה שימוש בקרנל linux-aws 5.19.

  • תיקוני באגים

    • תוקנה בעיה שבה Kubernetes החיל באופן שגוי את ברירת המחדל של StorageClass על PersistentVolumeClaims עם הערת הכרך שהוצאה משימוש volume.beta.kubernetes.io/storage-class.
    • תוקנה בעיה שבה סוכן הרישום צרך כמויות גדולות יותר ויותר של זיכרון.

  • תיקוני אבטחה

    • תוקנה בעיה שמשפיעה על מעקב אחר חיבורים (conntrack) ב-netfilter, שאחראי על מעקב אחר חיבורים לרשת. התיקון מבטיח הוספה תקינה של חיבורים חדשים לטבלת conntrack, ועוזר להתגבר על המגבלות שנובעות משינויים שבוצעו בגרסאות ליבת Linux 5.15 ומעלה.

1.26.2-gke.1001

הערות לגבי הגרסה של Kubernetes OSS

  • בעיה מוכרת: ב-Kubernetes 1.26.2, ברירת המחדל של StorageClass תוחל באופן שגוי על PersistentVolumeClaims עם ההערה volume.beta.kubernetes.io/storage-class שהוצאה משימוש.

  • תכונה: קובץ האימג' של מערכת ההפעלה עודכן ל-Ubuntu 22.04. אפליקציית cgroupv2 משמשת עכשיו כהגדרת ברירת המחדל של קבוצת הבקרה.

    • ב-Ubuntu 22.04 נעשה שימוש ב-cgroupv2 כברירת מחדל. מומלץ לבדוק אם אחת מהאפליקציות שלכם ניגשת למערכת הקבצים cgroup. אם כן, צריך לעדכן אותם כדי להשתמש ב-cgroupv2. אלה כמה דוגמאות לאפליקציות שאולי צריך לעדכן כדי לוודא שהן תואמות ל-cgroupv2:
    • סוכני אבטחה וניטור של צד שלישי שתלויים במערכת הקבצים cgroup.
    • אם משתמשים ב-cAdvisor כ-DaemonSet עצמאי למעקב אחרי Pods וקונטיינרים, צריך לעדכן אותו לגרסה v0.43.0 ואילך.
    • אם אתם משתמשים ב-JDK, מומלץ להשתמש בגרסה 11.0.16 ואילך, או בגרסה 15 ואילך. יש תמיכה מלאה ב-cgroupv2 בגרסאות האלה.
    • אם אתם משתמשים בחבילה uber-go/automaxprocs, הקפידו להשתמש בגרסה v1.5.1 ואילך.
    • ב-Ubuntu 22.04, החבילה timesyncd הוסרה. במקום זאת, מעכשיו נעשה שימוש ב-chrony בשירות Amazon Time Sync.
    • מידע נוסף זמין בהערות הגרסה של Ubuntu

  • תכונה: שליחת מדדים של רכיבי מישור הבקרה אל Cloud Monitoring. הוא כולל קבוצת משנה של מדדי Prometheus מ-kube-apiserver,‏ etcd,‏ kube-scheduler ו-kube-controller-manager. שמות המדדים מתחילים בקידומת kubernetes.io/anthos/.

  • תכונה: הופעלה שליחה של מטא-נתונים של משאבי Kubernetes אל Google Cloud Platform, כדי לשפר את ממשק המשתמש ואת מדדי האשכול. כדי שהמערכת תעבד את המטא-נתונים בצורה תקינה, הלקוחות צריכים להפעיל את Config Monitoring for Ops API. אפשר להפעיל את ה-API הזה ב-מסוף Google Cloud או להפעיל את opsconfigmonitoring.googleapis.com API באופן ידני ב-ה-CLI של gcloud. בנוסף, הלקוחות צריכים לבצע את השלבים שמפורטים במסמכי התיעוד בנושא הרשאה ל-Cloud Logging/Monitoring כדי להוסיף את הקישורים הנדרשים ל-IAM. אם רלוונטי, מוסיפים את opsconfigmonitoring.googleapis.com אל רשימת ההיתרים של ה-Proxy.

  • תכונה: נוספה תכונת תצוגה מקדימה ליצירת מאגר צמתים של AWS Spot.

  • תכונה: יצירת מאגרי צמתים באמצעות סוגי מופעים מבוססי ARM‏ (Graviton) זמינה עכשיו לכולם.

  • תכונה: הופעל כיבוי הדרגתי של צומת kubelet. ל-Pods שאינם של המערכת יש 15 שניות לסיום, ולאחר מכן ל-Pods של המערכת (עם מחלקות העדיפות system-cluster-critical או system-node-critical) יש 15 שניות לסיום תקין.

  • תכונה: הפעלנו את התכונה לתיקון אוטומטי של צמתים במצב תצוגה מקדימה. כדי להצטרף לתצוגה המקדימה, צריך לפנות לצוות ניהול החשבון.

  • תכונה: נוספו תגים למשאב של נקודת גישה ל-EFS שנוצר באופן דינמי.

  • תכונה: עכשיו יש ל-Clusters כללים של קבוצות אבטחה ברמת רשתות משנה לכל מאגר צמתים, במקום כללים ברמת VPC

    • בעבר, מישור הבקרה אפשר תעבורה נכנסת מכל טווח כתובות ה-IP הראשי של ה-VPC ביציאות TCP/443 ו-TCP/8123, שמשמשות מאגרי צמתים.
    • עכשיו, מישור הבקרה מצמצם את התנועה הנכנסת המותרת לכל טווח כתובות IP של רשתות המשנה של מאגרי הצמתים ביציאות TCP/443 ו-TCP/8123. כמה מאגרי צמתים יכולים לחלוק רשת משנה אחת.
    • השינוי הזה תומך במאגרי צמתים שפועלים מחוץ לטווח כתובות ה-IP הראשי של ה-VPC, ומשפר את האבטחה של מישור הבקרה.
    • אם הסתמכתם על כלל קבוצת האבטחה ברמת ה-VPC כדי לאפשר תנועה מחוץ לאשכול (למשל מיעד מבוצר (bastion host) ל-kubectl), כחלק מהשדרוג עליכם ליצור קבוצת אבטחה, להוסיף לה כלל ברמת ה-VPC ולצרף את קבוצת האבטחה למישור הבקרה (באמצעות השדה AwsCluster.controlPlane.securityGroupIds).

  • תיקוני באגים: אשכולות שנוצרו לאחרונה משתמשים עכשיו ב-etcd v3.4.21 לשיפור היציבות. באשכולות קיימים מגרסאות קודמות כבר נעשה שימוש ב-etcd v3.5.x, והם לא ישודרגו לאחור ל-v3.4.21 במהלך שדרוג האשכול. במקום זאת, האשכולות האלה ישתמשו ב-v3.5.6.

  • תיקון אבטחה: הגדרת מגבלת הדילוגים של התגובה של האמולטור IMDS ל-1. ההצפנה הזו מאבטחת את התקשורת של נתוני IMDS בין האמולטור לבין עומס עבודה.

‫Kubernetes 1.25

1.25.14-gke.700

הערות לגבי הגרסה של Kubernetes OSS

1.25.13-gke.200

הערות לגבי הגרסה של Kubernetes OSS

1.25.12-gke.500

הערות לגבי הגרסה של Kubernetes OSS * תכונה: הרחבנו את רשימת המדדים שנאספים ממאגרי הצמתים כך שתכלול את ‫gke-metrics-agent,‏ cilium-agent,‏ cilium-operator,‏ coredns, ‫fluentbit-gke,‏ kubelet ו-konnectivity-agent.

1.25.10-gke.1400

הערות לגבי הגרסה של Kubernetes OSS

1.25.10-gke.1200

הערות לגבי הגרסה של Kubernetes OSS

  • תיקוני באגים
    • מגדירים את Cluster Autoscaler כדי לאזן את מספר הצמתים באזורי הזמינות באמצעות ‎--balance-similar-node-groups.
  • תיקוני אבטחה
    • העברנו את סוכן המדדים ואת שרת המדדים של מאגר הצמתים שהועבר אל יציאת kubelet מאומתת.

1.25.8-gke.500

הערות לגבי הגרסה של Kubernetes OSS

  • תיקוני באגים

    • תוקנה בעיה שבה סוכן הרישום צרך כמויות גדולות יותר ויותר של זיכרון.

  • תיקוני אבטחה

1.25.7-gke.1000

הערות לגבי הגרסה של Kubernetes OSS

  • תכונה: נוספו תגים למשאב של נקודת גישה ל-EFS שנוצר באופן דינמי.

  • תיקוני באגים: אשכולות שנוצרו לאחרונה משתמשים עכשיו ב-etcd v3.4.21 לשיפור היציבות. באשכולות קיימים מגרסאות קודמות כבר נעשה שימוש ב-etcd v3.5.x, והם לא ישודרגו לאחור ל-v3.4.21 במהלך שדרוג האשכול. במקום זאת, האשכולות האלה ישתמשו ב-v3.5.6.

1.25.6-gke.1600

הערות לגבי הגרסה של Kubernetes OSS

1.25.5-gke.2000

הערות לגבי הגרסה של Kubernetes OSS * תכונה: עודכן Anthos Identity Service כדי לטפל טוב יותר בבקשות webhook של אימות בו-זמני.

  • תיקון באג: תוקנה בעיה שגרמה לכך ששגיאות מסוימות לא הועברו ולא דווחו במהלך פעולות של יצירה או עדכון של אשכול.
  • תיקון באג: תוקנה בעיה במנהל ההתקן של AWS EFS CSI שבה אי אפשר לתרגם את שמות המארחים של EFS כש-AWS VPC מוגדר לשימוש בשרת DNS בהתאמה אישית.

  • תיקון באג: תוקנה הבעיה שגרמה לכך שהאימות דרך לוח הבקרה של Anthos Service Mesh נכשל בגלל חוסר אפשרות להתחזות למשתמש קצה.

  • תיקוני אבטחה

1.25.5-gke.1500

הערות לגבי הגרסה של Kubernetes OSS

  • בעיה ידועה: בחלק מהממשקים של Google Cloud console אין אפשרות לאשר גישה לאשכול, ויכול להיות שהאשכול יוצג כלא זמין. פתרון עקיף הוא להחיל ידנית RBAC שמאפשר התחזות למשתמש. פרטים נוספים זמינים במאמר בנושא פתרון בעיות.

  • תיקוני אבטחה

1.25.4-gke.1300

הערות לגבי הגרסה של Kubernetes OSS

  • בעיה ידועה: בחלק מהממשקים של Google Cloud console אין אפשרות לאשר גישה לאשכול, ויכול להיות שהאשכול יוצג כלא זמין. פתרון עקיף הוא להחיל ידנית RBAC שמאפשר התחברות זמנית כמשתמש אחר. פרטים נוספים זמינים במאמר בנושא פתרון בעיות.

  • הוצאה משימוש: הוסרו תוספים של נפח אחסון שהוצאו משימוש בתוך העץ: flocker, ‏ quobyte ו-storageos.

  • תכונה: אבטחה משופרת על ידי הגבלת פודים סטטיים שפועלים במכונות וירטואליות של מישור הבקרה של האשכול, כך שהם יפעלו כמשתמשי Linux שאינם משתמשי root.

  • תכונה: נוספה תמיכה בעדכון דינמי של קבוצות אבטחה של מאגר צמתים ב-AWS. כדי לעדכן קבוצות אבטחה, צריכות להיות לכם ההרשאות הבאות בתפקיד ב-API:

    • ec2:ModifyInstanceAttribute
    • ec2:DescribeInstances

  • תכונה: נוספה תמיכה בעדכון דינמי של תגי מאגר הצמתים של AWS. כדי לעדכן תגים של מאגר צמתים, אתם צריכים את ההרשאות הבאות בתפקיד ה-API שלכם:

    • autoscaling:CreateOrUpdateTags
    • autoscaling:DeleteTags
    • ec2:CreateTags
    • ec2:DeleteTags
    • ec2:DescribeLaunchTemplates

  • תכונה: הקצאה דינמית של EFS זמינה עכשיו ב-GA לאשכולות בגרסה 1.25 ואילך. כדי להשתמש בתכונה הזו, צריך להוסיף את ההרשאות הבאות לתפקיד במישור הבקרה:

    • ec2:DescribeAvailabilityZones
    • elasticfilesystem:DescribeAccessPoints
    • elasticfilesystem:DescribeFileSystems
    • elasticfilesystem:DescribeMountTargets
    • elasticfilesystem:CreateAccessPoint
    • elasticfilesystem:DeleteAccessPoint

  • תכונה: העלאה של מדדי עומס עבודה באמצעות שירות מנוהל של Google ל-Prometheus עם איסוף מנוהל ל-Cloud Monarch זמינה עכשיו ב-GA.

  • תכונה: נוספה תמיכה בהפעלה ובעדכון של איסוף מדדים של CloudWatch בקבוצת Auto Scaling של מאגר צמתים ב-AWS. כדי להפעיל או לעדכן את איסוף המדדים באמצעות API ליצירה או לעדכון, צריך להוסיף את ההרשאות הבאות לתפקיד ה-API:

    • autoscaling:EnableMetricsCollection
    • autoscaling:DisableMetricsCollection

  • תכונה: Azure AD GA. התכונה הזו מאפשרת לאדמינים של אשכולות להגדיר מדיניות RBAC על סמך קבוצות Azure AD להרשאה באשכולות. התמיכה הזו מאפשרת לאחזר מידע על קבוצות של משתמשים ששייכים ליותר מ-200 קבוצות, וכך להתגבר על מגבלה של OIDC רגיל שהוגדר עם Azure AD כספק הזהויות.

  • תכונה: נוסף מנהל אסימונים חדש (gke-token-manager) ליצירת אסימונים לרכיבי מישור הבקרה, באמצעות מפתח החתימה של חשבון השירות. יתרונות:

    1. ביטול התלות ב-kube-apiserver לצורך אימות רכיבי מישור הבקרה בשירותי Google. בעבר, רכיבי מישור הבקרה השתמשו ב-TokenRequest API והסתמכו על kube-apiserver תקין. לעומת זאת, עכשיו רכיב gke-token-manager יוצר את האסימונים ישירות באמצעות מפתח החתימה של חשבון השירות.
    2. ביטול ה-RBAC ליצירת טוקן לרכיבי מישור הבקרה.
    3. מבטלים את הקישור בין הרישום ביומן לבין kube-apiserver. כדי שהרישום יתבצע לפני שה-kube-apiserver יפעל.
    4. שיפור העמידות של מישור הבקרה. כש-kube-apiserver לא פועל, רכיבי מישור הבקרה עדיין יכולים לקבל את האסימונים ולהמשיך לפעול.

  • תכונה: כחלק מגרסת טרום-השקה (Preview), אפשר להטמיע מגוון מדדים מרכיבי מישור הבקרה ב-Cloud Monitoring, כולל kube-apiserver, ‏ etcd,‏ kube-scheduler ו-kube-controller-manager.

  • תכונה: משתמשים בקבוצת Google יכולים לגשת לאשכולות AWS באמצעות Connect Gateway על ידי מתן הרשאת RBAC הנדרשת לקבוצה. פרטים נוספים זמינים במאמר בנושא הגדרת שער Connect באמצעות קבוצות Google.

  • תיקון באג: תוקנה בעיה שיכולה לגרום לכך שגרסאות מיושנות של gke-connect-agent לא יוסרו אחרי שדרוגים של אשכולות.

  • תיקוני אבטחה

‫Kubernetes 1.24

1.24.14-gke.2700

הערות לגבי הגרסה של Kubernetes OSS

1.24.14-gke.1400

הערות לגבי הגרסה של Kubernetes OSS

  • תיקוני באגים
    • מגדירים את Cluster Autoscaler כדי לאזן את מספר הצמתים באזורי הזמינות באמצעות ‎--balance-similar-node-groups.

1.24.13-gke.500

הערות לגבי הגרסה של Kubernetes OSS

  • תיקוני באגים

    • תוקנה בעיה שבה סוכן הרישום צרך כמויות גדולות יותר ויותר של זיכרון.

  • תיקוני אבטחה

1.24.11-gke.1000

הערות לגבי הגרסה של Kubernetes OSS

  • תיקוני באגים: אשכולות שנוצרו לאחרונה משתמשים עכשיו ב-etcd v3.4.21 לשיפור היציבות. באשכולות קיימים מגרסאות קודמות כבר נעשה שימוש ב-etcd v3.5.x, והם לא ישודרגו לאחור ל-v3.4.21 במהלך שדרוג האשכול. במקום זאת, האשכולות האלה ישתמשו ב-v3.5.6.

1.24.10-gke.1200

הערות לגבי הגרסה של Kubernetes OSS

  • תיקון באג: תוקנה בעיה שיכולה לגרום לשדרוגי אשכול להיכשל אם נרשמו סוגים מסוימים של ווּבְּהוּקים (webhooks) של אימות קבלה.
  • תיקון באג: תוקנה ההפצה של מזהה האבטחה של Cilium כך שהמזהים מועברים בצורה תקינה בכותרת של המנהרה כשבקשות מועברות לשירותים מסוג NodePort ו-LoadBalancer.
  • תיקוני אבטחה

1.24.9-gke.2000

הערות לגבי הגרסה של Kubernetes OSS

  • תכונה: עודכן Anthos Identity Service כדי לטפל טוב יותר בבקשות webhook של אימות בו-זמני.

  • תיקון באג: תוקנה בעיה שגרמה לכך ששגיאות מסוימות לא הועברו ולא דווחו במהלך פעולות של יצירה או עדכון של אשכול.

  • תיקוני אבטחה

1.24.9-gke.1500

הערות לגבי הגרסה של Kubernetes OSS

1.24.8-gke.1300

הערות לגבי הגרסה של Kubernetes OSS

1.24.5-gke.200

הערות לגבי הגרסה של Kubernetes OSS

1.24.3-gke.2200

הערות לגבי הגרסה של Kubernetes OSS

  • תיקון באג: תוקן באג שבו יצירה של משאב Kubernetes Service עם הסוג LoadBalancer וההערה service.beta.kubernetes.io/aws-load-balancer-type: nlb, הייתה נשארת עם קבוצת יעד ריקה. פרטים נוספים זמינים בכתובת https://github.com/kubernetes/cloud-provider-aws/issues/301

1.24.3-gke.2100

הערות לגבי הגרסה של Kubernetes OSS

  • תכונה: העלאת מדדי משאבים ב-Kubernetes ל-Google Cloud Monitoring עבור מאגרי צמתים של Windows.
  • תכונה: הוספנו webhook להזרקה קלה של אמולטור IMDS.
  • תכונה: החל מ-go1.18, המערכת מפסיקה לקבל כברירת מחדל אישורים שנחתמו באמצעות אלגוריתם הגיבוב SHA-1. כברירת מחדל, בגרסה 1.24, וווב-הוקים של קבלה/המרה או נקודות קצה של שרתים מצטברים שמשתמשים באישורים לא מאובטחים כאלה יפסיקו לפעול. משתנה הסביבה GODEBUG=x509sha1=1 מוגדר באשכולות Anthos ב-AWS כפתרון זמני כדי לאפשר לאישורים הלא מאובטחים האלה להמשיך לפעול. עם זאת, הצוות של Go צפוי להסיר את התמיכה בפתרון העקיף הזה בגרסאות הקרובות. לפני שמשדרגים לגרסה הבאה שכוללת שינויים שעלולים לשבור תאימות לאחור, הלקוחות צריכים לבדוק ולוודא שאין webhooks של כניסה או המרה או נקודות קצה של שרתים מצטברים שמשתמשים באישורים לא מאובטחים כאלה.
  • תכונה:‫GKE ב-AWS תומך עכשיו בהקצאת נפח דינמית של EFS במצב טרום-השקה, לאשכולות Kubernetes בגרסה 1.24 ואילך. כדי להשתמש בתכונה הזו, צריך להוסיף את ההרשאות הבאות לתפקיד במישור הבקרה: ec2:DescribeAvailabilityZones elasticfilesystem:DescribeAccessPoints elasticfilesystem:DescribeFileSystems elasticfilesystem:DescribeMountTargets elasticfilesystem:CreateAccessPoint elasticfilesystem:DeleteAccessPoint

  • תכונה: שיפור הבדיקות של קישוריות הרשת במהלך יצירת אשכולות ומאגרי צמתים כדי לעזור בפתרון בעיות.

  • תכונה: תמיכה בעדכונים בתגים של מישור הבקרה של AWS. כדי לעדכן תגים, צריך להוסיף את ההרשאות הבאות לתפקיד ב-API – autoscaling:CreateOrUpdateTags autoscaling:DeleteTags ec2:CreateTags ec2:DescribeLaunchTemplates ec2:DescribeSecurityGroupRules ec2:DeleteTags elasticloadbalancing:AddTags elasticloadbalancing:RemoveTags

  • תכונה: העלאת מדדי עומס עבודה באמצעות שירות מנוהל ל-Prometheus של Google אל Cloud Monarch זמינה כגרסת טרום-השקה פרטית בהזמנה בלבד.

  • תיקוני אבטחה

‫Kubernetes 1.23

1.23.16-gke.2800

הערות לגבי הגרסה של Kubernetes OSS

1.23.16-gke.200

הערות לגבי הגרסה של Kubernetes OSS

  • תיקון באג: תוקנה בעיה שגרמה לכך ששגיאות מסוימות לא הועברו ולא דווחו במהלך פעולות של יצירה או עדכון של אשכול.

  • תיקון באגים: תוקנו בעיות ב-cpp-httplib שגרמו לכך ששרת kubeapi לא הצליח להגיע ל-AIS.

  • תיקוני אבטחה

1.23.14-gke.1800

הערות לגבי הגרסה של Kubernetes OSS

1.23.14-gke.1100

הערות לגבי הגרסה של Kubernetes OSS

1.23.11-gke.300

הערות לגבי הגרסה של Kubernetes OSS

1.23.9-gke.2200

הערות לגבי הגרסה של Kubernetes OSS

  • תיקון באג: תוקן באג שבו יצירה של משאב Kubernetes Service עם הסוג LoadBalancer וההערה service.beta.kubernetes.io/aws-load-balancer-type: nlb, הייתה נשארת עם קבוצת יעד ריקה. פרטים נוספים זמינים בכתובת https://github.com/kubernetes/cloud-provider-aws/issues/301

1.23.9-gke.2100

הערות לגבי הגרסה של Kubernetes OSS

1.23.9-gke.800

הערות לגבי הגרסה של Kubernetes OSS

1.23.8-gke.1700

הערות לגבי הגרסה של Kubernetes OSS

1.23.7-gke.1300

הערות לגבי הגרסה של Kubernetes OSS

  • תכונה: השבתה של נקודת הקצה של יצירת פרופילים (/debug/pprof) כברירת מחדל ב-kube-scheduler וב-kube-controller-manager.

  • תכונה: עדכון של kube-apiserver ו-kubelet כך שישתמשו רק בצפנים קריפטוגרפיים חזקים. הצפנות נתמכות שמשמשות את Kubelet:

    TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256, TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256, TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305, TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384, TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305, TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384, TLS_RSA_WITH_AES_256_GCM_SHA384, TLS_RSA_WITH_AES_128_GCM_SHA256

    הצפנות הנתמכות שמשמשות את kube api-server:

    TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384, TLS_CHACHA20_POLY1305_SHA256, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384, TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305, TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256, TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384, TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305, TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256, TLS_RSA_WITH_3DES_EDE_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_128_GCM_SHA256, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_AES_256_GCM_SHA384

  • תכונה: הוספת אמולטור של שרת מטא-נתונים של מכונה (IMDS).

  • תיקוני אבטחה

‫Kubernetes 1.22

1.22.15-gke.100

הערות לגבי הגרסה של Kubernetes OSS

1.22.12-gke.2300

הערות לגבי הגרסה של Kubernetes OSS

1.22.12-gke.1100

הערות לגבי הגרסה של Kubernetes OSS

1.22.12-gke.200

הערות לגבי הגרסה של Kubernetes OSS

1.22.10-gke.1500

הערות לגבי הגרסה של Kubernetes OSS

1.22.8-gke.2100

הערות לגבי הגרסה של Kubernetes OSS

  • תכונה: צמתי Windows משתמשים עכשיו ב-pigz כדי לשפר את הביצועים של חילוץ שכבות תמונה.

1.22.8-gke.1300

  • תיקוני באגים
    • תוקנה בעיה שבה אי אפשר להחיל תוספים כשמאופשרים מאגרי צמתים של Windows.
    • תוקנה בעיה שבה סוכן הרישום יכול היה למלא את נפח האחסון של הדיסק המצורף.
  • תיקוני אבטחה
    • תוקן CVE-2022-1055.
    • תוקן CVE-2022-0886.
    • תוקן CVE-2022-0492.
    • תוקן CVE-2022-24769.
    • הגרסה הזו כוללת את השינויים הבאים בבקרת גישה מבוססת-תפקידים (RBAC):
    • הצטמצמו ההרשאות של anet-operator לעדכון השכרה.
    • הצטמצם היקף ההרשאות של anetd Daemonset לצמתים ולתאים.
    • הצטמצמו ההרשאות של fluentbit-gke באסימונים של חשבון השירות.
    • היקף ההרשאות צומצם gke-metrics-agent עבור טוקנים של חשבונות שירות.
    • הגדרת הרשאות coredns-autoscaler בהיקף מצומצם עבור Nodes, ‏ ConfigMaps ו-Deployments.

1.22.8-gke.200

הערות לגבי הגרסה של Kubernetes OSS

  • תכונה: סוג ברירת המחדל של המכונה הווירטואלית לאשכולות ולמאגרי צמתים שנוצרו ב-Kubernetes v1.22 הוא עכשיו m5.large במקום t3.medium.
  • תכונה: כשיוצרים אשכול חדש באמצעות Kubernetes גרסה 1.22, אפשר עכשיו להגדיר פרמטרים מותאמים אישית לרישום ביומן.
  • תכונה: כחלק מתכונות בגרסת טרום-השקה, עכשיו אפשר לבחור ב-Windows כסוג התמונה של מאגר הצמתים כשיוצרים מאגרי צמתים עם Kubernetes בגרסה 1.22.
  • תכונה: עכשיו אפשר להגדיר מכונות מארחות כמארחים ייעודיים. התכונה הזו זמינה כגרסת Preview.
  • תכונה: עכשיו אפשר לראות את שגיאות האתחול הנפוצות ביותר של אשכולים ושל מאגרי צמתים אסינכרוניים בשדה השגיאות של פעולות ארוכות טווח. מידע נוסף מופיע במאמרי העזרה בנושא gcloud container aws operations list.
  • תיקוני אבטחה

‫Kubernetes 1.21

1.21.14-gke.2900

הערות לגבי הגרסה של Kubernetes OSS

1.21.14-gke.2100

הערות לגבי הגרסה של Kubernetes OSS

1.21.11-gke.1900

הערות לגבי הגרסה של Kubernetes OSS

1.21.11-gke.1800

הערות לגבי הגרסה של Kubernetes OSS

1.21.11-gke.1100

  • תיקוני אבטחה
    • תוקן CVE-2022-1055.
    • תוקן CVE-2022-0886.
    • תוקן CVE-2022-0492.
    • תוקן CVE-2022-24769.
    • תיקונים ב-RBAC:
    • צמצמנו את ההרשאות של anet-operator לעדכון של Lease.
    • הצטמצם היקף ההרשאות של anetd Daemonset לצמתים ולתאים.
    • הגדרנו הרשאות מצומצמות יותר ל-fluentbit-gke עבור אסימוני חשבון שירות.
    • הצטמצם היקף ההרשאות של gke-metrics-agent לאסימונים של חשבון השירות.
    • הצטמצם היקף ההרשאות של coredns-autoscaler עבור Nodes, ‏ ConfigMaps ו-Deployments.

1.21.11-gke.100

הערות לגבי הגרסה של Kubernetes OSS

1.21.6-gke.1500

הערות לגבי הגרסה של Kubernetes OSS

1.21.5-gke.2800

הערות לגבי הגרסה של Kubernetes OSS