확장 지원 Kubernetes 버전에 대한 릴리스 정보 검토

Kubernetes 1.27의 kubelet은 기본  kubeAPIQPS를 50으로, kubeAPIBurst를 100으로 늘렸다. 이러한 향상된 기능을 통해 kubelet은 더 많은 양의 API 쿼리를 처리하여 응답 시간과 성능을 개선할 수 있습니다. 조정 요구 사항으로 인해 Pods에 대한 수요가 증가하면 수정된 기본값을 통해 kubelet이 증가한 워크로드를 효율적으로 관리할 수 있습니다. 결과적으로 Pod 실행이 더 빨라지고 클러스터 작업이 더 효과적입니다.

보다 세분화된 Pod 토폴로지를 사용하여 minDomain과 같은 정책을 분산할 수 있습니다. 이 파라미터는 Pods가 분산되어야 하는 최소 도메인 수를 지정할 수 있는 기능을 제공합니다. nodeAffinityPolicy 및 nodeTaintPolicy를 사용하면 더 세부적으로 Pod 배포를 관리할 수 있습니다. 이는 노드 친화도, 테인트 및 Pod’s 사양의 topologySpreadConstraints에 있는 matchLabelKeys 필드에 따른 것입니다. 이를 통해 롤링 업그레이드 후 계산을 분산하기 위해 Pods를 선택할 수 있습니다.

Kubernetes 1.27은 PersistentVolumeClaims(PVCs)의 수명을 제어하는 StatefulSets에 대한 새로운 정책 메커니즘을 베타 버전으로 승격했습니다. 새로운 PVC 보존 정책을 사용하면 StatefulSet가 삭제되거나 StatefulSet의 복제본이 스케일 다운될 때 StatefulSet 사양 템플릿에서 생성된 PVCs를 자동으로 삭제할지 아니면 유지할지 지정할 수 있습니다.

Kubernetes API 서버의 goaway-chance 옵션은 연결을 무작위로 종료하여 HTTP/2 클라이언트 연결이 단일 API 서버 인스턴스에서 중단되는 것을 방지합니다. 연결이 닫히면 클라이언트가 다시 연결을 시도하고 로드 밸런싱의 결과로 다른 API 서버에 도달할 가능성이 높습니다. Amazon EKS 버전 1.27은 goaway-chance 플래그를 활성화했습니다. Amazon EKS 클러스터에서 실행 중인 워크로드가 HTTP GOAWAY와 호환되지 않는 클라이언트를 사용하는 경우, 연결 종료 시 다시 연결하여 GOAWAY를 처리하도록 클라이언트를 업데이트하는 것이 좋습니다.

Kubernetes 1.26으로 업그레이드하기 전에 Amazon VPC CNI plugin for Kubernetes를 버전 1.12 이상으로 업그레이드하세요. Amazon VPC CNI plugin for Kubernetes 버전 1.12 이상으로 업그레이드하지 않으면 Amazon VPC CNI plugin for Kubernetes가 충돌합니다. 자세한 내용은 Amazon VPC CNI 섹션을 참조하세요.

Kubernetes API 서버의 goaway-chance 옵션은 연결을 무작위로 종료하여 HTTP/2 클라이언트 연결이 단일 API 서버 인스턴스에서 중단되는 것을 방지합니다. 연결이 닫히면 클라이언트가 다시 연결을 시도하고 로드 밸런싱의 결과로 다른 API 서버에 도달할 가능성이 높습니다. Amazon EKS 버전 1.26은 goaway-chance 플래그를 활성화했습니다. Amazon EKS 클러스터에서 실행 중인 워크로드가 HTTP GOAWAY와 호환되지 않는 클라이언트를 사용하는 경우, 연결 종료 시 다시 연결하여 GOAWAY를 처리하도록 클라이언트를 업데이트하는 것이 좋습니다.

SeccompDefault이 Kubernetes 1.25의 베타로 승격되었습니다. kubelet를 구성할 때 --seccomp-default 플래그를 설정하면 컨테이너 런타임은 무제한(seccomp disabled) 모드가 아닌 해당 RuntimeDefaultseccomp 프로필을 사용합니다. 기본 프로필은 워크로드의 기능을 유지하면서 강력한 보안 기본값 세트를 제공합니다. 이 플래그를 사용할 수 있지만 Amazon EKS는 기본적으로 이 플래그를 활성화하지 않으므로 Amazon EKS 동작은 사실상 변경되지 않습니다. 원하는 경우 노드에서 이 기능을 활성화할 수 있습니다. 자세한 내용은 Kubernetes 설명서의 seccomp를 사용한 컨테이너의 Syscalls 제한 튜토리얼을 참조하세요.

Docker(dockershim이라고도 함)의 CRI(컨테이너 런타임 인터페이스) 지원은 Kubernetes 1.24 이후 버전에서 제거되었습니다. Kubernetes 1.24 이후 클러스터에 대한 Amazon EKS 공식 AMIs의 유일한 컨테이너 런타임은 containerd입니다. Amazon EKS 1.24 또는 이후 버전으로 업그레이드하기 전에 더는 지원되지 않는 부트스트랩 스크립트 플래그에 대한 참조를 제거하세요. 자세한 내용은 dockershim에서 containerd로 마이그레이션 섹션을 참조하세요.

와일드카드 쿼리에 대한 지원은 CoreDNS 1.8.7에서 더 이상 사용되지 않으며 CoreDNS 1.9에서 제거되었습니다. 이는 보안 조치로 수행되었습니다. 와일드카드 쿼리는 더 이상 작동하지 않으며 IP 주소 대신 NXDOMAIN을 반환합니다.

Kubernetes API 서버의 goaway-chance 옵션은 연결을 무작위로 종료하여 HTTP/2 클라이언트 연결이 단일 API 서버 인스턴스에서 중단되는 것을 방지합니다. 연결이 닫히면 클라이언트가 다시 연결을 시도하고 로드 밸런싱의 결과로 다른 API 서버에 도달할 가능성이 높습니다. Amazon EKS 버전 1.25은 goaway-chance 플래그를 활성화했습니다. Amazon EKS 클러스터에서 실행 중인 워크로드가 HTTP GOAWAY와 호환되지 않는 클라이언트를 사용하는 경우, 연결 종료 시 다시 연결하여 GOAWAY를 처리하도록 클라이언트를 업데이트하는 것이 좋습니다.

토폴로지 인식 힌트를 사용하여 클러스터 워커 노드가 여러 가용 영역에 배포될 때 영역에서 트래픽을 유지하기 위한 기본 설정을 나타낼 수 있습니다. 영역 내에서 트래픽을 라우팅하면 비용을 절감하고 네트워크 성능을 개선하는 데 도움이 될 수 있습니다. 기본적으로 Amazon EKS 1.24에서는 토폴로지 인식 힌트가 활성화되어 있습니다. 자세한 내용은 Kubernetes 설명서의 토폴로지 인식 힌트를 참조하세요.

PodSecurityPolicy(PSP)는 Kubernetes 1.25에서 제거될 예정입니다. PSPs는 PSA(포드 보안 승인)로 대체되고 있습니다. PSA는 PSS(포드 보안 표준)에 간략히 설명된 보안 컨트롤을 사용하는 기본 제공 승인 컨트롤러입니다. PSA와 PSS는 모두 베타 기능이며 기본적으로 Amazon EKS에서 활성화되어 있습니다. 버전 1.25의 PSP 제거를 해결하려면 Amazon EKS에서 PSS를 구현하는 것이 좋습니다. 자세한 내용은 AWS 블로그의 Amazon EKS에서 포드 보안 표준 구현을 참조하세요.

client.authentication.k8s.io/v1alpha1 ExecCredential이 Kubernetes 1.24에서 제거되었습니다. ExecCredential API는 Kubernetes 1.22에서 일반적으로 사용할 수 있었습니다. v1alpha1 API를 이용하는 client-go 보안 인증 플러그인을 사용하는 경우 플러그인 배포자에게 v1 API로 마이그레이션하는 방법을 문의하세요.

Kubernetes 1.24의 경우 Amazon EKS 관리형 노드 그룹과 0 노드 사이의 크기 조정을 간소화하는 기능을 업스트림 Cluster Autoscaler 프로젝트에 제공했습니다. 이전에는 Cluster Autoscaler에서 0 노드로 크기가 조정된 관리형 노드 그룹의 리소스, 레이블 및 테인트를 이해하려면 담당하는 노드의 세부 정보로 기본 Amazon EC2 Auto Scaling 그룹에 태그를 지정해야 했습니다. 이제는 관리형 노드 그룹에 실행 중인 노드가 없을 때 Cluster Autoscaler에서 Amazon EKS DescribeNodegroup API 작업을 호출합니다. 이 API 작업에서는 Cluster Autoscaler에 필요한 관리 노드 그룹의 리소스, 레이블 및 테인트에 대한 정보가 제공됩니다. 이 기능을 사용하려면 Cluster Autoscaler 서비스 계정 IAM 정책에 eks:DescribeNodegroup 권한을 추가해야 합니다. Amazon EKS 관리형 노드 그룹을 지원하는 Auto Scaling의 Cluster Autoscaler 태그 값이 노드 그룹 자체와 충돌하는 경우 Cluster Autoscaler에서는 Auto Scaling 태그의 값을 선호합니다. 이는 필요에 따라 값을 재정의할 수 있도록 하기 위한 것입니다. 자세한 내용은 Cluster Autoscaler를 참조하세요.

Amazon EKS 1.24와 함께 Inferentia 또는Trainium 인스턴스 유형을 사용하려는 경우 AWS Neuron 디바이스 플러그인 버전 1.9.3.0 또는 이후 버전으로 업그레이드해야 합니다. 자세한 내용은 AWS Neuron 설명서의 Neuron K8 릴리스[1.9.3.0]를 참조하세요.

Containerd은 기본적으로 Pods에 대해 활성화된 IPv6을 가지고 있습니다. 노드 커널 설정을 Pod 네트워크 네임스페이스에 적용합니다. 이 때문에 Pod의 컨테이너는 IPv4(127.0.0.1) 및 IPv6(::1) 루프백 주소 모두에 바인딩됩니다. IPv6은 통신을 위한 기본 프로토콜입니다. 클러스터를 버전 1.24로 업데이트하기 전에 다중 컨테이너 Pods를 테스트하는 것이 좋습니다. 루프백 인터페이스의 모든 IP 주소에 바인딩할 수 있도록 앱을 수정합니다. 대부분의 라이브러리는 IPv4를 통해 이전 버전과 호환되는 IPv6 바인딩을 활성화합니다. 애플리케이션 코드를 수정할 수 없는 경우 두 가지 옵션이 있습니다.

모든 노드의 모든 Pods에 대한 IPv6을 차단해야 하는 경우 인스턴스의 IPv6을 비활성화해야 할 수도 있습니다.

Kubernetes API 서버의 goaway-chance 옵션은 연결을 무작위로 종료하여 HTTP/2 클라이언트 연결이 단일 API 서버 인스턴스에서 중단되는 것을 방지합니다. 연결이 닫히면 클라이언트가 다시 연결을 시도하고 로드 밸런싱의 결과로 다른 API 서버에 도달할 가능성이 높습니다. Amazon EKS 버전 1.24은 goaway-chance 플래그를 활성화했습니다. Amazon EKS 클러스터에서 실행 중인 워크로드가 HTTP GOAWAY와 호환되지 않는 클라이언트를 사용하는 경우, 연결 종료 시 다시 연결하여 GOAWAY를 처리하도록 클라이언트를 업데이트하는 것이 좋습니다.

Kubernetes는 버전 1.20에서의 dockershim 지원을 중단하고 버전 1.24에서 dockershim을 제거했습니다. 자세한 내용은 Kubernetes 블로그의 Kubernetes, Dockershim에서 벗어나다: 커밋과 다음 단계를 참조하세요. Amazon EKS에서는 Amazon EKS 버전 1.24부터 dockershim에 대한 지원이 종료됩니다. Amazon EKS 버전 1.24부터 Amazon EKS 공식 AMI에는 containerd가 유일한 런타임으로 포함됩니다.

Amazon EKS 버전 1.23에서 dockershim을 계속 지원하더라도 지금 애플리케이션 테스트를 시작하여 Docker 종속성을 식별하고 제거하는 것이 좋습니다. 이렇게 하면 클러스터를 버전 1.24로 업데이트할 준비가 됩니다. dockershim 제거에 대한 자세한 내용은 dockershim에서 containerd로 마이그레이션 부분을 참조하세요.

Kubernetes에서 Pods, 서비스, 노드에 대한 IPv4/IPv6 듀얼 스택 네트워킹이 정식 출시 단계로 전환되었습니다. 그러나 Amazon EKS와 Amazon VPC CNI plugin for Kubernetes는 듀얼 스택 네트워킹을 지원하지 않습니다. 클러스터가 Pods 및 서비스에 IPv4 또는 IPv6 주소를 할당할 수 있지만 두 주소 유형을 모두 할당할 수는 없습니다.

Kubernetes에서 PSA(포드 보안 승인) 기능이 베타 상태로 전환되었습니다. 이 기능은 기본적으로 활성화되어 있습니다. 자세한 내용은 Kubernetes 설명서의 포드 보안 승인을 참조하세요. PSA는 포드 보안 정책(PSP) 승인 컨트롤러를 대체합니다. PSP 승인 컨트롤러는 지원되지 않으며 Kubernetes 버전 1.25에서 제거될 예정입니다.

PSP 승인 컨트롤러는 적용 수준을 설정하는 특정 네임스페이스 레이블을 기반으로 하는 네임스페이스에 Pods에 대한 Pod 보안 표준을 적용합니다. 자세한 내용은 Amazon EKS 모범 사례 안내서의 포드 보안 표준(PSS) 및 포드 보안 승인(PSA)을 참조하세요.

클러스터와 함께 배포된 kube-proxy 이미지는 이제 Amazon EKS Distro(EKS-D)에서 관리하는 최소 기본 이미지입니다. 이미지에는 최소 패키지가 포함되어 있으며 셸 또는 패키지 관리자가 없습니다.

Kubernetes에서 임시 컨테이너가 베타 상태로 전환되었습니다. 임시 컨테이너는 기존 Pod와 동일한 네임스페이스에서 실행되는 임시 컨테이너입니다. 임시 컨테이너를 사용하여 문제 해결 및 디버깅을 위해 Pods 및 컨테이너 상태를 관찰할 수 있습니다. 이 방법은 컨테이너가 충돌했거나 컨테이너 이미지에 디버깅 유틸리티가 포함되어 있지 않아 kubectl exec가 충분하지 않은 경우에 대화형 문제 해결에 특히 유용합니다. 디버깅 유틸리티를 포함하는 컨테이너의 예는 Distroless 이미지입니다. 자세한 내용은 Kubernetes 설명서에서 임시 디버그 컨테이너를 사용한 디버깅을 참조하세요.

Kubernetes에서 HorizontalPodAutoscaler autoscaling/v2 안정적 API가 정식 출시 단계로 전환되었습니다. HorizontalPodAutoscaler autoscaling/v2beta2 API는 사용 중단되었습니다. 1.26에서 사용할 수 없습니다.

Kubernetes API 서버의 goaway-chance 옵션은 연결을 무작위로 종료하여 HTTP/2 클라이언트 연결이 단일 API 서버 인스턴스에서 중단되는 것을 방지합니다. 연결이 닫히면 클라이언트가 다시 연결을 시도하고 로드 밸런싱의 결과로 다른 API 서버에 도달할 가능성이 높습니다. Amazon EKS 버전 1.23은 goaway-chance 플래그를 활성화했습니다. Amazon EKS 클러스터에서 실행 중인 워크로드가 HTTP GOAWAY와 호환되지 않는 클라이언트를 사용하는 경우, 연결 종료 시 다시 연결하여 GOAWAY를 처리하도록 클라이언트를 업데이트하는 것이 좋습니다.