Azure Kubernetes Service (AKS)でのノード OS イメージの自動アップグレード

AKS には、タイムリーなノード レベルの OS セキュリティ更新プログラム専用の複数の自動アップグレード チャネルが用意されています。 このチャネルは、クラスター レベルの Kubernetes バージョンのアップグレードとは異なり、それに代わるものです。

ノード OS の自動アップグレードとクラスターの自動アップグレードの間の相互作用

ノード レベルの OS セキュリティ更新プログラムは、Kubernetes パッチまたはマイナー バージョンの更新プログラムよりも速い頻度で提供されます。 ノード OS の自動アップグレード チャネルを使用すると、柔軟性が得られ、ノード レベルの OS セキュリティ更新プログラムのカスタマイズされた戦略が可能になります。 その後、クラスター レベルの Kubernetes バージョン の自動アップグレード用に別のプランを選択できます。 クラスター レベルの自動アップグレードとノード OS の自動アップグレード チャネルの両方を一緒に使用することをお勧めします。 クラスターの自動アップグレード チャネルとノード OS の自動アップグレード チャネルの - にaksManagedAutoUpgradeSchedule 2 つの個別のaksManagedNodeOSUpgradeScheduleを適用することで、スケジュールを微調整できます。

ノード OS イメージのアップグレード用のチャネル

選択したチャネルによって、アップグレードのタイミングが決まります。 ノード OS の自動アップグレード チャネルに変更を加えるときは、変更が反映されるまで最大 24 時間かかります。

再イメージ化の原因となるノード OS チャネルの変更

次のノード os チャネルの遷移により、ノードでの再イメージ化がトリガーされます。

使用可能なノード OS アップグレード チャネル

AKS Standard クラスターでは、次のアップグレード チャネルを使用できます。 (AKS 自動クラスターでは、既定で NodeImage チャネルが使用されます)。

どちらを選ぶべきか - SecurityPatch チャネルまたは NodeImage チャネル?

AKS 自動クラスターの場合

AKS Automatic では、既定で NodeImage チャネルが使用されます。 このチャネルでは、運用環境のワークロードに対するセキュリティ修正、バグ修正、および管理容易性の最適なバランスが提供されます。 週単位の周期は AKS のベスト プラクティスに合わせ、手動による介入なしで最適なクラスター パフォーマンスを得られるように調整されます。

構成は必要ありません 。 アップグレードはメンテナンス期間内に自動的に行われます。 更新プログラムが発生するタイミングを制御する必要があるが、チャネルの選択は固定されている場合は、 メンテナンス期間を調整 できます。

AKS 用 NodeImage が自動である理由

• 包括的な安定性のためのセキュリティ修正とバグ修正の両方が含まれています
• 週単位の周期で予測可能な更新タイミングを提供
• 安全なデプロイ プラクティスを使用して AKS によって完全に管理される
• 追加の VHD ホスティング コストなし
• 推奨される既定値を使用して運用ワークロード用に最適化

AKS Standard クラスターの場合

AKS Standard を使用している場合は、以下の比較を使用して要件を評価し、 SecurityPatch または NodeImage チャネルを選択します。

SecurityPatchまたはNodeImage チャネルを選択するには、次の 2 つの重要な考慮事項があります。

クラスター モードの比較

次の表は、クラスター モード別のノード OS の自動アップグレードの構成をまとめたものです。

新しいクラスターでノード OS の自動アップグレード チャネルを設定する

export RANDOM_SUFFIX=$(openssl rand -hex 3)
export RESOURCE_GROUP="myResourceGroup$RANDOM_SUFFIX"
export AKS_CLUSTER="myAKSCluster$RANDOM_SUFFIX"
az aks create \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel SecurityPatch \
    --generate-ssh-keys

既存のクラスターでノード OS の自動アップグレード チャネルを設定する

az aks update --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --node-os-upgrade-channel SecurityPatch

{
  "autoUpgradeProfile": {
      "nodeOsUpgradeChannel": "SecurityPatch"
  }
}

AKS 自動クラスターのメンテナンス期間を調整する

az aks update \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel NodeImage \
    --schedule-config "scheduled-maintenance-window=true" \
    --maintenance-window "frequency=Weekly,day-of-week=Sunday,utc-offset=+00:00,duration-hours=4,start-hour=2"

チャネル別に担当と頻度を更新する

既定の頻度とは、適用されている計画メンテナンス期間がないことを意味します。

Node OS の自動アップグレード チャネルの既知の制限事項

• 現在、 クラスターの自動アップグレード チャネル を node-imageに設定すると、ノード OS の自動アップグレード チャネルも自動的に NodeImageに設定されます。 クラスターの自動アップグレード チャネルが node-imageされている場合、ノード OS の自動アップグレード チャネルの値を変更することはできません。 ノード OS の自動アップグレード チャネル値を設定するには、 クラスターの自動アップグレード チャネル 値が node-imageされていないことを確認します。
• SecurityPatch チャネルは、Windows OS ノード プールではサポートされていません。
• SecurityPatch チャネルは、OS ディスク暗号化にカスタマー マネージド キー (CMK) を要求するためにdeny効果を使用するAzure Policyと互換性がありません。 セキュリティパッチの適用中、AKS は、そのようなポリシーが許可しないノード リソース グループ (copy-) に仮想マシン スケール セット (MC_) を一時的に作成するため、アップグレードはRequestDisallowedByPolicy エラーで失敗します。 ノード プールでのカスタマー マネージド キーの使用は、 SecurityPatchで引き続きサポートされます。競合は deny効果ポリシーでのみサポートされます。 CMK OS ディスク暗号化に組織全体の deny ポリシーが必要な場合は、代わりに NodeImage チャネルを使用します。

ノード OS の計画メンテナンス期間

ノード OS の自動アップグレードの計画メンテナンスは、指定したメンテナンス期間から開始されます。

計画メンテナンスについて詳しくは、「計画メンテナンスを使用して Azure Kubernetes Service (AKS) クラスターのメンテナンス期間をスケジュールする」を参照してください。

Node OS の自動アップグレードに関する FAQ

クラスターで現在の nodeOsUpgradeChannel 値を確認するにはどうすればよいですか?

az aks show コマンドを実行し、"autoUpgradeProfile" を調べて、nodeOsUpgradeChannel がどの値に設定されているかを確認します。

az aks show --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --query "autoUpgradeProfile"

結果:

{
  "nodeOsUpgradeChannel": "SecurityPatch"
}

ノード OS の自動アップグレードは、AKS 自動に対して異なる方法で構成されていますか?

Yes. AKS 自動クラスターは、既定で NodeImage チャネルを使用するように事前構成されています。何も構成する必要はありません。 この構成では、次の機能が提供されます。

• 毎週のセキュリティ修正とバグ修正
• 安全なデプロイプラクティスを使用した自動再イメージ化
• メンテナンス期間の制御 (省略可能)
• ほとんどのワークロード向けに最適化された運用環境対応の既定値
• 追加の VHD ホスティング コストなし

AKS Standard クラスターでは、特定のニーズに基づいてチャネルを選択する必要があります。 AKS Standard から AKS Automatic に移行し、これらの事前構成済みの既定値を利用するには、「Azure Kubernetes Service (AKS)自動とは」を参照してください。

AKS 自動クラスターでノード OS の自動アップグレード チャネルを変更できますか?

いいえ。 AKS 自動クラスターでは NodeImage チャネルが使用され、このチャネルを変更することはできません。 別のチャネルが必要な場合は、AKS Standard クラスターを使用します。 ただし、メンテナンス期間を調整して、AKS 自動クラスターでアップグレードが行われるタイミングを制御できます。

ノード OS の自動アップグレードの状態を監視するにはどうすればよいですか?

ノード OS の自動アップグレードの状態を表示するには、クラスターのアクティビティ ログを検索します。 AKS クラスターのアップグレードに関する記事で説明されているように、特定のアップグレード関連イベントを検索することもできます。 AKS は、アップグレード関連の Event Grid イベントも生成します。 詳細については、「Event Grid ソースとしての AKS」を参照してください。

クラスターの自動アップグレード チャネルが node-image に設定されている場合、ノード OS の自動アップグレード チャネルの値を変更できますか?

いいえ。 現在、 クラスターの自動アップグレード チャネル を node-imageに設定すると、ノード OS の自動アップグレード チャネルも自動的に NodeImageに設定されます。 クラスターの自動アップグレード チャネルが node-imageされている場合、ノード OS の自動アップグレード チャネルの値を変更することはできません。 ノード OS の自動アップグレード チャネルの値を変更するには、 クラスターの自動アップグレード チャネル が node-imageされていないことを確認します。

SecurityPatch チャネルよりも Unmanaged が推奨される理由

Unmanaged チャネルでは、AKS はセキュリティ更新プログラムの配信方法とタイミングを制御しません。 SecurityPatch では、セキュリティ更新プログラムは完全にテストされ、安全なデプロイ プラクティスに従います。 SecurityPatch にはメンテナンス期間も適用されます。 詳細については、Azure での Canonical ワークロードのセキュリティと回復性の向上についての記事を参照してください。

SecurityPatch では常にノードの再イメージングが発生しますか?

AKS では、再イメージ化が必要な場合にのみ制限されます(完全に適用するために再イメージ化が必要な場合がある特定のカーネル パッケージなど)。 SecurityPatch は、中断を可能な限り最小限に抑えるように設計されています。 AKS がノードの再イメージ化が必要ないと判断した場合、ポッドをドレインせずにノードにパッチを適用し、そのような場合は VHD の更新は実行されません。

SecurityPatch チャネルが snapshot.ubuntu.com エンドポイントに到達する必要がある理由

SecurityPatch チャネルでは、Linux クラスター ノードは、ubuntu-snapshots-on-azure-ensuring-predictability-and-consistency-in-cloud-deployments で説明されている ubuntu スナップショット サービスから必要なセキュリティ パッチと更新プログラムをダウンロードする必要があります。

ノードに SecurityPatch または NodeImage のアップグレードが適用されているかどうかを確認するにはどうすればよいですか?

kubectl get nodes --show-labels コマンドを実行して、クラスター内のノードとそのラベルを一覧表示します。

返されるラベルの中に、次の出力のような行があります。

kubernetes.azure.com/node-image-version=AKSUbuntu-2204gen2containerd-202410.27.0-2024.12.01

ここでは、基本ノード イメージのバージョンは AKSUbuntu-2204gen2containerd-202410.27.0 です。 該当する場合は、通常、セキュリティ更新プログラムのバージョンに従います。 前の例では、 2024.12.01。

同じ詳細は、Azure portal のノード ラベル ビューでも参照できます。

関連するコンテンツ

アップグレードのベスト プラクティスとその他の考慮事項の詳細については、AKS のパッチとアップグレード ガイダンスのページを参照してください。

AKS Automatic の事前構成済み設定と運用対応の既定値の詳細については、「Azure Kubernetes Service (AKS)自動とは」を参照してください。