全部產品
Search
文件中心

Container Service for Kubernetes:ACK發布Kubernetes 1.30版本說明

更新時間:Sep 13, 2024

阿里雲Container Service for Kubernetes嚴格遵循社區一致性認證。本文介紹ACK發布Kubernetes 1.30版本的主要變更說明,包括升級注意事項、重大變更、功能特性、棄用功能和API、特性門控等。

組件版本說明

下表為ACK叢集核心組件版本的支援情況。

核心組件

版本號碼

Kubernetes

1.30.1-aliyun.1

etcd

v3.5.9

containerd

1.6.28

CoreDNS

v1.9.3.10-7dfca203-aliyun

CSI

v1.30.1-98960d8-aliyun

CNI

Flannel v0.15.1.22-20a397e6-aliyun

Terway和TerwayControlplane為v1.9.0及以上

說明

自v1.30起,建立叢集並選擇Terway NetworkPolicy時,NetworkPolicy的實現由eBPF提供。升級叢集、升級組件均不會改變已有行為。更多資訊,請參見在ACK叢集使用網路原則

升級注意事項

類別

注意事項

解決方案

作業系統(OS)

不再支援使用CentOS和Alibaba Cloud Linux 2作為節點池作業系統。更多資訊,請參見【產品變更】停止維護Alibaba Cloud Linux 2、CentOS 7的公告

您可以通過升級節點池的方式更換節點池的作業系統。具體操作及相關注意事項,請參見升級節點池

推薦您使用阿里雲官方作業系統ContainerOS以及Alibaba Cloud Linux 3

kube-proxy組件

在v1.29之後的版本中,kube-proxy更新了conntrack_max值的配置方式,會基於kube-proxy的配置和節點的CPU Core數量來計算和更新節點的conntrack_max值。在v1.23~1.28中,kube-proxy不會覆蓋叢集管理員手動設定的conntrack值。升級至v1.29後,kube-proxy可能會基於其新邏輯自動調低conntrack值。更多資訊,請參見#120448

如果曾自訂修改過conntrack值,請在升級前將nf_conntrack_max等配置設定到kube-proxy的ConfigMap中,以避免被覆蓋。具體操作,請參見如何提升Linux串連跟蹤Conntrack數量限制?

如果需要檢查是否修改過sysctl值,可啟用叢集巡檢功能進行檢查。更多資訊,請參見使用叢集巡檢

功能特性

在Kubernetes 1.29版本

  • PreStop Hook新增一種休眠(Sleep)模式,允許在容器實際被終止前暫停一段指定的時間,以等待尚未完成的處理或者網路請求。更多資訊,請參見KEP-3960: Introducing Sleep Action for PreStop Hook

  • SidecarContainers進入Beta,預設啟用。此功能允許將init容器的restartPolicy設定為Always,使之成為一個Sidecar容器,支援獨立啟動、停止或重啟,且不會影響主應用程式容器和其他Init容器。更多資訊,請參見Sidecar Containers

  • 新增ServiceCIDR資源類型,允許動態配置叢集中Service ClusterIP地址的分配範圍。該特性處於Alpha階段,預設禁用。關於允許動態擴充Service可用IP數量的更多資訊,請參見KEP-1880: Multiple Service CIDRs

  • PVC (Persistent Volume Claim) 和Container的API使用相同的ResourceRequirements結構體來定義資源requestslimits。這導致當Container的resources結構發生變化時,例如新增了claims欄位,會導致PVC的API也隨之改變。因此,PVC改用獨立的VolumeResourceRequirements結構體,其中僅包含requestslimits,不包含claims。更多資訊,請參見Volume resource requirements

  • PodReadyToStartContainers特性進入Beta,預設啟用。此特性表示Pod的沙箱(Sandbox)環境已經成功建立(容器運行時環境已就緒),且網路設定已完成,便於kubelet瞭解Pod狀態。更多資訊,請參見Pod conditions

  • PodAffinity和PodAntiAffinity新增支援matchLabelKeys和mismatchLabelKeys,以解決調度器在Deployment變換期間無法區分新老Pod,繼而導致調度結果不符合親和性和反親和性預期的問題。配置PodAffinity的matchLabelKeys時,Deployment會為ReplicaSet添加pod-template-hash標籤,讓Deployment的每個Pod都帶有相應的雜湊字串,來告知調度器僅對帶有相同pod-template-hash值的Pod進行評估,便於區分同一批次更新的Pod。更多資訊,請參見KEP-3633

  • 除核心Kubernetes API資源外,ValidatingAdmissionPolicy類型檢查新增支援CRD和API Extension類型,有助於確保策略的可靠性和叢集配置的正確性。更多資訊,請參見type-checking

  • 新增UserNamespacesPodSecurityStandards特性門控,支援將使用者命名空間(User Namespace)整合到Pod安全標準中。當此特性門控開啟時,支援在Pod的安全上下文中以非root使用者或指定使用者身份運行容器。該特性門控當前為Alpha階段,預設為false,未來可能會一直處於false狀態。更多資訊,請參見KEP-127: Update PSS based on feature gate

  • 針對節點對象,新增DisableNodeKubeProxyVersion特性門控,棄用status.nodeInfo.kubeProxyVersion欄位,即在Kubernetes中禁用設定Node端的kubeProxyVersion欄位。kubelet並不一定能夠準確識別kube-proxy的版本,該欄位不一定準確。此特性門控當前為Alpha階段,預設為false。

  • JobBackoffLimitPerIndex特性門控進入Beta,預設為true。此特性門控允許在索引作業(Indexed Job)中指定每個索引(Index)的最大重試次數。關於索引作業的更多資訊,請參見使用索引作業完成靜態工作分配下的平行處理

在Kubernetes 1.30版本

  • ImageMaximumGCAge允許kubelet配置對未使用鏡像被記憶體回收前的最大存活時間,即在達到指定時間後若鏡像仍然未被使用,那麼鏡像將可被垃圾收集機制清理。預設值為"0s",即不設定時間限制。該特性門控在v1.29進入Alpha,v1.30進階至Beta。

  • kubelet新增監控指標image_pull_duration_seconds,用於跟蹤鏡像拉取時間。更多資訊,請參見Alpha階段的Kubernetes指標清單

  • LegacyServiceAccountTokenCleanUp特性門控進階至GA,預設啟用。如果ServiceAccount關聯的自動產生的Secret在特定時間內(預設為一年)未被使用,且沒有被任何Pod掛載,kube-controller-manager將向Secret添加kubernetes.io/legacy-token-invalid-since標籤,值為當前日期,標記Secret為無效。如果Secret自標記為無效開始,在特定時間(預設為一年)依舊未被使用,將會被kube-controller-manager自動清理。對於被打上失效標籤但未被自動移除的Secret,可以通過移除kubernetes.io/legacy-token-invalid-since標籤使其重新生效。更多資訊,請參見Auto-generated legacy ServiceAccount token clean upLegacy ServiceAccount token cleaner

  • 在v1.30中,在kube-proxy--nodeport-addresses未設定的情況下(預設未設定),NodePort類型的Service更新將僅更新節點的主要IP(Primary Node IP),而非節點的所有IP。更多資訊,請參見#122724

  • 為了防止配置衝突和安全問題,OIDC Issuer URL不允許和API Server ServiceAccount Issuer URL配置相同的參數。更多資訊,請參見#123561

  • LoadBalancerIPMode特性門控允許為類型為LoadBalancer的Service新增.status.loadBalancer.ingress.ipMode欄位,用於指定負載平衡器IP的轉寄行為。該欄位僅在指定了.status.loadBalancer.ingress.ip欄位時才能被指定。LoadBalancerIPMode特性門控進入Beta。更多資訊,請參見Specifying IPMode of load balancer statusLoad Balancer IP Mode for Services

  • 基於ContainerResource指標的Pod水平自動擴縮容(HorizontalPodAutoscaler,HPA)在v1.30中升級為Stable。這一新行為允許HPA根據Pod中各個容器的資源使用方式來配置自動調整,而不僅是Pod的整體資源使用方式,便於為在Pod中最重要的容器配置擴縮容閾值。更多資訊,請參見Container resource metrics

  • AdmissionWebhookMatchConditions特性門控進階至GA,預設啟用,不可禁用。此特性門控允許對準入Webhook支援根據特定的條件進行匹配,更細粒度地控制Webhook的觸發條件。更多資訊,請參見Dynamic Admission Control

  • 新增JobSuccessPolicy特性門控,允許基於一組成功的Pod來聲明這組Pod所屬的Job已經成功完成。成功策略中可以指定某些索引(例如索引Pod x、y、z),或索引數量(例如一組索引中的3個Pod),來聲明Job是否成功完成。該特性門控處於Alpha階段。更多資訊,請參見Job success/completion policy

  • 新增RelaxedEnvironmentVariableValidation特性門控,允許在環境變數中使用絕大部分可列印的ASCII字元(範圍為32至126的所有字元,除=外)。該特性門控處於Alpha階段,預設禁用。更多資訊,請參見#123385

  • 新增CustomResourceFieldSelectors特性門控,支援對CRD配置selectableFields,以便使用Field Selectors過濾List、Watch和DeleteCollection請求,更便於定位或管理符合特定條件的CRD資源。該特性門控處於Alpha階段,預設禁用。更多資訊,請參見Custom Resource Field Selectors

  • CRDValidationRatcheting特性門控帶來了更新:當CRD添加新的驗證時,即使因此導致存量資源在更新後無效,但只要未通過驗證的部分並沒有更新,API Server便不會攔截資源的更新,不影響現有的資源和使用者。這有助於將CRD遷移使用OpenAPI v3 schemas時進行合法性檢查,安全地更新新的驗證規則。此特性門控進入Beta,預設啟用。更多資訊,請參見CRD Validation ratcheting

  • Downward API使用status.hostIPs欄位支援雙重堆疊,即同時支援IPv4和IPv6。status.hostIPs的列表中的第一個IP地址始終與status.hostIP相同。更多資訊,請參見Downward API

  • NodeLogQuery特性門控允許使用/logs端點查詢節點服務的日誌。該特性門控進階至Beta,預設為false。更多資訊,請參見日誌查詢

棄用功能

在Kubernetes 1.29版本

  • CronJob不支援在.spec.schedule配置CRON_TZ或者TZ,使用.spec.timeZone欄位代替(該欄位自v1.25可用)。更多資訊,請參見CronJob的限制

  • 移除尚處於Alpha階段且有爭議的networking/v1alpha1 API ClusterCIDR。

在Kubernetes 1.30版本

  • kubectl apply命令移除--prune-whitelist參數,建議使用--prune-allowlist代替。更多資訊,請參見--prune

  • 准入外掛程式SecurityContextDeny自v1.27開始棄用,在v1.30從代碼中移除。建議使用PodSecurity准入外掛程式代替,該外掛程式自v1.25版本進入Stable,預設啟用。更多資訊,請參見PodSecurity

棄用API

flowcontrol.apiserver.k8s.io/v1beta2 API版本的FlowSchema和PriorityLevelConfiguration在v1.29被廢棄。建議使用flowcontrol.apiserver.k8s.io/v1 API版本(自v1.29開始可用),或 flowcontrol.apiserver.k8s.io/v1beta3 API版本(自v1.26起可用)。

  • flowcontrol.apiserver.k8s.io/v1中的顯著變更包括:

    PriorityLevelConfiguration的spec.limited.assuredConcurrencyShares欄位已被重新命名為 spec.limited.nominalConcurrencyShares,僅在未指定時預設為30,並且顯式值0不會更改為30。

  • flowcontrol.apiserver.k8s.io/v1beta3中的顯著變更包括:

    PriorityLevelConfiguration的spec.limited.assuredConcurrencyShares欄位已被更名為 spec.limited.nominalConcurrencyShares

特性門控

關於Kubernetes支援的特性門控及特性門控的版本支援情況、功能介紹等,請參見Feature Gates

特性門控一般有三個階段:

  • Alpha階段:預設禁用。

  • Beta階段:通常預設啟用。

  • GA階段:一直預設啟用,且不能禁用,不再需要相應的特性門控。

參考連結

關於Kubernetes 1.29和1.30完整的變更記錄,請參見CHANGELOG-1.29CHANGELOG-1.30