在 Azure Kubernetes 服务 (AKS) 中自动升级节点操作系统映像

AKS 提供了多个专用于及时节点级 OS 安全更新的自动升级通道。 此通道不同于群集级别的 Kubernetes 版本升级并将取代后者。

节点 OS 自动升级与群集自动升级之间的交互

节点级 OS 安全更新的发布快于 Kubernetes 补丁或次要版本更新。 节点 OS 自动升级通道授予你灵活性，并为节点级 OS 安全更新启用自定义策略。 然后，可以为群集级 Kubernetes 版本 自动升级选择单独的计划。 最好同时使用群集级 自动升级 和节点 OS 自动升级通道。 通过为群集自动升级通道应用两组单独的 - aksManagedAutoUpgradeSchedule，为节点操作系统自动升级通道使用 aksManagedNodeOSUpgradeSchedule，可以对计划进行微调。

节点操作系统映像升级通道

所选通道将决定升级的时间。 对节点 OS 自动升级通道进行更改时，这些更改最多需要 24 小时就会生效。

导致重置映像的节点 OS 通道更改

以下节点 OS 通道切换将节点上触发重置映像：

可用的节点 OS 升级通道

以下升级通道适用于 AKS 标准群集。 （AKS 自动群集默认使用 NodeImage 通道。

选择什么 - SecurityPatch 通道或 NodeImage 通道？

对于 AKS 自动群集

AKS 自动默认使用 NodeImage 通道。 此通道为生产工作负荷提供安全修复、bug 修复和可管理性的最佳平衡。 每周节奏与 AKS 最佳做法保持一致，并针对最佳群集性能进行了优化，无需手动干预。

无需配置 - 升级会自动在维护时段内进行。 如果要控制何时发生更新，则可以 调整维护时段 ，但通道选择是固定的。

为什么 AKS 的 NodeImage 是自动的？

• 包括安全修复和 bug 修复，以获得全面的稳定性
• 每周更新节奏使更新时间可预测
• 完全由 AKS 使用安全部署实践进行管理
• 没有额外的 VHD 托管成本
• 针对生产工作负载进行优化，并采用推荐的默认设置

适用于 AKS 标准群集

如果你使用的是 AKS 标准版，请根据下方的比较评估你的需求，以选择 SecurityPatch 或 NodeImage 通道。

在 SecurityPatch 或 NodeImage 通道之间进行选择时，有两个重要的考虑因素：

群集模式比较

下表汇总了按群集模式进行的节点 OS 自动升级配置：

在新群集上设置节点 OS 自动升级通道

export RANDOM_SUFFIX=$(openssl rand -hex 3)
export RESOURCE_GROUP="myResourceGroup$RANDOM_SUFFIX"
export AKS_CLUSTER="myAKSCluster$RANDOM_SUFFIX"
az aks create \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel SecurityPatch \
    --generate-ssh-keys

在现有群集上设置节点 OS 自动升级通道

az aks update --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --node-os-upgrade-channel SecurityPatch

{
  "autoUpgradeProfile": {
      "nodeOsUpgradeChannel": "SecurityPatch"
  }
}

调整 AKS 自动群集的维护时段

az aks update \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel NodeImage \
    --schedule-config "scheduled-maintenance-window=true" \
    --maintenance-window "frequency=Weekly,day-of-week=Sunday,utc-offset=+00:00,duration-hours=4,start-hour=2"

按渠道更新所有权和节奏

默认节奏意味着没有应用计划内维护时段。

节点操作系统自动升级通道的已知限制

• 目前，将 群集自动升级通道 设置为 node-image时，它还会自动将节点 OS 自动升级通道设置为 NodeImage。 群集的自动升级通道为 node-image 时，您无法更改节点操作系统的自动升级通道值。 若要设置节点 OS 自动升级通道的值，请检查 群集自动升级通道 的值不为 node-image。
• Windows OS 节点池不支持 SecurityPatch 通道。
• SecurityPatch 通道与要求使用 deny effect 要求客户管理的密钥 (CMK) 进行 OS 磁盘加密的 Azure Policy 不兼容。 应用安全补丁期间，AKS 会在节点资源组 (MC_) 中临时创建一个虚拟机规模集 (VMSS)（名称以前缀 copy- 开头），而此类策略不允许这样做，因此升级会因 RequestDisallowedByPolicy 错误而失败。 SecurityPatch 在节点池上使用客户管理的密钥仍然受支持；冲突仅存在于 deny-effect 策略中。 如果需要 CMK OS 磁盘加密的组织范围 deny 策略，请改用通道 NodeImage 。

节点操作系统计划内维护时段

节点操作系统自动升级的计划维护从指定的维护时段开始。

有关计划内维护的详细信息，请参阅使用计划内维护为 Azure Kubernetes 服务 (AKS) 群集安排维护时段。

节点操作系统自动升级常见问题解答

如何在群集上检查当前 nodeOsUpgradeChannel 值？

请运行 az aks show 命令并检查“autoUpgradeProfile”，以确定 nodeOsUpgradeChannel 设置为什么值：

az aks show --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --query "autoUpgradeProfile"

结果：

{
  "nodeOsUpgradeChannel": "SecurityPatch"
}

对于 AKS Automatic，节点 OS 自动升级的配置是否不同？

Yes. 默认情况下，AKS 自动群集已预配置为使用 NodeImage 通道 - 无需配置任何内容。 此配置提供：

• 每周的安全修复和错误修复
• 使用安全部署做法自动重置映像
• 维护时段控制（可选）
• 针对大多数工作负荷优化的生产就绪默认值
• 没有额外的 VHD 托管成本

AKS 标准群集要求根据特定需求选择通道。 若要从 AKS 标准版迁移到 AKS 自动版并从这些预配置默认值中受益，请参阅“什么是自动Azure Kubernetes 服务 (AKS)？

是否可以更改 AKS 自动群集上的节点 OS 自动升级通道？

编号 AKS 自动群集使用 NodeImage 通道，无法更改此通道。 如果需要其他通道，请使用 AKS 标准群集。 但是，可以调整维护时段，以控制 AKS 自动群集上何时发生升级。

如何监视节点 OS 自动升级的状态？

要查看节点 OS 自动升级的状态，请在群集上查找活动日志。 还可查找升级 AKS 群集中所述的特定升级相关事件。 AKS 还会发出与升级相关的事件网格事件。 要了解详细信息，请参阅充当事件网格源的 AKS。

我可以在群集自动升级通道设置为 node-image 时，更改节点 OS 自动升级通道值吗？

编号 目前，将 群集自动升级通道 设置为 node-image时，它还会自动将节点 OS 自动升级通道设置为 NodeImage。 群集的自动升级通道为 node-image 时，您无法更改节点操作系统的自动升级通道值。 若要更改节点 OS 自动升级通道值，请确保 群集自动升级通道 不是 node-image。

为什么建议 SecurityPatch 通过 Unmanaged 通道使用？

在 Unmanaged 通道上，AKS 无法控制如何以及何时交付安全修补程序。 通过 SecurityPatch，安全修补程序已经过全面测试，并遵循安全部署做法。 SecurityPatch 也遵循维护时段。 有关详细信息，请参阅 Azure 上 Canonical 工作负载增强的安全性和复原能力。

SecurityPatch 是否总是导致节点重镜像？

AKS 仅在必要时限制重新生成映像，例如某些可能需要重新生成映像以完全应用的内核包。 SecurityPatch 旨在尽可能减少中断。 如果 AKS 判定无需重置节点的映像，它将在不排出 Pod 的情况下实时修补节点，并且在此类情况下不会执行 VHD 更新。

为什么 SecurityPatch 通道需要访问 snapshot.ubuntu.com 终结点？

通过 SecurityPatch 通道，Linux 群集节点必须从 ubuntu-snapshots-on-azure-ensuring-predictability-and-consistency-in-cloud-deployments 中描述的 ubuntu 快照服务下载所需的安全修补程序和更新。

如何知道节点上是否应用了 SecurityPatch 或 NodeImage 升级？

kubectl get nodes --show-labels运行以下命令，列出群集中的节点及其标签。

在返回的标签中，你应该看到类似于以下输出的行：

kubernetes.azure.com/node-image-version=AKSUbuntu-2204gen2containerd-202410.27.0-2024.12.01

此处，基本节点映像版本为 AKSUbuntu-2204gen2containerd-202410.27.0。 如果适用，通常遵循安全修补程序版本。 在前面的示例中，它是 2024.12.01。

同样的详细信息也会在 Azure 门户的节点标签视图下出现：

相关内容

有关升级最佳做法和其他注意事项的详细讨论，请参阅 AKS 补丁和升级指导。

若要详细了解 AKS Automatic 的预配置设置和生产就绪默认值，请参阅“什么是自动Azure Kubernetes 服务 (AKS)？