GKE 1.36 更改日志

本文档列出了 Google Kubernetes Engine (GKE) 1.36 次要版本的补丁版本中的更改。

这些更改日志是有关特定 GKE 系统组件更新的补充信息。如需了解 GKE 中的功能、变更和安全问题，请参阅以下文档：

1.36.4-gke.1247000

以下部分介绍了此补丁版本与上一个补丁版本 1.36.4-gke.1082000 相比所做的更改。如需了解上游 Kubernetes 更改，请参阅 Kubernetes v1.36.4 变更日志。

组件更新

以下各部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

gcp-controller-manager-combined

将 gcp-controller-manager-combined 组件从版本 36.1.4 更新到了 36.2.0。

  • 功能：
    • 在组件配置中添加了对 ToLocalhost 类型的支持。
    • 添加了 --fetched_cert_validity 标志，以允许为提取的凭据配置证书 TTL。
  • 其他：
    • 将自定义签名者名称委托标志重命名为 allow-signing-kubelet-serving-for-non-gcp，以更清楚地了解如何在非 GCP 节点上签名 kubelet 服务证书。
    • 移除了 /etc/srv/kubernetes/pki 的旧版宿主路径卷装载，以及集群 CA 文件（--cluster-root-ca-file 和 --cluster-ca-bundle）的相关命令行标志，转而使用 DCD。

gke-metrics-agent

将 gke-metrics-agent 组件从版本 2.136.20-gke.0 更新到了 2.136.20-gke.1。

  • 功能：
    • 为节点守护程序实现了压力失速信息 (PSI) 收集。
  • 其他：
    • 通过优化供应商依赖项修剪，减小了容器映像大小。

l7-lb-controller-combined

将 l7-lb-controller-combined 组件从版本 1.41.3-gke.0 更新为 1.41.4-gke.0。

  • 功能：
    • 通过 ip-collection-v6 注解添加了对自带 IPv6 NetLB 的支持。
  • bug 修复：
    • 改进了独立 NEG LB 控制器，具有更好的事件消息传递、规则排序、IP 清理和用户错误分类（包括 BackendNotAttached 条件）。
    • 允许使用没有 ip-collection-v6 注解的静态 BYOIPv6 地址，并添加了在 ILB 上错误使用该注解时的警告。
    • 重构了 L4 独立 NEG 控制器逻辑。
  • 安全修复程序：
    • 通过在将 LB VIP 写入服务状态之前验证服务 NEG 是否已附加到 LB 后端服务，解决了独立 NEG 控制器中的“混淆的代理”漏洞。

osimage

将 osimage 组件从版本 1.36.95 更新为 1.36.99。

  • 安全修复程序：
  • 其他：
    • 更新了系统软件包和依赖项：containerd 和 containerd-test 更新到 v2.2.7、fluent-bit 更新到 v4.2.8、unzip 更新到 v6.0_p31、dash 更新到 v0.5.13.5、libverto 更新到 v0.3.2-r1、popt 更新到 v1.19-r1、acl 更新到 v2.4.0-r2，以及 passwdqc 更新到 v2.0.3-r1。
    • 针对 net.ipv4.udp_mem 调整了运行时 sysctl 配置。

1.36.4-gke.1082000

以下部分介绍了此补丁版本与上一个补丁版本 1.36.3-gke.1767000 相比所做的更改。如需了解上游 Kubernetes 更改，请参阅 Kubernetes v1.36.4 变更日志。

组件更新

以下各部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

customer-logs-exporter

将 customer-logs-exporter 组件从版本 1.36.0-gke.9 更新为 1.36.0-gke.11。

  • 安全修复程序：
    • 将 google.golang.org/grpc 更新为 v1.82.1，以解决 GO-2026-6061。
  • 其他：
    • 通过 ComponentOptionsConfig 引入了对 Cloud Logging 端点和项目特定元数据的新配置支持。

gke-metrics-agent

将 gke-metrics-agent 组件从版本 2.136.18-gke.1 更新到了 2.136.20-gke.0。

  • 功能：
    • 实现了节点级压力失速信息 (PSI) 收集。
  • 其他：
    • 通过调整供应商依赖项优化了容器映像大小，将映像大小从大约 64MB 减小到 47MB。
    • 将工作负载自动调节程序更新到了 0.27.0-gke.17 版本。

gvisor

将 gvisor 组件从版本 1.36.19 更新为 1.36.23。

  • 其他：
    • 将 gVisor 更新到了版本 20260727.0_RC04。

l7-lb-controller-combined

将 l7-lb-controller-combined 组件从版本 1.41.1-gke.0 更新为 1.41.3-gke.0。

  • bug 修复：
    • 改进了 L4 地址管理器 IP 验证，以防止出现误报的子字符串匹配，并强制执行明确的网络层级和负载均衡方案验证。
  • 安全修复程序：
    • 将 Go 版本更新为 1.26.6，将 Go Kubernetes 客户端依赖项更新为 v1.36.3，并将 google.golang.org/api 和 google.golang.org/grpc 更新为最新版本。

osimage

将 osimage 组件从版本 1.36.75 更新为 1.36.95。

1.36.3-gke.1767000

以下部分介绍了此补丁程序版本与上一个补丁程序版本 1.36.3-gke.1640000 相比所做的更改。如需了解上游 Kubernetes 更改，请参阅 Kubernetes v1.36.3 变更日志。

组件更新

以下各部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

clouddns

将 clouddns 组件从版本 36.3.2 更新到了 36.3.3。

  • bug 修复：
    • 通过在 clouddns 容器中将 tmp 装载为读写，修复了崩溃循环。

gcsfusecsi

将 gcsfusecsi 组件从版本 1.36.38 更新为 1.36.41。

  • 安全修复程序：
    • 将 golang.org/x/mod 从 v0.37.0 更新为 v0.40.0，以解决安全漏洞 GO-2026-6179。

networkpolicy-calico

将 networkpolicy-calico 组件从版本 4.36.0 更新到了 4.36.1。

  • 安全修复程序：
    • 通过将 Go build 版本更新为 1.25.12，修复了 CVE-2026-39822。
    • 将 golang.org/x/crypto 更新为 v0.52.0，以修复 Calico 节点组件中的安全漏洞。