Container Service for Kubernetes:Patch OS CVE vulnerabilities for node pools

Prérequis

Avant d'utiliser cette fonctionnalité, souscrivez à l'édition Ultimate de Security Center ou achetez le service de correction des vulnérabilités (paiement à l'utilisation).

Notes d'utilisation

• Security Center garantit la compatibilité des correctifs CVE. Toutefois, vérifiez la compatibilité de vos applications de cluster avec ces correctifs. En cas de problème lors de la correction, interrompez ou annulez la tâche à tout moment.

• Si la correction d'une vulnérabilité CVE nécessite un redémarrage du nœud, Container Service for Kubernetes (ACK) draine le nœud avant de le redémarrer.

  • Utilisation des ressources du cluster : assurez-vous que l'utilisation des ressources du cluster n'est pas excessivement élevée. Vérifiez qu'il existe une capacité suffisante pour replanifier les pods provenant du nœud drainé.

    Pour garantir une haute disponibilité, augmentez la taille du pool de nœuds en ajoutant un nombre suffisant de nœuds avant de commencer la correction. Pour plus d'informations, consultez la rubrique Mettre à l'échelle manuellement un pool de nœuds.

  • Contraintes PDB : si vous avez configuré un PodDisruptionBudget (PDB), vérifiez que votre cluster dispose de suffisamment de ressources pour l'opération de vidage et que le nombre de réplicas de pod respecte la disponibilité minimale définie par le PDB. Le nombre de réplicas de pod doit dépasser spec.minAvailable. Si cette règle PDB n'est plus nécessaire, supprimez-la.

  • Arrêt des pods : assurez-vous que les conteneurs au sein d'un pod peuvent gérer correctement le signal TERM (SIGTERM). Cela évite l'échec de l'arrêt du pod pendant sa période de grâce, ce qui entraînerait l'échec de l'opération de vidage.

  • Délai d'expiration maximal du vidage : le délai d'expiration maximal pour une opération de vidage est d'une heure. Si le vidage ne se termine pas dans ce délai, ACK abandonne toutes les opérations suivantes.

• Lorsque vous appliquez des correctifs aux vulnérabilités CVE nécessitant un redémarrage sur des nœuds accélérés par GPU, nous vous recommandons de mettre à niveau manuellement le noyau à la place. Cela permet d'éviter d'éventuels problèmes de compatibilité avec les pilotes GPU. Pour obtenir des instructions, consultez la rubrique Comment mettre à niveau manuellement le noyau sur un nœud accéléré par GPU dans un cluster existant.

• Les tâches de correction des vulnérabilités CVE sont exécutées par lots. Si vous interrompez ou annulez une tâche, les lots déjà distribués s'exécuteront jusqu'à leur terme. Les lots non encore distribués seront mis en pause ou annulés.

• Les tâches de correction des vulnérabilités CVE s'exécutent dans la fenêtre de maintenance configurée pour le cluster. Si une tâche dépasse la fenêtre de maintenance, elle est automatiquement annulée. Les lots déjà distribués continuent jusqu'à leur achèvement, mais aucun nouveau lot ne sera distribué.

• Une seule tâche de correction des vulnérabilités CVE peut s'exécuter à la fois dans un pool de nœuds.

• Si le type de système d'exploitation est ContainerOS, nous vous recommandons de corriger les vulnérabilités CVE en mettant à niveau le système d'exploitation. La fonctionnalité de correction des vulnérabilités CVE est prise en charge uniquement sur les versions 3.2 et 3.3 de ContainerOS.

  Pour plus d'informations sur les versions de ContainerOS, consultez les notes de publication des images ContainerOS .

• Si vous modifiez la fenêtre de maintenance, les plans planifiés de correction des vulnérabilités CVE sont annulés et reprogrammés.

Procédure

Étapes suivantes

Après avoir démarré une tâche de correction, vous pouvez la contrôler en cliquant sur les boutons Pause, Continue et Cancel.