Atualizar imagens do sistema operacional do nó automaticamente

O AKS fornece vários canais de atualização automática dedicados a atualizações de segurança do sistema operacional em nível de nó de forma oportuna. Esse canal é diferente das atualizações de versão do Kubernetes no nível do cluster e o substitui.

Interações entre a atualização automática do sistema operacional do nó e a atualização automática do cluster

As atualizações de segurança do sistema operacional no nível do nó são lançadas em uma taxa mais rápida do que o patch do Kubernetes ou atualizações de versões secundárias. O canal de atualização automática do sistema operacional do nó oferece flexibilidade e habilita uma estratégia personalizada para atualizações de segurança do sistema operacional no nível do nó. Em seguida, você pode escolher um plano separado para atualizações automáticas da versão do Kubernetes no nível do cluster. É melhor usar as atualização automáticas no nível de cluster e o canal de atualização automática do sistema operacional do nó juntos. O agendamento pode ser ajustado aplicando dois conjuntos separados de janelas de manutenção - aksManagedAutoUpgradeSchedule para o canal de atualização automática do cluster e aksManagedNodeOSUpgradeSchedule para o canal de atualização automática do sistema operacional do nó.

Canais para atualizações de imagem do sistema operacional do nó

O canal selecionado determina o tempo das atualizações. Ao fazer alterações nos canais de atualização automática do sistema operacional do nó, aguarde até 24 horas para que as alterações produzam efeito.

Alterações no canal do sistema operacional do nó que causam uma nova imagem

As seguintes transições de canal do sistema operacional do nó dispararão a nova imagem nos nós:

Canais de atualização do sistema operacional do nó disponível

Os seguintes canais de atualização estão disponíveis. Você tem permissão para escolher uma destas opções:

O que escolher – Canal SecurityPatch ou Canal NodeImage?

Há duas considerações importantes para você escolher entre SecurityPatch ou NodeImage canais.

Definir o canal de atualização automática do sistema operacional do nó em um novo cluster

export RANDOM_SUFFIX=$(openssl rand -hex 3)
export RESOURCE_GROUP="myResourceGroup$RANDOM_SUFFIX"
export AKS_CLUSTER="myAKSCluster$RANDOM_SUFFIX"
az aks create \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel SecurityPatch \
    --generate-ssh-keys

Defina o canal de atualização automática do sistema operacional do nó em um cluster existente

az aks update --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --node-os-upgrade-channel SecurityPatch

{
  "autoUpgradeProfile": {
      "nodeOsUpgradeChannel": "SecurityPatch"
  }
}

Atualizar propriedade e agendamento

A cadência padrão significa que não há nenhuma janela de manutenção planejada aplicada.

Limitações conhecidas do canal do nó

• Atualmente, quando você define o canal de atualização automática do cluster como node-image, ele também define automaticamente o canal de atualização automática do sistema operacional do nó como NodeImage. Você não poderá alterar o valor do canal de atualização automática do sistema operacional do nó se o canal de atualização automática do cluster for node-image. Para definir o valor do canal de atualização automática do sistema operacional do nó, certifique-se de que o valor do canal de atualização automática do cluster não seja node-image.

• Não há suporte para o canal SecurityPatch nos pools de nós do sistema operacional Windows.

Janelas de manutenção planejada do sistema operacional do nó

A manutenção planejada para a atualização automática do sistema operacional do nó começa na janela de manutenção especificada.

Para mais informações sobre a manutenção planejada, consulte Usar a manutenção planejada para agendar janelas de manutenção para seu cluster do AKS (Serviço de Kubernetes do Azure).

Perguntas frequentes sobre o sistema operacional do nó

Como posso verificar o valor atual do nodeOsUpgradeChannel em um cluster?

Execute o comando az aks show e verifique o "autoUpgradeProfile" para determinar qual valor o nodeOsUpgradeChannel está definido:

az aks show --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --query "autoUpgradeProfile"

Resultados:

{
  "nodeOsUpgradeChannel": "SecurityPatch"
}

Como posso monitorar o status dos atualização automáticas do sistema operacional do nó?

Para exibir o status de suas atualizações automáticas do sistema operacional do nó, pesquise os logs de atividades no cluster. Você também pode pesquisar eventos específicos relacionados a atualizações, conforme mencionado em Atualizar um cluster do AKS. O AKS também emite eventos da Grade de Eventos relacionados a atualizações. Para saber mais, confira AKS como uma fonte da Grade de Eventos.

Posso alterar o valor do canal de atualização automática do sistema operacional do nó se meu canal de atualização automática do cluster estiver definido como node-image?

Não. Atualmente, quando você define o canal de atualização automática do cluster como node-image, ele também define automaticamente o canal de atualização automática do sistema operacional do nó como NodeImage. Você não poderá alterar o valor do canal de atualização automática do sistema operacional do nó se o canal de atualização automática do cluster for node-image. Para poder alterar os valores de canal de atualização automática do sistema operacional do nó, certifique-se de que o canal de atualização automática do cluster não seja node-image.

Por que SecurityPatch é recomendado no canal Unmanaged?

No canal Unmanaged, o AKS não tem controle sobre como e quando as atualizações de segurança são entregues. Com SecurityPatch, as atualizações de segurança são totalmente testadas e seguem práticas de implantação seguras. SecurityPatch também respeita as janelas de manutenção. Para obter mais informações, veja Maior segurança e resiliência de cargas de trabalho canônicas no Azure.

SecurityPatch sempre leva a uma nova imagem dos meus nós?

O AKS limita as recriações de imagem somente quando necessário, como determinados pacotes de kernel que podem exigir uma recriação de imagem para serem totalmente aplicados. SecurityPatch foi projetado para minimizar as interrupções o máximo possível. Se o AKS decidir que nós de recriação da imagem não são necessários, ele corrige os nós ao vivo sem esvaziar pods e nenhuma atualização de VHD é executada nesses casos.

Por que SecurityPatch canal precisa atingir snapshot.ubuntu.com ponto de extremidade?

Com o canal SecurityPatch, os nós do cluster Linux precisam baixar os patches de segurança e atualizações necessários do serviço de snapshot do Ubuntu descrito em ubuntu-snapshots-on-azure-ensures-predictability-and-consistency-in-cloud-deployments.

Como saber se uma atualização SecurityPatch ou NodeImage é aplicada no meu nó?

Execute o kubectl get nodes --show-labels comando para listar os nós em seu cluster e seus rótulos.

Entre os rótulos retornados, você verá uma linha semelhante à seguinte saída:

kubernetes.azure.com/node-image-version=AKSUbuntu-2204gen2containerd-202410.27.0-2024.12.01

Aqui, a versão da imagem do nó base é AKSUbuntu-2204gen2containerd-202410.27.0. Se aplicável, a versão do patch de segurança normalmente segue. No exemplo acima, ela é 2024.12.01.

Os mesmos detalhes também serão pesquisados no portal do Azure na exibição de rótulo do nó:

Próximas etapas

Para obter uma discussão detalhada sobre as melhores práticas de atualização e outras considerações, veja Diretrizes de patch e atualização do AKS.