Atualizar automaticamente as imagens do sistema operacional dos nós no AKS (Serviço de Kubernetes do Azure)

O AKS fornece vários canais de atualização automática dedicados a atualizações de segurança do sistema operacional em nível de nó de forma oportuna. Esse canal é diferente das atualizações de versão do Kubernetes no nível do cluster e o substitui.

Interações entre a atualização automática do sistema operacional do nó e a atualização automática do cluster

As atualizações de segurança do sistema operacional no nível do nó são lançadas em uma taxa mais rápida do que o patch do Kubernetes ou atualizações de versões secundárias. O canal de atualização automática do sistema operacional do nó oferece flexibilidade e habilita uma estratégia personalizada para atualizações de segurança do sistema operacional no nível do nó. Em seguida, você pode escolher um plano separado para atualizações automáticas da versão do Kubernetes no nível do cluster. É melhor usar as atualização automáticas no nível de cluster e o canal de atualização automática do sistema operacional do nó juntos. O agendamento pode ser ajustado aplicando dois conjuntos separados de janelas de manutenção - aksManagedAutoUpgradeSchedule para o canal de atualização automática do cluster e aksManagedNodeOSUpgradeSchedule para o canal de atualização automática do sistema operacional do nó.

Canais para atualizações de imagem do sistema operacional do nó

O canal selecionado determina o tempo das atualizações. Ao fazer alterações nos canais de atualização automática do sistema operacional do nó, aguarde até 24 horas para que as alterações produzam efeito.

Alterações no canal do sistema operacional do nó que causam uma nova imagem

As seguintes transições de canal do sistema operacional do nó dispararão a nova imagem nos nós:

Canais de atualização do sistema operacional do nó disponível

Os canais de atualização a seguir estão disponíveis para clusters padrão do AKS. (Os clusters automáticos do AKS usam o canal NodeImage por padrão.)

O que escolher – Canal SecurityPatch ou Canal NodeImage?

Para clusters automáticos do AKS

O AKS Automatic usa o canal NodeImage por padrão. Este canal oferece o melhor equilíbrio entre correções de segurança, correções de bugs e facilidade de gerenciamento para cargas de trabalho de produção. A cadência semanal se alinha às práticas recomendadas do AKS e é ajustada para o desempenho ideal do cluster sem intervenção manual.

Nenhuma configuração é necessária – as atualizações ocorrem automaticamente na janela de manutenção. Você pode ajustar as janelas de manutenção se quiser controlar quando as atualizações ocorrem, mas a escolha do canal é fixa.

Por que NodeImage para AKS Automatic?

• Inclui correções de segurança e correções de bug para estabilidade abrangente
• A cadência semanal fornece tempo de atualização previsível
• Totalmente gerenciado pelo AKS com práticas de implantação seguras
• Sem custos extras de hospedagem de VHD
• Otimizado para cargas de trabalho de produção com configurações padrão recomendadas

Para clusters padrão do AKS

Se você estiver usando o AKS Standard, avalie seus requisitos usando a comparação abaixo para escolher entre SecurityPatch ou NodeImage canais.

Há duas considerações importantes para você escolher entre SecurityPatch ou NodeImage canais:

Comparação do modo cluster

A tabela a seguir resume a configuração de atualização automática do sistema operacional do nó de acordo com o modo do cluster:

Definir o canal de atualização automática do sistema operacional do nó em um novo cluster

export RANDOM_SUFFIX=$(openssl rand -hex 3)
export RESOURCE_GROUP="myResourceGroup$RANDOM_SUFFIX"
export AKS_CLUSTER="myAKSCluster$RANDOM_SUFFIX"
az aks create \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel SecurityPatch \
    --generate-ssh-keys

Defina o canal de atualização automática do sistema operacional do nó em um cluster existente

az aks update --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --node-os-upgrade-channel SecurityPatch

{
  "autoUpgradeProfile": {
      "nodeOsUpgradeChannel": "SecurityPatch"
  }
}

Ajustar janelas de manutenção para clusters automáticos do AKS

az aks update \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel NodeImage \
    --schedule-config "scheduled-maintenance-window=true" \
    --maintenance-window "frequency=Weekly,day-of-week=Sunday,utc-offset=+00:00,duration-hours=4,start-hour=2"

Atualizar a propriedade e a cadência por canal

A cadência padrão significa que não há nenhuma janela de manutenção planejada aplicada.

Limitações conhecidas do canal de atualização automática do sistema operacional do nó

• Atualmente, quando você define o canal de atualização automática do cluster como node-image, ele também define automaticamente o canal de atualização automática do sistema operacional do nó como NodeImage. Você não poderá alterar o valor do canal de atualização automática do sistema operacional do nó se o canal de atualização automática do cluster for node-image. Para definir o valor do canal de atualização automática do sistema operacional do nó, verifique se o valor do canal de atualização automática do cluster não é node-image.
• Não há suporte para o canal SecurityPatch nos pools de nós do sistema operacional Windows.
• O SecurityPatch canal não é compatível com um Azure Policy que usa um deny efeito para exigir CMK (chaves gerenciadas pelo cliente) para criptografia de disco do sistema operacional. Ao aplicar um patch de segurança, o AKS cria temporariamente um conjunto de dimensionamento de máquinas virtuais (VMSS) com o prefixo copy- no grupo de recursos do nó (MC_), o que é proibido por essa política; por isso, a atualização falha com o erro RequestDisallowedByPolicy. O uso de chaves gerenciadas pelo cliente nos seus pools de nós ainda é suportado com SecurityPatch; o conflito ocorre apenas com uma política de efeito deny. Se você precisar de uma política deny em toda a organização para criptografia de disco do sistema operacional CMK, use o canal NodeImage em vez disso.

Janelas de manutenção planejada do sistema operacional do nó

A manutenção planejada para a atualização automática do sistema operacional do nó começa na janela de manutenção especificada.

Para mais informações sobre a manutenção planejada, consulte Usar a manutenção planejada para agendar janelas de manutenção para seu cluster do AKS (Serviço de Kubernetes do Azure).

Perguntas frequentes sobre o sistema operacional do nó

Como posso verificar o valor atual do nodeOsUpgradeChannel em um cluster?

Execute o comando az aks show e verifique o "autoUpgradeProfile" para determinar qual valor o nodeOsUpgradeChannel está definido:

az aks show --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --query "autoUpgradeProfile"

Resultados:

{
  "nodeOsUpgradeChannel": "SecurityPatch"
}

A atualização automática do sistema operacional do nó está configurada de forma diferente para o AKS Automático?

Sim. Os clusters automáticos do AKS são pré-configurados para usar o canal NodeImage por padrão - você não precisa configurar nada. Essa configuração fornece:

• Correções semanais de segurança e correções de bugs
• Recriação automática da imagem com práticas seguras de implantação
• Controle da janela de manutenção (opcional)
• Configurações padrão prontas para produção otimizadas para a maioria das cargas de trabalho
• Sem custos extras de hospedagem de VHD

Os clusters padrão do AKS exigem que você selecione um canal com base em suas necessidades específicas. Para migrar do AKS Standard para o AKS Automatic e se beneficiar desses padrões pré-configurados, consulte O que é AKS (Serviço de Kubernetes do Azure) Automático?

Posso alterar o canal de atualização automática do sistema operacional do nó em um cluster do AKS Automático?

Não. Os clusters automáticos do AKS usam o canal NodeImage e você não pode alterar esse canal. Se você precisar de um canal diferente, use um cluster Standard do AKS. No entanto, você pode ajustar as janelas de manutenção para controlar quando as atualizações ocorrem no cluster automático do AKS.

Como posso monitorar o status dos atualização automáticas do sistema operacional do nó?

Para exibir o status de suas atualizações automáticas do sistema operacional do nó, pesquise os logs de atividades no cluster. Você também pode pesquisar eventos específicos relacionados a atualizações, conforme mencionado em Atualizar um cluster do AKS. O AKS também emite eventos da Grade de Eventos relacionados a atualizações. Para saber mais, confira AKS como uma fonte da Grade de Eventos.

Posso alterar o valor do canal de atualização automática do sistema operacional do nó se meu canal de atualização automática do cluster estiver definido como node-image?

Não. Atualmente, quando você define o canal de atualização automática do cluster como node-image, ele também define automaticamente o canal de atualização automática do sistema operacional do nó como NodeImage. Você não poderá alterar o valor do canal de atualização automática do sistema operacional do nó se o canal de atualização automática do cluster for node-image. Para alterar os valores do canal de atualização automática do sistema operacional do nó, garanta que o canal de atualização automática do cluster não seja node-image.

Por que SecurityPatch é recomendado no canal Unmanaged?

No canal Unmanaged, o AKS não tem controle sobre como e quando as atualizações de segurança são entregues. Com SecurityPatch, as atualizações de segurança são totalmente testadas e seguem práticas de implantação seguras. SecurityPatch também respeita as janelas de manutenção. Para obter mais informações, veja Maior segurança e resiliência de cargas de trabalho canônicas no Azure.

SecurityPatch sempre leva a uma nova imagem dos meus nós?

O AKS limita as recriações de imagem somente quando necessário, como determinados pacotes de kernel que podem exigir uma recriação de imagem para serem totalmente aplicados. SecurityPatch foi projetado para minimizar as interrupções o máximo possível. Se o AKS decidir que nós de recriação da imagem não são necessários, ele corrige os nós ao vivo sem esvaziar pods e nenhuma atualização de VHD é executada nesses casos.

Por que SecurityPatch canal precisa atingir snapshot.ubuntu.com ponto de extremidade?

Com o canal SecurityPatch, os nós do cluster Linux precisam baixar os patches de segurança e atualizações necessários do serviço de snapshot do Ubuntu descrito em ubuntu-snapshots-on-azure-ensures-predictability-and-consistency-in-cloud-deployments.

Como saber se uma atualização SecurityPatch ou NodeImage é aplicada no meu nó?

Execute o kubectl get nodes --show-labels comando para listar os nós em seu cluster e seus rótulos.

Entre os rótulos retornados, você verá uma linha semelhante à seguinte saída:

kubernetes.azure.com/node-image-version=AKSUbuntu-2204gen2containerd-202410.27.0-2024.12.01

Aqui, a versão da imagem do nó base é AKSUbuntu-2204gen2containerd-202410.27.0. Se aplicável, a versão do patch de segurança normalmente segue. No exemplo anterior, é 2024.12.01.

Os mesmos detalhes também serão pesquisados no portal do Azure na exibição de rótulo do nó:

Conteúdo relacionado

Para obter uma discussão detalhada sobre as melhores práticas de atualização e outras considerações, veja Diretrizes de patch e atualização do AKS.

Para saber mais sobre as configurações pré-configuradas do AKS Automatic e os padrões prontos para produção, consulte O que é AKS (Serviço de Kubernetes do Azure) Automático?