升级 kubeadm 集群
此页面解释了如何将使用 kubeadm 创建的 Kubernetes 集群从 1.32.x 版本升级到 1.33.x 版本,以及从 1.33.x 版本升级到 1.33.y 版本(其中 y > x
)。升级时跳过次要版本是不支持的。有关更多详细信息,请访问版本偏差策略。
要查看使用旧版本 kubeadm 创建的集群的升级信息,请参考以下页面
- 将 kubeadm 集群从 1.31 升级到 1.32
- 将 kubeadm 集群从 1.30 升级到 1.31
- 将 kubeadm 集群从 1.29 升级到 1.30
- 将 kubeadm 集群从 1.28 升级到 1.29
Kubernetes 项目建议您及时升级到最新的补丁版本,并确保您运行的是受支持的 Kubernetes 次要版本。遵循此建议有助于您保持安全。
高级别的升级流程如下
- 升级主控制平面节点。
- 升级附加控制平面节点。
- 升级工作节点。
开始之前
- 请务必仔细阅读发行说明。
- 集群应使用静态控制平面和 etcd Pod 或外部 etcd。
- 请务必备份任何重要组件,例如存储在数据库中的应用级状态。
kubeadm upgrade
不会触及您的工作负载,只会触及 Kubernetes 内部的组件,但备份始终是最佳实践。 - 必须禁用 Swap.
附加信息
- 下面的说明概述了在升级过程中何时排空每个节点。如果您正在对任何 kubelet 进行次要版本升级,则必须首先排空您正在升级的节点(或节点)。对于控制平面节点,它们可能正在运行 CoreDNS Pod 或其他关键工作负载。有关更多信息,请参阅排空节点。
- Kubernetes 项目建议您匹配 kubelet 和 kubeadm 版本。您也可以使用比 kubeadm 旧的 kubelet 版本,只要它在支持的版本范围内即可。有关更多详细信息,请访问kubeadm 与 kubelet 之间的版本偏差。
- 升级后所有容器都会重新启动,因为容器规约的哈希值发生了变化。
- 要验证 kubelet 升级后 kubelet 服务是否已成功重新启动,可以执行
systemctl status kubelet
或使用journalctl -xeu kubelet
查看服务日志。 kubeadm upgrade
支持带有一个UpgradeConfiguration
API 类型的--config
参数,可用于配置升级过程。kubeadm upgrade
不支持重新配置现有集群。请改遵循重新配置 kubeadm 集群中的步骤。
升级 etcd 时的注意事项
由于 kube-apiserver
静态 Pod 始终运行(即使您已排空节点),因此当您执行包含 etcd 升级的 kubeadm 升级时,在新的 etcd 静态 Pod 重新启动期间,发送到服务器的正在处理的请求将会停滞。作为一种权宜之计,可以在开始 kubeadm upgrade apply
命令前几秒主动停止 kube-apiserver
进程。这允许完成正在处理的请求并关闭现有连接,从而最大限度地减少 etcd 停机的影响。在控制平面节点上可以按如下方式进行操作
killall -s SIGTERM kube-apiserver # trigger a graceful kube-apiserver shutdown
sleep 20 # wait a little bit to permit completing in-flight requests
kubeadm upgrade ... # execute a kubeadm upgrade command
更改软件包仓库
如果您正在使用社区维护的软件包仓库 (pkgs.k8s.io
),则需要为所需的 Kubernetes 次要版本启用该软件包仓库。这在更改 Kubernetes 软件包仓库文档中进行了解释。
apt.kubernetes.io
和 yum.kubernetes.io
)自 2023 年 9 月 13 日起已被弃用和冻结。强烈建议并且必须使用托管在 pkgs.k8s.io
的新软件包仓库来安装 2023 年 9 月 13 日之后发布的 Kubernetes 版本。已弃用的遗留仓库及其内容随时可能在未来被移除,恕不另行通知。新的软件包仓库提供从 v1.24.0 开始的 Kubernetes 版本的下载。确定要升级到的版本
使用操作系统软件包管理器查找 Kubernetes 1.33 的最新补丁版本
# Find the latest 1.33 version in the list.
# It should look like 1.33.x-*, where x is the latest patch.
sudo apt update
sudo apt-cache madison kubeadm
# Find the latest 1.33 version in the list.
# It should look like 1.33.x-*, where x is the latest patch.
sudo yum list --showduplicates kubeadm --disableexcludes=kubernetes
如果您没有看到期望升级到的版本,请验证是否使用了 Kubernetes 软件包仓库。
升级控制平面节点
控制平面节点上的升级过程应逐个节点执行。选择一个您希望首先升级的控制平面节点。它必须具有 /etc/kubernetes/admin.conf
文件。
调用 "kubeadm upgrade"
对于第一个控制平面节点
升级 kubeadm
# replace x in 1.33.x-* with the latest patch version sudo apt-mark unhold kubeadm && \ sudo apt-get update && sudo apt-get install -y kubeadm='1.33.x-*' && \ sudo apt-mark hold kubeadm
# replace x in 1.33.x-* with the latest patch version sudo yum install -y kubeadm-'1.33.x-*' --disableexcludes=kubernetes
验证下载是否正常以及是否具有预期版本
kubeadm version
验证升级计划
sudo kubeadm upgrade plan
此命令检查您的集群是否可以升级,并获取您可以升级到的版本。它还会显示一个表格,其中包含组件配置的版本状态。
选择要升级到的版本,然后运行相应的命令。例如
# replace x with the patch version you picked for this upgrade sudo kubeadm upgrade apply v1.33.x
命令完成后,您应该会看到
[upgrade/successful] SUCCESS! Your cluster was upgraded to "v1.33.x". Enjoy! [upgrade/kubelet] Now that your control plane is upgraded, please proceed with upgrading your kubelets if you haven't already done so.
注意
对于 v1.28 之前的版本,kubeadm 默认采用一种模式,即在kubeadm upgrade apply
期间立即升级附加组件(包括 CoreDNS 和 kube-proxy),无论是否存在尚未升级的其他控制平面实例。这可能会导致兼容性问题。自 v1.28 起,kubeadm 默认采用一种模式,即在开始升级附加组件之前检查所有控制平面实例是否都已升级。您必须按顺序执行控制平面实例升级,或者至少确保在所有其他控制平面实例完全升级之前,最后一个控制平面实例的升级不会开始,并且附加组件的升级将在最后一个控制平面实例升级后执行。手动升级你的 CNI 提供者插件。
您的容器网络接口 (CNI) 提供者可能有自己的升级说明要遵循。检查附加组件页面以找到您的 CNI 提供者并查看是否需要额外的升级步骤。
如果 CNI 提供者作为 DaemonSet 运行,则附加控制平面节点上不需要此步骤。
对于其他控制平面节点
与第一个控制平面节点相同,但使用
sudo kubeadm upgrade node
代替
sudo kubeadm upgrade apply
此外,不再需要调用 kubeadm upgrade plan
和升级 CNI 提供者插件。
排空节点
通过将其标记为不可调度并逐出工作负载来准备节点进行维护
# replace <node-to-drain> with the name of your node you are draining
kubectl drain <node-to-drain> --ignore-daemonsets
升级 kubelet 和 kubectl
升级 kubelet 和 kubectl
# replace x in 1.33.x-* with the latest patch version sudo apt-mark unhold kubelet kubectl && \ sudo apt-get update && sudo apt-get install -y kubelet='1.33.x-*' kubectl='1.33.x-*' && \ sudo apt-mark hold kubelet kubectl
# replace x in 1.33.x-* with the latest patch version sudo yum install -y kubelet-'1.33.x-*' kubectl-'1.33.x-*' --disableexcludes=kubernetes
重启 kubelet
sudo systemctl daemon-reload sudo systemctl restart kubelet
解除节点封锁
通过将其标记为可调度使节点恢复在线
# replace <node-to-uncordon> with the name of your node
kubectl uncordon <node-to-uncordon>
升级工作节点
工作节点上的升级过程应逐个节点或少量节点同时执行,同时不损害运行工作负载所需的最低容量。
以下页面显示了如何升级 Linux 和 Windows 工作节点
验证集群状态
在所有节点上升级 kubelet 后,从任何 kubectl 可以访问集群的位置运行以下命令,验证所有节点是否再次可用
kubectl get nodes
STATUS
列应显示所有节点的 Ready
状态,并且版本号应已更新。
从故障状态恢复
如果 kubeadm upgrade
失败且未回滚,例如因为执行期间意外关机,您可以再次运行 kubeadm upgrade
。此命令是幂等的,最终会确保实际状态为您声明的期望状态。
要从糟糕状态恢复,您还可以运行 sudo kubeadm upgrade apply --force
,而无需更改集群当前运行的版本。
升级期间,kubeadm 会在 /etc/kubernetes/tmp
下写入以下备份文件夹
kubeadm-backup-etcd-<日期>-<时间>
kubeadm-backup-manifests-<日期>-<时间>
kubeadm-backup-etcd
包含此控制平面节点本地 etcd 成员数据的备份。如果 etcd 升级失败且自动回滚无效,可以将此文件夹的内容手动恢复到 /var/lib/etcd
。如果使用外部 etcd,则此备份文件夹将为空。
kubeadm-backup-manifests
包含此控制平面节点的静态 Pod 清单文件的备份。如果升级失败且自动回滚无效,可以将此文件夹的内容手动恢复到 /etc/kubernetes/manifests
。如果由于某种原因,某个组件的升级前和升级后清单文件没有区别,则不会为其写入备份文件。
注意
使用 kubeadm 升级集群后,备份目录/etc/kubernetes/tmp
将保留,这些备份文件需要手动清除。工作原理
kubeadm upgrade apply
执行以下操作
- 检查您的集群是否处于可升级状态
- API 服务器可访问
- 所有节点处于
Ready
状态 - 控制平面健康
- 强制执行版本偏差策略。
- 确保控制平面镜像可用或可拉取到机器上。
- 如果组件配置需要版本升级,则生成替换配置并/或使用用户提供的覆盖配置。
- 升级控制平面组件,如果任何组件启动失败则回滚。
- 应用新的
CoreDNS
和kube-proxy
清单,并确保创建所有必要的 RBAC 规则。 - 创建新的 API 服务器证书和密钥文件,如果旧文件即将在 180 天内过期,则备份它们。
kubeadm upgrade node
在附加控制平面节点上执行以下操作
- 从集群获取 kubeadm
ClusterConfiguration
。 - 可选地备份 kube-apiserver 证书。
- 升级控制平面组件的静态 Pod 清单。
- 升级此节点的 kubelet 配置。
kubeadm upgrade node
在工作节点上执行以下操作
- 从集群获取 kubeadm
ClusterConfiguration
。 - 升级此节点的 kubelet 配置。