RATATOSKRATATOSK
ログイン

Crossplane

v2.4.0Orchestration & Management
2026年8月20日

ACTION 15CHECK 4PLAN 1OTHER 33

CLI の公開方法、実行時の挙動、リソース削除の条件に運用上の変更があります。正確性の修正に加え、Go と依存関係のセキュリティ更新も含まれています。

要対応 (15)

  • securityGo と Go 依存関係のセキュリティ更新

    Crossplane のビルドと実行に使う Go のバージョンが引き上げられ、標準ライブラリの CVE 修正が取り込まれました。リリースサイクル全体で、Crossplane の Go 依存関係にもセキュリティ更新が適用されています。

  • securityGo を 1.25.10 に更新

    標準ライブラリの CVE を修正するため、Go が 1.25.10 に更新されました。

  • securitygolang.org/x/crypto を v0.52.0 に更新

    セキュリティ対応として、golang.org/x/crypto が v0.52.0 に更新されました。

  • securitygolang.org/x/sys を v0.44.0 に更新

    セキュリティ対応として、golang.org/x/sys が v0.44.0 に更新されました。

  • securitygolang.org/x/net を v0.55.0 に更新

    セキュリティ対応として、golang.org/x/net が v0.55.0 に更新されました。

  • securitygithub.com/sigstore/cosign/v3 を v3.0.6 に更新

    セキュリティ対応として、github.com/sigstore/cosign/v3 が v3.0.6 に更新されました。

  • securitygithub.com/sigstore/rekor を v1.5.2 に更新

    セキュリティ対応として、github.com/sigstore/rekor が v1.5.2 に更新されました。

  • securitygithub.com/sigstore/timestamp-authority/v2 を v2.1.0 に更新

    セキュリティ対応として、github.com/sigstore/timestamp-authority/v2 が v2.1.0 に更新されました。

  • securitygithub.com/sigstore/sigstore-go を v1.2.0 に更新

    セキュリティ対応として、github.com/sigstore/sigstore-go が v1.2.0 に更新されました。

  • securitygrpc、x/net、x/text のセキュリティ更新

    セキュリティ対応として、grpc、x/net、x/text の依存関係がまとめて更新されました。

  • securitygolang.org/x/net を v0.56.0 に更新

    セキュリティ対応として、golang.org/x/net が v0.56.0 に更新されました。

  • securitygolang.org/x/text を v0.39.0 に更新

    セキュリティ対応として、golang.org/x/text が v0.39.0 に更新されました。

  • security脆弱な依存関係の更新

    脆弱性のある依存関係が更新されました。

  • securitygithub.com/sigstore/sigstore-go を v1.2.1 に更新

    セキュリティ対応として、github.com/sigstore/sigstore-go が v1.2.1 に更新されました。

  • securitygolang.org/x/mod を v0.40.0 に更新

    セキュリティ対応として、golang.org/x/mod が v0.40.0 に更新されました。

影響確認 (4)

  • breakingCrossplane CLI の公開先とバイナリ名の変更

    Crossplane CLI を使用している場合に該当します。

    Crossplane CLI は releases.crossplane.io で公開されなくなりました。新しい CLI リリースは cli.crossplane.io だけで公開され、バイナリ名も crank から crossplane に変わります。

  • breakingDeploymentRuntimeConfig の spec.replicas の扱い変更

    DeploymentRuntimeConfig で spec.replicas を設定している場合に該当します。

    DeploymentRuntimeConfig の spec.replicas は、常時稼働させる指定ではなく、稼働中に実行するレプリカ数として扱われます。ゼロへのスケールは、明示した spec.replicas より優先されます。

  • breakingcomposed resource の削除対象の限定

    適用対象はリリースノートに明記されていません。

    composed resource のガベージコレクターは、コントローラー参照が XR を指し返しているリソースだけを削除するようになりました。

  • breakingclaim から XR への同期時に管理用フィールドを除外

    claim から XR への同期処理を実行している場合に該当します。

    claim から XR へ同期する同期処理は、resourceRefs や crossplane スタンザなど、XR の管理用フィールドを取り除くようになりました。

事前準備 (1)

  • deprecatedCrossplane v1.20 のサポート終了予定v2.5 (Nov 2026)で削除予定

    Crossplane v1.20 を実行しており、v2.5 が 2026年11月にリリースされた場合に該当します。

    2026年11月に v2.5 がリリースされると、Crossplane v1.20 は EOL となり、Crossplane プロジェクトからサポートとメンテナンスを受けられなくなります。

その他の記録済み変更 33 件すべてsecurity fixes 1 · value changes 19 · fixes 6 · additions 4 · renames 2 · defaults 1

security fixes (1)

  • Now Crossplane and its complete set of dependencies are visible to security scanner tools.

value changes (19)

  • chore(deps): bump crossplane-runtime to …×3
  • Additions that Crossplane doesn't declare are left alone rather than replaced along with the array that held them, e.g. an injected sidecar container or an extra volume added out of band now survives a reconcile.
  • The type label on the engine_watches_started_total and engine_watches_stopped_total metrics changed from ComposedResource to Dependency
  • redact secret stringData before emitting to pipeline inspector
  • fix(deps): update module github.com/google/go-containerregistry to …×2
  • fix(deps): update module github.com/alecthomas/kong to …×2
  • fix(deps): update module github.com/crossplane/crossplane/apis/v2 to …×2
  • fix(deps): update module github.com/aws/smithy-go to …×2
  • fix(deps): update module golang.org/x/sync to v0.21.0
  • fix(deps): update module google.golang.org/grpc to v1.81.1
  • fix(deps): update module github.com/masterminds/semver/v3 to v3.5.0
  • Don't overwrite the input XR's UID if it has one and validate observed resources
  • drop secret last-applied annotation from pipeline inspector output

fixes (6)

  • a field you remove from a DeploymentRuntimeConfig is now actually removed from the live Deployment instead of lingering (#7563, fixing #4817)
  • Deactivating a revision also no longer deletes a runtime Deployment that another revision controls
  • The sha256 files published with release binaries are now calculated after Nix strips the binary, so amd64 checksums match what you download.
  • A composed Usage no longer gets a redundant owner update on every reconcile
  • The deletion protection field index now uses a separator that can't appear in a group, kind, name, or namespace
  • Sorting of spec.resourceRefs now includes the namespace

additions (4)

  • we have released a v2 readiness checker tool in the v1.20 Crossplane CLI that can be invoked via crossplane beta upgrade check
  • a new RUNTIME-ACTIVE column was added
  • A change to a required resource now reconciles the XRs that required it the same way a change to a composed resource does.
  • A new RuntimeActive condition on ProviderRevision and FunctionRevision makes this visible.

renames (2)

  • Package revision names are now derived from both the package digest and the package's metadata.generation, so any change to a package's spec produces a new PackageRevision.
  • The RUNTIME printer column on ProviderRevision and FunctionRevision was renamed to RUNTIME-HEALTHY

defaults (1)

  • Crossplane now creates such a provider's runtime Deployment with zero replicas and scales it up once its first MRD becomes active
Crossplaneをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチと破壊的変更も、その一例です。

スタックに追加 →
公式リリースノート ↗Crossplaneのリリース一覧 →