Posts in 2022
“Kubernetes 1.25:对使用用户名字空间运行 Pod 提供 Alpha 支持”
2022.10.03 in 博客
作者: Rodrigo Campos(Microsoft)、Giuseppe Scrivano(Red Hat) Kubernetes v1.25 引入了对用户名字空间的支持。 这是在 Kubernetes 中运行安全工作负载的一项重大改进。 每个 Pod 只能访问系统上可用 UID 和 GID 的有限子集, 因此添加了一个新的安全层来保护 Pod 免受运行在同一系统上的其他 Pod 的影响。 它是如何工作的? 在 Linux 上运行的进程最多可以使用 4294967296 个不同的 UID …
Kubernetes 1.25:应用滚动上线所用的两个特性进入稳定阶段
2022.09.15 in 博客
作者: Ravi Gudimetla (Apple)、Filip Křepinský (Red Hat)、Maciej Szulik (Red Hat) 这篇博客描述了两个特性,即用于 StatefulSet 的 minReadySeconds 以及用于 DaemonSet 的 maxSurge, SIG Apps 很高兴宣布这两个特性在 Kubernetes 1.25 进入稳定阶段。 当 .spec.updateStrategy 字段设置为 RollingUpdate 时, …
Kubernetes 1.25:Pod 新增 PodHasNetwork 状况
By Deep Debroy (Apple) | 2022.09.14 in 博客
Kubernetes 1.25 引入了对 kubelet 所管理的新的 Pod 状况 PodHasNetwork 的 Alpha 支持, 该状况位于 Pod 的 status 字段中 。对于工作节点,kubelet 将使用 PodHasNetwork 状况从容器运行时 (通常与 CNI 插件协作)创建 Pod 沙箱和网络配置的角度准确地了解 Pod 的初始化状态。 在 PodHasNetwork 状况的 status 设置为 "True" 后,kubelet 开始拉取容器镜 …
宣布自动刷新官方 Kubernetes CVE 订阅源
2022.09.12 in 博客
作者:Pushkar Joglekar (VMware) Kubernetes 社区有一个长时间未解决的需求,即为最终用户提供一种编程方式来跟踪 Kubernetes 安全问题(也称为 “CVE”,这来自于跟踪不同产品和供应商的公共安全问题的数据库)。 随着 Kubernetes v1.25 的发布,我们很高兴地宣布以 alpha 特性的形式推出这样的订阅源。 在这篇博客中将介绍这项新服务的背景和范围。 动机 随着关注 Kubernetes 的人越来越多,与 Kubernetes …
Kubernetes 的 iptables 链不是 API
2022.09.07 in 博客
作者: Dan Winship (Red Hat) 译者: Xin Li (DaoCloud) 一些 Kubernetes 组件(例如 kubelet 和 kube-proxy)在执行操作时,会创建特定的 iptables 链和规则。 这些链从未被计划使其成为任何 Kubernetes API/ABI 保证的一部分, 但一些外部组件仍然使用其中的一些链(特别是使用 KUBE-MARK-MASQ 将数据包标记为需要伪装)。 作为 v1.25 版本的一部分,SIG Network 明确声明: …
COSI 简介:使用 Kubernetes API 管理对象存储
2022.09.02 in 博客
作者: Sidhartha Mani (Minio, Inc) 本文介绍了容器对象存储接口 (COSI),它是在 Kubernetes 中制备和使用对象存储的一个标准。 它是 Kubernetes v1.25 中的一个 Alpha 功能。 文件和块存储通过 Container Storage Interface (CSI) 被视为 Kubernetes 生态系统中的一等公民。 使用 CSI 卷的工作负载可以享受跨供应商和跨 Kubernetes 集群的可移植性优势, 而无需更改应用程序清单。对 …
Kubernetes 1.25: cgroup v2 升级到 GA
2022.08.31 in 博客
作者: David Porter (Google), Mrunal Patel (Red Hat) Kubernetes 1.25 将 cgroup v2 正式发布(GA), 让 kubelet 使用最新的容器资源管理能力。 什么是 cgroup? 有效的资源管理是 Kubernetes 的一个关键方面。 这涉及管理节点中的有限资源,例如 CPU、内存和存储。 cgroups 是一种可建立资源管理功能的 Linux 内核能力, 例如为正在运行的进程限制 CPU 使用率或设置内存限制。 …
Kubernetes 1.25:CSI 内联存储卷正式发布
2022.08.29 in 博客
作者: Jonathan Dobson (Red Hat) CSI 内联存储卷是在 Kubernetes 1.15 中作为 Alpha 功能推出的,并从 1.16 开始成为 Beta 版本。 我们很高兴地宣布,这项功能在 Kubernetes 1.25 版本中正式发布(GA)。 CSI 内联存储卷与其他类型的临时卷相似,如 configMap、downwardAPI 和 secret。 重要的区别是,存储是由 CSI 驱动提供的,它允许使用第三方供应商提供的临时存储。 卷被定义为 Pod 规约 …
PodSecurityPolicy:历史背景
2022.08.23 in 博客
作者: Mahé Tardy (Quarkslab) 从 Kubernetes v1.25 开始,PodSecurityPolicy (PSP) 准入控制器已被移除。 在为 Kubernetes v1.21 发布的博文 PodSecurityPolicy 弃用:过去、现在和未来 中,已经宣布并详细说明了它的弃用情况。 本文旨在提供 PSP 诞生和演变的历史背景,解释为什么从未使该功能达到稳定状态,并说明为什么它被移除并被 Pod 安全准入控制取代。 PodSecurityPolicy 与其他专 …
Kubernetes v1.25: Combiner
2022.08.23 in 博客
作者: Kubernetes 1.25 发布团队 宣布 Kubernetes v1.25 的发版! 这个版本总共包括 40 项增强功能。 其中 15 项增强功能进入 Alpha,10 项进入 Beta,13 项进入 Stable。 我们也废弃/移除了两个功能。 版本主题和徽标 Kubernetes 1.25: Combiner Kubernetes v1.25 的主题是 Combiner,即组合器。 Kubernetes 项目本身是由特别多单独的组件组成的,这些组件组合起来就形成了你今天看到的 …