升级 kubeadm 集群

    要查看 kubeadm 创建的有关旧版本集群升级的信息，请参考以下页面：

    升级工作的基本流程如下：

    1. 升级主控制平面节点
    2. 升级其他控制平面节点
    3. 升级工作节点
    • 务必仔细认真阅读。
    • 集群应使用静态的控制平面和 etcd Pod 或者外部 etcd。
    • 务必备份所有重要组件，例如存储在数据库中应用层面的状态。 kubeadm upgrade 不会影响你的工作负载，只会涉及 Kubernetes 内部的组件，但备份终究是好的。
    • 必须禁用交换分区。
    • 下述说明了在升级过程中何时腾空每个节点。如果你正在对任何 kubelet 进行小版本升级， 你需要先腾空待升级的节点（或多个节点）。对于控制面节点，其上可能运行着 CoreDNS Pods 或者其它非常重要的负载。更多信息见腾空节点。

    • 升级后，因为容器规约的哈希值已更改，所有容器都会被重新启动。

    • 要验证 kubelet 服务在升级后是否成功重启，可以执行 systemctl status kubelet 或 journalctl -xeu kubelet 查看服务日志。

    • 不建议使用 kubeadm upgrade 的 --config 参数和 来重新配置集群，这样会产生意想不到的结果。请按照重新配置 kubeadm 集群 中的步骤来进行。

    确定要升级到哪个版本

    使用操作系统的包管理器找到最新的补丁版本 Kubernetes 1.25：

    1. yum list --showduplicates kubeadm --disableexcludes=kubernetes
    2. # 在列表中查找最新的 1.25 版本
    3. # 它看起来应该是 1.25.x-0，其中 x 是最新的补丁版本

    控制面节点上的升级过程应该每次处理一个节点。 首先选择一个要先行升级的控制面节点。该节点上必须拥有 /etc/kubernetes/admin.conf 文件。

    执行 “kubeadm upgrade”

    对于第一个控制面节点

    • 升级 kubeadm：

      1. apt-mark unhold kubeadm && \
      2. apt-get update && apt-get install -y kubeadm=1.25.x-00 && \
      3. apt-mark hold kubeadm
      1. # 用最新的补丁版本号替换 1.25.x-0 中的 x
      2. yum install -y kubeadm-1.25.x-0 --disableexcludes=kubernetes

    • 验证下载操作正常，并且 kubeadm 版本正确：

      1. kubeadm version

    • 验证升级计划：

      1. kubeadm upgrade plan

      此命令检查你的集群是否可被升级，并取回你要升级的目标版本。 命令也会显示一个包含组件配置版本状态的表格。

      说明：

      kubeadm upgrade 也会自动对 kubeadm 在节点上所管理的证书执行续约操作。 如果需要略过证书续约操作，可以使用标志 --certificate-renewal=false。 更多的信息，可参阅证书管理指南。

      说明：

    • 选择要升级到的目标版本，运行合适的命令。例如：

      1. # 将 x 替换为你为此次升级所选择的补丁版本号
      2. sudo kubeadm upgrade apply v1.25.x

      一旦该命令结束，你应该会看到：

      3. [upgrade/kubelet] Now that your control plane is upgraded, please proceed with upgrading your kubelets if you haven't already done so.

    • 手动升级你的 CNI 驱动插件。

      你的容器网络接口（CNI）驱动应该提供了程序自身的升级说明。 参阅页面查找你的 CNI 驱动， 并查看是否需要其他升级步骤。

      如果 CNI 驱动作为 DaemonSet 运行，则在其他控制平面节点上不需要此步骤。

    对于其它控制面节点

    与第一个控制面节点相同，但是使用：

    而不是：

    1. sudo kubeadm upgrade apply

    此外，不需要执行 kubeadm upgrade plan 和更新 CNI 驱动插件的操作。

    腾空节点

    • 通过将节点标记为不可调度并腾空节点为节点作升级准备：

      1. # 将 <node-to-drain> 替换为你要腾空的控制面节点名称
      2. kubectl drain <node-to-drain> --ignore-daemonsets

    • 升级 kubelet 和 kubectl：

      1. # 用最新的补丁版本替换 1.25.x-00 中的 x
      2. apt-mark unhold kubelet kubectl && \
      3. apt-get update && apt-get install -y kubelet=1.25.x-00 kubectl=1.25.x-00 && \
      4. apt-mark hold kubelet kubectl
      1. # 用最新的补丁版本号替换 1.25.x-00 中的 x
      2. yum install -y kubelet-1.25.x-0 kubectl-1.25.x-0 --disableexcludes=kubernetes

    • 重启 kubelet：

      1. sudo systemctl daemon-reload
      2. sudo systemctl restart kubelet

    解除节点的保护

    • 通过将节点标记为可调度，让其重新上线：

      1. # 将 <node-to-drain> 替换为你的节点名称
      2. kubectl uncordon <node-to-drain>

    升级工作节点

    工作节点上的升级过程应该一次执行一个节点，或者一次执行几个节点， 以不影响运行工作负载所需的最小容量。

    升级 kubeadm

      1. # 将 1.25.x-00 中的 x 替换为最新的补丁版本号
      2. apt-mark unhold kubeadm && \
      3. apt-mark hold kubeadm

    • 对于工作节点，下面的命令会升级本地的 kubelet 配置：

      1. sudo kubeadm upgrade node

    腾空节点

    • 将节点标记为不可调度并驱逐所有负载，准备节点的维护：

      1. # 将 <node-to-drain> 替换为你正在腾空的节点的名称
      2. kubectl drain <node-to-drain> --ignore-daemonsets

    升级 kubelet 和 kubectl

    • 升级 kubelet 和 kubectl：

      1. # 将 1.25.x-00 中的 x 替换为最新的补丁版本
      2. apt-mark unhold kubelet kubectl && \
      3. apt-get update && apt-get install -y kubelet=1.25.x-00 kubectl=1.25.x-00 && \
      1. # 将 1.25.x-0 x 替换为最新的补丁版本
      2. yum install -y kubelet-1.25.x-0 kubectl-1.25.x-0 --disableexcludes=kubernetes

    • 重启 kubelet：

      1. sudo systemctl daemon-reload
      2. sudo systemctl restart kubelet

    • 通过将节点标记为可调度，让节点重新上线:

      1. # 将 <node-to-drain> 替换为当前节点的名称
      2. kubectl uncordon <node-to-drain>

    在所有节点上升级 kubelet 后，通过从 kubectl 可以访问集群的任何位置运行以下命令， 验证所有节点是否再次可用：

    1. kubectl get nodes

    STATUS 应显示所有节点为 Ready 状态，并且版本号已经被更新。

    从故障状态恢复

    如果 kubeadm upgrade 失败并且没有回滚，例如由于执行期间节点意外关闭， 你可以再次运行 kubeadm upgrade。 此命令是幂等的，并最终确保实际状态是你声明的期望状态。

    要从故障状态恢复，你还可以运行 kubeadm upgrade apply --force 而无需更改集群正在运行的版本。

    在升级期间，kubeadm 向 /etc/kubernetes/tmp 目录下的如下备份文件夹写入数据：

    • kubeadm-backup-etcd-<date>-<time>
    • kubeadm-backup-manifests-<date>-<time>

    kubeadm-backup-etcd 包含当前控制面节点本地 etcd 成员数据的备份。 如果 etcd 升级失败并且自动回滚也无法修复，则可以将此文件夹中的内容复制到 /var/lib/etcd 进行手工修复。如果使用的是外部的 etcd，则此备份文件夹为空。

    kubeadm-backup-manifests 包含当前控制面节点的静态 Pod 清单文件的备份版本。 如果升级失败并且无法自动回滚，则此文件夹中的内容可以复制到 /etc/kubernetes/manifests 目录实现手工恢复。 如果由于某些原因，在升级前后某个组件的清单未发生变化，则 kubeadm 也不会为之 生成备份版本。

    kubeadm upgrade apply 做了以下工作：

    • 检查你的集群是否处于可升级状态:
      • API 服务器是可访问的
      • 所有节点处于 Ready 状态
      • 控制面是健康的
    • 强制执行版本偏差策略。
    • 确保控制面的镜像是可用的或可拉取到服务器上。
    • 如果组件配置要求版本升级，则生成替代配置与/或使用用户提供的覆盖版本配置。
    • 升级控制面组件或回滚（如果其中任何一个组件无法启动）。
    • 应用新的 CoreDNS 和 kube-proxy 清单，并强制创建所有必需的 RBAC 规则。
    • 如果旧文件在 180 天后过期，将创建 API 服务器的新证书和密钥文件并备份旧文件。

    kubeadm upgrade node 在其他控制平节点上执行以下操作：

    • 从集群中获取 kubeadm ClusterConfiguration。
    • （可选操作）备份 kube-apiserver 证书。
    • 升级控制平面组件的静态 Pod 清单。
    • 为本节点升级 kubelet 配置
    • 从集群取回 kubeadm 。
    • 为本节点升级 kubelet 配置。