Container Service for Kubernetes:Catatan rilis ACK Lingjun untuk Kubernetes 1.22

API beta yang tidak lagi didukung

Kubernetes 1.22 menghapus serangkaian API beta demi versi stabil (v1) yang bersangkutan. Resource yang sudah ada yang dibuat melalui API beta tetap dipertahankan dan masih dapat diakses melalui API stabil—namun controller, operator, dan alat yang memanggil versi API beta yang dihapus akan berhenti berfungsi setelah upgrade.

Sebelum melakukan upgrade, perbarui manifes dan klien API ke versi API stabil yang tercantum dalam tabel di bawah ini, lalu redeploy controller dan aplikasi yang memanggil API beta yang dihapus tersebut.

API beta berikut tidak lagi didukung di Kubernetes 1.22:

Penghapusan dockershim

dockershim, yang telah ditinggalkan sejak Kubernetes 1.20, dihapus sepenuhnya di Kubernetes 1.22. Kluster yang masih menggunakan Docker sebagai runtime kontainer harus melakukan migrasi ke containerd sebelum upgrade.

Langkah migrasi:

1. Hitung jumlah node baru yang dibutuhkan berdasarkan workload Docker saat ini.

2. Tambahkan node baru yang menjalankan containerd ke kluster selama jam sepi. Untuk mengubah runtime kontainer pada kelompok node, lihat Mengubah runtime kontainer dari Docker ke containerd.

3. Drain node Docker satu per satu. Setelah setiap drain, verifikasi bahwa semua pod telah berhasil dimigrasikan sebelum melakukan drain pada node berikutnya.

4. Hapus node Docker yang telah didrain setelah tidak ada lagi pod yang tersisa di dalamnya.

Perubahan perilaku NodePort (Kubernetes 1.22.10 dan versi lebih baru)

kube-proxy tidak lagi mendengarkan pada port layanan NodePort. Jika range port layanan NodePort (dikonfigurasi melalui ServiceNodePortRange pada server API) tumpang tindih dengan range port ephemeral yang ditentukan oleh parameter kernel net.ipv4.ip_local_port_range, koneksi TCP dapat gagal secara intermiten, menyebabkan kegagalan pemeriksaan kesehatan dan gangguan layanan.

Sebelum melakukan upgrade ke 1.22.10 atau versi lebih baru, pastikan range port layanan NodePort Anda tidak bentrok dengan net.ipv4.ip_local_port_range. Untuk panduan konfigurasi, lihat Bagaimana cara mengonfigurasi range port node yang tepat? atau PR komunitas Kubernetes.

Kadaluarsa token akun layanan

Di Kubernetes 1.22 dan versi lebih baru, token akun layanan memiliki periode validitas satu tahun. kubelet secara berkala memperpanjang token sebelum masa berlakunya habis.

• client-go >= 11.0.0 atau >= 0.15.0: Token dimuat ulang secara otomatis dari disk.

• client-go < 11.0.0 atau < 0.15.0: Token tidak diperpanjang secara otomatis. Setelah token kadaluarsa, akses ke server API dari dalam kluster akan gagal. Lakukan upgrade client-go ke versi 11.0.0 atau lebih baru (atau 0.15.0 atau lebih baru) untuk menghindari hal ini.

Untuk detail mengenai dampak dan solusinya, lihat [Perubahan Produk] Solusi untuk kadaluarsa token akun layanan di Kubernetes 1.22 dan versi lebih baru.

Hal lain yang perlu diperhatikan sebelum upgrade

• Backup data node bidang kontrol: Semua kontainer pada node bidang kontrol akan dibuat ulang selama proses upgrade versi. Backup data kontainer apa pun sebelum memulai upgrade.

• CVE-2022-3172: Kerentanan ini dapat memengaruhi kluster Anda. Tinjau detailnya dan terapkan perbaikan yang dijelaskan dalam CVE-2022-3172.

• PodSecurityPolicy (PSP): PSP telah ditinggalkan sejak Kubernetes 1.21 dan akan dihapus di Kubernetes 1.25. PSP masih berfungsi di versi 1.22. Mulailah merencanakan migrasi ke admission controller PodSecurity. Untuk detailnya, lihat Pod security admission dan Depresiasi PodSecurityPolicy: masa lalu, kini, dan masa depan.

Feature gate yang diaktifkan secara default

Feature gate berikut diaktifkan secara default di Kubernetes 1.22 (atau sejak versi yang disebutkan).

Diaktifkan sejak Kubernetes 1.21:

Diaktifkan sejak Kubernetes 1.22:

Integrasi CSI dengan kontainer Windows (distabilkan di 1.22):

Integrasi Container Storage Interface (CSI) dengan kontainer Windows kini sudah stabil. Gunakan CSI Proxy untuk menjalankan operasi penyimpanan pada node Windows yang tidak mendukung kontainer hak istimewa (seperti Windows Server 2019 dan Windows Server versi 2004). Plug-in CSI yang Anda gunakan harus mendukung fitur ini. Untuk detailnya, lihat CSI Proxy.

Fitur baru

Pembaruan fitur

• PodSecurityPolicy (PSP): PSP telah ditinggalkan sejak Kubernetes 1.21 dan akan dihapus di Kubernetes 1.25. ACK menyediakan kebijakan keamanan pod sebagai alternatif. Lihat Pod security admission.

• Topology Aware Hints: Field topologyKeys telah ditinggalkan sejak Kubernetes 1.21. Gunakan fitur Topology Aware Hints sebagai gantinya untuk mengaktifkan routing layanan yang sadar topologi. Topologi layanan dinonaktifkan secara default di kluster ACK 1.22. Lihat Topology Aware Hints.

Observabilitas

• Metrik tambahan untuk akses server API Kubernetes dan pola permintaan meningkatkan observabilitas server API.

• Metrik utama untuk komponen bidang kontrol kini dapat dikumpulkan dari kluster ACK Lingjun.

Stabilitas

• Proteksi resource penyimpanan mengurangi beban etcd selama cold start.

• Pembatasan kecepatan trafik server API berdasarkan sumber, jenis, dan entri rute permintaan mengurangi beban etcd selama cold start.

Peningkatan performa

• kubelet: Selama upgrade kubelet in-place, sistem mencegah restart pod sebaik mungkin. Lihat issue Kubernetes terkait.

• kube-proxy: kube-proxy kini kompatibel dengan Alibaba Cloud Linux 2 (kernel 4.19.91-23 dan versi lebih baru). Saat mode IP Virtual Server (IPVS) diaktifkan, conn_reuse_mode tidak lagi diatur ke 0. Lihat issue Kubernetes terkait.

Masalah yang telah diperbaiki

• Memperbaiki kebocoran EndpointSlice di kube-controller-manager yang terjadi dalam skenario tertentu. Lihat Memperbaiki cara pencermatan EndpointSlice menangani transisi pemilih Layanan.