關於託管節點池CVE安全性漏洞修複和自動升級的變更公告 - Container Service for Kubernetes

為了讓您更細粒度地管理節點生命週期，ACK 將對託管節點池的自動升級、節點自愈及安全性漏洞自動修複功能進行部分調整。部分自動化功能的預設行為由開啟調整為關閉，並引入更靈活的配置參數以替代舊有參數。

變更一：kubelet 和容器運行時自動升級配置調整

預設值變更：自2025年08月31日起，在建立節點池過程中，開啟營運託管（即設定management.enable為 true）時，其 kubelet 和容器運行時的自動升級配置（management.auto_upgrade）預設值由true變更為false。
配置入口下線：自2026年01月31日起，ACK 將關閉託管節點池 kubelet 和容器運行時的自動升級配置入口。以下參數將從相關 OpenAPI（ CreateClusterNodePool、ModifyClusterNodePool、DescribeClusterNodePoolDetail、DescribeClusterNodePools ）中正式下線。
- management.auto_upgrade
- management.auto_upgrade_policy

您可通過配置叢集自動升級功能來完成節點池的自動升級。關於叢集自動升級，請參見自動升級叢集。

參數邏輯變更：自2025年08月05日起，託管節點池的託管總開關management.enable變更為即將下線（deprecated）狀態，並於 2026年01月31日完成下線。
您可以通過以下兩個獨立的參數來管理：
- management.auto_repair：開啟節點自愈開關。
- management.auto_vul_fix：開啟安全性漏洞自動修複開關。

預設值變更：自 2025 年 08 月 31 日起，託管節點池相關 OpenAPI （CreateClusterNodePool、ModifyClusterNodePool、DescribeClusterNodePoolDetail、DescribeClusterNodePools）中安全性漏洞修複參數management.auto_vul_fix和自愈切換參數management.auto_repair的預設值變更為false。

參數	變更前預設值	變更後預設值
`management.auto_vul_fix`	設定`management.enable`為`true`時，預設值為`true` 設定`management.enable`為`false`時，預設值為`false`	`false`
`management.auto_repair`	設定`management.enable`為`true`時，預設值為`true` 設定management.enable為`false`時，預設值為`false`	`false`

參數邏輯變更：自2025年08月05日起，託管節點池的安全性漏洞自動修複參數management.auto_vul_fix_policy.restart_node變更為即將下線（deprecated）狀態，並於2026年01月31日完成下線。
託管節點池預設將不再自動修複Kernel CVE。如需自動修複Kernel CVE，請使用management.auto_vul_fix_policy.exclude_packages參數。
新參數上線：自2025年08月05日起，託管節點池上線新參數management.auto_vul_fix_policy.exclude_packages，用於指定自動修複安全性漏洞時需要排除的軟體包列表，預設值為kernel。
由於Kernel CVE的修複涉及核心版本更新，相容性風險較高，預設排除。如需自動修複Kernel CVE，可以在management.auto_vul_fix_policy.exclude_packages取值中移除kernel。