Автоматическое обновление образов ОС узла

AKS предоставляет несколько каналов автоматического обновления, предназначенных для своевременного обновления безопасности ОС на уровне узлов. Этот канал отличается от обновлений версий Kubernetes на уровне кластера и заменяет его.

Взаимодействие между автоматическим обновлением ОС узла и автообновлением кластера

Обновления безопасности ОС на уровне узла выпускаются быстрее, чем патчи или минорные обновления версий Kubernetes. Канал автоматического обновления ОС узла обеспечивает гибкость и обеспечивает настраиваемую стратегию для обновлений системы безопасности на уровне узла. Затем можно выбрать отдельный план для автоматического обновления версий Kubernetes на уровне кластера. Лучше всего использовать автограды на уровне кластера и канал автоматического обновления ОС узла. Планирование можно точно настроить, применив два отдельных набора периодов - aksManagedAutoUpgradeSchedule обслуживания для канала автоматического обновления кластера и aksManagedNodeOSUpgradeSchedule для канала автоматического обновления ОС узла.

Каналы обновления образа ОС узла

Выбранный канал определяет время обновления. При внесении изменений в каналы автоматического обновления ОС узла ожидайте до 24 часов, чтобы изменения вступили в силу.

Изменения канала операционной системы узла, которые приводят к повторному созданию образа системы.

Следующие канальные переходы ОС узлов активируют перепрошивку на узлах:

Доступные каналы обновления ОС узла

Доступны следующие каналы обновления. Вы можете выбрать один из следующих вариантов:

Что выбрать — Канал SecurityPatch или Channel NodeImage?

Существует два важных соображения при выборе между каналами SecurityPatch и NodeImage.

Настройка канала автоматического обновления ОС узла в новом кластере

export RANDOM_SUFFIX=$(openssl rand -hex 3)
export RESOURCE_GROUP="myResourceGroup$RANDOM_SUFFIX"
export AKS_CLUSTER="myAKSCluster$RANDOM_SUFFIX"
az aks create \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel SecurityPatch \
    --generate-ssh-keys

Настройка канала автоматического обновления ОС узла в существующем кластере

az aks update --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --node-os-upgrade-channel SecurityPatch

{
  "autoUpgradeProfile": {
      "nodeOsUpgradeChannel": "SecurityPatch"
  }
}

Обновление права собственности и графика

Частота по умолчанию означает, что не применяется плановое время обслуживания.

Известные ограничения канала узла

• В настоящее время, когда вы настраиваете канал автоматического обновления кластера на node-image, он также автоматически задает канал обновления ОС узла на NodeImage. Вы не можете изменить значение канала автоматического обновления ОС узла, если ваш канал автообработки кластера имеет значение node-image. Чтобы задать значение канала автоматического обновления ОС узла, сначала убедитесь, что значение канала автоматического обновления кластера не задано.

• Канал SecurityPatch не поддерживается в пулах узлов ОС Windows.

Окна планового обслуживания ОС узла

Запланированное обслуживание для автоматического обновления ОС узла начинается с указанного периода обслуживания.

Дополнительные сведения о плановом обслуживании см. в статье "Использование планового обслуживания" для планирования периодов обслуживания для кластера Службы Azure Kubernetes (AKS).

Часто задаваемые вопросы об автоматических обновлениях ОС узловой системы

Как проверить текущее значение nodeOsUpgradeChannel в кластере?

az aks show Выполните команду и проверьте "autoUpgradeProfile", чтобы определить, какое значение nodeOsUpgradeChannel задано:

az aks show --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --query "autoUpgradeProfile"

Результаты:

{
  "nodeOsUpgradeChannel": "SecurityPatch"
}

Как отслеживать состояние автоматических обновлений ОС узла?

Чтобы просмотреть состояние автоматического обновления ОС узла, просмотрите журналы действий в кластере. Вы также можете искать конкретные события, связанные с обновлением, как упоминалось в разделе "Обновление кластера AKS". AKS также выдает события Event Grid, связанные с обновлением. Дополнительные сведения см. в статье AKS как источник сетки событий.

Можно ли изменить значение канала автоматического обновления ОС узла, если для канала автоматического обновления кластера задано значение node-image?

Нет. В настоящее время, когда вы настраиваете канал автоматического обновления кластера на node-image, он также автоматически задает канал обновления ОС узла на NodeImage. Вы не можете изменить значение канала автоматического обновления ОС узла, если канал автоматического обновления вашего кластера имеет значение node-image. Чтобы иметь возможность изменять значения канала автоматического обновления ОС узла, убедитесь, что канал автоматического обновления кластера не имеет значение node-image.

Почему SecurityPatch рекомендуется больше, чем канал Unmanaged?

В канале Unmanaged AKS не контролирует, как и когда доставляются обновления системы безопасности. При использовании SecurityPatch обновления системы безопасности полностью тестируются и следуют рекомендациям по безопасному развертыванию. SecurityPatch также учитывает периоды обслуживания. Дополнительные сведения см. в статье о повышении безопасности и устойчивости канонических рабочих нагрузок в Azure.

Всегда ли SecurityPatch приводит к переустановке моих узлов?

AKS ограничивает повторную версию только при необходимости, например некоторые пакеты ядра, которые могут потребовать повторного создания образа для полного применения. SecurityPatch предназначен для минимизации нарушений в максимально возможной степени. Если AKS решит, что повторное копирование узлов не требуется, он исправляет узлы в реальном времени без очистки модулей pod и в таких случаях обновление виртуального жесткого диска не выполняется.

Почему каналу SecurityPatch необходимо достигнуть конечной точки snapshot.ubuntu.com?

SecurityPatch С помощью канала узлы кластера Linux должны скачать необходимые исправления безопасности и обновления из службы моментальных снимков Ubuntu, описанной в ubuntu-snapshots-on-azure-security-predictability-and-consistency-in-cloud-deployments.

Как узнать, применяется ли обновление SecurityPatch или NodeImage на моём узле?

kubectl get nodes --show-labels Выполните команду, чтобы вывести список узлов в кластере и их меток.

Среди возвращаемых меток вы увидите строку, аналогичную следующим выходным данным:

kubernetes.azure.com/node-image-version=AKSUbuntu-2204gen2containerd-202410.27.0-2024.12.01

Ниже приведена AKSUbuntu-2204gen2containerd-202410.27.0версия базового образа узла. Если применимо, версия исправления безопасности обычно следует. В приведенном выше примере это 2024.12.01.

Те же сведения также можно найти на портале Azure в разделе просмотра меток узла.

Дальнейшие шаги

Подробное обсуждение лучших практик обновления и других аспектов смотрите в руководстве по исправлению и обновлению AKS.