Consultez les notes de publication pour Kubernetes les versions bénéficiant d'un support étendu

Le kubelet dans Kubernetes 1.27 a augmenté la valeur par défaut kubeAPIQPS à 50 et kubeAPIBurst à 100. Ces améliorations permettent de kubelet traiter un plus grand volume de API requêtes, améliorant ainsi les temps de réponse et les performances. Lorsque les demandes de Pods augmentent, en raison des exigences de mise à l'échelle, les valeurs par défaut révisées garantissent la capacité de kubelet à gérer efficacement l'augmentation de la charge de travail. Par conséquent, les lancements Pod sont plus rapides et les opérations de cluster sont plus efficaces.

Vous pouvez utiliser une topologie Pod plus fine pour diffuser des politiques telles que minDomain. Ce paramètre vous permet de spécifier le nombre minimum de domaines sur lesquels vos Pods devez être répartis. nodeAffinityPolicy et nodeTaintPolicy permettent un niveau de granularité supplémentaire dans la gestion de la distribution Pod. Ceci est conforme aux affinités des nœuds, aux rejets et au champ matchLabelKeys dans le topologySpreadConstraints de votre spécification Pod's. Cela permet de sélectionner des Pods pour étaler les calculs après une mise à niveau progressive.

Kubernetes1.27 promu en version bêta un nouveau mécanisme de politique StatefulSets contrôlant la durée de vie de leur PersistentVolumeClaims (PVCs). La nouvelle politique de rétention PVC vous permet de spécifier si les données PVCs générées à partir du modèle de spécification StatefulSet seront automatiquement supprimées ou retenues lors de la suppression du StatefulSet ou de la réduction des répliques dans le StatefulSet.

L'goaway-chanceoption sur le Kubernetes API serveur permet d'éviter que les connexions HTTP/2 client ne soient bloquées sur une seule instance de API serveur, en fermant une connexion de manière aléatoire. Lorsque la connexion est fermée, le client essaie de se reconnecter et il est probable qu'il atterrisse sur un autre API serveur en raison de l'équilibrage de charge. EKSLa version Amazon 1.27 a activé goaway-chance le drapeau. Si votre charge de travail exécutée sur le EKS cluster Amazon utilise un client incompatible avec HTTP GOAWAY, nous vous recommandons de mettre à jour la gestion de votre client en vous GOAWAY reconnectant à la fin de la connexion.

Avant de procéder à la mise à niveau vers Kubernetes 1.26, mettez à niveau votre Amazon VPC CNI plugin for Kubernetes vers la version 1.12 ou ultérieure. Si vous n'effectuez pas la mise à niveau vers la version 1.12 ou ultérieure du Amazon VPC CNI plugin for Kubernetes, le Amazon VPC CNI plugin for Kubernetes plantera. Pour de plus amples informations, veuillez consulter Attribuer IPs à Pods avec Amazon VPC CNI.

L'goaway-chanceoption sur le Kubernetes API serveur permet d'éviter que les connexions HTTP/2 client ne soient bloquées sur une seule instance de API serveur, en fermant une connexion de manière aléatoire. Lorsque la connexion est fermée, le client essaie de se reconnecter et il est probable qu'il atterrisse sur un autre API serveur en raison de l'équilibrage de charge. EKSLa version Amazon 1.26 a activé goaway-chance le drapeau. Si votre charge de travail exécutée sur le EKS cluster Amazon utilise un client incompatible avec HTTP GOAWAY, nous vous recommandons de mettre à jour la gestion de votre client en vous GOAWAY reconnectant à la fin de la connexion.

SeccompDefault passe en version bêta dans Kubernetes 1.25. En définissant l'indicateur --seccomp-default lors de la configuration de kubelet, l'environnement d'exécution de conteneur utilise son profil RuntimeDefaultseccomp au lieu du mode non confiné (seccomp disabled). Les profils par défaut fournissent un ensemble solide de paramètres de sécurité par défaut, tout en préservant l'intégrité de la charge de travail. Bien que cet indicateur soit disponible, Amazon EKS ne l'active pas par défaut, de sorte que le EKS comportement d'Amazon reste effectivement inchangé. Si vous le souhaitez, vous pouvez l'activer sur vos nœuds. Pour plus d'informations, consultez le didacticiel Restriction des appels système d'un conteneur avec seccomp de la documentation Kubernetes.

Support de l'interface Container Runtime (CRI) pour Docker (également connue sous le nom de dockershim Kubernetes1.24) a été supprimée ultérieurement. Le seul environnement d'exécution de conteneur EKS officiel d'Amazon AMIs pour les clusters Kubernetes 1.24 et les versions ultérieures estcontainerd. Avant de passer à Amazon EKS 1.24 ou à une version ultérieure, supprimez toute référence aux indicateurs de script bootstrap qui ne sont plus pris en charge. Pour de plus amples informations, veuillez consulter Migrer dockershim de containerd.

La prise en charge des requêtes génériques est devenue obsolète dans CoreDNS 1.8.7 et a été supprimée dans CoreDNS 1.9. Cela a été fait par mesure de sécurité. Les requêtes génériques ne fonctionnent plus et renvoient NXDOMAIN au lieu d'une adresse IP.

L'goaway-chanceoption sur le Kubernetes API serveur permet d'éviter que les connexions HTTP/2 client ne soient bloquées sur une seule instance de API serveur, en fermant une connexion de manière aléatoire. Lorsque la connexion est fermée, le client essaie de se reconnecter et il est probable qu'il atterrisse sur un autre API serveur en raison de l'équilibrage de charge. EKSLa version Amazon 1.25 a activé goaway-chance le drapeau. Si votre charge de travail exécutée sur le EKS cluster Amazon utilise un client incompatible avec HTTP GOAWAY, nous vous recommandons de mettre à jour la gestion de votre client en vous GOAWAY reconnectant à la fin de la connexion.

Vous pouvez avoir recours à des indicateurs prenant en compte la topologie (Topology Aware Hints) pour spécifier que vous préférez maintenir le trafic dans une zone lorsque les composants master du cluster sont déployés dans plusieurs zones de disponibilité. Le routage du trafic au sein d'une zone peut contribuer à réduire les coûts et à améliorer les performances du réseau. Par défaut, les indices tenant compte de la topologie sont activés sur Amazon EKS1.24. Pour plus d'informations, consultez Indicateurs prenant en compte la topologie dans la documentation Kubernetes.

La suppression du PodSecurityPolicy (PSP) est prévue dans Kubernetes1.25. PSPssont remplacés par Pod Security Admission (PSA). PSAest un contrôleur d'admission intégré qui utilise les contrôles de sécurité décrits dans les normes de sécurité des pods (PSS). PSAet PSS sont toutes deux des fonctionnalités bêta activées EKS par défaut sur Amazon. Pour résoudre le problème de suppression de la version PSP in1.25, nous vous recommandons de l'implémenter PSS dans AmazonEKS. Pour plus d'informations, consultez Implementation des normes de sécurité des pods EKS sur Amazon sur le AWS blog.

Le client.authentication.k8s.io/v1alpha1 ExecCredential est retiré dans Kubernetes1.24. Le ExecCredential API était généralement disponible en Kubernetes1.22. Si vous utilisez un plugin d'identification client-go qui repose sur le v1alpha1API, contactez le distributeur de votre plugin pour savoir comment migrer vers le. v1 API

En effet Kubernetes1.24, nous avons ajouté une fonctionnalité au projet Cluster Autoscaler en amont qui simplifie le dimensionnement des groupes de nœuds EKS gérés par Amazon vers et depuis zéro nœud. Auparavant, pour que le Cluster Autoscaler puisse comprendre les ressources, les étiquettes et les caractéristiques d'un groupe de nœuds gérés réduit à zéro nœud, vous deviez étiqueter le groupe Amazon EC2 Auto Scaling sous-jacent avec les détails des nœuds dont il était responsable. Désormais, lorsqu'aucun nœud n'est actif dans le groupe de nœuds gérés, le Cluster Autoscaler appelle l'opération Amazon EKS DescribeNodegroupAPI. Cette API opération fournit les informations dont le Cluster Autoscaler a besoin concernant les ressources, les étiquettes et les modifications du groupe de nœuds gérés. Cette fonctionnalité nécessite que vous ajoutiez l'eks:DescribeNodegroupautorisation à la politique de compte IAM du service Cluster Autoscaler. Lorsque la valeur d'une balise Cluster Autoscaler du groupe Auto Scaling alimentant un groupe de nœuds EKS géré par Amazon entre en conflit avec le groupe de nœuds lui-même, le Cluster Autoscaler préfère la valeur de la balise de groupe Auto Scaling. Cela vous permet de remplacer les valeurs selon vos besoins. Pour de plus amples informations, veuillez consulter Faites évoluer le calcul en cluster avec Karpenter et Cluster Autoscaler.

Si vous avez l'intention d'utiliser Inferentia ou d'utiliser des types d'Trainiuminstance avec Amazon EKS1.24, vous devez passer à la version 1.9.3.0 ou ultérieure du plug-in pour AWS Neuron appareil. Pour plus d'informations, consultez la version Neuron K8 [1.9.3.0] dans la documentation. AWS Neuron

IPv6 est activée par défaut dans Containerd pour les Pods. Containerd applique les paramètres du noyau des nœuds aux espaces de noms des réseaux de Pod. De ce fait, les conteneurs d'un Pod sont liés à la fois aux adresses de bouclage IPv4 (127.0.0.1) et IPv6 (::1). IPv6 est le protocole de communication par défaut. Avant de mettre à jour votre cluster vers la version 1.24, nous vous recommandons de tester vos Pods multi-conteneurs. Modifiez les applications de sorte qu'elles puissent se lier à toutes les adresses IP sur les interfaces de bouclage. La plupart des bibliothèques permettent la liaison IPv6, qui est rétrocompatible avec IPv4. S'il vous est impossible de modifier le code de votre application, deux options s'offrent à vous :

Si vous devez bloquer IPv6 pour tous les Pods sur tous les nœuds, vous devrez peut-être désactiver IPv6 sur vos instances.

L'goaway-chanceoption sur le Kubernetes API serveur permet d'éviter que les connexions HTTP/2 client ne soient bloquées sur une seule instance de API serveur, en fermant une connexion de manière aléatoire. Lorsque la connexion est fermée, le client essaie de se reconnecter et il est probable qu'il atterrisse sur un autre API serveur en raison de l'équilibrage de charge. EKSLa version Amazon 1.24 a activé goaway-chance le drapeau. Si votre charge de travail exécutée sur le EKS cluster Amazon utilise un client incompatible avec HTTP GOAWAY, nous vous recommandons de mettre à jour la gestion de votre client en vous GOAWAY reconnectant à la fin de la connexion.

Kubernetes ne prend plus en charge dockershim dans sa version 1.20 et a supprimé dockershim dans la version 1.24. Pour plus d'informations, voir l'article intitulé Kubernetes is Moving on From Dockershim: Commitments and Next Steps sur le blog Kubernetes. Amazon EKS mettra fin à la prise en charge dockershim du démarrage de EKS la version Amazon1.24. À partir de EKS la version Amazon1.24, Amazon EKS official AMIs aura containerd pour seul moteur d'exécution.

Même si EKS la version Amazon 1.23 continue d'être prise en chargedockershim, nous vous recommandons de commencer à tester vos applications dès maintenant afin d'identifier et de supprimer toute Docker dépendance. En procédant ainsi, vous êtes prêt à mettre à jour votre cluster vers la version 1.24. Pour en savoir plus sur la suppression de dockershim, consultez Migrer dockershim de containerd.

Kubernetes a fait évolué les IPv4/IPv6 vers la mise en réseau du double empilement Pods, services et nœuds à la disponibilité générale. Cependant, Amazon EKS et les autres ne prennent Amazon VPC CNI plugin for Kubernetes pas en charge les réseaux à double pile. Vos clusters peuvent attribuer IPv4 ou IPv6 adresses de Pods et les services. Toutefois, il ne peut pas attribuer les deux types d'adresses.

Kubernetesa fait passer la fonctionnalité Pod Security Admission (PSA) en version bêta. Cette fonction est activée par défaut. Pour plus d'informations, consultez Politiques d'admission de sécurité de Pod dans la documentation Kubernetes. PSAremplace le contrôleur d'admission Pod Security Policy (PSP). Le contrôleur PSP d'admission n'est pas pris en charge et sa suppression est prévue dans Kubernetes la version1.25.

Le PSP contrôleur d'admission applique Pod normes de sécurité sur Pods dans un espace de noms basé sur des étiquettes d'espace de noms spécifiques qui définissent le niveau d'application. Pour plus d'informations, consultez les sections Pod Security Standards (PSS) et Pod Security Admission (PSA) dans le guide des EKS meilleures pratiques Amazon.

L'kube-proxyimage déployée avec les clusters est désormais l'image de base minimale gérée par Amazon EKS Distro (EKS-D). L'image contient un minimum de packages et ne possède pas de shell ni de gestionnaire de packages.

Kubernetes a fait évoluer les conteneurs éphémères vers la version bêta. Les conteneurs éphémères sont des conteneurs temporaires qui s'exécutent dans le même espace de noms qu'un conteneur existant Pod. Vous pouvez les utiliser pour observer l'état de Pods et des conteneurs pour les besoins de dépannage et de débogage. Ceci est particulièrement utile pour le dépannage interactif lorsque kubectl exec est insuffisant parce qu'un conteneur a planté ou qu'une image de conteneur n'inclut pas d'utilitaires de débogage. Voici un exemple de conteneur comprenant un utilitaire de débogage :images sans distroless. Pour plus d'informations, veuillez consulter Débogage avec un conteneur de débogage éphémère dans la documentation Kubernetes.

Kubernetesa fait passer l'HorizontalPodAutoscalerautoscaling/v2écurie API à la disponibilité générale. Le HorizontalPodAutoscaler autoscaling/v2beta2 API est obsolète. Elle sera indisponible dans 1.26.

L'goaway-chanceoption sur le Kubernetes API serveur permet d'éviter que les connexions HTTP/2 client ne soient bloquées sur une seule instance de API serveur, en fermant une connexion de manière aléatoire. Lorsque la connexion est fermée, le client essaie de se reconnecter et il est probable qu'il atterrisse sur un autre API serveur en raison de l'équilibrage de charge. EKSLa version Amazon 1.23 a activé goaway-chance le drapeau. Si votre charge de travail exécutée sur le EKS cluster Amazon utilise un client incompatible avec HTTP GOAWAY, nous vous recommandons de mettre à jour la gestion de votre client en vous GOAWAY reconnectant à la fin de la connexion.