Как оптимизированная для контейнеров ОС обрабатывает обновления безопасности? - PullRequest
0 голосов
/ 15 сентября 2018

Если есть исправление безопасности для самой ОС Google Container Optimized, как применяется обновление?

Информация Google по этому вопросу неопределенна

https://cloud.google.com/container-optimized-os/docs/concepts/security#automatic_updates

Google утверждает, что обновления выполняются автоматически, но как?

  • Нужно ли устанавливать параметр конфигурации для автоматического обновления?
  • Нужен ли узлу доступ к Интернету, гдеобновление приходит?Или Google Cloud достаточно умен, чтобы позволить Container Optimized OS самостоятельно обновляться, когда он находится в частном VPC?

1 Ответ

0 голосов
/ 15 сентября 2018

При работе в составе Kubernetes Engine, функция автоматического обновления ОС, оптимизированной для работы с контейнерами, отключена . Обновления cos применяются путем обновления версии образа узлов с использованием функциональности обновления GKE - обновите мастер, затем пул узлов или используйте функции автоматического обновления GKE.


Руководство по обновлению кластера Kubernetes Engine описывает процесс обновления, используемый для ручного и автоматического обновлений: https://cloud.google.com/kubernetes-engine/docs/how-to/upgrading-a-cluster.

В итоге следует следующий процесс:

  1. Для узлов отключено планирование (поэтому они не будут учитываться при планировании новых модулей, допущенных к кластеру).

  2. Блоки, назначенные обновляемому узлу, опустошаются. Они могут быть воссозданы в другом месте, если они подключены к контроллеру репликации или эквивалентному менеджеру, который перепланирует замену, и имеется емкость кластера для планирования замены на другом узле.

  3. Экземпляр Computer Engine узла обновляется с помощью нового образа cos с тем же именем.
  4. Узел запущен, повторно добавлен в кластер, и планирование снова включено. (Помимо некоторых условий, большинство контейнеров не будут автоматически перемещаться назад.)

Этот процесс повторяется для последующих узлов в кластере.


Когда вы запускаете обновление, Kubernetes Engine останавливает планирование, истощает и удаляет все узлы кластера и их модули по одному. Заменяющие узлы воссоздаются с тем же именем, что и их предшественники. Каждый узел должен быть успешно воссоздан для завершения обновления. Когда новые узлы регистрируются в мастере, Kubernetes Engine помечает узлы как запланированные.

...