Automatyczna aktualizacja obrazów systemu operacyjnego węzłów

Usługa AKS udostępnia wiele kanałów automatycznych aktualizacji dedykowanych do terminowych aktualizacji zabezpieczeń systemu operacyjnego na poziomie węzłów. Ten kanał różni się od uaktualnień wersji platformy Kubernetes na poziomie klastra i zastępuje go.

Interakcje między automatycznym skalowaniem systemu operacyjnego węzła a automatycznym skalowaniem klastra

Aktualizacje zabezpieczeń systemu operacyjnego na poziomie węzła są wydawane szybciej niż aktualizacje poprawki platformy Kubernetes lub aktualizacje wersji pomocniczej. Kanał automatycznego aktualizowania systemu operacyjnego węzła zapewnia elastyczność i umożliwia dostosowaną strategię aktualizacji zabezpieczeń systemu operacyjnego na poziomie węzła. Następnie możesz wybrać oddzielny plan automatycznych aktualizacji wersji Kubernetes na poziomie klastra. Najlepiej jest używać zarówno automatycznych aktualizacji na poziomie klastra, jak i kanału automatycznych aktualizacji systemu operacyjnego węzła. Planowanie można precyzyjnie dostosować, stosując dwa oddzielne zestawy okien konserwacji dla kanału automatycznej aktualizacji klastra oraz dla kanału automatycznej aktualizacji systemu operacyjnego węzła.

Kanały uaktualnień obrazu systemu operacyjnego węzła

Wybrany kanał określa czas uaktualniania. Podczas wprowadzania zmian w kanałach automatycznego uaktualniania systemu operacyjnego węzła zmiany mogą obowiązywać do 24 godzin.

Zmiany w kanałach systemu operacyjnego Node, które powodują ponowne instalowanie systemu.

Następujące przejścia kanału systemu operacyjnego spowodują ponowne uruchomienie obrazu na węzłach:

Dostępne kanały uaktualniania systemu operacyjnego węzła

Dostępne są następujące kanały uaktualniania. Możesz wybrać jedną z następujących opcji:

Co wybrać — kanał SecurityPatch czy kanał NodeImage?

Istnieją dwie ważne kwestie, które należy wziąć pod uwagę, aby wybrać między kanałami SecurityPatch lub NodeImage .

Ustawianie kanału automatycznego skalowania systemu operacyjnego węzła w nowym klastrze

export RANDOM_SUFFIX=$(openssl rand -hex 3)
export RESOURCE_GROUP="myResourceGroup$RANDOM_SUFFIX"
export AKS_CLUSTER="myAKSCluster$RANDOM_SUFFIX"
az aks create \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel SecurityPatch \
    --generate-ssh-keys

Ustaw kanał automatycznej aktualizacji systemu operacyjnego węzła w istniejącym klastrze

az aks update --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --node-os-upgrade-channel SecurityPatch

{
  "autoUpgradeProfile": {
      "nodeOsUpgradeChannel": "SecurityPatch"
  }
}

Aktualizowanie własności i harmonogramu

Domyślna kadencja oznacza, że nie zastosowano zaplanowanego okna obsługi.

Znane ograniczenia kanału węzła

• Obecnie, gdy ustawisz kanał automatycznego aktualizowania klastra na node-image, to automatycznie ustawia kanał automatycznego aktualizowania systemu operacyjnego węzła na NodeImage. Nie można zmienić wartości kanału automatycznego zwiększania poziomu systemu operacyjnego węzła, jeśli kanał automatycznego zwiększania poziomu klastra to node-image. Aby ustawić wartość kanału automatycznej aktualizacji systemu operacyjnego węzła, sprawdź, czy wartość kanału automatycznej aktualizacji klastra nie jest node-image.

• Kanał SecurityPatch nie jest obsługiwany w pulach węzłów systemu operacyjnego Windows.

Okna planowanej konserwacji systemu operacyjnego węzła

Planowana konserwacja autoupgrade'u systemu operacyjnego węzła rozpoczyna się w określonym przez użytkownika oknie konserwacyjnym.

Aby uzyskać więcej informacji na temat planowanej konserwacji, zobacz Planowanie okien obsługi klastra usługi Azure Kubernetes Service (AKS) przy użyciu planowanej konserwacji.

Automatyczne skalowanie systemu operacyjnego Node — często zadawane pytania

Jak sprawdzić bieżącą wartość nodeOsUpgradeChannel w klastrze?

az aks show Uruchom polecenie i sprawdź wartość "autoUpgradeProfile", aby określić wartość ustawioną nodeOsUpgradeChannel na:

az aks show --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --query "autoUpgradeProfile"

Wyniki:

{
  "nodeOsUpgradeChannel": "SecurityPatch"
}

Jak mogę monitorować stan autougradacji systemu operacyjnego węzła?

Aby wyświetlić stan automatycznych uaktualnień systemu operacyjnego węzła, wyszukaj dzienniki aktywności w klastrze. Możesz również wyszukać określone zdarzenia związane z uaktualnieniem, jak wspomniano w temacie Uaktualnianie klastra usługi AKS. Usługa AKS emituje również zdarzenia usługi Event Grid związane z uaktualnieniem. Aby dowiedzieć się więcej, zobacz AKS jako źródło usługi Event Grid.

Czy mogę zmienić wartość kanału automatycznej aktualizacji systemu operacyjnego węzła, jeśli mój kanał automatycznej aktualizacji klastra jest ustawiony na node-image?

L.p. Obecnie, gdy ustawisz kanał automatycznego aktualizowania klastra na node-image, to automatycznie ustawia kanał automatycznego aktualizowania systemu operacyjnego węzła na NodeImage. Nie można zmienić wartości kanału automatycznej aktualizacji systemu operacyjnego węzła, jeżeli kanał automatycznej aktualizacji klastra to node-image. Aby móc zmienić wartości kanału automatycznej aktualizacji systemu operacyjnego węzła, upewnij się, że kanał automatycznej aktualizacji klastra nie jest node-image.

Dlaczego zaleca się SecurityPatch używanie Unmanaged kanału?

Unmanaged W kanale usługa AKS nie ma kontroli nad sposobem i czasem dostarczania aktualizacji zabezpieczeń. Dzięki SecurityPatchprogramowi aktualizacje zabezpieczeń są w pełni przetestowane i są zgodne z bezpiecznymi rozwiązaniami wdrażania. SecurityPatch honoruje również okna obsługi. Aby uzyskać więcej informacji, zobacz Zwiększenie bezpieczeństwa i odporności obciążeń kanonicznych na platformie Azure.

Czy SecurityPatch zawsze prowadzi do odtworzenia obrazu moich węzłów?

Usługa AKS ogranicza przeładowanie obrazu tylko w razie konieczności, takich jak niektóre pakiety jądra, które mogą wymagać ponownego załadowania obrazu w celu pełnego zastosowania. SecurityPatch program jest zaprojektowany tak, aby zminimalizować zakłócenia tak bardzo, jak to możliwe. Jeśli usługa AKS uzna, że zmiana wizerunku węzłów nie jest konieczna, aktualizuje węzły na żywo bez opróżniania podów, i w takich przypadkach nie wykonuje się aktualizacji VHD.

SecurityPatch Dlaczego kanał wymaga osiągnięcia snapshot.ubuntu.com punktu końcowego?

Dzięki kanałowi SecurityPatch węzły klastra systemu Linux muszą pobrać wymagane poprawki zabezpieczeń i aktualizacje z usługi migawki systemu Ubuntu opisanej w temacie ubuntu-snapshots-on-azure-ensuring-predictability-and-consistency-in-cloud-deployments.The channel (Węzły klastra systemu Linux muszą pobrać wymagane poprawki zabezpieczeń i aktualizacje z usługi migawki ubuntu opisanej w temacie ubuntu-snapshots-on-azure-ensuring-predictability-and-consistency-in-cloud-deployments).

Jak mogę wiedzieć, czy na SecurityPatch moim węźle zastosowano uaktualnienie lub NodeImage czy?

Uruchom polecenie , kubectl get nodes --show-labels aby wyświetlić listę węzłów w klastrze i ich etykietach.

Wśród zwróconych etykiet powinien zostać wyświetlony wiersz podobny do następujących danych wyjściowych:

kubernetes.azure.com/node-image-version=AKSUbuntu-2204gen2containerd-202410.27.0-2024.12.01

W tym miejscu wersja obrazu węzła podstawowego to AKSUbuntu-2204gen2containerd-202410.27.0. Jeśli ma to zastosowanie, zwykle następuje wersja poprawki zabezpieczeń. W powyższym przykładzie jest to 2024.12.01.

Te same szczegóły można również wyszukać w witrynie Azure Portal w widoku etykiety węzła:

Następne kroki

Szczegółowe omówienie najlepszych rozwiązań dotyczących uaktualniania i innych zagadnień można znaleźć w artykule AKS patch and upgrade guidance (Wskazówki dotyczące poprawek i uaktualniania usługi AKS).