Autouppgradera nodoperativsystemavbildningar i Azure Kubernetes Service (AKS)

AKS tillhandahåller flera kanaler för automatisk uppgradering som är dedikerade till säkerhetsuppdateringar på nodnivå för operativsystem, levererade i tid. Den här kanalen skiljer sig från kubernetes-versionsuppgraderingar på klusternivå och ersätter den.

Interaktioner mellan autouppgradering av nodoperativsystem och autouppgradering av kluster

Säkerhetsuppdateringar på nodnivå släpps snabbare än uppdateringar av Kubernetes patchar eller mindre versioner. Autoupgrade-kanalen för nodoperativsystem ger dig flexibilitet och möjliggör en anpassad strategi för säkerhetsuppdateringar på nodnivå för operativsystem. Sedan kan du välja en separat plan för Kubernetes-versionens automatiska uppgraderingar på klusternivå . Det är bäst att använda både autouppgraderingar på klusternivå och autouppgraderingskanalen för nodens operativsystem tillsammans. Schemaläggning kan finjusteras genom att tillämpa två separata uppsättningar med underhållsperioder - aksManagedAutoUpgradeSchedule för kanalen autoupgrade för klustret och aksManagedNodeOSUpgradeSchedule för nodens autouppgraderingskanal för operativsystem.

Kanaler för nod-OS-avbildningsuppgraderingar

Den valda kanalen avgör tidpunkten för uppgraderingar. När du gör ändringar i nod-operativsystemets automatiska uppgraderingskanaler kan det ta upp till 24 timmar innan ändringarna börjar gälla.

Ändringar i Node OS-kanalen som orsakar en ombildning

Följande övergångar för nod-os-kanalen utlöser återimering på noderna:

Tillgängliga uppgraderingskanaler för nodoperativsystem

Följande uppgraderingskanaler är tillgängliga för AKS Standard-kluster. (AUTOMATISKA AKS-kluster använder NodeImage-kanalen som standard.)

Vad du ska välja – SecurityPatch Channel eller NodeImage Channel?

För Automatiska AKS-kluster

AKS Automatic använder NodeImage-kanalen som standard. Den här kanalen ger den bästa balansen mellan säkerhetskorrigeringar, felkorrigeringar och hanterbarhet för produktionsarbetsbelastningar. Den veckovisa kadensen överensstämmer med AKS bästa praxis och justeras för optimala klusterprestanda utan manuella åtgärder.

Ingen konfiguration krävs – uppgraderingar sker automatiskt i underhållsfönstret. Du kan justera underhållsperioder om du vill styra när uppdateringar inträffar, men kanalvalet är åtgärdat.

Varför NodeImage för AKS Automatic?

• Innehåller både säkerhetskorrigeringar och felkorrigeringar för omfattande stabilitet
• Veckovis takt ger förutsägbar uppdateringstid
• Fullständigt hanterad av AKS med säkra distributionsmetoder
• Inga extra kostnader för VHD-värdtjänst
• Optimerad för produktionsarbetsbelastningar med rekommenderade standardvärden

För AKS Standard-kluster

Om du använder AKS Standard utvärderar du dina krav med hjälp av jämförelsen nedan för att välja mellan SecurityPatch eller NodeImage kanaler.

Det finns två viktiga saker att tänka på när du väljer mellan SecurityPatch eller NodeImage kanaler:

Jämförelse av klusterläge

Följande tabell sammanfattar konfigurationen för automatisk uppgradering av nodoperativsystemet per klusterläge:

Ange nodens autouppgraderingskanal för operativsystem i ett nytt kluster

export RANDOM_SUFFIX=$(openssl rand -hex 3)
export RESOURCE_GROUP="myResourceGroup$RANDOM_SUFFIX"
export AKS_CLUSTER="myAKSCluster$RANDOM_SUFFIX"
az aks create \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel SecurityPatch \
    --generate-ssh-keys

Ange nodens OS-autoupgrade-kanal i ett befintliga kluster

az aks update --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --node-os-upgrade-channel SecurityPatch

{
  "autoUpgradeProfile": {
      "nodeOsUpgradeChannel": "SecurityPatch"
  }
}

Justera underhållsfönster för AKS Automatic-kluster

az aks update \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel NodeImage \
    --schedule-config "scheduled-maintenance-window=true" \
    --maintenance-window "frequency=Weekly,day-of-week=Sunday,utc-offset=+00:00,duration-hours=4,start-hour=2"

Uppdatera ägarskap och takt per kanal

Standardtakt innebär att det inte finns någon planerad underhållsperiod.

Kända begränsningar för nodoperativsystemets kanal för automatiska uppgraderingar

• När du för närvarande ställer in autouppgrade-kanalen för klustret på node-image, anger den också automatiskt nodens autouppgraderingskanal för operativsystemet till NodeImage. Du kan inte ändra värdet för nodens OS-autouppgraderingskanal om autouppgraderingskanalen för klustret är node-image. För att ange värdet för nodoperativsystemets kanal för automatisk uppgradering kontrollerar du att värdet för klustrets kanal för automatisk uppgradering inte är node-image.
• Kanalen SecurityPatch stöds inte i Windows OS-nodpooler.
• Kanalen SecurityPatch är inte kompatibel med en Azure Policy som använder en deny effekt för att kräva kundhanterade nycklar (CMK) för OS-diskkryptering. När du installerar en säkerhetskorrigering skapar AKS tillfälligt en skalningsuppsättning för virtuella datorer (VMSS) med prefixet copy- i nodresursgruppen (MC_), vilket en sådan princip inte tillåter, så uppgraderingen misslyckas med ett RequestDisallowedByPolicy-fel. Det finns fortfarande stöd för att använda kundhanterade nycklar på dina nodpooler med SecurityPatch; konflikten gäller bara en princip med deny-effekt. Om du behöver en organisationsomfattande princip för CMK OS-diskkryptering deny använder du NodeImage kanalen i stället.

Planerade underhållsperioder för Node OS

Planerat underhåll för noden OS autoupgrade startar vid det angivna underhållsfönstret.

Mer information om planerat underhåll finns i Använda planerat underhåll för att schemalägga underhållsperioder för ditt AKS-kluster (Azure Kubernetes Service).

Vanliga frågor och svar om autouppgradering av Node OS

Hur kan jag kontrollera aktuellt nodeOsUpgradeChannel-värde i ett kluster?

az aks show Kör kommandot och kontrollera "autoUpgradeProfile" för att avgöra vilket värde nodeOsUpgradeChannel som är inställt på:

az aks show --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --query "autoUpgradeProfile"

Resultat:

{
  "nodeOsUpgradeChannel": "SecurityPatch"
}

Konfigureras autouppgrade för nodoperativsystem på ett annat sätt för AKS Automatic?

Yes. AKS Automatiska kluster är förkonfigurerade för att använda NodeImage-kanalen som standard – du behöver inte konfigurera något. Den här konfigurationen tillhandahåller:

• Veckovisa säkerhetskorrigeringar och buggkorrigeringar
• Automatisk återimering med säkra distributionsmetoder
• Kontroll av underhållsfönster (valfritt)
• Produktionsklara standardinställningar optimerade för de flesta arbetsbelastningar
• Inga extra kostnader för VHD-värdtjänst

AKS Standard-kluster kräver att du väljer en kanal baserat på dina specifika behov. Information om hur du migrerar från AKS Standard till AKS Automatic och dra nytta av dessa förkonfigurerade standardvärden finns i Vad är Azure Kubernetes Service (AKS) Automatisk?

Kan jag ändra nodens autouppgraderingskanal för operativsystemet i ett AKS-automatiskt kluster?

Nej. AKS Automatiska kluster använder NodeImage-kanalen och du kan inte ändra den här kanalen. Om du behöver en annan kanal använder du ett AKS Standard-kluster. Du kan dock justera underhållsfönster för att styra när uppgraderingar sker i ditt AKS Automatic-kluster.

Hur kan jag övervaka statusen för nodoperativsystem autouppgraderingar?

Om du vill visa status för dina automatiska uppgraderingar av nodens operativsystem letar du upp aktivitetsloggar i klustret. Du kan också söka efter specifika uppgraderingsrelaterade händelser enligt beskrivningen i Uppgradera ett AKS-kluster. AKS genererar även uppgraderingsrelaterade Event Grid-händelser. Mer information finns i AKS som en Event Grid-källa.

Kan jag ändra värdet för nodens OS-autoupgradekanal om klustrets autoupgradekanal är inställd på node-image?

Nej. När du för närvarande ställer in autouppgrade-kanalen för klustret på node-image, anger den också automatiskt nodens autouppgraderingskanal för operativsystemet till NodeImage. Du kan inte ändra värdet för nodens OS-autouppgraderingskanal om autouppgraderingskanalen för klustret är node-image. Om du vill ändra den automatiska uppgraderingskanalens värden för nodoperativsystemet kontrollerar du att klustrets kanal för automatiska uppgraderingar inte är node-image.

Varför rekommenderas SecurityPatch över Unmanaged kanalen?

AKS har ingen kontroll över hur och när säkerhetsuppdateringarna levereras på Unmanaged-kanalen. Med SecurityPatchtestas säkerhetsuppdateringarna fullständigt och följer säkra distributionsmetoder. SecurityPatch respekterar även underhållsperioder. Mer information finns i Ökad säkerhet och återhämtning för kanoniska arbetsbelastningar i Azure.

Leder SecurityPatch det alltid till en återimering av mina noder?

AKS begränsar omavbildningar till endast när det behövs, exempelvis vissa kärnpaket som kan kräva en omavbildning för att bli fullt tillämpade. SecurityPatch är utformad för att minimera störningar så mycket som möjligt. Om AKS beslutar att det inte är nödvändigt att ändra storlek på noder korrigeras noderna live utan att poddar töms och ingen VHD-uppdatering utförs i sådana fall.

Varför måste SecurityPatch kanalen nå snapshot.ubuntu.com slutpunkten?

SecurityPatch Med denna kanal måste Linux-klusternoderna ladda ned de nödvändiga säkerhetskorrigeringarna och uppdateringarna från Ubuntu snapshot-tjänsten som beskrivs i ubuntu-snapshots-on-azure-ensuring-predictability-and-consistency-in-cloud-deployments.

Hur gör jag för att veta om en SecurityPatch eller NodeImage uppgradering tillämpas på min nod?

kubectl get nodes --show-labels Kör kommandot för att visa noderna i klustret och deras etiketter.

Bland de returnerade etiketterna bör du se en rad som liknar följande utdata:

kubernetes.azure.com/node-image-version=AKSUbuntu-2204gen2containerd-202410.27.0-2024.12.01

Basnodens avbildningsversion är AKSUbuntu-2204gen2containerd-202410.27.0. Om tillämpligt följer säkerhetskorrigeringsversionen vanligtvis. I föregående exempel är det 2024.12.01.

Samma information kan också sökas upp i Azure Portal under nodetikettvyn:

Relaterat innehåll

En detaljerad beskrivning av metodtips för uppgradering och andra överväganden finns i AKS-korrigerings- och uppgraderingsvägledning.

Mer information om AKS Automatics förkonfigurerade inställningar och produktionsklara standardinställningar finns i Vad är Azure Kubernetes Service (AKS) Automatisk?