GKE 1.37 更改日志

本文档列出了 Google Kubernetes Engine (GKE) 1.37 次要版本的补丁版本中的更改。

这些变更日志是有关特定 GKE 系统组件更新的补充信息。如需了解 GKE 中的功能、变更和安全问题，请参阅以下文档：

1.37.1-gke.1552000

以下部分介绍了此补丁版本与上一补丁版本 1.37.0-gke.3503000 相比所做的更改。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.37.1 变更日志。

Kubernetes 更新

k8s-api

将 k8s-api 同类群组从版本 1.37.0-gke.900 更新到了 1.37.1-gke.300。

  • 功能：
    • 在 GKE 节点上为 crictl 工具实现了基于软件包的安装方法，以促进自动二进制文件更新。
    • 更新了 Google Secrets Manager (GSM) 端点，以支持透明代理配置 (TPC) 中的私有注册表。
    • 添加了替换 kube-apiserver IP 地址的功能，以允许控制器通过内部负载均衡器 (ILB) 进行连接。
    • 在配置辅助程序中添加了对 kubeconfig 中证书的支持。
    • 添加了 zswap 配置支持，允许在交换设置期间通过 sysfs 启用和配置 zswap。
    • 扩展了 GKE AppPkg 安装程序，以支持将压缩版本 tarball 的完整内容提取到指定的目标目录，并保留原始 tarball 以确保合规性。
    • 添加了对在 AppPkg 安装过程中通过 components.gke.io/configure-script-path 注解自主执行自定义配置脚本的支持。
  • bug 修复：
    • 更新了 Workload Identity 映像拉取的服务账号令牌受众群体配置，以使用标准工作负载池格式 (${project_id}.)。这解决了映像拉取被 NodeRestriction 准入控制阻止或被 Google STS 拒绝并显示 invalid_grant 错误的问题。
    • 将 Node Problem Detector 自定义插件更新为 v1.0.41，以解决 inotify 检查期间的 epoll 停滞问题，并修复映像拉取监控器中的正则表达式问题，该问题会导致成功拉取时出现假正例。
    • 强制 chronyd 在 COS 和 Ubuntu 节点上的虚拟机恢复后立即同步系统时钟，以防止时间漂移或暂停前的时间过时。
    • 解决了主机级 NFS 封装容器中的资源泄漏问题，该问题导致绑定装载在主机命名空间中累积，最终阻止节点创建新装载并阻止 Pod 启动。
    • 修复了以下问题：NFS 卸载请求被错误地作为装载命令处理，导致卸载操作失败。
    • 改进了 NFS 封装容器节点设置逻辑，以便可靠地清除过时的绑定，并帮助确保原子安装装载二进制文件。
    • 在节点启动期间限制了 sunrpc 端口范围，以提高配置稳定性。
    • 修复了以下问题：对于 StatefulSet 对象，ControllerRevision 中位于 .spec 之外的部分会被错误地恢复。
    • 在 kube-proxy 的 Windows 内核实现中添加了一个保护措施，以处理没有端口映射的负载均衡器。
    • 解决了如果终结器移除过程失败，则无法移除作业 Pod 的问题。
    • 防止特定于节点的 kubelet 配置泄露到 ConfigMap 中。
    • 修复了在按声明检查设备限制期间，动态资源分配 (DRA) 中可能出现的整数溢出问题。
    • 更新了动态资源分配 (DRA)，以帮助确保 nil DeviceTaintSelector 正确匹配无设备。
    • 调整了旧版配置脚本的执行顺序，以帮助确保在基于 EVE 的安装中跳过这些脚本。
  • 安全修复程序：
    • 通过仅从 ControllerRevision 恢复 .Spec 字段，修复了 StatefulSet 控制器中的“混淆的副手”漏洞，这有助于防止未经授权的跨命名空间 Pod 创建 (CVE-2026-2270)。
    • 通过拒绝 UNC 符号链接目标，提高了 Windows subPath 解析的安全性，这有助于防止潜在的强制 NTLM 身份验证。
    • 通过对保留的安装 tarball 执行加密校验和验证，并在每次重新启动时对二进制文件执行全新提取，增强了系统完整性。
  • 其他：
    • 移除了 --pod-sysctls kubelet 命令行标志，因为此设置已移至 kubelet 配置。
    • 优化了 NFS 和 rpcbind 操作的日志记录，有助于确保以适当的严重级别记录降级行为和配置问题。
    • 将 Go 运行时更新到了 v1.26.8，并将容器基础映像更新为使用 distroless iptables。

组件更新

以下各部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

accelerator-operator

将 accelerator-operator 组件从 1.35.3 版更新到了 1.37.1 版。

  • 其他：
    • 新增了对以下元数据字段的支持：ClusterHash、ClusterName、Location、MasterProjectNumber 和 ProjectNumber。

clouddns

将 clouddns 组件从 36.3.3 版更新到了 36.3.5 版。

  • bug 修复：
    • Cloud DNS 控制器：改进了多租户环境中 Cloud DNS 控制器的关停逻辑。改进后的逻辑有助于确保在控制器关闭时正确清理协调器、更新器和通知器，从而防止资源泄露。

filestorecsi

将 filestorecsi 组件从 1.36.19 版更新到了 1.37.7 版。

gcp-controller-manager-combined

将 gcp-controller-manager-combined 组件从版本 36.2.1 更新到了 36.2.3。

  • 功能：
    • 在 nodeannotator 中添加了对为 TPU8i 填充 TPU 分区拓扑标签的支持。
  • 安全修复程序：
    • 将 github.com/google/cel-go 更新至 v0.29.2，以解决安全漏洞 GHSA-gcjh-h69q-9w9g。
  • 其他：
    • 将自定义 signerName 委托的配置标志更新为 allow-signing-kubelet-serving-for-non-gcp。
    • 更新了 gcp-controller-manager 容器映像。

gcsfusecsi

将 gcsfusecsi 组件从 1.37.6 版更新到了 1.37.17 版。

  • 功能：
    • 添加了对每个租户渲染和多租户集群配置的支持。
    • 引入了对租户专用身份池和身份提供方的支持，以便进行身份验证。
    • 添加了对使用投影服务账号令牌通过 Google Kubernetes Engine 前端 (GKFE) 访问 Dataplane 的支持。
  • 安全修复程序：
    • 将 google.golang.org/grpc 更新为 v1.83.1，并将 csi-attacher 容器映像更新为解决 CVE-2026-84304。
  • 其他：
    • 更新了清单模板，以便根据租户参数动态配置命名空间、标签和资源名称。
    • 配置了 DNS 政策和 Kubernetes 服务环境变量，以利用租户专用端点。
    • 向组件清单添加了与租户相关的元数据标签，包括 access-level、项目和租户标识符。
    • 已将 csi-node-driver-registrar 映像更新为 v2.15.0-gke.47。
    • 在 not.GKEAutopilotEnabled 上设置了共享装载标志、CSIDriver attachRequired、PriorityClass 和 csi-attacher 边车/RBAC。
    • 将 GCSFuse 二进制文件升级到 v3.12.0。
    • 通过 --enable-grpc-by-default 和边车直通默认启用 gRPC。
    • 已将 gcsfusecsi 容器映像更新为 v1.24.8-gke.2。

gke-metrics-agent

将 gke-metrics-agent 组件从 2.137.3-gke.0 版更新到了 2.137.3-gke.1 版。

  • 功能：
    • 为 node-daemon 实现了压力失速信息 (PSI) 收集。
  • 安全修复：
    • 将 autoscaling-metrics-exporter 更新到 0.3.2-gke 版本，以解决安全漏洞。

gpu-device-plugin

将 gpu-device-plugin 组件从 1.37.0-gke.0 版更新到了 1.37.1-gke.2 版。

  • 功能：
    • 新增了对 GPUDirect Storage 的支持，当 cloud.google.com/gke-gpudirect-storage 节点标签设置为 true 时，系统会将 --nvidia-fs 标志传递给 COS GPU 安装程序。
    • 添加了对通过节点标签 cloud.google.com/gke-gpu-driver-version 以 RWWW 和 WWW.YY.ZZ 形式指定的固定驱动程序的支持。
    • 将 gpu-device-plugin 升级到了 v1.36.5-gke.0，以修复漏洞。
    • 将 nvidia-partition-gpu 升级到了 v1.36.5-gke.0，以修复漏洞。
    • 将 nvidia-persistenced-installer 提升至 v1.36.5-gke.0 以修复漏洞。
  • 安全修复程序：
    • 更新了 Go 模块，以解决安全漏洞。
  • 其他：
    • 更新了组件清单，以支持 GKE Autopilot 启用和内部迁移配置设置。
    • 已将 gke-metrics-collector 映像更新为 20261003_2300_RC0。

gvisor

将 gvisor 组件从 1.37.13 版更新到了 1.37.18 版。

  • bug 修复：
    • shim（GCSFuse 死锁）：
    • 在拆解期间，取消了未楔入的容器并被动中止了 gofer 退出时的 FUSE 连接 (#14811)。
    • 添加了在容器拆解时选择启用响应式超时保护 FUSE 中止的功能 (#14635)。
    • shim：修复了 shim，使其不会因状态查询而过早转换为停止状态 (#14646)。
    • shim：更新了 shim，以便在任何 init 任务仍处于活动状态时将容器报告为正在运行 (#14645)。
    • runsc：允许终止处于 Created 状态的容器 (#14533)。
    • 内核：修复了在孤立共享信号处理程序进程组时发生的 setsid 死锁 (#14534)。
    • fs/overlayfs：更新了 overlayfs，以使用调用方凭据进行上层 xattr 操作，而不是使用 root 凭据 (#14560)。
    • fs/host：更新了 HostReadiness，以报告已关闭 FD 上的挂断，并使 beforeSave 具有幂等性 (#14588)。
  • 其他：
    • 将 gVisor 更新到了 20260817.0_RC03 版。
    • 将 gke-distroless/static 基础映像更新为 gke_distroless_20260915.00_p0。
    • 更新了内部组件配置，以明确包含集群参数。

kube-addon-manager

将 kube-addon-manager 组件从版本 35.0.5 更新到了 35.0.6。

  • 功能：
    • 添加了对多架构版本的支持。

kubedns

将 kubedns 组件从 36.0.4 版更新到了 36.0.5 版。

managed-opentelemetry

将 managed-opentelemetry 组件从 1.36.21-gke.2 版更新到了 1.37.8-gke.0 版。

  • 功能：
    • 添加了对 OTLP gRPC 导出器的支持，以便导出日志记录、推送指标和 span。
    • 引入了配置选项和验证，以允许为遥测数据选择 OTLP HTTP 和 OTLP gRPC 传输。
    • 将 Google 构建的 OpenTelemetry 收集器 (imgOtelCollector) 更新为 0.153.0-gke.7。
    • 已将 Google 构建的 OpenTelemetry 收集器 (imgOtelCollector) 更新为 0.159.0-gke.6。
    • 在 otlp_grpc/logs、otlp_grpc/traces、otlp_grpc/metrics 和 otlp_grpc/self-metrics 导出器上，将 batch/logs、batch/metrics 和 batch/traces 处理器替换为原生 exporterhelper sending_queue 和 batch 配置，并为日志、跟踪记录和指标使用字节大小的队列（sizer: bytes、block_on_overflow: true），以帮助确保可预测的内存边界和可靠的反压。
    • 将共享的 otlp_grpc 导出器拆分为专用的单信号导出器（otlp_grpc/logs、otlp_grpc/traces、otlp_grpc/metrics），以便每个遥测信号都具有独立的队列容量、使用方工作器池和批处理参数。
    • 在收集器 Deployment 上设置 terminationGracePeriodSeconds: 60，以便在 Pod 终止期间，内存中导出器发送队列能够正常排空。
    • 将 OTLP gRPC 接收器 keepalive.server_parameters.max_connection_age 从 10m 降至 1m（并移除了冗余的 max_connection_idle、time 和 timeout 替换项），以便长期有效的 gRPC 客户端连接定期重新连接并重新平衡到新扩缩的收集器副本。
    • 在收集器 Deployment 上跨 topology.kubernetes.io/zone 和 kubernetes.io/hostname 添加了软 topologySpreadConstraints (maxSkew: 1, whenUnsatisfiable: ScheduleAnyway)，以便将横向扩容的副本分布在不同的可用区和节点上。
  • bug 修复：
    • 修复了 k8s_attributes 中在删除事件之前、容器重启期间以及关联状态转换期间清除 Pod IP 时出现的 Pod 元数据缓存内存泄漏问题。
    • 修复了在下游导出器背压下 memory_limiter 中消耗 CPU 的强制 GC 循环，方法是在 GC 无效时应用指数退避算法。
    • 修复了 exporterhelper otelcol_exporter_queue_batch_send_size 和 otelcol_exporter_queue_batch_send_size_bytes 指标，以便在批处理后使用字节级直方图存储桶（最大 16 MiB）记录批处理大小。
    • 修复了接收器，使其在所有处理器和导出器之后严格启动，以防止共享 otlp 接收器出现启动竞态条件。
  • 安全修复程序：
  • 其他：
    • 从 k8s_attributes 处理器配置中移除了已弃用的 extract.deployment_name_from_replicaset 设置，以消除启动弃用警告并为 OpenTelemetry 收集器 0.160.0+ 做准备。

managed-prometheus

将 managed-prometheus 组件从版本 0.19.0-gke.1 更新到了 0.19.2-gke.0。

managedcertificates

将 managedcertificates 组件从版本 3.4.8 更新到了 3.4.10。

networkpolicy-calico

将 networkpolicy-calico 组件从版本 4.36.1 更新到 4.36.3。

nodelocaldns

将 nodelocaldns 组件从 36.1.2 版更新到了 36.1.5 版。

  • 安全修复：
    • 更新了 Go 模块，以解决安全漏洞。

osimage

将 osimage 组件从版本 1.36.79 更新到了 1.37.15。

pdcsi

将 pdcsi 组件从 1.36.24 版更新到了 1.37.9 版。

  • 功能：
    • 根据访问模式为 PVC 实现了动态默认 StorageClass 选择。
    • 添加了 default-sc-rollback-handler 标准容器，以支持回滚。
    • 向 csi-driver-registrar 容器添加了 --http-endpoint=:9931 和 /healthz readinessProbe，因此只有在 Kubelet 完成 PD CSI 插件注册后，才会移除节点启动污点 readiness.k8s.io/gke-pd-csi-ready。
    • 允许在多租户集群上为 pdcsi 静态 Pod 进行 ToLocalhost 出站流量。
    • 添加了 /debug/pprof 和 /metrics 端点，以便在通过 --http-endpoint 调用时发出 Go 运行时指标和分析数据。
    • 为主权云环境添加了 --universe-domain 标志支持。
    • 添加了具有 /etc/selinux 和 /sys/fs/selinux 装载的叠加层，以支持 SELinuxMount 功能。
    • 将 PD CSI 驱动程序映像更新为 v1.27.1-gke.2，其中添加了可选的节点就绪情况报告程序 (--enable-node-readiness-condition)，该报告程序会在 csi-driver-registrar 运行状况良好时将 pd.csi.storage.gke.io/Ready 节点条件设置为 True。
    • 在 Linux 节点 DaemonSet 上启用了节点就绪状态报告程序。
    • 向 pdcsi-driver-role 授予了 nodes/status patch 权限，并添加了 ValidatingAdmissionPolicy，将 pdcsi-node-sa 限制为仅修补其自身节点上的状态条件。
  • bug 修复：
    • 修复了 VerifyDevicePath 中的手动设备路径更新，以便正确使用手动创建的设备符号链接，并在重新创建之前清理过时的符号链接 (EEXIST)。
    • 修复了 csiErrorBackoff、DeviceCache（使用非阻塞更新）、ListVolumes 和 ListSnapshots 中的并发映射读/写竞态条件。
    • 修复了由僵尸进程泄漏导致的主机 PID 耗尽问题，并防止了 execPipeCommand 中出现未经检查的类型断言 panic。
    • 修复了 Spot 虚拟机上的 GKE 数据缓存卷处理问题。
    • 重构了 node_taint 网络钩子，以防止丢弃现有节点数据。
    • 向 GCE OAuth HTTP 客户端传输添加了 ResponseHeaderTimeout，以防止连接挂起。
    • 通过跳过具有空来源的实例磁盘，减少了日志垃圾信息。
  • 安全修复：
    • 从 noauth 叠加层中的 taint-controller 移除了未使用的服务账号凭证。
    • 更新了 google.golang.org/grpc 以解决 CVE-2026-84304。
    • 更新了 google.golang.org/grpc 库和容器基础映像，以解决 CVE-2026-84445。
  • 其他：
    • 将 Go 运行时更新为版本 1.26.5，并更新了 Go 模块依赖项（golang.org/x、gopkg.in/ini.v1、ginkgo 和 gomega）。
    • 将 Go 运行时更新至 1.27.1，并刷新了 CSI 驱动程序组件（包括预配工具、注册器和快照工具）的 Debian 和 Distroless 基础映像。
    • 将 csi-resizer 边车更新到了版本 v2.1.0-gke.25。

tpu-device-plugin

将 tpu-device-plugin 组件从版本 1.36.8-gke.0 更新到了 1.36.9-gke.1。

  • 功能：
    • 添加了对 enable_full_hierarchy_labels KCP 特征的支持。
    • 将 ACS 代理 (acs-agent) 容器从 tpu-device-plugin DaemonSet 移至 ai-telemetry-collector DaemonSet，以防止客机诊断遥测故障影响设备插件运行状况和调度可用性。
  • bug 修复：
    • 将 ACS 代理映像还原为 sha256:2c2cad2eff5811c906334bced6a00b6f938d4308a26921bab9f5fc7d7ef445fb，以防止同步 informer 缓存同步停滞阻止 TPU 设备插件注册，并解除对集群自动扩缩器资格认证的阻止。
  • 其他：
    • 将构建器映像更新为 Golang 1.27.0，并将运行时基础映像更新为基于 Debian 13 的 distroless 版本。

workloadautoscaler

将 workloadautoscaler 组件从 20.2.0 版更新到了 20.5.0 版。

  • 功能：
    • 添加了 --fetched_cert_validity 配置标志，用于管理所提取证书的有效期。
    • 引入了对多维 Pod 自动扩缩器 (MPA) 的支持。
    • 添加了对 Pod 纵向自动扩缩器 (VPA) 的就地 Pod 大小调整支持，无需重启 Pod。
    • 实现了增强型自动扩缩指标流水线，包括对统一 Pod 横向自动扩缩 (UAS) 和自定义指标集成的支持。
  • 其他：
    • 通过移除 init-cert 容器和关联的 tls-certs 主机路径卷，简化了部署配置。
    • 移除了对之前用于证书初始化的 gke-distroless/bash 映像的依赖。
    • 配置了 API 限制（QPS 和突发）和控制器内存限制，以便根据主节点的 CPU 容量动态扩缩。
    • 更新了 Pod 横向自动扩缩 (HPA) 的配置，包括性能配置文件和不明确的选择器检查。
    • 为 Pod 纵向自动扩缩 (VPA) 建议影子模式定义了特性门控。
    • 将工作负载自动调节程序更新到了 0.28.0-gke.3 版本。

1.37.0-gke.3503000

以下部分介绍了此补丁版本与上一补丁版本 1.37.0-gke.3165000 相比所做的更改。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.37.0 变更日志。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

gpu-device-plugin

将 gpu-device-plugin 组件从 1.36.3-gke.2 版更新到了 1.37.0-gke.0 版。

  • 其他：
    • 1.37 组件目录的初始框架。

gvisor

将 gvisor 组件从版本 1.37.11 更新到了 1.37.13。

  • 其他：
    • 将 gVisor 更新到了版本 20260803.0_RC01。

l7-lb-controller-combined

将 l7-lb-controller-combined 组件从 1.41.3-gke.0 版更新到了 1.42.1-gke.0 版。

  • bug 修复：
    • 解决了因上下文管理不当而导致的运行时 panic 错误。

1.37.0-gke.3165000

以下部分介绍了此补丁版本与上一补丁版本 1.37.0-gke.2941000 相比的变化。如需了解上游 Kubernetes 更改，请参阅 Kubernetes v1.37.0 变更日志。

组件更新

以下各部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

customer-logs-exporter

将 customer-logs-exporter 组件从 1.36.0-gke.11 版更新到了 1.36.0-gke.12 版。

  • 安全修复程序：
    • 将 google.golang.org/grpc 更新至 v1.82.1，以解决安全公告 GO-2026-6061 中提到的问题。

filestorecsi

将 filestorecsi 组件从版本 1.36.18 更新到了 1.36.19。

  • 其他：
    • 将 Go 运行时更新至 1.25.11 版，并刷新了 csi-provisioner、csi-resizer、csi-snapshotter、snapshot-controller 和 snapshot-validation-webhook 的容器基础映像。

gcp-controller-manager-combined

将 gcp-controller-manager-combined 组件从版本 36.1.6 更新到了 36.2.1。

  • 功能：
    • 添加了 --fetched_cert_validity 标志，以便为提取的凭据配置证书 TTL。
  • 其他：
    • 移除了 /etc/srv/kubernetes/pki 的旧版宿主路径卷装载，以及集群 CA 文件（--cluster-root-ca-file 和 --cluster-ca-bundle）的相关命令行标志，转而使用 DCD。
    • 将自定义签名者名称委托的标志名称更新为 allow-signing-kubelet-serving-for-non-gcp。

kube-addon-manager

将 kube-addon-manager 组件从版本 35.0.2 更新为 35.0.5。

  • 功能：
    • 添加了对多架构版本的支持。
  • 其他：
    • 更新了 kubectl prune 许可名单，以包含运行 Kubernetes 1.23.0 及更高版本的集群的流控制资源（FlowSchema 和 PriorityLevelConfiguration）。
    • 添加了一个配置选项，用于管理插件管理器的领导者选举模式。

pdcsi

将 pdcsi 组件从 1.36.23 版更新到了 1.36.24 版。

  • 安全修复程序：
  • 其他：
    • 将 Go 运行时更新到了 1.26.5 版。
    • 更新了 CSI 驱动程序、快照程序和相关边车组件的 debian-base 和 distroless-static 容器基础映像。

tpu-device-plugin

将 tpu-device-plugin 组件从 1.36.7-gke.2 版本更新到了 1.36.8-gke.0 版本。

  • 功能：
    • 更新了 ACS Agent 映像，以包含 FatalErrorInfo 和 TPU 停止诊断收集。
    • 通过 --enable-baremetal-mode 引入了 TPU 裸金属节点支持。
    • 跳过 TPU8i 的 MDS 分区拓扑标签轮询（由 cloud-provider-gcp 填充）。
    • 添加了多切片网络、计算和传输大小/延迟时间指标。
  • bug 修复：
    • 在 TPU 设备插件指标中添加了对存储桶计数的边界检查。
    • 恢复 vbar.sock 权限更改日志。
  • 安全修复程序：
    • 将 google.golang.org/grpc 更新至 1.82.1 版，以解决安全漏洞 GO-2026-6061。
    • 通过将 vbar 目录以只读方式装载到工作负载中并强制执行 safeChmod，阻止 vbar.sock 符号链接提权。
    • 将 google.golang.org/grpc 更新为 v1.82.1，以解决漏洞 GO-2026-6061。
    • 将运行时基础映像更新为 gcr.io/distroless/static-debian13，并将构建器更新为 Golang 1.27.0，以修复基础映像漏洞。
  • 其他：
    • 更新了 gke-distroless/bash 基础映像。

1.37.0-gke.2941000

以下部分介绍了此补丁版本与上一个补丁版本 1.37.0-gke.2155000 相比所做的更改。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.37.0 变更日志。

组件更新

以下各部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

customer-logs-exporter

将 customer-logs-exporter 组件从 1.36.0-gke.10 版更新到了 1.36.0-gke.11 版。

  • 安全修复程序：
    • 已将 google.golang.org/grpc 更新为 v1.82.1，以解决 GO-2026-6061。
  • 其他：
    • 通过 ComponentOptionsConfig 引入了对 Cloud Logging 端点和项目特定元数据的新配置支持。

gke-metrics-agent

将 gke-metrics-agent 组件从 2.137.1-gke.0 版更新到了 2.137.3-gke.0 版。

  • 功能：
    • 实现了节点守护程序压力失速信息 (PSI) 收集。
  • 其他：
    • 通过优化供应商依赖项，优化了容器映像大小。
    • 已将 Workload Autoscaler 更新到 0.28.0-gke.3 版。

gvisor

将 gvisor 组件从 1.37.7 版更新到了 1.37.11 版。

  • 其他：
    • 将 gVisor 更新到了 20260727.0_RC04 版。

l7-lb-controller-combined

将 l7-lb-controller-combined 组件从 1.41.1-gke.0 版更新到了 1.41.3-gke.0 版。

  • bug 修复：
    • 改进了 L4 地址管理器 IP 验证，以防止假正例子字符串匹配，并强制执行显式网络层级和负载均衡方案验证。
  • 安全修复程序：
    • Go 版本更新至 1.26.6，Go Kubernetes 客户端依赖项更新至 v1.36.3，google.golang.org/api 和 google.golang.org/grpc 更新至最新版本。

1.37.0-gke.2155000

以下部分介绍了此补丁版本与上一个补丁版本 1.36.3-gke.1767000 相比的变化。如需了解上游 Kubernetes 更改，请参阅 Kubernetes v1.37.0 变更日志。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

accelerator-operator

将 accelerator-operator 组件从 1.35.1 版更新到 1.35.3 版。

  • 安全修复程序：
    • 将 go.opentelemetry.io/otel/sdk 更新为 v1.40.0，以解决 GO-2026-4394。
    • 将 golang.org/x/net 更新为 v0.53.0，以解决 GO-2026-4440、GO-2026-4559 和 GO-2026-4918。
    • 将 google.golang.org/grpc 更新为 v1.79.3，以解决 GO-2026-4762。
  • 其他：
    • 更新了基础映像以使用 Golang 1.25.10。
    • 将 CI/CD 配置、容器构建步骤和 Go 1.25.0 工具链修复向后移植到发布分支。
    • 将组件映像更新为版本 1.35.0-gke.8。

advanceddatapath

将 advanceddatapath 组件从 36.3.14 版更新到了 36.4.2 版。

  • 其他：
    • 为 kubernetes.io/arch: arm64 添加了节点容忍，以允许组件 Pod 在具有 NoSchedule 效果的基于 ARM64 的节点上进行调度。

customer-logs-exporter

将 customer-logs-exporter 组件从 1.36.0-gke.9 版更新到了 1.36.0-gke.10 版。

  • 安全修复程序：
    • 将 google.golang.org/grpc 更新为 v1.82.1，以解决 GO-2026-6061。

filestorecsi

将 filestorecsi 组件从 1.36.17 版更新到了 1.36.18 版。

  • 其他：
    • 将 Go 运行时更新到了 1.25.11 版。
    • 已将基础映像更新为最新的 distroless 版本，以提高安全性和稳定性。
    • 在组件清单中将内部初始化容器明确命名为 imgSpnpInitContainer。

gcp-controller-manager-combined

将 gcp-controller-manager-combined 组件从版本 36.1.4 更新到了 36.1.6。

  • 功能：
    • 在组件配置中添加了对 ToLocalhost 类型的支持。
  • 其他：
    • 将自定义 signerName 委托标志重命名为 allow-signing-kubelet-serving-for-non-gcp，以便更清楚地在非 GCP 节点上为 kubelet 服务证书签名。

gcsfusecsi

将 gcsfusecsi 组件从版本 1.36.41 更新到了 1.37.3。

  • 功能：
    • 为非生产环境引入了共享挂载功能支持。
    • 添加了 csi-attacher 组件支持，包括非生产环境的相关 PriorityClass 和 RBAC 配置。
  • 问题修复：
    • 将控制器标志 --leader-election-namespace 重命名为 --driver-namespace，以正确反映其功能。
    • 在 StaticPodNetworkPolicy 中允许 gcsfusecsi-controller 的 ToLocalhost 出站流量，以防止在本地 OAuth 令牌交换期间发生 SPNP 防火墙丢弃。
  • 安全修复程序：
    • 通过将 github.com/google/cel-go 升级到 v0.29.0，修复了安全漏洞 GHSA-gcjh-h69q-9w9g。
    • 更新了 github.com/google/cel-go，以解决 GO-2026-6094 问题。
    • 更新了 go.etcd.io/etcd/client/pkg/v3，以解决 GO-2026-6107 问题。
    • 更新了 Go 基础映像和 csi-attacher 边车容器，以解决安全漏洞。
  • 其他：
    • 更新了装载配置，以利用不同的 pod 和插件注册主机路径（kubelet-pods-dir 和 kubelet-plugins-dir）。
    • 将 addonmanager.kubernetes.io/mode 从“协调”更新为“重新创建”。

gvisor

将 gvisor 组件从 1.36.19 版更新到了 1.37.7 版。

  • 其他：
    • 将 gVisor 更新到了 20260803.0_RC01 版。

managed-prometheus

将 managed-prometheus 组件从 0.18.2-gke.0 版更新到了 0.19.0-gke.1 版。

osimage

将 osimage 组件从版本 1.36.75 更新到了 1.36.79。