Eseguire l'aggiornamento automatico delle immagini del sistema operativo del nodo

Il servizio Azure Kubernetes fornisce più canali di aggiornamento automatico dedicati per gli aggiornamenti tempestivi della sicurezza del sistema operativo a livello di nodo. Questo canale è diverso dagli aggiornamenti della versione Kubernetes a livello di cluster e li sostituisce.

Gli aggiornamenti della sicurezza del sistema operativo a livello di nodo vengono rilasciati con maggiore frequenza rispetto agli aggiornamenti delle versioni secondarie o delle patch di Kubernetes. Il canale di aggiornamento automatico del sistema operativo del nodo garantisce flessibilità e abilita una strategia personalizzata per gli aggiornamenti della sicurezza del sistema operativo a livello di nodo. È quindi possibile scegliere un piano separato per gli aggiornamenti automatici della versione Kubernetes a livello di cluster. È meglio usare sia gli autoupgrade automatici a livello di cluster che il canale di aggiornamento automatico del sistema operativo del nodo insieme. La pianificazione può essere ottimizzata applicando due set separati di finestre - aksManagedAutoUpgradeSchedule di manutenzione per il canale di aggiornamento automatico del cluster e aksManagedNodeOSUpgradeSchedule per il canale di aggiornamento automatico del sistema operativo del nodo.

Il canale selezionato determina la tempistica degli aggiornamenti. Quando si apportano modifiche ai canali di aggiornamento automatico del sistema operativo del nodo, occorre attendere 24 ore prima che le modifiche siano effettive.

Le transizioni del canale del sistema operativo del nodo seguenti attiveranno il re-imaging dei nodi:

Sono disponibili i canali di aggiornamento seguenti. È possibile scegliere solo una di queste opzioni:

Ci sono due considerazioni importanti per scegliere tra i canali SecurityPatch e NodeImage.

export RANDOM_SUFFIX=$(openssl rand -hex 3)
export RESOURCE_GROUP="myResourceGroup$RANDOM_SUFFIX"
export AKS_CLUSTER="myAKSCluster$RANDOM_SUFFIX"
az aks create \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel SecurityPatch \
    --generate-ssh-keys

az aks update --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --node-os-upgrade-channel SecurityPatch

{
  "autoUpgradeProfile": {
      "nodeOsUpgradeChannel": "SecurityPatch"
  }
}

La frequenza predefinita indica che non è stata applicata alcuna finestra di manutenzione pianificata.

• Attualmente, quando si imposta il canale di aggiornamento automatico del cluster su node-image, imposta automaticamente anche il canale di autoupgrade del sistema operativo del nodo su NodeImage. Non è possibile modificare il valore del canale di aggiornamento automatico del sistema operativo del nodo se il canale di aggiornamento automatico del cluster è node-image. Per impostare il valore del canale di aggiornamento automatico del sistema operativo del nodo, controllare che il valore del canale di aggiornamento automatico del cluster non sia node-image.

• Il canale SecurityPatch non è supportato nei pool di nodi del sistema operativo Windows.

La manutenzione pianificata per l'aggiornamento automatico del sistema operativo del nodo inizia nella finestra di manutenzione specificata.

Per altre informazioni sulla manutenzione pianificata, vedere Usare la manutenzione pianificata per pianificare le finestre di manutenzione per il cluster del servizio Azure Kubernetes.

Eseguire il comando az aks show e controllare "autoUpgradeProfile" per determinare il valore su cui è impostato nodeOsUpgradeChannel:

az aks show --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --query "autoUpgradeProfile"

Risultati:

{
  "nodeOsUpgradeChannel": "SecurityPatch"
}

Per visualizzare lo stato degli aggiornamenti automatici del sistema operativo del nodo, cercare i log attività nel cluster. È anche possibile cercare eventi correlati all'aggiornamento specifici come indicato in Aggiornare un cluster del servizio Azure Kubernetes. Il servizio Azure Kubernetes genera anche eventi di Griglia di eventi correlati all'aggiornamento. Per altre informazioni, vedere Servizio Azure Kubernetes come origine di Griglia di eventi.

No. Attualmente, quando si imposta il canale di aggiornamento automatico del cluster su node-image, imposta automaticamente anche il canale di autoupgrade del sistema operativo del nodo su NodeImage. Non è possibile modificare il valore del canale di aggiornamento automatico del sistema operativo del nodo se il canale di aggiornamento automatico del cluster è node-image. Per poter modificare i valori del canale di aggiornamento automatico del sistema operativo del nodo, assicurarsi che il canale di aggiornamento automatico del cluster non sia node-image.

Nel canale Unmanaged, il servizio Azure Kubernetes non ha alcun controllo su come e quando vengono recapitati gli aggiornamenti della sicurezza. Con SecurityPatch, gli aggiornamenti della sicurezza sono completamente testati e seguono procedure di distribuzione sicure. SecurityPatch rispetta anche le finestre di manutenzione. Per altre informazioni, vedere Maggiore sicurezza e resilienza dei carichi di lavoro Canonical in Azure.

Il servizio Azure Kubernetes esegue il re-imaging solo quando necessario, ad esempio nel caso in cui alcuni pacchetti kernel richiedano un re-imaging per l'applicazione completa. SecurityPatch è progettato per ridurre al minimo le interruzioni possibili. Se il servizio Azure Kubernetes decide che il re-imaging dei nodi non è necessario, applica patch ai nodi in tempo reale senza svuotare i pod e in questi casi non viene eseguito alcun aggiornamento del disco rigido virtuale.

Con il canale SecurityPatch, i nodi del cluster Linux devono scaricare le patch di sicurezza e gli aggiornamenti necessari dal servizio snapshot ubuntu descritto in ubuntu-snapshots-on-azure-ensuring-predictability-and-consistency-in-cloud-deployments.

Eseguire il kubectl get nodes --show-labels comando per elencare i nodi nel cluster e le relative etichette.

Tra le etichette restituite, dovrebbe essere visualizzata una riga simile all'output seguente:

kubernetes.azure.com/node-image-version=AKSUbuntu-2204gen2containerd-202410.27.0-2024.12.01

In questo caso, la versione dell'immagine del nodo di base è AKSUbuntu-2204gen2containerd-202410.27.0. Se applicabile, in genere fa seguito la versione della patch di sicurezza. Nell'esempio precedente si tratta di 2024.12.01.

Gli stessi dettagli vengono cercati anche nel portale di Azure nella visualizzazione etichetta del nodo:

Per una descrizione dettagliata delle procedure consigliate per l'aggiornamento e altre considerazioni, vedere Linee guida per l'aggiornamento e le patch del servizio Azure Kubernetes.