コンテナ・Kubernetes環境向けセキュリティ・モニタリング プラットフォーム

Kubernetes 1.23 - 編集者の精選：

#2317 FSGroupをKubeletではなくCSI Driverに委ねる

#1440 kubectl events

#1790 リサイズの失敗からの復旧

#2896 OpenAPI V3 + #2887 OpenAPI Enum Types

#2727 PodにgRPCプローブを追加

Kubernetes 1.23での非推奨事項

APIと機能の削除

• apiserver_longrunning_gaugeメトリクスの代わりにapiserver_longrunning_requestsメトリクスを追加しました。
• Controller-manager：-port および -address フラグは何の効果もなく、v1.24 で削除されます。
• kube-scheduler：
• kubescheduler.config.k8s.io/v1beta1 の metricsBindAddress および healthzBindAddress フィールドは、空であることが期待されます。
• 認証/認可を動作させるためには、-authorization-kubeconfig と -authentication-kubeconfig が正しく設定されていることが期待されます。
• kube-scheduler への Liveness and readiness probes は HTTPS を使用しなければならなくなり、デフォルトのポートは 10259 に変更されました。
• kube-schedulerからメトリクスを取得するアプリケーションは、専用のサービスアカウントを使用する必要があります。
• scheduler_volume_scheduling_duration_secondsメトリクスを削除しました。
• EgressSelectorConfiguration API：master は有効な EgressSelection タイプではなくなりました。
• -experimental-bootstrap-kubeconfig フラグを削除しました。
• VolumeSubpath機能のゲートを非推奨とし、無効にすることはできません。
• kubeadm reset "の "update-cluster-status "を削除しました。
• kubectl -dry-run オプションは、server、client、none のいずれかのみをサポートするようになりました。
• kubeadm output/v1alpha1 API を非推奨としました (output/v1alpha2 に置き換えました)。

#2845 Kubernetesコンポーネントにおけるklog固有のフラグの非推奨化

• パフォーマンスの向上
• Kubernetesのスケーラビリティ要件を満たす
• 不要になったglogの機能を削除する

#785 Schedulerコンポーネントのconfig APIをv1beta3にし、v1beta1を非推奨にする

• NodeResourcesLeastAllocated
• NodeResourcesMostAllocated
• RequestedToCapacityRatio
• NodeLabel
• ServiceAffinity
• NodePreferAvoidPods

Kubernetes 1.23 におけるAPI

#2876 CRD Validation Expression Language

• CRDのすべての情報を同じ場所に置くことができる（自己完結型）
• Webhookを必要としないことで、開発を大幅に簡素化できる可能性があります

...
openAPIV3Schema:
  type: object
  properties:
    spec:
      type: object
      x-kubernetes-validation-rules:
        - rule: "self.replicas <= self.maxReplicas"
          message: "replicas should be smaller than or equal to maxReplicas."
      properties:
        ...
        replicas:
          type: integer
        maxReplicas:
          type: integer
      required:
        - replicas
        - maxReplicas

apiVersion: "stable.example.com/v1"
kind: CronTab
metadata:
  name: my-new-cron-object
spec:
  replicas: 20
  maxReplicas: 10

#2885 サーバーサイドでのUnknown Field Validation KEPの追加

• 各クライアントがバリデーションを実装する必要がある
• 各クライアントのアップデートに余計な手間がかかるため、バリデーションのバグフィックスのロールアウトが遅くなる

#2887 OpenAPIのEnum型

type Protocol string
const (
	ProtocolTCP Protocol = "TCP"
	ProtocolUDP Protocol = "UDP"
	ProtocolSCTP Protocol = "SCTP"
)

// +enum
type Protocol string

#2896 OpenAPI V3

#1040 APIサーバーリクエストのプライオリティとフェアネス

Kubernetes 1.23におけるApps

#1847 StatefulSetで作成されたPVCを自動削除する

apiVersion: apps/v1
kind: StatefulSet
...
spec:
  persistentVolumeClaimRetentionPolicy:
    whenDeleted: Retain
    whenScaled: Delete
...

#2879 ジョブステータスに準備完了のPodの数を追加

#19 CronJobs (旧ScheduledJobs)

#592 終了後のTTL

#2307 Podを長引かせないジョブトラッキング

#2599 StatefulsetsにminReadySecondsを追加

Kubernetes 1.23におけるインスツルメンテーション

#2845 Kubernetesコンポーネントにおけるklog固有のフラグの非推奨化

• パフォーマンスの向上
• Kubernetesのスケーラビリティ要件を満たす
• 不要になったglogの機能を削除する

#1602 構造化ロギング

E1025 00:15:15.525108       1 controller_utils.go:114] "Failed to update pod status" err="timeout"

Kubernetes 1.23におけるネットワーク

#563 IPv4/IPv6デュアルスタックサポートの追加

#2365 ネームスペースにスコープされたIngressクラスのパラメータ

#2433 トポロジーを意識したヒント

Kubernetes 1.23におけるノード

#2371 cAdvisor-less, CRI-full Container と Pod stats

• cAdvisor は、基礎となるコンテナ・ランタイムを認識する必要があります。これは、fully-pluggableなコンテナランタイムを実現するという CRI の目標を無効にします
• コンテナのランタイムは、コンテナの動作について cAdvisor よりもよく知っています
• cAdvisor は、仮想マシンのような一部のランタイムをサポートしません
• cAdvisor は Windows コンテナをサポートしません

#2712 PriorityClassValueBasedGracefulShutdown

shutdownGracePeriodByPodPriority:
  - priority: 100000
    shutdownGracePeriodSeconds: 10
  - priority: 10000
    shutdownGracePeriodSeconds: 180
  - priority: 1000
    shutdownGracePeriodSeconds: 120
  - priority: 0
    shutdownGracePeriodSeconds: 60

#2727 PodにgRPCプローブを追加

readinessProbe:
      grpc:
        port: 9090
        service: my-service
      initialDelaySeconds: 5
      periodSeconds: 10

#2902 CPUManagerのポリシーオプションでCPUをNUMAノードに分散させる

#2625 SMTに沿っていないワークロードを拒否するオプションの追加

#277 エフェメラルコンテナ

#2040 KubeletのCRIサポート

#2403 podresources APIを拡張して割り当て可能なリソースをレポートする

Kubernetes 1.23におけるスケジューリング

#785 スケジューラコンポーネントのconfig APIをv1beta3へ、そして、v1beta1を非推奨とする

• NodeResourcesLeastAllocated
• NodeResourcesMostAllocated
• RequestedToCapacityRatio
• NodeLabel
• ServiceAffinity
• NodePreferAvoidPods

#2891 スケジューラーのマルチポイントプラグイン設定の簡略化

apiVersion: kubescheduler.config.k8s.io/v1beta3
kind: KubeSchedulerConfiguration
profiles:
  - schedulerName: non-multipoint-scheduler
    plugins:
      preScore:
        enabled:
        - name: MyPlugin
      score:
        enabled:
        - name: MyPlugin
      preFilter:
        enabled:
        - name: MyPlugin
      filter:
        enabled:
        - name: MyPlugin

apiVersion: kubescheduler.config.k8s.io/v1beta3
kind: KubeSchedulerConfiguration
profiles:
  - schedulerName: multipoint-scheduler
    plugins:
      multiPoint:
        enabled:
        - name: MyPlugin

#2926 サスペンドしたジョブのノードアフィニティ制約の更新を許可する

Kubernetes 1.23におけるストレージ

#1790 リサイズの失敗からの復旧

• サイズの縮小（pvc.Status.AllocatedResourcesに反映）は、以前の拡張要求が失敗した場合にのみ行われます。
• 新しい要求サイズは、pvc.Status.Capacityよりも大きくなければなりません。
• 有効な割り当て量は、pvc.Status.Capacityとpvc.Status.AllocatedResourcesのうち大きい方です。

#2644 リクレームポリシーを常に尊重する

• PVにdeletionTimestampが追加され、更新のトリガーとなります。
• PVCが削除される前にこの更新が処理された場合、削除は無視されます。
  
  

#2317 KubeletではなくCSI DriverにFSGroupを委ねる

#2589 Portworx file in-treeからCSIドライバへ移行

#2923 Ceph RBD in-treeプロビジョナーからCSIドライバーへ移行

#1487 AWS EBS in-treeからCSIドライバーへ移行

#695 非再帰的ボリュームオーナーシップ (FSGroup)

#1682 CSIドライバーオブジェクトにFSグループポリシーを設定する

#1698 汎用インラインエフェメラルボリューム

Kubernetes 1.23におけるWindowsサポート

#2802 APIサーバーアドミッション時にPodのOSを識別する

• kubeletで実装されたノードで実行すべきでないPodを拒否する
• スケジューラで実装される、適切なノードでのポッドのスケジューリング
• 適切なセキュリティ制約を適用する（アドミッションプラグインで実装）

#1981 Windows 特権コンテナのサポート

その他

#1440 kubectl events

#2915 kubeadm: レガシー kubelet-config-x.y ネーミングの置き換え

• x.y バージョニングリファレンスはコントロールプレーンから取得していますが、kubelet から取得した方がより意味があります
• アップグレードの際、新しいConfigMapとRBACルールは新しいバージョニングで作成されますが、古いものは削除されません

#2702 HPA APIをGAに移行

• エンドツーエンドのテストを完了する
• 古いバージョンのAPIを非推奨とする
• コンテナリソースのターゲット：Resourceの名前をPodResourceに変更しました
• 値「Disabled」を「ScalingDisabled」にリネーム
• ビヘイビアの名称変更：ビヘイビアセレクトポリシーの値がMinからMinChange、MaxからMaxChangeに変更されました。

#1933 静的解析によるロギングシークレットの防御

#2420 Kubernetesのビルドメンテナンスを軽減

#2464 kubetest2 CIマイグレーション

#2579 PodSecurity アドミッション(PodSecurityPolicyの置き換え)

• Kubernetes 1.22の新機能
• Kubernetes 1.21の新機能
• Kubernetes 1.20の新機能
• Kubernetes 1.19の新機能
• Kubernetes 1.18の新機能
• Kubernetes 1.17の新機能
• Kubernetes 1.16の新機能
• Kubernetes 1.15の新機能
• Kubernetes 1.14の新機能
• Kubernetes 1.13の新機能
• Kubernetes 1.12の新機能

• プロジェクトのホームページをご覧ください。
• GitHubでKubernetesプロジェクトをチェックする。
• Kubernetesコミュニティに参加しましょう。
• Kubernetes Slackでメンテナに会いましょう。
• Twitterで@KubernetesIOをフォローする。

Sysdigに関するお問い合わせはこちらから