[Mises à jour des composants] Mise à niveau de Helm V2 vers V3 - Container Service for Kubernetes

Le composant serveur Tiller de Helm V2 présente une vulnérabilité de sécurité connue permettant l'installation d'applications non autorisées dans un cluster. Migrez vers Helm V3 pour éliminer ce risque.

Périmètre d'impact

Exécutez la commande suivante pour vérifier la présence d'un déploiement Tiller :

kubectl get deploy -n kube-system tiller-deploy

Si un tel déploiement existe, vérifiez les points suivants :

Le fichier kubeconfig du cluster est partagé avec des utilisateurs externes.
L'accès externe à la console ACK est autorisé.
Le cluster fonctionne en mode multi-locataire avec isolation des privilèges utilisateur.

Si l'une de ces conditions est remplie, migrez vers Helm V3.

Alternative : mettre à jour uniquement Tiller

Si votre cluster n'est pas concerné ou si vous ne pouvez pas passer à Helm V3, mettez plutôt à jour Tiller vers sa dernière version.

Mettez à jour Tiller :

helm init --tiller-image registry.cn-hangzhou.aliyuncs.com/acs/tiller:v2.16.3 --upgrade

Une fois que Tiller a passé le contrôle de santé, exécutez helm version pour vérifier la mise à jour.

Cette opération met à jour uniquement le composant serveur de Helm. Téléchargez séparément le composant client adapté à votre système d'exploitation.

Remarque

Si votre cluster n'est pas concerné ou si la mise à niveau vers Helm V3 n'est pas disponible, mettez à jour Tiller et ignorez les étapes restantes. Vous pourrez migrer vers Helm V3 ultérieurement.

Prérequis

Vérifiez l'état de votre cluster avant de migrer vers Helm V3.

Exécutez kubectl get deploy -n kube-system tiller-deploy pour vérifier si Tiller est installé.
Si Tiller est présent, exécutez helm ls -a pour lister les applications installées.
Si des applications existent, supprimez-les. Les formats de données de Helm V2 et V3 sont incompatibles.

Important
La communauté Helm propose le plug-in helm-2to3 pour migrer les configurations et les releases de V2 vers V3. Utilisez ce plug-in avec prudence afin d'éviter toute perte de données.

Procédure

Effectuez les vérifications décrites dans la section Prérequis.
Supprimez le déploiement Tiller en exécutant : kubectl delete deploy tiller-deploy -n kube-system.
Téléchargez le client Helm V3 et réinstallez vos applications.
Important
Avant de réinstaller les applications :

Les applications Helm V2 doivent être réinstallées via Helm V3. Évaluez l'impact sur vos charges de travail.

La réinstallation entraîne une perte de données. Sauvegardez vos données au préalable.