1. 集群升级概述
在云原生架构中，Kubernetes 集群并非静态基础设施。随着业务规模增长、安全漏洞披露、社区版本迭代以及功能特性演进，集群升级成为运维团队必须常态化面对的核心操作。本章从必要性、升级类型与风险挑战三个维度，建立对集群升级的全局认知。
1.1 集群升级的必要性
集群升级并非“为了升级而升级”，而是由以下四个关键驱动力推动的强制性运维动作：
| 驱动力 | 说明 | 典型场景 |
|---|---|---|
| 安全修复 | Kubernetes 组件（kube-apiserver、kubelet、etcd）及依赖组件（containerd、cri-o）会定期披露 CVE 漏洞 | CVE-2023-44487（HTTP/2 快速重置攻击）导致集群拒绝服务 |
| 版本生命周期终止（EOL） | 上游社区对旧版本停止安全补丁与技术支持 | Kubernetes 1.24 于 2023 年 7 月停止支持 |
| 功能特性演进 | 新版本引入 GA 特性、性能优化与 API 改进 | 1.26 将 StatefulSet 的 Pod 管理策略升级为 GA |
| 生态兼容性 | Istio、Prometheus、Cert-Manager 等组件对 K8s 版本有最低要求 | Istio 1.20 要求 K8s 1.25+ |
关键指标： 根据 CNCF 年度调查，超过 70% 的生产集群在版本发布后 6 个月内完成升级，未升级集群的安全事件发生率是已升级集群的 3.2 倍。
1.2 升级类型对比
根据业务连续性要求与基础设施架构，集群升级通常分为三种模式。以下从停机时间、资源消耗、回滚复杂度三个维度进行对比：
| 升级类型 | 停机时间 | 资源消耗 | 回滚复杂度 | 适用场景 |
|---|---|---|---|---|
| 原地升级 | 分钟级（节点滚动重启） | 低（复用已有节点） | 高（需回滚系统组件） | 开发/测试环境、可接受短暂中断的生产环境 |
| 滚动升级 | 零停机（逐节点迁移） | 中（需预留缓冲节点） | 中（逐步回退节点） | 大多数生产环境，对可用性要求较高 |
| 蓝绿升级 | 零停机（流量瞬间切换） | 高（需完整副本集群） | 低（保留旧集群） | 金融、核心交易等高可用场景 |
选型建议： 对于大多数中小规模生产集群（节点数 < 100），推荐采用滚动升级策略，在零停机与资源成本之间取得平衡。蓝绿升级虽然回滚最安全，但需要双倍基础设施资源，成本较高。
1.3 升级风险与挑战
集群升级过程中，运维团队面临多维度的风险。以下按风险类别进行结构化梳理：
| 风险类别 | 具体表现 | 影响范围 | 典型案例 |
|---|---|---|---|
| API 兼容性 | 废弃 API 版本被移除，旧资源无法正常使用 | 所有使用旧 API 的控制器、Operator、CI/CD 流水线 | 1.22 移除 v1beta1 的 Ingress、CronJob API |
| 镜像安全水位 | 节点升级后容器运行时变更，导致镜像拉取策略失效或安全扫描基线偏移 | 所有运行中的工作负载 | containerd 1.6 → 1.7 后镜像签名验证行为变化 |
| 网络策略中断 | CNI 插件版本不兼容，导致 Pod 网络连通性异常 | 跨节点 Pod 通信、Service 负载均衡 | Calico 3.24 → 3.26 的 Felix 配置变更 |
| 存储卷挂载失败 | CSI 驱动版本与新版 kubelet 不匹配 | 有状态应用（数据库、消息队列） | vSphere CSI 2.x 在 K8s 1.24+ 需要升级 |
| Istio 路由漂移 | Sidecar 注入策略或控制面版本不匹配，导致流量路由异常 | 服务网格内所有微服务 | Istio 1.14 → 1.16 的 Envoy 配置模型变更 |
⚠️ 常见误区： 许多团队在升级前只关注 Kubernetes 版本号本身，而忽略了镜像安全水位与服务网格路由配置的联动影响。本课程后续章节将重点解决这两个被低估的高风险领域。
1.4 升级前的安全水位基线
在启动任何升级操作之前，必须建立以下安全水位基线，作为升级前后的对比基准：
- 镜像扫描基线： 记录当前集群中所有运行镜像的 CVE 数量、严重级别分布、基础镜像版本。
- 运行时安全策略： 确认 Pod Security Standards（PSS）或 OPA/Gatekeeper 策略的当前生效状态。
- 网络策略清单： 导出所有 NetworkPolicy 资源，验证升级后 CNI 是否兼容。
- Istio 路由规则快照： 备份 VirtualService、DestinationRule、Gateway 等 CRD 的当前版本。
- 审计日志归档： 确保升级前的审计日志已完整归档，便于升级后的问题回溯。
最佳实践： 建议将安全水位基线检查集成到 CI/CD 流水线中，每次集群升级前自动触发。本课程第 3-5 章将详细讲解如何使用开源工具（Trivy、Kube-bench、OPA）自动化这一过程。