Kubernetes v1.36 發(fā)布：安全默認配置強化，AI 工作負載支持日趨成熟

作者 | Matt Saunders

譯者 | 明知山

Kubernetes發(fā)布 1.36 版本，代號 Haru，這是 2026 年的首個重要版本。該版本包含 70 項增強功能：18 項進入 Stable 階段，25 項進入 Beta 階段，以及 25 項新的 Alpha 功能，重點聚焦安全加固、人工智能和機器學(xué)習(xí)工作負載，以及大規(guī)模 API 的可擴展性。由編輯 Chad M. Crowell、Kirti Goyal、Sophia Ugochukwu、Swathi Rao 和 Utkarsh Umre 撰寫的發(fā)布博客將此次發(fā)布描述為“時節(jié)更迭、山巔光影流轉(zhuǎn)”之時如約而至，共有 106 家公司和 491 位個人參與了貢獻。

本次發(fā)布最亮眼的安全功能是用戶命名空間（User Namespaces）正式達到 GA，該功能已經(jīng)歷多個版本周期的打磨。該功能可將容器內(nèi)的 root 用戶映射為主機上的非特權(quán)用戶，即便進程突破容器隔離，也無法獲取底層節(jié)點的管理權(quán)限。同樣達到 GA 的還有可變準(zhǔn)入策略（Mutating Admission Policies），允許團隊借助通用表達式語言（CEL）把變更邏輯定義為原生 Kubernetes 對象，無需再單獨維護獨立的 Webhook 服務(wù)器。發(fā)布博客表示，這“為傳統(tǒng) Webhook 提供了原生、高性能的替代方案”，同時降低了“管理自定義準(zhǔn)入 Webhook 帶來的延遲與運維復(fù)雜度”。Kloia 官方 博客 也對此做了詳細解讀并配有原理圖示。

細粒度 Kubelet API 授權(quán)也在本版本中正式達到 GA。該功能于 v1.32 版本首次以 Alpha 狀態(tài)引入，支持對 Kubelet HTTPS API 進行更精細的最小權(quán)限訪問控制，替代了監(jiān)控與可觀測性工具以往所需的過度寬泛的nodes/proxy權(quán)限。SELinux 卷標(biāo)簽功能進入 Stable 階段，通過mount -o context=XYZ選項替代遞歸文件重標(biāo)記，在掛載時為整個卷統(tǒng)一配置正確的 SELinux 標(biāo)簽，以此降低開啟 SELinux 強制模式環(huán)境下的 Pod 啟動延遲?；?code>validation-gen的聲明式驗證、以及卷組快照（Volume Group Snapshots）——支持同時為多個持久卷聲明（PersistentVolumeClaim）創(chuàng)建崩潰一致性快照——也均在本版本中達到 GA。

DRA 管理員訪問以及動態(tài)資源分配的優(yōu)先列表功能同樣達到 GA，為集群管理員提供了一個固定框架用于全局訪問和管理硬件資源，并保障資源選擇邏輯在各類集群環(huán)境中保持統(tǒng)一。

v1.36 版本在人工智能與機器學(xué)習(xí)方面的優(yōu)化主要體現(xiàn)在默認配置適配了日益增長的工作負載需求。ScaleOps 團隊在 文章 中表示，該版本“與其說是全新的機制，不如說是默認配置補齊了兩年間沉淀的 AI 工作負載實踐經(jīng)驗”。多項 DRA 增強功能進入測試階段并默認開啟：DRA 可分區(qū)設(shè)備、DRA 可消耗容量以及 DRA 設(shè)備污點與容忍，均無需手動配置特性門控即可啟用。這些功能替代了傳統(tǒng)的整數(shù) GPU 設(shè)備插件模型——該模型不考慮實際資源利用率，直接將整張顯卡整體分配——轉(zhuǎn)而提供原生能力，適配現(xiàn)代加速器的分區(qū)、共享以及故障恢復(fù)機制。VMware Cloud Foundation 博客還提到，以往“申請復(fù)雜資源往往需要晦澀且廠商專屬的配置模塊，調(diào)度器也難以做優(yōu)化調(diào)度”，而 v1.36 版本采用的標(biāo)準(zhǔn)化架構(gòu)大幅降低了多節(jié)點 AI 部署的復(fù)雜度。

AI 工作負載方面重磅新增的 Alpha 功能是工作負載感知搶占（Workload-Aware Preemption）。在這項功能之前，調(diào)度器在為高優(yōu)先級工作負載騰出空間時會搶占單個 Pod，容易出現(xiàn)分布式訓(xùn)練任務(wù)八個進程中七個都在運行，卻始終無法正常推進的情況。新的機制將 PodGroup 視為一個整體搶占單元，只有在確認高優(yōu)先級任務(wù)組確實能夠容納資源后才會執(zhí)行驅(qū)逐操作。正如 Palark 團隊 在版本解讀文章中所說，該功能解決了分布式訓(xùn)練的“部分搶占故障模式”，這也是運行大型 GPU 任務(wù)的團隊長期面臨的痛點。Gang 調(diào)度 API 于 v1.35 版本以 Alpha 狀態(tài)引入，在 v1.36 中正式進入 Beta 階段。

暫停作業(yè)的 Pod 可變資源（Mutable Pod Resources for Suspended Jobs）功能也進入 Beta 狀態(tài)，并默認啟用。該功能允許隊列控制器暫停正在運行的作業(yè)，調(diào)整其 CPU、內(nèi)存、GPU 及擴展資源請求，適配集群當(dāng)前可用容量，隨后恢復(fù)作業(yè)運行，無需銷毀并重新創(chuàng)建 Pod。Kloia 團隊 表示，這省去了依賴自定義控制器或徹底終止、重啟作業(yè)的操作，讓工作負載隊列系統(tǒng)能夠根據(jù)集群實時狀態(tài)進行靈活調(diào)度。

在 API 可擴展性方面，v1.36 版本引入了分片列表與分片監(jiān)聽流作為全新的 Alpha 功能。擁有大量控制器的大型集群常會遇到監(jiān)聽流瓶頸，原因是所有觀察者都通過每種資源類型的單一連接接收更新。分片機制可將這類負載分攤到多個流中，Palark 團隊 表示，這解決了“超大規(guī)模部署里監(jiān)聽流容易成為性能瓶頸的關(guān)鍵痛點”。

通過 cgroup v2 實現(xiàn)的內(nèi)存服務(wù)質(zhì)量（Memory QoS）在本版本中進入 Beta 階段，提供了分層內(nèi)存保護機制，能夠更好地將內(nèi)核控制與 Pod 的資源請求和限制相匹配，減少同一節(jié)點上各工作負載之間的資源爭用。Pod 級資源原地垂直擴縮容（In-Place Vertical Scaling for Pod-Level Resources）同樣進入 Beta 版本并默認啟用，支持在不重啟容器的前提下調(diào)整 Pod 級別的 CPU 和內(nèi)存配額上限。新版本新增ResizeDeferred事件類型，當(dāng)因節(jié)點容量不足無法立即執(zhí)行擴縮容操作時，Pod 會繼續(xù)按現(xiàn)有資源規(guī)格運行，待節(jié)點資源空閑后，Kubelet 將自動重試完成擴縮容。

計劃進行版本升級的團隊需要留意本版本中若干已移除的功能。gitRepo卷插件自 v1.11 版本開始被廢棄后，現(xiàn)已被徹底移除。該插件存在允許攻擊者以 root 權(quán)限在節(jié)點上執(zhí)行代碼的漏洞，PerfectScale 團隊 建議在升級前遷移至初始化容器或外部 git-sync 工具。Kube-proxy 中自 v1.35 版本開始廢棄的 IPVS 模式也已正式移除。此外，kubeadm 中的 FlexVolume 支持以及 Portworx 內(nèi)置驅(qū)動也在本版本中被移除，正如 Kloia 團隊 在其升級指南中所說明的那樣。

有一項早于本版本發(fā)布、但仍在 v1.36 官方博客中重點強調(diào)的重大運維變更是 Ingress NGINX 的正式退役。Kubernetes SIG Network 與安全響應(yīng)委員會已于 2026 年 3 月 24 日正式退役該項目。自當(dāng)日起，項目不再進行任何版本發(fā)布、問題修復(fù)以及安全漏洞補丁推送。InfoQ 在 Kubernetes 1.35 版本報道 中梳理了 Kubernetes 網(wǎng)絡(luò)生態(tài)的發(fā)展脈絡(luò)，并指出 Ingress NGINX 只會“盡力維護至 2026 年 3 月”。

VMware Cloud Foundation 博客將本次版本置于更大的行業(yè)轉(zhuǎn)變背景下：“Kubernetes 正從一個靈活的框架逐步轉(zhuǎn)向擁有更標(biāo)準(zhǔn)化、更具強制性的默認安全與資源規(guī)范?！蔽恼逻€提到，“跟進 Kubernetes 版本迭代已不再只是簡單升級集群”，還涉及“管理生命周期復(fù)雜度、判斷何時采用新版本、厘清變更對現(xiàn)有工作負載的影響，以及避免平臺演進帶來的業(yè)務(wù)中斷”。

“通過采用更規(guī)范化的實現(xiàn)方式，Kubernetes 讓調(diào)度器能夠更清晰地識別 GPU 及 AI 加速器的專屬資源需求，大幅降低了多節(jié)點 AI 部署的復(fù)雜度?！?——VMware Cloud Foundation 博客，Kubernetes 1.36：企業(yè)平臺的實際變化

完整的 Kubernetes 1.36 發(fā)布說明 也已發(fā)布。

查看英文原文：

https://www.infoq.com/news/2026/05/kubernetes-1-36-released/

會議推薦

Agent 從 Demo 到工程化還差什么？安全與可信這道坎怎么過？研發(fā)體系不重構(gòu)，還能撐多久？

AICon 上海站 2026，13 大重磅專題已上線，誠摯邀請你登臺分享實戰(zhàn)經(jīng)驗。AICon 2026，期待與你同行。快來掃碼鎖定 8 折專屬席位或提交演講議題

今日薦文

你也「在看」嗎？