Automatische Upgrades von Knotenbetriebssystem-Images

AKS stellt mehrere Autoupgrade-Kanäle bereit, die dediziert für zeitnahe OS-Sicherheitsupdates auf Knotenebene sind. Dieser Kanal unterscheidet sich von Kubernetes-Versionsupgrades auf Clusterebene und ersetzt sie.

Interaktionen zwischen Knoten-Betriebssystem-Autoupgrade und Cluster-Autoupgrade

Sicherheitsupdates für Betriebssysteme auf Knotenebene werden in kürzeren Intervallen freigegeben als Kubernetes-Patch- oder Nebenversionsupdates. Der Kanal des Knotenbetriebssystem-Auto-Upgrades bietet Ihnen Flexibilität und ermöglicht eine maßgeschneiderte Strategie zur Durchführung von Sicherheitsupdates auf Knotenebene. Anschließend können Sie einen separaten Plan für Kubernetes-Versionsautoupgrades auf Clusterebene auswählen. Es ist am besten, sowohl automatische Upgrades auf Clusterebene als auch den Kanal für automatische Upgrades des Knotenbetriebssystems parallel zu verwenden. Die Planung kann optimiert werden, indem zwei separate Wartungsfenster - aksManagedAutoUpgradeSchedule für den Cluster-Autoupgrade-Kanal und aksManagedNodeOSUpgradeSchedule für den Knoten-OS-Autoupgrade-Kanal angewendet werden.

Kanäle für Upgrades von Knotenbetriebssystem-Images

Der ausgewählte Kanal bestimmt den Zeitpunkt von Upgrades. Wenn Sie Änderungen an den Kanälen für automatische Upgrades des Knotenbetriebssystems vornehmen, dauert es bis zu 24 Stunden, bis die Änderungen wirksam werden.

Änderungen an Knotenbetriebssystem-Kanälen, die ein Reimaging verursachen

Die folgenden Knotenbetriebssystem-Kanalübergänge lösen ein Reimaging auf den Knoten aus:

Verfügbare Knoten-Betriebssystemupgradekanäle

Folgende Upgradekanäle sind verfügbar. Sie können eine der folgenden Optionen auswählen:

Was zu wählen ist – SecurityPatch-Kanal oder NodeImage-Kanal?

Es gibt zwei wichtige Überlegungen für Sie, zwischen den Kanälen SecurityPatch oder NodeImage zu wählen.

Festlegen des Kanals für automatische Upgrades des Knotenbetriebssystems auf einem neuen Cluster

export RANDOM_SUFFIX=$(openssl rand -hex 3)
export RESOURCE_GROUP="myResourceGroup$RANDOM_SUFFIX"
export AKS_CLUSTER="myAKSCluster$RANDOM_SUFFIX"
az aks create \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel SecurityPatch \
    --generate-ssh-keys

Den automatischen Upgrade-Kanal des Knotenbetriebssystems auf einem bestehenden Cluster festlegen

az aks update --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --node-os-upgrade-channel SecurityPatch

{
  "autoUpgradeProfile": {
      "nodeOsUpgradeChannel": "SecurityPatch"
  }
}

Aktualisieren des Eigentums und des Zeitplans

Das Standardintervall bedeutet, dass kein geplantes Wartungsfenster angewendet wird.

Bekannte Einschränkungen im Knotenkanal

• Derzeit, wenn Sie den Cluster-Autoupgrade-Kanal auf node-image setzen, wird auch automatisch der Knoten-Betriebssystemauto-Upgrade-Kanal auf NodeImage gesetzt. Sie können den OS-Autoupgrade-Kanalwert des Knotens nicht ändern, wenn der Cluster-Autoupgrade-Kanal node-image ist. Um den Wert des Autoupgrade-Kanals des Knotenbetriebssystems festzulegen, überprüfen Sie, ob der Wert des Cluster-Autoupgrade-Kanals nicht node-image ist.

• Der SecurityPatch-Kanal wird in Windows-Betriebssystem-Knotenpools nicht unterstützt.

Geplante Wartungsfenster des Knotenbetriebssystems

Geplante Wartung für automatische Upgrades des Knotenbetriebssystems beginnt im angegebenen Wartungsfenster.

Weitere Informationen zur geplanten Wartung finden Sie unter Verwenden der geplanten Wartung, um Wartungsfenster für AKS-Cluster (Azure Kubernetes Service) zu planen.

Häufig gestellte Fragen zum automatischen Upgrade von Node OS

Wie kann ich den aktuellen nodeOsUpgradeChannel-Wert in einem Cluster überprüfen?

Führen Sie den Befehl az aks show aus, und überprüfen Sie „autoUpgradeProfile“, um zu ermitteln, auf welchen Wert der nodeOsUpgradeChannel festgelegt ist:

az aks show --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --query "autoUpgradeProfile"

Ergebnisse:

{
  "nodeOsUpgradeChannel": "SecurityPatch"
}

Wie kann ich den Status von automatischen Upgrades des Knotenbetriebssystems überwachen?

Um den Status der automatischen Upgrades des Knotenbetriebssystems anzuzeigen, überprüfen Sie die Aktivitätsprotokolle in Ihrem Cluster. Sie können auch nach bestimmten Ereignissen im Zusammenhang mit Upgrades suchen, wie unter Aktualisieren eines AKS-Clusters beschrieben. AKS gibt auch upgradebezogene Event Grid-Ereignisse aus. Weitere Informationen finden Sie unter AKS als Event Grid-Quelle.

Kann ich den OS-Autoupgrade-Kanalwert des Knotens ändern, wenn der Autoupgrade-Kanal meines Clusters auf node-image festgelegt ist?

Nein. Derzeit, wenn Sie den Cluster-Autoupgrade-Kanal auf node-image setzen, wird auch automatisch der Knoten-Betriebssystemauto-Upgrade-Kanal auf NodeImage gesetzt. Sie können den Wert des Kanals für automatische Upgrades des Knotenbetriebssystems nicht ändern, wenn der Kanal für automatische Clusterupgrades node-image lautet. Um die Autoupgrade-Kanalwerte des Knoten-Betriebssystems ändern zu können, stellen Sie sicher, dass der Cluster-Autoupgrade-Kanal nicht node-image ist.

Warum wird SecurityPatch statt des Unmanaged-Kanal empfohlen?

Im Kanal Unmanaged hat AKS keine Kontrolle darüber, wie und wann die Sicherheitsupdates bereitgestellt werden. Mit SecurityPatch werden die Sicherheitsupdates vollständig getestet und folgen sicheren Bereitstellungsmethoden. SecurityPatch berücksichtigt auch Wartungsfenster. Weitere Informationen finden Sie unter Erhöhte Sicherheit und Resilienz von Kanon-Workloads in Azure.

Führt SecurityPatch immer zu einem Reimaging meiner Knoten?

AKS beschränkt Reimaging nur dann, wenn dies erforderlich ist, z. B. bestimmte Kernelpakete, für die möglicherweise eine Reimaging-Anforderung erforderlich ist, um vollständig angewendet zu werden. SecurityPatch ist so konzipiert, dass Unterbrechungen so weit wie möglich minimiert werden. Wenn AKS entscheidet, dass kein Reimaging von Knoten erforderlich ist, werden Knoten live gepatcht, ohne Pods auszugleichen. Zudem wird in diesen Fällen kein VHD-Update durchgeführt.

Warum muss Kanal SecurityPatch Endpunkt snapshot.ubuntu.com erreichen?

Mit dem Kanal SecurityPatch müssen die Linux-Clusterknoten die erforderlichen Sicherheitspatches und -updates vom Ubuntu-Snapshot-Dienst herunterladen, der unter ubuntu-snapshots-on-azure-ensuring-predictability-and-consistency-in-cloud-deployments beschrieben wird.

Wie kann ich feststellen, ob ein SecurityPatch- oder NodeImage-Upgrade auf meinen Knoten angewendet wird?

Führen Sie den kubectl get nodes --show-labels Befehl aus, um die Knoten in Ihrem Cluster und deren Beschriftungen auflisten zu können.

Unter den zurückgegebenen Etiketten sollte eine Zeile ähnlich der folgenden Ausgabe angezeigt werden:

kubernetes.azure.com/node-image-version=AKSUbuntu-2204gen2containerd-202410.27.0-2024.12.01

Hier ist die Basisknotenimageversion AKSUbuntu-2204gen2containerd-202410.27.0. Falls zutreffend, folgt in der Regel die Version des Sicherheitspatches. Im obigen Beispiel ist das 2024.12.01.

Die gleichen Details können auch im Azure-Portal unter der Knotenbezeichnungsansicht nachgeschlagen werden:

Nächste Schritte

Eine ausführliche Erläuterung zu bewährten Methoden für Upgrades und anderen Überlegungen finden Sie unter AKS Patch- und Upgradeanleitungen.