CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
運用者向けの多数の不具合修正と挙動の是正を中心に、依存関係やイメージの更新、新たに適用されたデコーダーメモリ上限を含みます。セキュリティアドバイザリ識別子は示されていませんが、CIDRポリシーの迂回を修正する変更が含まれます。
影響確認 (1)
securityendpoint のCIDRポリシー迂回と再起動後のトラフィック損失を修正
適用対象はリリースノートに明記されていません。
エージェントの再起動後に発生していた、CIDRポリシーの無言の迂回とトラフィックのドロップを修正しました。関連する変更は cilium/cilium#47954 と cilium/cilium#47880 です。
Gateway API、ネットワーク、IPAM、ポリシー、可観測性、データパスにわたる機能追加と保守修正を含むリリースです。非推奨設定の削除や名称変更、デフォルト値と要件の変更、メトリクスや連携機能の削除があるため、該当する設定や機能を使う環境では移行内容の確認が必要です。セキュリティ関連の依存モジュールも更新されています。
要対応 (11)
securitygoogle. の更新
セキュリティ更新として google. が v1.79.3 に更新されました。
securitygoogle. の更新
セキュリティ更新として google. が v1.82.1 に更新されました。
securityhelm. の更新
セキュリティ更新として helm. が v4.1.4 に更新されました。
securitygithub. の更新
セキュリティ更新として github. が v1.6.3 に更新されました。
securitygithub. の更新
セキュリティ更新として github. が v4.1.4 に更新されました。
securitygithub. の更新
セキュリティ更新として github. が v0.5.1 に更新されました。
breakingデフォルト CNI 設定バージョンの更新
デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に更新されました。
breakingIPAM メトリクスの削除
IPAM メトリクス cilium_operator_ipam_ips と cilium_operator_ipam_available_interfaces が削除されました。
breakingCNI 設定バージョンのデフォルト変更
デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に変更されました。
breakingネイティブヒストグラム出力のデフォルト化
すべてのヒストグラムで、ネイティブヒストグラムがデフォルトで出力されるようになりました。
breakingエージェント bootstrap メトリクスの削除
エージェントの bootstrap メトリクスが削除されました。
影響確認 (28)
securitytbid トラフィックのホスト名前空間漏えい修正
tbid トラフィックを使用している場合に該当します。
明示的な tbid トラフィックがホストのネットワーク名前空間へ漏れないよう修正されました。
breakingdocker libnetwork plugin の廃止
docker libnetwork plugin を使用している場合に該当します。
docker libnetwork plugin は廃止され、利用できなくなりました。
breakingces-slice-mode オプションの削除
ces-slice-mode を設定している場合に該当します。
非推奨だった ces-slice-mode オプションが削除されました。
事前準備 (6)
deprecatedBeta Mutual Auth サポートの非推奨化削除時期は未定
Mutual Auth を使用している場合に該当します。
Cilium の Beta Mutual Auth サポートは非推奨になり、将来のバージョンで削除されます。
deprecatedIP アドレス設定フィールドの非推奨化
addresses[]. または interfaces[]. を設定している場合に該当します。
従来のアドレス単位の addresses[]. とフラットな interfaces[]. フィールドが非推奨になりました。
deprecatedローカル REST BGP API の非推奨化削除時期は未定
ローカル REST BGP API を使用している場合に該当します。
ローカル REST BGP API が非推奨になり、将来削除されます。
保守に重点を置いたリリースで、正確性に関する修正、依存関係の更新、オペレーターのトラブルシューティング機能の改善が含まれています。名前空間バイパスの問題に対するセキュリティ修正もあります。アップグレードは概ね容易ですが、削除された古いHelm設定を使用している構成は確認が必要です。
影響確認 (3)
securityipBlock ルールの名前空間バイパス修正
ipBlock を設定している場合に該当します。
セレクタを持たない ipBlock ルールで、ワイルドカードによる名前空間のバイパスが発生する問題を修正しました。
breakingloadBalancer. オプションの削除
loadBalancer. を設定している場合に該当します。
Helmの loadBalancer. オプションを削除しました。
breakingL2 Podアナウンスのインターフェース設定変更
l2podAnnouncements. を設定し、L2 Podアナウンスを有効にしている場合に該当します。
エージェントが認識しなくなったConfigMapキーを生成する l2podAnnouncements. Helm値を削除しました。L2 Podアナウンスを有効にした際にクラッシュループが発生する問題を防ぐため、代わりに l2podAnnouncements. を使用します。
運用に関係する不具合修正に加え、新しい設定項目や診断機能、依存関係とイメージの更新が含まれます。セキュリティに関わる修正が2件あり、該当する環境ではアップグレードが必要です。非推奨化や削除の告知はありません。
影響確認 (2)
securityenvoy 管理ソケットのアクセス範囲を修正
envoy を実行している場合に適用されます。
envoy の管理ソケットが全ユーザーからアクセス可能な状態で作成される不具合を修正しました。
securitylocal backends に対する ingress policies の適用を修正
ingress policies と local backends を使用している場合に適用されます。
local backends に対する ingress policies の適用を回避できていた不具合を修正しました。
