Автоматическое обновление образов ОС узла в Azure Kubernetes Service (AKS)

AKS предоставляет несколько каналов автоматического обновления, предназначенных для своевременного обновления безопасности ОС на уровне узлов. Этот канал отличается от обновлений версий Kubernetes на уровне кластера и заменяет его.

Взаимодействие между автоматическим обновлением ОС узла и автообновлением кластера

Обновления безопасности ОС на уровне узла выпускаются быстрее, чем патчи или минорные обновления версий Kubernetes. Канал автоматического обновления ОС узла обеспечивает гибкость и обеспечивает настраиваемую стратегию для обновлений системы безопасности на уровне узла. Затем можно выбрать отдельный план для автоматического обновления версий Kubernetes на уровне кластера. Лучше всего использовать автограды на уровне кластера и канал автоматического обновления ОС узла. Планирование можно точно настроить, применив два отдельных набора периодов - aksManagedAutoUpgradeSchedule обслуживания для канала автоматического обновления кластера и aksManagedNodeOSUpgradeSchedule для канала автоматического обновления ОС узла.

Каналы обновления образа ОС узла

Выбранный канал определяет время обновления. При внесении изменений в каналы автоматического обновления ОС узла ожидайте до 24 часов, чтобы изменения вступили в силу.

Изменения канала операционной системы узла, которые приводят к повторному созданию образа системы.

Следующие канальные переходы ОС узлов активируют перепрошивку на узлах:

Доступные каналы обновления ОС узла

Для кластеров AKS Standard доступны следующие каналы обновления. (Автоматические кластеры AKS используют канал NodeImage по умолчанию.)

Что выбрать — Канал SecurityPatch или Channel NodeImage?

Для автоматических кластеров AKS

AkS Automatic использует канал NodeImage по умолчанию. Этот канал обеспечивает наилучший баланс исправлений безопасности, исправлений ошибок и управляемости для производственных рабочих нагрузок. Еженедельная частота соответствует рекомендациям AKS и настраивается для оптимальной производительности кластера без вмешательства вручную.

Конфигурация не требуется . Обновления выполняются автоматически в течение периода обслуживания. Вы можете настроить окна обслуживания, если хотите управлять тем, когда происходят обновления, но выбор канала фиксирован.

Почему NodeImage для AKS Automatic?

• Включает исправления безопасности и исправления ошибок для обеспечения комплексной стабильности
• Еженедельная частота обеспечивает прогнозируемое время обновления
• Полностью управляемая AKS с помощью безопасных методов развертывания
• Без дополнительных затрат на размещение VHD
• Оптимизировано для промышленных нагрузок с рекомендуемыми параметрами по умолчанию

Для кластеров AKS Standard

Если вы используете AKS Standard, оцените требования, используя сравнение ниже, чтобы выбрать между SecurityPatch или NodeImage каналами.

Есть два важных момента, которые следует учитывать при выборе между каналами SecurityPatch и NodeImage:

Сравнение режима кластера

В следующей таблице перечислены параметры автоматической настройки ОС узла по режиму кластера:

Настройка канала автоматического обновления ОС узла в новом кластере

export RANDOM_SUFFIX=$(openssl rand -hex 3)
export RESOURCE_GROUP="myResourceGroup$RANDOM_SUFFIX"
export AKS_CLUSTER="myAKSCluster$RANDOM_SUFFIX"
az aks create \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel SecurityPatch \
    --generate-ssh-keys

Настройка канала автоматического обновления ОС узла в существующем кластере

az aks update --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --node-os-upgrade-channel SecurityPatch

{
  "autoUpgradeProfile": {
      "nodeOsUpgradeChannel": "SecurityPatch"
  }
}

Настройка периодов обслуживания для автоматических кластеров AKS

az aks update \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel NodeImage \
    --schedule-config "scheduled-maintenance-window=true" \
    --maintenance-window "frequency=Weekly,day-of-week=Sunday,utc-offset=+00:00,duration-hours=4,start-hour=2"

Обновление владения и каденса по каналу

Частота по умолчанию означает, что не применяется плановое время обслуживания.

Известные ограничения канала автоматического обновления ОС узла

• В настоящее время, когда вы настраиваете канал автоматического обновления кластера на node-image, он также автоматически задает канал обновления ОС узла на NodeImage. Вы не можете изменить значение канала автоматического обновления ОС узла, если канал автоматического обновления вашего кластера имеет значение node-image. Чтобы задать значение канала автообновления ОС узла, проверьте, что значение канала автообновления кластера не равно node-image.
• Канал SecurityPatch не поддерживается в пулах узлов ОС Windows.
• Канал SecurityPatch несовместим с Политика Azure, использующей эффект deny для требования использования ключей, управляемых клиентом (CMK), для шифрования диска ОС. При применении исправления безопасности AKS временно создает масштабируемый набор виртуальных машин (VMSS) (с префиксом copy-) в группе ресурсов узлов (MC_), создание которого запрещено такой политикой, поэтому обновление завершается ошибкой RequestDisallowedByPolicy. Использование в пулах узлов ключей, управляемых клиентом, по-прежнему поддерживается с SecurityPatch; конфликт возникает только с политикой с эффектом deny. Если вам требуется политика deny, действующая во всей организации, для шифрования дисков ОС с использованием CMK, используйте вместо этого канал NodeImage.

Окна планового обслуживания ОС узла

Запланированное обслуживание для автоматического обновления ОС узла начинается с указанного периода обслуживания.

Дополнительные сведения о плановом обслуживании см. в статье "Использование планового обслуживания" для планирования периодов обслуживания для кластера Службы Azure Kubernetes (AKS).

Часто задаваемые вопросы об автоматических обновлениях ОС узловой системы

Как проверить текущее значение nodeOsUpgradeChannel в кластере?

az aks show Выполните команду и проверьте "autoUpgradeProfile", чтобы определить, какое значение nodeOsUpgradeChannel задано:

az aks show --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --query "autoUpgradeProfile"

Результаты:

{
  "nodeOsUpgradeChannel": "SecurityPatch"
}

Автоматическое обновление ОС узлов в AKS Automatic настраивается по-другому?

Yes. Автоматические кластеры AKS предварительно настроены для использования канала NodeImage по умолчанию. Вам не нужно ничего настраивать. Эта конфигурация предоставляет следующее:

• Еженедельные исправления безопасности и исправления ошибок
• Автоматическое восстановление с помощью методов безопасного развертывания
• Элемент управления окном обслуживания (необязательно)
• Готовые к работе значения по умолчанию оптимизированы для большинства рабочих нагрузок
• Без дополнительных затрат на размещение VHD

Кластеры AKS Standard требуют выбора канала в зависимости от ваших потребностей. Чтобы перейти из AKS Standard в AKS Automatic и воспользоваться этими предварительно настроенными значениями по умолчанию, см. статью "Что такое Azure Kubernetes Service (AKS) Автоматический"

Можно ли изменить канал автоматического обновления ОС узла в кластере AKS Automatic?

Нет. Автоматические кластеры AKS используют канал NodeImage, и вы не можете изменить этот канал. Если вам нужен другой канал, используйте кластер AKS Standard. Однако вы можете настроить окна обслуживания, чтобы контролировать, когда выполняются обновления в вашем кластере AKS Automatic.

Как отслеживать состояние автоматических обновлений ОС узла?

Чтобы просмотреть состояние автоматического обновления ОС узла, просмотрите журналы действий в кластере. Вы также можете искать конкретные события, связанные с обновлением, как упоминалось в разделе "Обновление кластера AKS". AKS также выдает события Event Grid, связанные с обновлением. Дополнительные сведения см. в статье AKS как источник сетки событий.

Можно ли изменить значение канала автоматического обновления ОС узла, если для канала автоматического обновления кластера задано значение node-image?

Нет. В настоящее время, когда вы настраиваете канал автоматического обновления кластера на node-image, он также автоматически задает канал обновления ОС узла на NodeImage. Вы не можете изменить значение канала автоматического обновления ОС узла, если канал автоматического обновления вашего кластера имеет значение node-image. Чтобы изменить значения канала автоматического обновления ОС узла, убедитесь, что канал автоматического обновления кластера не установлен в значение node-image.

Почему SecurityPatch рекомендуется больше, чем канал Unmanaged?

В канале Unmanaged AKS не контролирует, как и когда доставляются обновления системы безопасности. При использовании SecurityPatch обновления системы безопасности полностью тестируются и следуют рекомендациям по безопасному развертыванию. SecurityPatch также учитывает периоды обслуживания. Дополнительные сведения см. в статье о повышении безопасности и устойчивости канонических рабочих нагрузок в Azure.

Всегда ли SecurityPatch приводит к переустановке моих узлов?

AKS ограничивает повторную версию только при необходимости, например некоторые пакеты ядра, которые могут потребовать повторного создания образа для полного применения. SecurityPatch предназначен для минимизации нарушений в максимально возможной степени. Если AKS решит, что повторное копирование узлов не требуется, он исправляет узлы в реальном времени без очистки модулей pod и в таких случаях обновление виртуального жесткого диска не выполняется.

Почему каналу SecurityPatch необходимо достигнуть конечной точки snapshot.ubuntu.com?

SecurityPatch С помощью канала узлы кластера Linux должны скачать необходимые исправления безопасности и обновления из службы моментальных снимков Ubuntu, описанной в ubuntu-snapshots-on-azure-security-predictability-and-consistency-in-cloud-deployments.

Как узнать, применяется ли обновление SecurityPatch или NodeImage на моём узле?

kubectl get nodes --show-labels Выполните команду, чтобы вывести список узлов в кластере и их меток.

Среди возвращаемых меток вы увидите строку, аналогичную следующим выходным данным:

kubernetes.azure.com/node-image-version=AKSUbuntu-2204gen2containerd-202410.27.0-2024.12.01

Ниже приведена AKSUbuntu-2204gen2containerd-202410.27.0версия базового образа узла. Если применимо, версия исправления безопасности обычно следует. В предыдущем примере это 2024.12.01.

Те же сведения также можно найти на портале Azure в разделе просмотра меток узла.

Связанный контент

Подробное обсуждение лучших практик обновления и других аспектов смотрите в руководстве по исправлению и обновлению AKS.

Дополнительные сведения о предварительно настроенных параметрах AKS Automatic и готовых к работе по умолчанию параметрах см. в статье "Что такое Azure Kubernetes Service (AKS) Автоматический"