Revisão das notas de release das versões do Kubernetes com suporte estendido

O kubelet em Kubernetes 1.27 aumentou o padrão de kubeAPIQPS para 50 e de kubeAPIBurst para 100. Esses aprimoramentos permitem kubelet lidar com um volume maior de consultas de API, melhorando os tempos de resposta e o desempenho. Quando as demandas de escalonamento Pods aumentam, devido aos requisitos de escalabilidade, os padrões revisados garantem que eles kubelet possam gerenciar com eficiência o aumento do workload. Como resultado, os Pod lançamentos são mais rápidos e as operações de cluster são mais eficazes.

Você pode usar uma Pod topologia mais refinada para difundir políticas como minDomain. Esse parâmetro permite especificar o número mínimo de domínios pelos quais você Pods deve estar distribuído. nodeAffinityPolicy e nodeTaintPolicy permita um nível extra de granularidade na Pod governança da distribuição. Isso está de acordo com as afinidades dos nós, as manchas e o matchLabelKeys campo topologySpreadConstraints em sua especificação Pod's. Isso permite a seleção de cálculos Pods para distribuição após uma atualização contínua.

Kubernetes1.27 promoveu à versão beta um novo mecanismo de política StatefulSets que controla a vida útil de seu PersistentVolumeClaims (PVCs). A nova política PVC de retenção permite especificar se o PVCs gerado a partir do modelo de StatefulSet especificação será automaticamente excluído ou retido quando StatefulSet for excluído ou se as réplicas StatefulSet forem reduzidas.

Por meio do fechamento aleatório de uma conexão, a opção goaway-chance no servidor de API do Kubernetes ajuda a evitar que as conexões do cliente HTTP/2 fiquem presas em uma única instância do servidor de API. Quando a conexão for fechada, o cliente tentará se reconectar e provavelmente acessará um servidor de API diferente como resultado do balanceamento de carga. O Amazon EKS versão 1.27 tem a sinalização goaway-chance habilitada. Se sua workload em execução no cluster do Amazon EKS usa um cliente que não é compatível com HTTP GOAWAY, recomendamos atualizar seu cliente para lidar com GOAWAY reconectando-se no encerramento da conexão.

Antes de fazer o upgrade para Kubernetes 1.26, atualize seu Amazon VPC CNI plugin for Kubernetes para a versão 1.12 ou posterior. Se você não fizer o upgrade para o Amazon VPC CNI plugin for Kubernetes versão 1.12 ou posterior, o Amazon VPC CNI plugin for Kubernetes vai falhar. Para ter mais informações, consulte Atribuir IPs a Pods com a CNI da Amazon VPC.

Por meio do fechamento aleatório de uma conexão, a opção goaway-chance no servidor de API do Kubernetes ajuda a evitar que as conexões do cliente HTTP/2 fiquem presas em uma única instância do servidor de API. Quando a conexão for fechada, o cliente tentará se reconectar e provavelmente acessará um servidor de API diferente como resultado do balanceamento de carga. O Amazon EKS versão 1.26 tem a sinalização goaway-chance habilitada. Se sua workload em execução no cluster do Amazon EKS usa um cliente que não é compatível com HTTP GOAWAY, recomendamos atualizar seu cliente para lidar com GOAWAY reconectando-se no encerramento da conexão.

SeccompDefault é promovido à versão beta em Kubernetes 1.25. Ao definir o sinalizador --seccomp-default quando você configura kubelet, o runtime do contêiner usa o perfil RuntimeDefaultseccomp, em vez do modo ‘’não confinado’’(seccomp disabled). Os perfis padrão fornecem um conjunto robusto de padrões de segurança, preservando a funcionalidade da workload. Embora esse sinalizador esteja disponível, o Amazon EKS não habilita esse sinalizador por padrão, portanto, o comportamento do Amazon EKS permanece efetivamente inalterado. Se quiser, você pode começar a habilitar isso em seus nós. Para obter mais detalhes, consulte o tutorial Restrict a Container's Syscalls with seccomp (Restringir as Syscalls de um contêiner com seccomp) na documentação do Kubernetes.

A compatibilidade com a Container Runtime Interface (CRI) para Docker (também conhecida como dockershim) foi removida do Kubernetes 1.24 e posterior. O único runtime de contêineres nas AMIs oficiais do Amazon EKS para Kubernetes 1.24 e clusters posteriores é containerd. Antes de fazer o upgrade para o Amazon EKS 1.24 ou posterior, remova qualquer referência aos sinalizadores de script de bootstrap que não forem mais compatíveis. Para ter mais informações, consulte Migrar de dockershim para containerd.

O suporte para consultas curinga foi descontinuado no CoreDNS 1.8.7 e removido no CoreDNS 1.9. Isso foi feito como medida de segurança. As consultas curinga não funcionam mais e retornam NXDOMAIN em vez de um endereço IP.

Por meio do fechamento aleatório de uma conexão, a opção goaway-chance no servidor de API do Kubernetes ajuda a evitar que as conexões do cliente HTTP/2 fiquem presas em uma única instância do servidor de API. Quando a conexão for fechada, o cliente tentará se reconectar e provavelmente acessará um servidor de API diferente como resultado do balanceamento de carga. O Amazon EKS versão 1.25 tem a sinalização goaway-chance habilitada. Se sua workload em execução no cluster do Amazon EKS usa um cliente que não é compatível com HTTP GOAWAY, recomendamos atualizar seu cliente para lidar com GOAWAY reconectando-se no encerramento da conexão.

Você pode usar dicas sensíveis à topologia para indicar sua preferência por manter o tráfego na zona quando os nós de processamento do cluster são implantados em várias zonas de disponibilidade. O roteamento do tráfego dentro de uma zona pode ajudar a reduzir custos e melhorar a performance da rede. Por padrão, as dicas sensíveis à topologia são habilitadas no Amazon EKS1.24. Para obter mais informações, consulte Topology Aware Hints (Dicas sensíveis à topologia) na documentação do Kubernetes.

O PodSecurityPolicy (PSP) está programado para remoção no Kubernetes 1.25. Os PSPs estão sendo substituídos pelo Pod Security Admission (PSA). O PSA é um controlador de admissão integrado que usa os controles de segurança descritos nos Pod Security Standards (PSS). Tanto o PSA quanto os PSS são recursos beta e são habilitados no Amazon EKS por padrão. Para resolver a remoção da PSP na versão 1.25, recomendamos que você implemente PSS no Amazon EKS. Para obter mais informações, consulte Implementing Pod Security Standards in Amazon EKS (Implementando Pod Security Standards no Amazon EKS) no blog da AWS.

A ExecCredential client.authentication.k8s.io/v1alpha1 foi removida no Kubernetes 1.24. A API ExecCredential estava disponível em geral no Kubernetes 1.22. Se você usar um plug-in de credencial client-go que dependa da API v1alpha1, entre em contato com o distribuidor do plug-in para saber como migrar para a API v1.

Para o Kubernetes 1.24, contribuímos com um recurso para o projeto upstream do Cluster Autoscaler que simplifica a escalação de grupos de nós gerenciados do Amazon EKS de e para zero nós. Anteriormente, para que o Cluster Autoscaler entendesse os recursos, rótulos e taints de um grupo de nós gerenciados que era escalado para zero nós, era necessário marcar o grupo subjacente do Amazon EC2 Auto Scaling com os detalhes dos nós pelos quais ele era responsável. Agora, quando não há nós em execução no grupo de nós gerenciados, o Cluster Autoscaler chama a operação de API DescribeNodegroup do Amazon EKS. Essa operação de API fornece as informações de que o Cluster Autoscaler precisa sobre os recursos, rótulos e taints do grupo de nós gerenciados. Esse recurso requer que você adicione a permissão eks:DescribeNodegroup à política do IAM da conta do serviço Cluster Autoscaler. Quando o valor de uma tag do Cluster Autoscaler no grupo do Auto Scaling que aciona um grupo de nós gerenciados pelo Amazon EKS conflita com o próprio grupo de nós, o Cluster Autoscaler dá preferência ao valor da tag do grupo do Auto Scaling. Isso permite que você substitua os valores conforme necessário. Para ter mais informações, consulte Escalar a computação em cluster com o Karpenter e o Cluster Autoscaler.

Se pretender usar os tipos de instância Inferentia ou Trainium com o Amazon EKS 1.24, você deverá atualizar para o plug-in de dispositivo AWS Neuron versão 1.9.3.0 ou posterior. Para obter mais informações, consulte a versão do Neuron K8 [1.9.3.0] na documentação do AWS Neuron.

Por padrão, Containerd tem o IPv6 habilitado para Pods. Ele aplica as configurações do kernel do nó aos namespaces de rede do Pod. Por isso, os contêineres em um Pod se vinculam aos endereços de loopback IPv4 (127.0.0.1) and IPv6 (::1). IPv6 é o protocolo padrão para comunicação. Antes de atualizar o cluster para a versão 1.24, recomendamos que você teste os Pods de vários contêineres. Modifique os aplicativos para que eles possam se vincular a todos os endereços IP nas interfaces de loopback. A maioria das bibliotecas permite a vinculação do IPv6, que é compatível com o IPv4. Quando não é possível modificar o código do aplicativo, você tem duas opções:

Se você precisar bloquear o IPv6 para todos os Pods em todos os nós, talvez seja necessário desabilitar o IPv6 nas suas instâncias.

Por meio do fechamento aleatório de uma conexão, a opção goaway-chance no servidor de API do Kubernetes ajuda a evitar que as conexões do cliente HTTP/2 fiquem presas em uma única instância do servidor de API. Quando a conexão for fechada, o cliente tentará se reconectar e provavelmente acessará um servidor de API diferente como resultado do balanceamento de carga. O Amazon EKS versão 1.24 tem a sinalização goaway-chance habilitada. Se sua workload em execução no cluster do Amazon EKS usa um cliente que não é compatível com HTTP GOAWAY, recomendamos atualizar seu cliente para lidar com GOAWAY reconectando-se no encerramento da conexão.

O Kubernetes deixou de ser compatível com dockershim na versão 1.20 e removeu o dockershim na versão 1.24. Para obter mais informações, consulte O Kubernetes está migrando do Dockershim: compromissos e próximas etapas no blog do Kubernetes. O Amazon EKS deixará de ser compatível com o dockershim a partir do Amazon EKS versão 1.24. A partir do Amazon EKS versão 1.24, as AMIs oficiais do Amazon EKS terão o containerd como o único runtime.

Embora o Amazon EKS versão 1.23 continue sendo compatível com o dockershim, recomendamos que você comece a testar suas aplicações agora mesmo para identificar e remover quaisquer dependências do Docker. Dessa forma, você estará preparado para atualizar seu cluster para a versão 1.24. Para obter mais informações sobre a remoção do dockershim, consulte Migrar de dockershim para containerd.

O Kubernetes promoveu para disponibilidade geral a rede de pilha dupla IPv4/IPv6 para Pods, serviços e nós. No entanto, atualmente o Amazon EKS e o Amazon VPC CNI plugin for Kubernetes não são compatíveis com redes de pilha dupla. Seus clusters podem atribuir endereços IPv4 ou IPv6 a Pods e serviços, mas não podem atribuir os dois tipos de endereço.

O Kubernetes promoveu o recurso Pod Security Admission (PSA) para a fase beta. O recurso é habilitado por padrão. Para obter mais informações, consulte Pod Security Admission (Admissão de segurança de pods) na documentação do Kubernetes. O PSA substitui o controlador de admissão Pod Security Policy (PSP). Não há compatibilidade com o controlador de admissão PSP e sua remoção está programada para o Kubernetes versão 1.25.

O controlador de admissão PSP aplica padrões de segurança de Pod em Pods em um namespace com base em rótulos específicos de namespace que definem o nível de imposição. Para obter mais informações, consulte Pod Security Standards (PSS) and Pod Security Admission (PSA) (Padrões de segurança de pod [PSS] e admissão de segurança de pod [PSA]) no guia de práticas recomendadas do Amazon EKS.

Agora, a imagem do kube-proxy implantada com clusters é a imagem básica mínima mantida pelo Amazon EKS Distro (EKS-D). A imagem contém pacotes mínimos e não tem shells nem gerenciadores de pacotes.

O Kubernetes promoveu contêineres efêmeros para a fase beta. Contêineres efêmeros são contêineres temporários executados no mesmo namespace de um Pod existente. Você pode usá-los para observar o estado de Pods e contêineres a fim de solucionar problemas e realizar depuração. Isso é especialmente útil para solucionar problemas interativos quando o kubectl exec é insuficiente porque um contêiner sofreu uma pane ou uma imagem de contêiner não inclui utilitários de depuração. As imagens sem distribuição são um exemplo de contêiner que inclui um utilitário de depuração. Para obter mais informações, consulte Debugging with an ephemeral debug container (Depuração com um contêiner efêmero de depuração) na documentação do Kubernetes.

O Kubernetes promoveu a versão estável da API HorizontalPodAutoscaler autoscaling/v2 para disponibilidade geral. A API HorizontalPodAutoscaler autoscaling/v2beta2 está obsoleta. Ele não está disponível na versão 1.26.

Por meio do fechamento aleatório de uma conexão, a opção goaway-chance no servidor de API do Kubernetes ajuda a evitar que as conexões do cliente HTTP/2 fiquem presas em uma única instância do servidor de API. Quando a conexão for fechada, o cliente tentará se reconectar e provavelmente acessará um servidor de API diferente como resultado do balanceamento de carga. O Amazon EKS versão 1.23 tem a sinalização goaway-chance habilitada. Se sua workload em execução no cluster do Amazon EKS usa um cliente que não é compatível com HTTP GOAWAY, recomendamos atualizar seu cliente para lidar com GOAWAY reconectando-se no encerramento da conexão.