Kubernetes v1.5 版本演进全解：StatefulSet、CRI 与安全加固如何塑造现代集群

Kubernetes v1.5 版本演进全解：StatefulSet、CRI 与安全加固如何塑造现代集群

【免费下载链接】kubernetesProduction-Grade Container Scheduling and Management项目地址: https://gitcode.com/GitHub_Trending/kuber/kubernetes

本文以仓库中 CHANGELOG-1.5.md 为蓝本，完整梳理 Kubernetes v1.5.0 到 v1.5.8 共 9 个发布版本的演进脉络：从 StatefulSet 取代 PetSet 进入 beta、CRI v1alpha1 可插拔运行时接口落地，到匿名认证默认关闭、PodSecurityPolicy 授权漏洞修复等关键安全变更。读完本文，你将能够理解 v1.5 系列每个版本"改了什么、为什么改、升级前必须做什么"，并掌握基于该变更日志做版本选型与升级检查的完整方法，同时结合当前仓库源码印证这些历史特性的实现现状。

一、v1.5 系列版本全景：一次"承上启下"的重大版本

v1.5 是 Kubernetes 1.x 早期最密集的一次功能迭代：正式版 v1.5.0 经过 2 个 alpha、3 个 beta 共 5 个预发布版本打磨，之后又陆续发布了 v1.5.1 至 v1.5.8 共 8 个补丁版本。变更日志按"每个发布版本一节"组织，每节固定包含四部分：

1. Downloads：该版本全部二进制包的 sha256 校验和，按 Client / Server / Node 三类分组；
2. Changelog since 上一版本：本版本相对上一版本的全部变更条目；
3. Action Required（按需出现）：升级前必须处理的事项；
4. Known Issues（按需出现）：该版本已知问题。

以 v1.5.0 正式版为例，其安装包命名与校验规则如下（每个版本均遵循同一命名模式：kubernetes.tar.gz为全量包、kubernetes-src.tar.gz为源码包；客户端包区分 darwin/linux/windows × 386/amd64/arm/arm64 等架构，服务端与节点包以 linux 为主并含 windows 节点包）：

每个条目都附带 sha256 哈希，例如 v1.5.0 正式版的kubernetes.tar.gz校验和为52b7df98ea05fb3ebbababf1ccb7f6d4e6f4cad00b8d09350f270aa7e3ad7e85，下载后应逐一比对以保证二进制可信。v1.5.1 及以后版本均延续了"哈希表 + 变更清单"的格式，形成了一套可机器校验、可审计的发布记录体系。

二、Major Themes：v1.5.0 的四大主线

变更日志为 v1.5.0 单列了 "Major Themes" 小节，这是理解该版本定位的关键：

2.1 StatefulSet（ex-PetSet）进入 beta

有状态工作负载是 v1.5 的头号特性。PetSet 在 1.4 中以 alpha 出现，v1.5 中正式更名为StatefulSet并推进到apps/v1beta1，同时修复了大量稳定性问题。它解决的核心问题是：Pod 拥有稳定的网络标识与持久存储绑定（web-0、web-1……），从而支撑数据库等有状态应用。

从当前仓库源码结构看，这一特性沉淀在 pkg/controller/statefulset/ 目录中，核心控制器 stateful_set.go 定义了StatefulSetController，它通过StatefulSetControlInterface抽象出 Pod 管理能力，并用podIndexer按 ControllerRef UID 索引 Pod、用 workqueue 处理同步任务——这正是当年 alpha 版本迭代后"修复与稳定化"的成果形态。变更日志还记录了配套行为：kubectl drain增加对 StatefulSet 的支持，并改用 eviction 子资源而非直接删除（前提是服务器支持）。

2.2 Federation 能力增强与 kubefed 工具

v1.5.0 的 Federation（跨集群联邦）主线包括：

• 新命令行工具kubefed，简化联邦控制面部署；
• 联邦资源范围扩展到Deployments、DaemonSets、ConfigMaps（均为 alpha）;
• 支持DeleteOptions.OrphanDependents，即级联删除语义——设置为false时删除联邦资源会同时删除所有注册集群中的对应资源；
• 联邦控制面组件federation-apiserver、federation-controller-manager并入 hyperkube 二进制，不再单独发布镜像。

值得注意的已知问题：Federation alpha 特性没有定义 feature gate，默认全部开启（对应 issue #38593），且联邦控制面升级路径在本版本中未被测试覆盖——这是使用该功能时必须评估的风险点。

2.3 简化的集群部署与高可用 Master

• kubeadm（alpha）大幅改进 UX，一条命令引导集群；
• 通过cluster/kube-up.sh/kube-down.sh脚本支持在 GCE 上创建/删除多 Master 高可用集群（alpha）。仓库中的 cluster/kube-up.sh、cluster/kube-down.sh 正是这套流程的入口；v1.5.6 中还修复了kube-up（gce/gci 与 gce/coreos provider）在认证 token 文件已存在时不刷新 token、导致升级/降级失败的问题。

2.4 节点健壮性与可扩展性

• Windows Server 2016 节点支持（alpha），可调度 Windows 容器；
• CRI v1alpha1：可插拔容器运行时接口首次引入，附带实验性的 docker-CRI 集成；
• kubelet API 支持认证与授权（beta），此前 kubelet 端口对节点通信几乎不设防。

三、Features 清单：按 SIG 分组的完整特性表

变更日志将 v1.5.0 特性按 Special Interest Group 归类，以下是完整继承的清单（括号内为成熟度等级）：

四、安全主线：两个必须知道的关键变更

4.1 v1.5.1：匿名认证默认值收紧

v1.5.0 引入了--anonymous-auth标志（默认true）：未被其他认证方式拒绝的请求会被视为匿名用户system:anonymous，归入system:unauthenticated组；同时所有认证成功的用户会被加上system:authenticated组。

这直接催生了 v1.5.1 的紧急变更（变更日志原文用大写 MUST 强调）：

• kube-apiserver 必须设置--anonymous-auth=false，否则可能允许未授权用户访问 apiserver；
• federation apiserver 同理；
• kubelet 无需调整——1.4 中 kubelet API 本就没有授权；
• v1.5.1 还修复了一个联动崩溃：开启 audit log 且禁用匿名认证时，未认证请求会触发 panic 导致kube-apiserver崩溃；
• 已知问题：hack/local-up-cluster.sh因等待 apiserver 响应超时失败，临时绕过方案是在脚本中给hyperkube apiserver追加--anonymous-auth=true。

当前仓库源码仍可印证这套用户组语义：staging/src/k8s.io/apiserver/pkg/authentication/user/user.go 中定义了AllUnauthenticated = "system:unauthenticated"与AllAuthenticated = "system:authenticated"常量，且 API 配置类型注释明确写道"If present --anonymous-auth must not be set"，说明 1.5 时代确立的认证模型延续到了今天。

4.2 v1.5.5：PodSecurityPolicy 授权漏洞专项修复

v1.5.5 是一个"安全专项版本"，除该修复外没有任何其他变更。变更日志完整记录了漏洞细节与缓解流程，值得作为安全响应范例：

受影响范围（必须同时满足三条）：Kubernetes 1.5.0–1.5.4 安装，且

--runtime-config=extensions/v1beta1/podsecuritypolicy=true # 默认不启用 --admission-control=...,PodSecurityPolicy,... # 默认不启用

并且使用授权机制限制用户使用特定 PSP 对象。

影响：有创建 Pod 权限的用户可以套用任何已存在的 PodSecurityPolicy，即使没有该策略的使用授权。

升级前缓解步骤：

# 1. 导出所有 PSP kubectl get podsecuritypolicies -o yaml > psp.yaml # 2. 审查并删除不希望普通建 Pod 用户使用的 PSP # （注意：原本依赖这些策略的特权用户也会失去访问） kubectl delete podsecuritypolicies/my-privileged-policy # 3. 升级到 1.5.5 之后重新创建 kubectl create -f psp.yaml

v1.5.6 中"PodSecurityPolicy 授权被 admission 插件正确强制执行"的条目（PR #43489）则是该修复在后续版本中的巩固。

4.3 补丁版本中的其他安全动作

• v1.5.4：GCE ContainerVM 升级到 container-vm-v20170214 以修复 CVE-2016-9962；支持通过环境变量ENABLE_APISERVER_BASIC_AUDIT=true在 GCE 上开启 kube-apiserver 基础审计日志，写入/var/log/kube-apiserver-audit.log并复用 kube-apiserver.log 的 logrotate 配置；
• v1.5.6：alpine 系组件镜像（cluster-proportional-autoscaler、dnsmasq-metrics、etcd-empty-dir-cleanup、kube-addon-manager、kube-dnsmasq）修补 CVE-2016-8859；
• v1.5.8：fluentd-gcp 等 4 个 addon 刷新基础镜像，覆盖 CVE-2017-1000366 等 7 个 CVE；dnsmasq 更新至最新版。

五、Notable Changes to Existing Behavior：行为变化逐项解读

v1.5.0 章节单列了"对既有行为的显著变更"，这些是升级评估中最容易踩坑的部分：

5.1 Node controller 不再强制删除 Pod

• 对 StatefulSet：旧 Pod 只有在其确定不再运行（kubelet 从分区中恢复、Node 对象被删除、云 provider 中实例被删除、或用户手动强制删除）后，才会创建替换 Pod——用"围栏（fencing）"思路防止有状态集群脑裂；
• 对其他内置控制器：无影响（它们用 generate-name，不复用 Pod 名）；
• 自研控制器若复用 Pod 名，必须评估此变化；
• 配套 CLI 变化：kubectl delete --grace-period=0现在只发起优雅删除并等待；要立即从 API 删除必须再加--force。变更日志明确说明动机：防止用户无意中让两个同名 StatefulSet Pod 同时挂载同一持久卷，导致数据损坏。

5.2 kubectl get -o jsonpath 语义收紧

路径指向 JSON 中不存在的字段时，现在会报错，而不是像 1.4 之前那样返回类型默认值。

5.3 VolumeMounts 的 patchMergeKey 变更

strategic merge patch 中 VolumeMounts 的合并键由name改为mountPath——因为同一卷挂载多次时 name 相同并不唯一，而 mountPath 经校验唯一，可作合并键。依赖旧的 apply/patch 语义的脚本需要回归测试。

六、Deprecations 与 Action Required Before Upgrading

6.1 弃用清单

• extensions/v1beta1.Job弃用，改用batch/v1.Job；
• kubelet--reconcile-cdir弃用（已无实际作用）；
• recycler 弃用声明；
• init-container 注解（pod.beta.kubernetes.io/init-containers）不再接受大写字段名，会直接报错——Go 代码应改用pkg/api/v1的版本化类型做序列化。

6.2 升级前必做事项（完整清单）

1. --anonymous-auth=false：kube-apiserver 与 federation apiserver 必须显式设置（安全红线，见第四节）；
2. ScheduledJob 更名 CronJob：batch/v2alpha1.ScheduledJob→batch/v2alpha1.CronJob，存量资源需要转换；
3. PetSet 迁移 StatefulSet：已有 PetSet 必须在升级前后各执行一次迁移步骤（转换 group/version），不能直接原地升级；
4. Federation 组件：从 1.4.x 升级需按新版本更新federation-apiserver与federation-controller-manager清单；
5. --configure-cbr0已移除：连同 "classic" 网络模式一起删除，需评估 kubenet 或 CNI；
6. client-go 仓库化：新客户端结构，版本策略随 kubernetes/client-go；
7. kube-scheduler 参数更名：--bind-pods-qps/--bind-pods-burst删除，改用--kube-api-qps/--kube-api-burst；
8. PodDisruptionBudget 前置清理：1.4 中创建的policy/v1alpha1/PodDisruptionBudget对象必须在升级前删除——升级后既无法删除它们，又会阻断 1.5 的policy/v1beta1版本使用；若已升级只能降级 master 到 1.4 清理。

七、Known Issues 与外部依赖版本基线

7.1 v1.5.0 已知问题

• CRI 已知问题与限制清单（详见变更日志引用条目）；
• getDeviceNameFromMount()在卷路径含空格时不能正确返回卷路径（#37712）；
• Federation alpha 特性无 feature gate、默认开启（#38593）；
• Federation 控制面升级路径未在本版本测试（#38537）。

7.2 外部依赖版本信息

变更日志给出 CI 构建使用的依赖版本基线，并明确提示"这不是强推荐，选型请查阅对应安装/升级指南"：

这一节在实践中的价值：当排查节点级问题时，可先对照该基线判断运行时版本是否落在"已知有坑"的区间内。

八、补丁版本要点速览（v1.5.1 – v1.5.8）

除安全主线外，各补丁版本还包含一批影响面可观的修复与增强，择要汇总：

v1.5.1：anonymous-auth默认值收紧；audit + 匿名认证关闭时的 panic 修复；已知local-up-cluster.sh超时问题。

v1.5.2：

• kubernetes.tar.gz不再包含 client/server 二进制，cluster/kube-{up,down,push}.sh在缺失时自动下载已发布二进制（仓库中 cluster/get-kube-binaries.sh 即该机制的实现）；
• 关键 Pod 加固：kubelet 允许关键 Pod 准入、给 kube-proxy 等关键 Pod 设置oom_score_adj=-998、静态 Pod 不参与驱逐；
• 新增 kubelet 镜像缓存；HPA 除零 panic 修复；
• kube-controller-manager 提供控制卷 attach/detach 协调器同步周期（可调、可关）的参数。

v1.5.3（变更最多的一版）：

• attach_detach_controller默认同步周期改为 1 分钟，降低云 provider 查询频率；
• kube-up 增加可配置的 etcdinitial-cluster-state；
• ExperimentalCriticalPodAnnotationgate 开启后，带scheduler.alpha.kubernetes.io/critical-pod注解的 Pod 在资源压力下仍被准入、不被驱逐并受 OOM 保护；
• PodDisruptionBudget 的minAvailable百分比在 StatefulSet Pod 上不生效的问题修复；
• SubjectAccessReview 将 subresource 与资源名传递给 authorizer；
• kubelet 设置 hairpin 失败时不再对机器上所有接口设置 hairpin；
• 大量 AWS / Azure / vSphere 云 provider 修复（设备分配器、区域识别 ca-central-1 与 eu-west-2、Azure 磁盘附加加速等）。

v1.5.4：AWS 设备分配器只用合法设备名；GCE 基础审计日志开关（ENABLE_APISERVER_BASIC_AUDIT=true）；ContainerVM 升级修 CVE-2016-9962；list-resources在 grep 无匹配时不再失败。

v1.5.5：纯安全修复版（PSP 授权漏洞，详见 4.2 节）。

v1.5.6：kube-up token 文件刷新修复；alpine 镜像补 CVE-2016-8859；PSP admission 插件授权强制执行；--etcd-prefix与--storage-backend=etcd3组合时的归一化恢复；rescheduler 换用 busybox 基础镜像；GLBC 升至 0.9.2。

v1.5.7：kube-apiserver 丢弃旧版 Windows kubectl 发送的多余 path 信息；kube-proxy 健康检查在同一次更新中"删一个端口 + 加另一个端口"的处理修复；专用 service account key 下 service account 损坏的修复（#44285）；fluentd-gcp 升级至 1.28.3（ubuntu-slim:0.8 基础）；NodePort 逻辑极性修复防止端口泄漏；Go 升级至 1.7.5。

v1.5.8（系列收尾）：dnsmasq 升级；GCP e2e 记录集群 OS 镜像；4 个 addon 基础镜像安全刷新；GLBC 升至 0.9.5，修复从 1.6.4 之前升级到 1.6.4/1.6.5 时手工修改过的 GCLB 健康检查配置丢失的问题；Go 升级至 1.7.6。

九、从变更日志到源码：如何在当前仓库中验证这些特性

v1.5 的诸多特性在当前仓库中都能找到对应实现，可作为进一步深挖的入口：

• StatefulSet 控制器：pkg/controller/statefulset/，入口StatefulSetController与 Pod 管理抽象见 stateful_set.go；
• 匿名认证的用户/组模型：system:unauthenticated/system:authenticated常量定义于 staging/src/k8s.io/apiserver/pkg/authentication/user/user.go，认证组装饰器见 authenticated_group_adder.go；
• 集群生命周期脚本：v1.5 中反复提到的kube-up/kube-down流程对应仓库中的 cluster/kube-up.sh、cluster/kube-down.sh 与 cluster/get-kube-binaries.sh（v1.5.2 引入的"缺失时自动下载二进制"机制）；
• kubeadm：v1.5 主打的集群引导工具，其代码位于cmd/kubeadm/app/目录；
• 完整版本沿革：仓库根目录的 CHANGELOG.md 汇总了各小版本的日志入口，1.5 之后的演进可在CHANGELOG/目录下对照阅读。

十、版本选型与升级检查清单

综合以上变更，若你正在评估基于 v1.5 系列运行集群（或对照历史版本做兼容性分析），建议按以下清单逐项确认：

1. 认证配置：kube-apiserver 与 federation apiserver 均显式--anonymous-auth=false；RBAC 授权模式已启用而非 AlwaysAllow；
2. PSP 场景：若启用了 PodSecurityPolicy API 与 admission 插件，必须升级到≥ v1.5.5，并按 4.2 节流程处理存量策略对象；
3. 有状态负载：PetSet 全部完成向 StatefulSet 的两阶段迁移；自研控制器复用 Pod 名的，评估 Node controller 不再强删 Pod 的影响；
4. 删除语义：运维脚本中所有--grace-period=0的强制删除调用补充--force；jsonpath 输出脚本按"缺失字段即报错"的新语义回归；
5. apply/patch 语义：VolumeMounts 合并键变更涉及 apply 流程的，重跑 diff 校验；
6. PDB：从 1.4 升级前删除全部policy/v1alpha1的 PDB 对象；
7. 运行时基线：Docker 落在 1.10.3–1.12.3 且避开 1.11.2 的已知问题；etcd 2.2.1（或完成 3.x 迁移配置）；
8. 网络模式：确认已从 classic（cbr0）迁移到 kubenet 或 CNI；
9. 补丁级别：v1.5.8 是 1.5 系列最后一个版本，涵盖全部安全修复（CVE-2017-1000366 等）与 GCLB 升级丢配置修复，同系列内应选最高版。

需要说明的是：v1.5 属于 Kubernetes 极早期的历史版本，当前仓库主干（见 go.mod 与pkg/features/中的 feature gate 定义）已演进到远高版本，本文所述 flag（如--admission-control、--runtime-config）与 API 版本（policy/v1beta1/PodDisruptionBudget、apps/v1beta1/StatefulSet）在后续版本中已有更名或 GA，实际部署请以对应年代的版本文档为准。

【免费下载链接】kubernetesProduction-Grade Container Scheduling and Management项目地址: https://gitcode.com/GitHub_Trending/kuber/kubernetes