ノード OS イメージの自動アップグレード

AKS には、タイムリーなノード レベルの OS セキュリティ更新プログラム専用の複数の自動アップグレード チャネルが用意されています。 このチャネルは、クラスター レベルの Kubernetes バージョンのアップグレードとは異なり、それに代わるものです。

ノード OS の自動アップグレードとクラスターの自動アップグレードの間の相互作用

ノード レベルの OS セキュリティ更新プログラムは、Kubernetes パッチまたはマイナー バージョンの更新プログラムよりも速い頻度で提供されます。 ノード OS の自動アップグレード チャネルを使用すると、柔軟性が得られ、ノード レベルの OS セキュリティ更新プログラムのカスタマイズされた戦略が可能になります。 その後、クラスター レベルの Kubernetes バージョン の自動アップグレード用に別のプランを選択できます。 クラスター レベルの自動アップグレードとノード OS の自動アップグレード チャネルの両方を一緒に使用することをお勧めします。 クラスターの自動アップグレード チャネルとノード OS の自動アップグレード チャネルのaksManagedNodeOSUpgradeScheduleに - aksManagedAutoUpgradeSchedule 2 つの個別のメンテナンス期間を適用することで、スケジュールを微調整できます。

ノード OS イメージのアップグレード用のチャネル

選択したチャネルによって、アップグレードのタイミングが決まります。 ノード OS の自動アップグレード チャネルに変更を加えるときは、変更が反映されるまで最大 24 時間かかります。

次のアップグレード チャネルを使用できます。 次のいずれかのオプションを選択できます。

どちらを選ぶべきか - SecurityPatch チャネルまたは NodeImage チャネル?

SecurityPatchチャネルとNodeImage チャネルのどちらを選択するかは、2 つの重要な考慮事項があります。

新しいクラスターでノード OS の自動アップグレード チャネルを設定する

export RANDOM_SUFFIX=$(openssl rand -hex 3)
export RESOURCE_GROUP="myResourceGroup$RANDOM_SUFFIX"
export AKS_CLUSTER="myAKSCluster$RANDOM_SUFFIX"
az aks create \
    --resource-group $RESOURCE_GROUP \
    --name $AKS_CLUSTER \
    --node-os-upgrade-channel SecurityPatch \
    --generate-ssh-keys

既存のクラスターでノード OS の自動アップグレード チャネルを設定する

az aks update --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --node-os-upgrade-channel SecurityPatch

{
  "autoUpgradeProfile": {
      "nodeOsUpgradeChannel": "SecurityPatch"
  }
}

所有権とスケジュールを更新する

既定の頻度とは、適用されている計画メンテナンス期間がないことを意味します。

ノード チャネルの既知の制限事項

• 現在、 クラスターの自動アップグレード チャネル を node-imageに設定すると、ノード OS の自動アップグレード チャネルも自動的に NodeImageに設定されます。 クラスターの自動アップグレード チャネルが node-imageされている場合、ノード OS の自動アップグレード チャネルの値を変更することはできません。 ノード OS の自動アップグレード チャネル値を設定するには、 クラスターの自動アップグレード チャネル 値が node-imageされていないことを確認します。

• SecurityPatch チャネルは、Windows OS ノード プールではサポートされていません。

ノード OS の計画メンテナンス期間

ノード OS の自動アップグレードの計画メンテナンスは、指定したメンテナンス期間から開始されます。

計画メンテナンスについて詳しくは、「計画メンテナンスを使用して Azure Kubernetes Service (AKS) クラスターのメンテナンス期間をスケジュールする」を参照してください。

Node OS の自動アップグレードに関する FAQ

クラスターで現在の nodeOsUpgradeChannel 値を確認するにはどうすればよいですか?

az aks show コマンドを実行し、"autoUpgradeProfile" を調べて、nodeOsUpgradeChannel がどの値に設定されているかを確認します。

az aks show --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --query "autoUpgradeProfile"

結果:

{
  "nodeOsUpgradeChannel": "SecurityPatch"
}

ノード OS の自動アップグレードの状態を監視するにはどうすればよいですか?

ノード OS の自動アップグレードの状態を表示するには、クラスターのアクティビティ ログを検索します。 AKS クラスターのアップグレードに関する記事で説明されているように、特定のアップグレード関連イベントを検索することもできます。 AKS は、アップグレード関連の Event Grid イベントも生成します。 詳細については、「Event Grid ソースとしての AKS」を参照してください。

クラスターの自動アップグレード チャネルが node-image に設定されている場合、ノード OS の自動アップグレード チャネルの値を変更できますか?

不正解です。 現在、 クラスターの自動アップグレード チャネル を node-imageに設定すると、ノード OS の自動アップグレード チャネルも自動的に NodeImageに設定されます。 クラスターの自動アップグレード チャネルが node-imageされている場合、ノード OS の自動アップグレード チャネルの値を変更することはできません。 ノード OS の自動アップグレード チャネル値を変更できるようにするには、 クラスターの自動アップグレード チャネル が node-imageされていないことを確認します。

SecurityPatch チャネルよりも Unmanaged が推奨される理由

Unmanaged チャネルでは、AKS はセキュリティ更新プログラムの配信方法とタイミングを制御しません。 SecurityPatch では、セキュリティ更新プログラムは完全にテストされ、安全なデプロイ プラクティスに従います。 SecurityPatch にはメンテナンス期間も適用されます。 詳細については、Azure での Canonical ワークロードのセキュリティと回復性の向上についての記事を参照してください。

SecurityPatch では常にノードの再イメージ化が発生しますか?

AKS では、完全に適用するために再イメージ化が必要になる可能性がある特定のカーネル パッケージなど、どうしても必要な場合のみに再イメージ化が制限されます。 SecurityPatch は、中断を可能な限り最小限に抑えるように設計されています。 AKS では、ノードの再イメージ化が必要ないと判断された場合、ポッドをドレインすることなくライブ ノードにパッチが適用されます。そのような場合は VHD の更新が実行されません。

SecurityPatch チャネルが snapshot.ubuntu.com エンドポイントに到達する必要がある理由

SecurityPatch チャネルでは、Linux クラスター ノードは、ubuntu-snapshots-on-azure-ensuring-predictability-and-consistency-in-cloud-deployments で説明されている ubuntu スナップショット サービスから必要なセキュリティ パッチと更新プログラムをダウンロードする必要があります。

ノードに SecurityPatch または NodeImage のアップグレードが適用されているかどうかを確認するにはどうすればよいですか?

kubectl get nodes --show-labels コマンドを実行して、クラスター内のノードとそのラベルを一覧表示します。

返されるラベルの中に、次の出力のような行があります。

kubernetes.azure.com/node-image-version=AKSUbuntu-2204gen2containerd-202410.27.0-2024.12.01

ここでは、基本ノード イメージのバージョンは AKSUbuntu-2204gen2containerd-202410.27.0 です。 該当する場合は、通常、セキュリティ更新プログラムのバージョンに従います。 上記の例では、2024.12.01 です。

同じ詳細は、Azure portal のノード ラベル ビューでも参照できます。

次のステップ

アップグレードのベスト プラクティスとその他の考慮事項の詳細については、AKS のパッチとアップグレード ガイダンスのページを参照してください。