阿里云容器服务ACK升级ACK集群-云淘科技

为什么需要升级

ACK保证Kubernetes最新3个次要版本的稳定运行。例如，支持Kubernetes 1.24、1.26、1.28 3个双数版本时，1.22版本不再支持创建，过期补丁版本也不再支持创建。

主动升级集群有以下好处：

• 降低安全和稳定性风险：随着Kubernetes版本迭代，会不断优化及修复发现的安全及稳定性漏洞，长久使用过期版本集群会给业务带来安全和稳定性风险。

• 享受更好的维护支持：对于过期Kubernetes版本，ACK不再提供安全补丁和问题修复，也无法保证过期版本的技术支持质量。使用新版本能够让您享受更好的技术支持和答疑服务。

• 使用新版本的新功能：随着社区Kubernetes版本的演进，新版本包含新的功能和改进，ACK也将适配新版本，为您带来更好的开发和运维体验。

此外，基于安全原因，ACK保留强制升级过期版本集群的权利（在集群版本过期后的某个时间，强制升级集群到支持中的最早版本），建议您参照下文提前主动升级集群。

重要

升级集群时，容器服务ACK会对您的集群进行前置检查，但无法保证检查出所有不兼容的功能配置和API。根据安全责任共担模型，请您通过帮助文档、控制台信息、站内信等渠道关注版本发布情况，并在集群升级时提前了解相应版本的升级注意事项。

更多关于Kubernetes版本支持信息，请参见Kubernetes版本概览及机制。

注意事项（重要）

版本说明

ACK集群的Kubernetes版本只能按照支持的版本依次升级。例如，Kubernetes版本为v1.24的ACK集群升级到v1.28时，需进行两次集群升级，即先升级到v1.26版本，再升级到v1.28版本。

您可以登录容器服务管理控制台，在集群页面的版本列查看集群的Kubernetes版本。确定待升级版本后，参见下方链接了解待升级版本的版本解读、废弃资源API、升级注意事项等，避免因高版本的功能变更导致业务功能不兼容，继而影响集群正常运行。

• ACK发布Kubernetes 1.28版本说明

• ACK发布Kubernetes 1.26版本说明

• ACK发布Kubernetes 1.24版本说明

• （停止维护）ACK发布Kubernetes 1.22版本说明

• （停止维护）ACK发布Kubernetes 1.20版本说明

• （停止维护）ACK发布Kubernetes 1.18版本说明

• （停止维护）ACK发布Kubernetes 1.16版本说明

说明

如果您的HELM Chart YAML文件中使用了废弃资源，请及时修改。更多信息，请参见上方版本说明和废弃API说明。

相关功能及自定义配置说明

如果您的集群中使用了如下相关功能，请仔细阅读以下说明及解决方案。

如果您对集群曾有自定义配置，请仔细阅读以下说明。

升级流程、方式及所需时间

升级流程

• 准备工作及前置检查：

  • 注意事项：确定您待升级集群的Kubernetes版本后，仔细阅读待升级目标版本的版本升级注意事项，避免升级时潜在的功能不兼容问题。更多信息，请参见上文的版本说明。

  • 前置检查：执行前置检查，排查暴露影响升级的风险项。如有检查异常项，请按控制台提示或参见集群检查项及修复方案修复风险项。

• 集群升级：前置检查通过后，可开始集群升级，包括控制面和节点池的升级。有关升级流程的更多信息，请参见参考信息：控制面及节点池升级流程。ACK提供以下两种升级模式。

  • 同时升级：一起完成控制面和节点池升级。

  • 独立升级：先独立升级控制面，再独立升级节点池。

  控制面升级包括对核心组件kube-apiserver的升级，节点池升级包括对kubelet及其依赖组件的升级。为保证集群稳定性和可靠性，需保证kube-apiserver不低于kubelet两个版本，故需先完成控制面独立升级，再在业务低峰期完成节点池升级。

• 集群升级后：核验集群、kubelet等版本，检查节点池运行是否正常，以及检查集群业务是否运行正常。

升级方式

• 控制面：控制面升级将升级控制面组件，包括kube-apiserver、 kube-controller-manager、cloud-controller-manager、kube-scheduler等。ACK托管集群、ACK Serverless集群将直接升级托管控制面组件；ACK专有集群采用原地升级的方式，以更大程度地保证您业务的连贯性，减少数据迁移和配置调整的风险。

• 节点池：节点池升级包括kubelet、OS镜像和容器运行时的升级。如您需要更换操作系统，或运行时需从Docker升级为containerd，系统会通过替换系统盘（替盘升级）的方式完成升级，即更换磁盘的同时进行操作系统或应用程序的升级。请提前做好系统盘的备份工作。其他情况下，保持使用原地升级方式。更多信息，请参见节点池升级。

升级所需时间

ACK托管集群、ACK Serverless集群控制面升级时间约为5分钟；ACK专有集群的Master节点需逐个、串行升级，每个Master节点升级时间约为8分钟。节点池升级时内部节点分批升级，每批升级时间约为5分钟。

操作步骤

集群升级常见问题

如何处理专有版集群Master节点升级超时？

问题原因

Admission Webhook组件自签发的服务端证书未包含必要的SAN字段，导致Master组件启动失败。

解决方案

通过以下命令查看Webhook使用的自签发证书是否具备SAN字段。下述命令需要在已配置kubectl的集群节点中执行。

1. 执行如下命令，查看集群中所有的Admission Webhook。

   kubectl get mutatingwebhookconfigurations

   预期输出：

   NAME                                      WEBHOOKS   AGE
   ack-node-local-dns-admission-controller   1          27h

2. 执行如下命令，查看对应Webhook配置的Service。

   kubectl get mutatingwebhookconfigurations ack-node-local-dns-admission-controller -oyaml | grep service -A 5
       service:
         name: ack-node-local-dns-admission-controller
         namespace: kube-system
         path: /inject
         port: 443
     failurePolicy: Ignore

3. 执行如下命令，查找Service的ClusterIP。

   kubectl -n kube-system get service ack-node-local-dns-admission-controller

   预期输出：

   NAME                                      TYPE        CLUSTER-IP        EXTERNAL-IP   PORT(S)   AGE
   ack-node-local-dns-admission-controller   ClusterIP   192.168.XX.XX           443/TCP   27h

4. 执行如下命令，通过ClusterIP访问Webhook获取证书，确保存在Subject Alternative Name字段。

   openssl s_client -connect 192.168.XX.XX:443 -showcerts /dev/null|openssl x509 -noout -text

如何处理集群升级失败并提示the aliyun service is not running on the instance？

问题原因

云助手不可用，导致升级命令下发失败。

解决方案

请启动或停止云助手后，重新执行集群升级操作。具体操作，请参见启动、停止或者卸载云助手Agent。

如何处理节点PLEG not healthy？

容器或者容器运行时无响应。请重启节点后重新执行升级。

参考信息：控制面及节点池升级流程

控制面升级流程

ACK将按照以下流程升级您集群的控制面。具体策略如下。

节点池升级流程

ACK将集群中的节点按照分批策略执行分批升级。具体策略如下。

• 根据节点池依次执行，同一时间只有一个节点池进行升级。

• 在同一个节点池内进行分批升级。第一批升级的节点数为1，后续的批次以2的幂数进行增长。如果暂停后重新恢复升级，依然遵循该分批策略。您可以在节点池升级页面配置每批升级节点的最大数量，推荐设置为10。具体操作，请参见节点池升级。

相关文档

• 集群检查项及修复方案

• 扩缩容ACK集群的节点

• 集群最佳实践