Les vulnérabilités CVE présentes dans le système d'exploitation (OS) d'un nœud peuvent entraîner des fuites de données et des interruptions de service, menaçant ainsi la stabilité, la sécurité et la conformité de votre cluster. Activez la fonctionnalité de correction des vulnérabilités CVE du système d'exploitation pour analyser les nœuds à la recherche de failles de sécurité, recevoir des recommandations de correctifs et appliquer rapidement les réparations depuis la console.
Prérequis
Pour utiliser cette fonctionnalité, vous devez souscrire à Security Center Ultimate ou acheter la fonctionnalité correctif de vulnérabilité (paiement à l'utilisation).
Notes d'utilisation
Security Center garantit la compatibilité des correctifs CVE. Toutefois, il vous incombe de vérifier la compatibilité de vos applications de cluster avec ces correctifs. En cas de problème lors de la correction des vulnérabilités, interrompez ou annulez la tâche à tout moment.
-
Si la correction d'une vulnérabilité CVE nécessite un redémarrage du nœud, ACK draine le nœud avant de le redémarrer.
-
Utilisation des ressources du cluster : L'utilisation des ressources du cluster ne doit pas être excessivement élevée. Assurez-vous qu'il reste suffisamment d'espace pour allouer des pods lors des opérations de vidage.
Afin de garantir la haute disponibilité de votre cluster, nous vous recommandons d'augmenter la capacité du pool de nœuds en ajoutant davantage de nœuds avant d'activer cette fonctionnalité. Pour plus d'informations, consultez la rubrique Mettre à l'échelle manuellement un pool de nœuds.
Contraintes PodDisruptionBudget (PDB) : Si une PDB est configurée, assurez-vous que le cluster dispose de suffisamment de ressources pour l'opération de vidage et que le nombre de réplicas de pod respecte l'exigence minimale de disponibilité définie dans la PDB. Le nombre de réplicas de pod doit être supérieur à
spec.minAvailable. Si cette règle PDB n'est pas nécessaire, supprimez-la.Arrêt des pods : Assurez-vous que les conteneurs d'un pod peuvent gérer correctement le signal TERM (SIGTERM). Cela évite qu'un pod ne parvienne pas à s'arrêter dans son délai de grâce, ce qui entraînerait l'échec de l'opération de vidage.
Délai maximal de vidage : Le délai maximal pour une opération de vidage est d'une heure. Si l'opération de vidage n'est pas terminée dans ce délai, ACK arrête les opérations suivantes.
-
Lors de la correction d'une vulnérabilité CVE nécessitant un redémarrage du nœud, si les nœuds cibles incluent des nœuds GPU, nous vous recommandons plutôt de mettre à niveau le noyau manuellement. Cela permet d'éviter d'éventuels problèmes de compatibilité des pilotes GPU. Pour plus d'informations, consultez la rubrique Mettre à niveau manuellement le noyau d'un nœud GPU dans un cluster existant.
Les tâches de correction des vulnérabilités CVE sont exécutées par lots. Si vous interrompez ou annulez une tâche, les lots déjà en cours se poursuivront jusqu'à leur achèvement. Les lots en attente seront mis en pause ou annulés.
Les tâches de correction des vulnérabilités CVE s'exécutent dans la fenêtre de maintenance configurée pour le cluster. Si une tâche dépasse la fenêtre de maintenance, elle est automatiquement annulée. Les lots déjà en cours se poursuivront jusqu'à leur achèvement, tandis que les lots en attente seront annulés.
Une seule tâche de correction des vulnérabilités CVE peut s'exécuter à la fois dans un pool de nœuds.
-
Si le système d'exploitation est ContainerOS, nous vous recommandons de corriger les vulnérabilités CVE en mettant à niveau le système d'exploitation. La fonctionnalité de correction des vulnérabilités CVE est prise en charge uniquement sur ContainerOS 3.2 et 3,3.
Pour plus d'informations sur les versions de ContainerOS, consultez les notes de publication des images ContainerOS .
Si vous modifiez la fenêtre de maintenance, tous les plans de correction des vulnérabilités CVE planifiés sont annulés. De nouveaux plans seront programmés ultérieurement.
Procédure
Correction automatique des CVE du système d'exploitation
Les pools de nœuds gérés offrent des fonctionnalités O&M automatisées pour réparer automatiquement les vulnérabilités CVE du système d'exploitation. Lorsqu'elle est activée, cette fonctionnalité permet à ACK de planifier et d'exécuter un plan de réparation basé sur des règles de tâches globales. Les réparations automatiques sont effectuées dans la fenêtre de maintenance configurée. Étant donné qu'ACK déploie les correctifs de manière progressive, le moment exact où un correctif est appliqué à un pool de nœuds vulnérable peut être retardé en fonction de facteurs tels que la région.
À partir du 5 août 2025, les paramètres liés à la politique de correction automatique des vulnérabilités CVE seront ajustés. Pour plus d'informations, consultez la rubrique Modification 3 : Ajustements des paramètres liés à la politique de correction automatique des vulnérabilités de sécurité .
Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.
Sur la page Clusters, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur .
-
Dans la colonne Actions du pool de nœuds cible, cliquez sur
puis sélectionnez Enable Managed Node Pool (pour un pool de nœuds standard) ou Configure Managed Node Pool (pour un pool de nœuds géré). Définissez le mode Configure Managed Node Pool sur Managed Node Pool, puis sélectionnez les niveaux de gravité des vulnérabilités CVE à corriger automatiquement.Cette fonctionnalité est fournie par Security Center et nécessite un abonnement Enterprise ou supérieur. ACK ne facture pas de frais supplémentaires. Pour Security Vulnerability Patching Level, vous pouvez sélectionner Critical, Medium ou Low.
Lorsqu'une vulnérabilité de sécurité est détectée dans le noyau Linux, vous devez généralement mettre à niveau le package du noyau et redémarrer le nœud. En raison des risques élevés pour la stabilité liés à ces opérations, ACK ignore par défaut la correction des vulnérabilités de sécurité du noyau. Nous vous recommandons de gérer ces vulnérabilités manuellement en changeant le système d'exploitation ou en suivant les étapes décrites dans la rubrique Correction manuelle des vulnérabilités CVE du système d'exploitation.
Si vous souhaitez tout de même corriger automatiquement les vulnérabilités du noyau, soumettez un ticket pour demander cette modification.
Correction manuelle des CVE du système d'exploitation
Vous pouvez également corriger manuellement les vulnérabilités CVE.
Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.
Sur la page Clusters, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur .
Sur la page Node Pools, localisez le pool de nœuds que vous souhaitez gérer. Dans la colonne Actions, cliquez sur
et sélectionnez CVE Patching (OS) .-
Dans la zone Vulnerabilities, sélectionnez les vulnérabilités à corriger. Dans la zone Instance, sélectionnez les instances à corriger. Configurez la Batch Repair Policy et cliquez sur Start Repair. Suivez ensuite les instructions affichées à l'écran.
La politique de réparation par lots comprend les paramètres suivants :
Maximum Parallel Nodes per Batch : Les nœuds sont corrigés pour les vulnérabilités CVE par lots. Le nombre de nœuds par lot double à chaque lot (1, 2, 4, 8, etc.) jusqu'à atteindre le maximum spécifié. Tous les lots suivants utilisent ensuite ce nombre maximal. Par exemple, si vous définissez le maximum sur 4, le premier lot corrige 1 nœud, le deuxième en corrige 2, et le troisième ainsi que tous les suivants en corrigent 4.
Dry Run Mode : Si vous activez ce mode, ACK simule le processus de correction et génère un rapport sans appliquer réellement les correctifs aux vulnérabilités.
Étapes suivantes
Une fois la tâche de correction démarrée, vous pouvez la contrôler en cliquant sur Pause, Continue ou Cancel.