Cambiar automáticamente las imágenes del sistema operativo del nodo en Azure Kubernetes Service (AKS)

AKS proporciona varios canales de actualización automática dedicados a las actualizaciones de seguridad del sistema operativo de nivel de nodo oportunas. Este canal es diferente de las actualizaciones de la versión de Kubernetes de nivel de clúster y la reemplaza.

Interacciones entre la actualización automática del sistema operativo del nodo y la actualización automática del clúster

Las actualizaciones de seguridad del sistema operativo de nivel de nodo se publican a mayor velocidad que la revisión de Kubernetes o las actualizaciones de versiones secundarias. El canal de actualización automática del sistema operativo del nodo le concede flexibilidad y permite una estrategia personalizada para las actualizaciones de seguridad del sistema operativo de nivel de nodo. Después, puede elegir un plan independiente para las actualizaciones automáticas de la versión de Kubernetes de nivel de clúster. Se recomienda usar actualizaciones automáticas de nivel de clúster y el canal de actualización automática del sistema operativo del nodo juntos. La programación se puede ajustar aplicando dos conjuntos independientes de ventanas - aksManagedAutoUpgradeSchedule de mantenimiento para el canal de degradación automática del clúster y aksManagedNodeOSUpgradeSchedule para el canal de actualización automática del sistema operativo del nodo.

Canales para actualizaciones de imágenes del sistema operativo de nodo

El canal seleccionado determina el calendario de las actualizaciones. Al realizar cambios en los canales de actualización automática del sistema operativo del nodo, espere hasta 24 horas para que los cambios surtan efecto.

Cambios en el canal del sistema operativo de nodo que provocan una nueva imagen

Las siguientes transiciones del canal del sistema operativo del nodo activarán la creación de nuevas imágenes en los nodos:

Canales de actualización del sistema operativo del nodo disponibles

Los siguientes canales de actualización están disponibles para los clústeres estándar de AKS. (Los clústeres automáticos de AKS usan el canal NodeImage de forma predeterminada).

¿Qué elegir- SecurityPatch Channel o NodeImage Channel?

Para clústeres automáticos de AKS

AKS Automatic usa el canal NodeImage de forma predeterminada. Este canal proporciona el mejor equilibrio entre correcciones de seguridad, correcciones de errores y capacidad de administración para cargas de trabajo de producción. La cadencia semanal se alinea con los procedimientos recomendados de AKS y se ajusta para lograr un rendimiento óptimo del clúster sin intervención manual.

No se requiere ninguna configuración : las actualizaciones se producen automáticamente en la ventana de mantenimiento. Puede ajustar las ventanas de mantenimiento si desea controlar cuándo se producen las actualizaciones, pero la opción del canal es fija.

¿Por qué NodeImage para AKS Automatic?

• Incluye correcciones de seguridad y correcciones de errores para una estabilidad completa
• La cadencia semanal proporciona un tiempo de actualización predecible.
• Administración completa de AKS con prácticas de implementación seguras
• Sin costos adicionales de hospedaje de VHD
• Optimizado para cargas de trabajo de producción con configuración predeterminada recomendada

Para clústeres estándar de AKS

Si usa AKS Standard, evalúe sus requisitos utilizando la comparación siguiente para elegir entre los canales SecurityPatch o NodeImage.

Hay dos consideraciones importantes a la hora de elegir entre los canales SecurityPatch o NodeImage:

Comparación del modo de clúster

En la tabla siguiente se resume la configuración de la actualización automática del sistema operativo de los nodos según el modo de clúster:

Establecimiento del canal de actualización automática del sistema operativo del nodo en un nuevo clúster

export RANDOM_SUFFIX=$(openssl rand -hex 3)
export RESOURCE_GROUP="myResourceGroup$RANDOM_SUFFIX"
export AKS_CLUSTER="myAKSCluster$RANDOM_SUFFIX"
az aks create \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel SecurityPatch \
    --generate-ssh-keys

Establecimiento del canal de actualización automática del sistema operativo del nodo en un clúster existente

az aks update --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --node-os-upgrade-channel SecurityPatch

{
  "autoUpgradeProfile": {
      "nodeOsUpgradeChannel": "SecurityPatch"
  }
}

Ajustar ventanas de mantenimiento para clústeres automáticos de AKS

az aks update \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel NodeImage \
    --schedule-config "scheduled-maintenance-window=true" \
    --maintenance-window "frequency=Weekly,day-of-week=Sunday,utc-offset=+00:00,duration-hours=4,start-hour=2"

Actualizar la propiedad y la cadencia por canal

La cadencia predeterminada significa que no se aplica ninguna ventana de mantenimiento planeado.

Limitaciones conocidas del canal de actualización automática del sistema operativo del nodo

• Actualmente, al establecer el canal de actualización automática del clúster en node-image, también establece automáticamente el canal de actualización automática del sistema operativo del nodo en NodeImage. No se puede cambiar el valor del canal de degradación automática del sistema operativo del nodo si el canal de degradación automática del clúster es node-image. Para establecer el valor del canal de actualización automática del sistema operativo del nodo, compruebe que el valor del canal de actualización automática del clúster no sea node-image.
• El canal SecurityPatch no admite los grupos de nodos del sistema operativo Windows.

Ventanas de mantenimiento planeado del sistema operativo del nodo

El mantenimiento planeado para la actualización automática del sistema operativo del nodo se inicia en la ventana de mantenimiento especificada.

Para obtener más información sobre el mantenimiento planeado, consulte Uso del mantenimiento planeado a fin de programar ventanas de mantenimiento para el clúster de Azure Kubernetes Service (AKS).

Preguntas más frecuentes sobre las actualizaciones automáticas del sistema operativo del nodo

¿Cómo puedo comprobar el valor actual de nodeOsUpgradeChannel en un clúster?

Ejecute el comando az aks show y compruebe "autoUpgradeProfile" para determinar en qué valor está establecido nodeOsUpgradeChannel:

az aks show --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --query "autoUpgradeProfile"

Resultados:

{
  "nodeOsUpgradeChannel": "SecurityPatch"
}

¿La actualización automática del sistema operativo del nodo está configurada de forma diferente para AKS Automatic?

Yes. Los clústeres automáticos de AKS están preconfigurados para usar el canal NodeImage de forma predeterminada; no es necesario configurar nada. Esta configuración proporciona:

• Correcciones de seguridad semanales y correcciones de errores
• Recreación automática de la imagen con prácticas de implementación seguras
• Control de ventana de mantenimiento (opcional)
• Valores predeterminados listos para producción optimizados para la mayoría de las cargas de trabajo
• Sin costos adicionales de hospedaje de VHD

Los clústeres estándar de AKS requieren que seleccione un canal en función de sus necesidades específicas. Para migrar de AKS Standard a AKS Automatic y aprovechar estos valores predeterminados ya configurados, consulte ¿Qué es Azure Kubernetes Service (AKS) Automatic?

¿Puedo cambiar el canal de actualización automática del sistema operativo de los nodos en un clúster de AKS Automatic?

No. Los clústeres automáticos de AKS usan el canal NodeImage y no se puede cambiar este canal. Si necesita un canal diferente, use un clúster estándar de AKS. Sin embargo, puede ajustar las ventanas de mantenimiento para controlar cuándo se producen actualizaciones en el clúster automático de AKS.

¿Cómo puedo supervisar el estado de las transformaciones automáticas del sistema operativo del nodo?

Para ver el estado de las actualizaciones automáticas del sistema operativo del nodo, busque los registros de actividad en el clúster. También puede buscar eventos específicos relacionados con la actualización, como se mencionó en Actualización de un clúster de AKS. AKS también emite eventos de Event Grid relacionados con la actualización. Para obtener más información, consulte AKS como origen de Event Grid.

¿Puedo cambiar el valor del canal de actualización automática del sistema operativo del nodo si el canal de actualización automática del clúster está establecido en node-image?

No. Actualmente, al establecer el canal de actualización automática del clúster en node-image, también establece automáticamente el canal de actualización automática del sistema operativo del nodo en NodeImage. No se puede cambiar el valor del canal de degradación automática del sistema operativo del nodo si el canal de degradación automática del clúster es node-image. Para cambiar los valores del canal de actualización automática del sistema operativo de los nodos, asegúrese de que el canal de actualización automática del clúster no sea node-image.

¿Por qué se recomienda SecurityPatch a través del canal Unmanaged?

En el canal Unmanaged, AKS no tiene control sobre cómo y cuándo se entregan las actualizaciones de seguridad. Con SecurityPatch, las actualizaciones de seguridad se prueban completamente y siguen los procedimientos de implementación seguros. SecurityPatch también respeta las ventanas de mantenimiento. Para obtener más información, consulte Mayor seguridad y resistencia de las cargas de trabajo Canonical en Azure.

¿SecurityPatch siempre conduce a restablecer la imagen inicial de mis nodos?

AKS limita la imagen de imagen a solo cuando sea necesario, como determinados paquetes de kernel que pueden requerir una imagen de imagen para que se aplique por completo. SecurityPatch está diseñado para minimizar las interrupciones tanto como sea posible. Si AKS decide restablecer los nodos no es necesario, aplica revisiones a los nodos en vivo sin purgar pods y no se realiza ninguna actualización de VHD en estos casos.

¿Por qué el canal SecurityPatch requiere llegar al punto de conexión snapshot.ubuntu.com?

Con el canal SecurityPatch, los nodos del clúster de Linux tienen que descargar las revisiones y actualizaciones de seguridad necesarias del servicio de instantáneas Ubuntu descritos en ubuntu-snapshots-on-azure-ensuring-predictability-and-consistency-in-cloud-deployments.

¿Cómo sé si se aplica una actualización SecurityPatch o NodeImage en mi nodo?

Ejecute el kubectl get nodes --show-labels comando para enumerar los nodos del clúster y sus etiquetas.

Entre las etiquetas devueltas, debería ver una línea similar a la siguiente salida:

kubernetes.azure.com/node-image-version=AKSUbuntu-2204gen2containerd-202410.27.0-2024.12.01

Aquí, la versión de la imagen del nodo base es AKSUbuntu-2204gen2containerd-202410.27.0. Si procede, la versión del parche de seguridad suele ser la siguiente. En el ejemplo anterior, es 2024.12.01.

También se buscarán los mismos detalles en Azure Portal en la vista de etiqueta del nodo:

Contenido relacionado

Para obtener una explicación detallada de los procedimientos recomendados de actualización y otras consideraciones, consulte Guía de actualización y revisión de AKS.

Para obtener más información sobre la configuración predefinida y los valores predeterminados preparados para producción de AKS Automatic, consulte ¿Qué es Azure Kubernetes Service (AKS) Automatic?