Source · 73 jours de veille
Ce qui a été retenu de cette source, et sur quels thèmes. Chaque fiche est une synthèse originale et renvoie à l'article d'origine.
Le blog de Kubernetes publie des mesures du swap des nœuds, stable depuis la 1.34, adossé à des SSD NVMe locaux. Sur des bacs à sable d'agents, la densité double pour des Chrome headless sous gVisor et triple pour des sandbox Python ; une compilation du noyau tient dans deux fois moins de mémoire. Quand le jeu de travail actif part en swap, en revanche, les temps s'envolent.
Memory QoS passe en bêta dans Kubernetes v1.37 et la feature gate est active sur tous les kubelets, mais le défaut de memoryThrottlingFactor passe de 0.9 à null : sans configuration explicite, le kubelet n'écrit plus memory.high, memory.min ni memory.low. Pour un cluster qui n'utilisait pas la fonctionnalité, la montée de version ne change rien. Pour un cluster qui l'avait activée en alpha sans inscrire le facteur dans sa configuration, le throttling s'arrête sans avertissement.
Les histogrammes natifs Prometheus passent en bêta dans Kubernetes v1.37 et sont activés par défaut (KEP-5808) : une seule série à paliers exponentiels remplace une série par palier, avec jusqu'à 90 % de séries temporelles en moins. La double exposition garde les paliers classiques — à condition de configurer Prometheus correctement.
Kubernetes v1.37 réserve cinq noms de conditions de nœud — DrainInProgress, Drained, MaintenancePlanned, MaintenanceInProgress et GracefulNodeShutdownInProgress — pour dire, dans l'API et non plus par une annotation maison, qu'un nœud est en train d'être drainé, entretenu ou arrêté proprement. Ce sont des conditions déclaratives : elles donnent un vocabulaire partagé aux contrôleurs et aux outils de maintenance, sans imposer de comportement.
Kubernetes v1.37 promeut en bêta le feature gate KubeletInUserNamespace, dit mode rootless : kubelet, runtime CRI/OCI, plugins CNI et kube-proxy tournent tous sous un utilisateur non privilégié de l'hôte via un user namespace Linux. Les évasions de conteneur historiques — cr8escape sur CRI-O, deux failles runc, gitRepo sur le kubelet, containerd via labels d'image — donnaient root sur la machine ; elles se limiteraient désormais à un compte sans droits. Le gate est activé par défaut mais ne bascule rien seul.
Kubernetes v1.37 promeut en bêta, activé par défaut, le scale-to-zero du HorizontalPodAutoscaler : minReplicas peut valoir 0, sans add-on externe. La fonction ne marche qu'avec des métriques Object ou External — CPU et mémoire sont exclus, faute de pod à mesurer.
La Storage Version Migration passe GA dans Kubernetes v1.37 et son API est activée par défaut. Un objet StorageVersionMigration déclaratif suffit désormais à réécrire tous les objets d'une ressource dans la version de stockage courante — ce qu'il fallait faire jusqu'ici avec des scripts kubectl ou le composant externe kube-storage-version-migrator.
Kubernetes 1.37 fait passer en GA les Pod Certificates et les Cluster Trust Bundles : l'émission de certificats X.509 pour TLS et mTLS entre dans le cœur du projet. La clé privée est générée par le kubelet et ne quitte pas le nœud, ce qui remplace un jeton porteur par une preuve de possession.
Kubernetes v1.37 « Garhwal » sort avec 67 améliorations (16 stables, 23 bêta, 27 alpha), mais l'essentiel est dans les dépréciations : kube-dns, le mode ipvs de kube-proxy, et l'interdiction désormais stricte pour les pods statiques de référencer des Secrets ou ConfigMaps.
veilletech.fr