v1.26.X

修正: 正しいwasmシム名を使用

組み込みのflannel cni-pluginバイナリは、他のcniプラグインや組み込みのflannelコントローラーとは別にビルドおよびバージョン管理されるようになりました。

spegelをv

Rootless モードは、rootful モードの UX に一致するように、LoadBalancer タイプのサービス nodePort をホストにバインドする必要があります。

check-config サブコマンドの生出力を有効にするために、NO_COLOR=1 を設定できるようになりました。

レジストリ処理の追加のコーナーケースを修正

metrics-server を v0.7.0 にバンプ

K3s は、レジストリのミラーエンドポイントリストに重複するエントリがある場合に警告を表示し、抑制するようになりました。Containerd は、単一の上流レジストリのミラーとして同じエンドポイントを複数回リストすることをサポートしていません。

ランタイムを含むディレクトリは、効果的なランタイム検出のために $PATH 環境変数に含める必要があります。

runc を v1.1.12 に、helm-controller を v0.15.7 にバンプ

registries.yaml でエンドポイントアドレスとしてベアホスト名または IP を処理する際の問題を修正

wasm/nvidia/crun のランタイムクラスを追加

containerd のデフォルトランタイムフラグを追加

Docker イメージの新しいタイムゾーン情報により、CronJobs で spec.timeZone を使用できるようになりました。

kine を v0.11.0 にバンプし、postgres と NATS の問題を解決し、負荷が高い場合のウォッチチャネルのパフォーマンスを向上させ、リファレンス実装との互換性を向上させました。

Containerd は、rdt_config.yaml または blockio_config.yaml ファイルを定義することで、rdt または blockio 構成を使用するように設定できるようになりました。

エージェントフラグ disable-apiserver-lb を追加し、エージェントはロードバランスプロキシを開始しません。

ServiceLB からの Ingress IP の順序を改善

disable-helm-controller のために helm CRD インストールを無効化

追加のメタデータがないスナップショットのスナップショットリスト configmap エントリを省略

クライアント構成のリトライにジッターを追加し、サーバーの起動時にハンマーリングを回避

レースコンディションに対処するために dynamiclistener をバンプし、サーバーが Kubernetes シークレットに証明書を同期できない問題を修正

初期クラスター起動時の etcd スナップショットログスパムを減少

S3 クライアントの初期化に失敗した場合、S3 保持を適用しない

S3 スナップショットをリストする際にメタデータを要求しない

スナップショットメタデータログメッセージでファイルパスの代わりにキーを表示

追加のコンテナランタイムの識別に関する問題を修正

ユーザーは --server フラグを使用して --cluster-reset を実行するとエラーを受け取ります

ユーザーは k3s token rotate -t <OLD_TOKEN> --new-token <NEW_TOKEN> を使用してサーバートークンをローテーションできるようになりました。コマンドが成功した後、すべてのサーバーノードは新しいトークンで再起動する必要があります。

スナップショットが取得された時点で削除がキューに入っていた場合、クラスタリセット/リストア直後にk3sがetcdクラスタからメンバーを削除しようとする問題を修正しました。

外部イメージサービスソケットを指定するための --image-service-endpoint フラグを追加。

etcdエンドポイントの自動同期を再有効化

ノードがスナップショットを調整していない場合にconfigmapの再調整を手動で再キュー

組み込みのcontainerdをv1.7.6にバンプ

組み込みのstargz-snapshotterプラグインを最新にバンプ

テスト環境セットアップスクリプトの競合状態による断続的なドローンCIの失敗を修正

Kubernetes 1.28のAPIディスカバリ変更によるCIの失敗を修正

K3sの外部apiserverリスナーは、kubernetes apiserverサービス、サーバーノード、または—​tls-sanオプションの値に関連付けられていないサブジェクト名を証明書に追加することを拒否するようになりました。これにより、証明書のSANリストに不要なエントリが追加されるのを防ぎます。

K3sは、イングレスプロキシがクラスタ内エンドポイントへの接続をルーティングするために使用されていない場合、apiserverの enable-aggregator-routing フラグを有効にしなくなりました。

組み込みのcontainerdをv1.7.3+k3s1に更新

組み込みのruncをv1.1.8に更新

組み込みのetcdをv3.5.9+k3s1に更新

ユーザー提供のcontainerd設定テンプレートは、{{ template "base" . }} を使用してデフォルトのK3sテンプレートコンテンツを含めることができるようになりました。これにより、ファイルに追加セクションを追加するだけの場合、ユーザー設定の維持が容易になります。

golangの最近のリリースによってdockerクライアントが送信する無効なホストヘッダーが拒否される問題を修正するために、docker/dockerモジュールのバージョンをバンプ。

kineをv0.10.2に更新

K3s etcd-snapshot削除がs3フラグで呼び出された場合にローカルファイルを削除できない問題を修正 (#8144)

etcdスナップショットが無効になっている場合のs3からのクラスタリセットバックアップの修正 (#8170)

バンドルされたhelmコントローラーのジョブイメージで使用される helm のバージョンがv3.12.3に更新されました。

apiserver/supervisorリスナーが6443でリクエストの提供を停止する可能性がある問題を修正するために、dynamiclistenerをバンプ。

K3sの外部apiserver/supervisorリスナーは、TLSハンドシェイクで完全な証明書チェーンを送信するようになりました。

新しい --tls-san-security オプションを追加。このフラグはデフォルトでfalseですが、trueに設定すると、クライアントが要求する任意のホスト名を満たすためにサーバーのTLS証明書にSANを自動的に追加することを無効にします。

kubeadmスタイルのブートストラップトークンで参加したエージェントが、ノードオブジェクトが削除されたときにクラスタに再参加できない問題を解決しました。

k3s certificate rotate-ca コマンドはデータディレクトリフラグをサポートするようになりました。

デフォルトのhelm-controllerジョブイメージは、--helm-job-image CLIフラグで上書きできるようになりました。

docker go.modのバンプ #7681

バージョンまたはヘルプフラグでコマンドをショートサーキット #7683

ローテーション証明書のチェックを追加し、エージェントを再起動する関数を削除 #7097

E2E: RunCmdOnNodeのためのSudo #7686

バンドルされたmetrics-serverがv0.6.3にバンプされ、デフォルトで安全なTLS暗号のみを使用するようになりました。

coredns-custom ConfigMapは、.:53デフォルトサーバーブロックに *.override セクションを含めることができるようになりました。

K3sのコアコントローラー（スーパーバイザー、デプロイ、ヘルム）は、管理者のkubeconfigを使用しなくなりました。これにより、アクセスおよび監査ログからシステムによって実行されたアクションと管理ユーザーによって実行されたアクションを区別しやすくなります。

klipper-lb イメージを v0.4.4 にバンプし、Service ExternalTrafficPolicy が Local に設定されている場合に localhost から ServiceLB ポートにアクセスできない問題を解決しました。

k3s をコンパイルする際に LB イメージを設定可能にしました。

k3s は、ノードがクラスターに参加する際にノードパスワードシークレットを作成できない場合でも、ノードがクラスターに参加できるようになりました。シークレットの作成はバックグラウンドで再試行されます。これにより、シークレットの作成をブロックする fail-closed 検証 Webhook によって引き起こされる可能性のあるデッドロックが解消されます。この Webhook は、新しいノードがクラスターに参加して Webhook ポッドを実行するまで利用できません。

バンドルされた containerd の aufs/devmapper/zfs スナップショットプラグインが復元されました。これらは、前回のリリースで containerd を k3s マルチコールバイナリに戻す際に意図せず省略されていました。

組み込みの helm コントローラーが v0.15.0 にバンプされ、存在しない場合にチャートのターゲットネームスペースを作成することをサポートするようになりました。

--Tls-sans は複数の引数を受け入れるようになりました: --tls-sans="foo,bar"

Prefer-bundled-bin: true は config.yaml.d ファイルに設定された場合に正しく動作するようになりました

組み込みの containerd バージョンが v1.7.0-k3s1 にバンプされ、リリースアーティファクトのサイズを大幅に削減するためにメインの k3s バイナリに再統合されました。

k3s は、etcd から "too many learners" エラーを受け取った場合にクラスター参加操作を再試行するようになりました。これは、複数のサーバーを同時に追加しようとしたときに最も頻繁に発生しました。

k3s は、ページサイズ > 4k の aarch64 ノードを再びサポートします。

パッケージ化された Traefik バージョンが v2.9.10 / チャート 21.2.0 にバンプされました。

k3s は、noexec でマウントされたファイルシステムから実行しようとしたときに、より意味のあるエラーを出力するようになりました。

サーバートークンがブートストラップトークン id.secret フォーマットを使用している場合、k3s は適切なエラーメッセージで終了するようになりました。

Addon、HelmChart、および HelmChartConfig CRD が構造スキーマなしで作成され、これらのタイプのカスタムリソースが無効なコンテンツで作成される問題を修正しました。

(実験的な) --disable-agent フラグで開始されたサーバーは、トンネル認証エージェントコンポーネントを実行しようとしなくなりました。

ポッドおよびクラスターのイーグレスセレクターモードが正しく動作しない問題を修正しました。

新しいサーバーが管理された etcd クラスターに参加する際に、現在の etcd クラスター メンバーリストを取得する際のエラーを適切に処理するようになりました。

組み込みの kine バージョンが v0.10.1 にバンプされました。これにより、従来の lib/pq postgres ドライバーが pgx に置き換えられます。

バンドルされた CNI プラグインが v1.2.0-k3s1 にアップグレードされました。バンドルには、帯域幅およびファイアウォールプラグインが含まれています。

組み込みの Helm コントローラーは、シークレットに保存された資格情報を介してチャートリポジトリに認証すること、および ConfigMap を介してリポジトリ CA を渡すことをサポートするようになりました。

バンドルされた containerd および runc バージョンが v1.7.1-k3s1/v1.1.7 にバンプされました。

バンドルされた local-path-provisioner バージョンが v0.0.24 にバンプされました。

組み込みの etcd バージョンが v3.5.7 にバンプされました。

バンドルされた runc バージョンが v1.1.5 にバンプされました。

クラスターリセット中のレースコンディションを修正し、操作がハングしてタイムアウトする可能性を修正しました。

バンドルされた coredns バージョンが v1.10.1 にバンプされました。

クライアントロードバランサーは、クラスターから削除されたサーバーへの接続を閉じるようになりました。これにより、エージェントコンポーネントが現在のクラスター メンバーに即座に再接続することが保証されます。

外部データストアを使用する場合、K3s は初期クラスターブートストラップデータを作成する際にブートストラップキーをロックし、複数のサーバーが同時にクラスターを初期化しようとしたときのレースコンディションを防ぎます。

組み込みの kube-router コントローラーが更新され、ホストに存在するデフォルトのドロップ/拒否ルールによってポッドからのトラフィックがブロックされる回帰を修正しました。ユーザーは、外部で管理されているファイアウォールルールがポッドおよびサービスネットワークへのトラフィックを明示的に許可することを確認する必要がありますが、これは一部のユーザーが依存していた以前の動作に戻ります。

組み込みの kube-router コントローラーが更新され、ホストに存在するデフォルトのドロップ/拒否ルールによってポッドからのトラフィックがブロックされる回帰を修正しました。ユーザーは、外部で管理されているファイアウォールルールがポッドおよびサービスネットワークへのトラフィックを明示的に許可することを確認する必要がありますが、これは一部のユーザーが依存していた以前の動作に戻ります。

エージェントトンネル認証者は、ノードオブジェクトから kubelet ポートを読み取る前に kubelet が準備完了になるのを待つようになりました。

k3s certificate rotate-ca チェックは、--force オプションなしで自己署名証明書のローテーションをサポートするようになりました。

MultiClusterCIDR 機能

組み込みの cri-dockerd が v0.3.1 に更新されました

ServiceLB は、Service の ExternalTrafficPolicy を尊重するようになりました。Local に設定されている場合、LoadBalancer は Service の Pod を持つノードのアドレスのみを広告し、他のクラスターメンバーにトラフィックを転送しません。

K3s は、クラスタ CA 証明書が既存のルートまたは中間 CA によって署名されている場合に適切に機能するようになりました。K3s が起動する前にそのような証明書を生成するためのサンプルスクリプトは、github リポジトリの contrib/util/certs.sh にあります。

K3s は kubeadm スタイルの参加トークンをサポートするようになりました。k3s token create は、オプションで制限付き TTL を持つ参加トークンシークレットを作成します。

期限切れまたは削除されたトークンで参加した K3s エージェントは、ノードオブジェクトがクラスタから削除されない限り、既存のクライアント証明書を使用してクラスタに残ります。

apiserver 広告アドレスと IP SAN エントリは、デフォルトの IP ファミリとして IPv6 を使用するクラスタで正しく設定されるようになりました。

組み込みのクラウドコントローラーマネージャーは、起動時に無条件にそのネームスペースとサービスアカウントを再作成しようとしなくなりました。これにより、fail-closed webhook が使用されている場合にデッドロッククラスタを引き起こす可能性がある問題が解決されます。

apiserver egress プロキシが、エージェントまたは無効モードでもエージェントトンネルを使用してサービスエンドポイントに接続しようとする問題を修正しました。

管理された etcd のリーダー選出されたコントローラーが etcd 専用ノードで実行されない問題を修正しました

ServiceLB がノードの IPv6 アドレスを広告する問題を解決しました。クラスタまたはサービスがデュアルスタック操作を有効にしていない場合でも。

組み込みの kine バージョンが v0.9.9 にバンプされました。コンパクションログメッセージは、可視性を高めるために info レベルで省略されるようになりました。

スケジュールされた etcd スナップショットは、数秒以内の短いランダムな遅延でオフセットされるようになりました。これにより、マルチサーバークラスタがスナップショットリスト ConfigMap を同時に更新しようとする病理的な動作を防ぐことができます。スナップショットコントローラーは、スナップショットリストの更新を試みる際により粘り強くなります。

組み込みの containerd バージョンが v1.6.15-k3s1 にバンプされました

K3s のデフォルトの暗号スイートは、kube-apiserver に明示的に渡されるようになり、すべてのリスナーがこれらの値を使用するようになります。

Kubernetesをv1.26.0-k3s1に更新

cri-toolsをv1.26.0-rc.0-k3s1に更新

helmコントローラーをv0.13.1に更新

etcdをv3.5.5-k3s1に更新

cri-dockerdを最新の1.26.0に更新

cadvisorを更新

containerdをv1.6.12-k3s1に更新 (#6370)