使用计划内维护来计划和控制 Azure Kubernetes 服务群集的升级

本文介绍如何在 Azure Kubernetes 服务 (AKS) 中使用计划内维护来计划和控制群集和节点映像升级。

对 AKS 群集的定期维护是自动进行的。 有两种类型的维护操作：

• AKS 发起的维护涉及 AKS 执行的用于使群集与最新功能和修补程序保持一致的每周发布。
• 用户发起的维护包括群集自动升级和节点操作系统 (OS) 自动安全更新。

使用 AKS 中的计划内维护功能时，可以按照自己选择的节奏运行两种类型的维护，以最大程度地减少工作负荷影响。 可以使用计划内维护来计划自动升级的时间，但启用或禁用计划内维护不会启用或禁用自动升级。

开始之前

• 本文假定你拥有现有的 AKS 群集。 如果还没有 AKS 群集，请参阅创建 AKS 群集。
• 如果使用 Azure CLI，请通过使用 az upgrade 命令升级到最新版本。

注意事项

使用计划内维护时，以下注意事项适用：

• 对于紧急或关键的计划外、反应性维护操作，AKS 保留在计划内维护时段外进行操作的权利。 这些维护操作甚至可以在配置中定义的 notAllowedTime 或 notAllowedDates 期间运行。
• 我们会尽最大努力执行维护操作，但不保证在指定时段内执行。

计划内维护的计划配置类型

计划内维护可使用三种计划配置类型：

• default 是用于控制 AKS 发布的基本配置。 由于 Azure 安全部署做法，这些发布可能需要长达两周的时间才能推出到所有区域（从最初的发布时间算起）。

  选择 default 可安排这些更新，使其对你造成的影响最小。 可使用每周发布跟踪器按区域监视正在进行的 AKS 发布的状态。

• aksManagedAutoUpgradeSchedule 控制何时执行由指定的自动升级通道计划的群集升级。 与 default 配置相比，使用此设置可以配置控制更加精细的节奏和重复设置。有关群集自动升级的详细信息，请参阅自动升级 Azure Kubernetes 服务群集。

• aksManagedNodeOSUpgradeSchedule 控制何时执行由节点 OS 自动升级通道计划的节点 OS 安全修补。 与 default 配置相比，使用此配置可以更精细地控制频率和定期设置。 有关节点 OS 自动升级通道的详细信息，请参阅自动修补和更新 AKS 群集节点映像。

建议对所有群集升级方案使用 aksManagedAutoUpgradeSchedule，对所有节点 OS 安全修补方案使用 aksManagedNodeOSUpgradeSchedule。

default 专用于 AKS 每周发布。 可以使用 az aks maintenanceconfiguration update 命令将 default 配置切换为 aksManagedAutoUpgradeSchedule 或 aksManagedNodeOSUpgradeSchedule 配置。

创建维护时段

计划内维护时段以协调世界时 (UTC) 方式指定。

default 维护时段具有以下旧属性（不再推荐）：

从 2023-05-01 API 版本开始，aksManagedAutoUpgradeSchedule 或 aksManagedNodeOSUpgradeSchedule 维护时段和 default 配置具有以下属性：

计划类型

有四种可用的计划类型：Daily、Weekly、AbsoluteMonthly 和 RelativeMonthly。

Weekly、AbsoluteMonthly 和 RelativeMonthly 计划类型仅适用于 aksManagedClusterAutoUpgradeSchedule 和 aksManagedNodeOSUpgradeSchedule 配置。 Daily 计划仅适用于 aksManagedNodeOSUpgradeSchedule 配置。

为每个计划类型显示的所有字段都是必填字段。

Daily 计划可能类似于“每三天一次”：

"schedule": {
    "daily": {
        "intervalDays": 3
    }
}

Weekly 计划可能类似于“每两周一次，在星期五进行”：

"schedule": {
    "weekly": {
        "intervalWeeks": 2,
        "dayOfWeek": "Friday"
    }
}

AbsoluteMonthly 计划可能类似于“每三个月一次，在当月的第一天进行”：

"schedule": {
    "absoluteMonthly": {
        "intervalMonths": 3,
        "dayOfMonth": 1
    }
}

RelativeMonthly 计划可能类似于“每两个月一次，在最后一个星期一进行”：

"schedule": {
    "relativeMonthly": {
        "intervalMonths": 2,
        "dayOfWeek": "Monday",
        "weekIndex": "Last"
    }
}

weekIndex 的有效值包括 First、Second、Third、Fourth 和 Last。

添加维护时段配置

# Add a new default configuration
az aks maintenanceconfiguration add --resource-group myResourceGroup --cluster-name myAKSCluster --name default --weekday Monday --start-hour 1

# Add a new aksManagedAutoUpgradeSchedule configuration
az aks maintenanceconfiguration add --resource-group myResourceGroup --cluster-name myAKSCluster --name aksManagedAutoUpgradeSchedule --schedule-type Weekly --day-of-week Friday --interval-weeks 3 --duration 8 --utc-offset +05:30 --start-time 00:00

更新现有的维护时段

az aks maintenanceconfiguration update --resource-group myResourceGroup --cluster-name myAKSCluster --name default --weekday Monday --start-hour 2

在现有群集中列出所有维护时段

使用 az aks maintenanceconfiguration list 命令列出 AKS 群集中的当前维护配置时段：

az aks maintenanceconfiguration list --resource-group myResourceGroup --cluster-name myAKSCluster

显示现有群集中的特定维护配置时段

配合使用 az aks maintenanceconfiguration show 命令和 --name 参数查看 AKS 群集中的特定维护配置时段：

az aks maintenanceconfiguration show --resource-group myResourceGroup --cluster-name myAKSCluster --name aksManagedAutoUpgradeSchedule

以下示例输出显示了 aksManagedAutoUpgradeSchedule 的维护时段：

{
  "id": "/subscriptions/<subscription>/resourceGroups/myResourceGroup/providers/Microsoft.ContainerService/managedClusters/myAKSCluster/maintenanceConfigurations/aksManagedAutoUpgradeSchedule",
  "maintenanceWindow": {
    "durationHours": 4,
    "notAllowedDates": [
      {
        "end": "2024-01-05",
        "start": "2023-12-23"
      }
    ],
    "schedule": {
      "absoluteMonthly": {
        "dayOfMonth": 1,
        "intervalMonths": 3
      },
      "daily": null,
      "relativeMonthly": null,
      "weekly": null
    },
    "startDate": "2023-01-20",
    "startTime": "09:00",
    "utcOffset": "-08:00"
  },
  "name": "aksManagedAutoUpgradeSchedule",
  "notAllowedTime": null,
  "resourceGroup": "myResourceGroup",
  "systemData": null,
  "timeInWeek": null,
  "type": null
}

删除现有群集中的维护配置时段

az aks maintenanceconfiguration delete --resource-group myResourceGroup --cluster-name myAKSCluster --name autoUpgradeSchedule

az aks maintenanceconfiguration delete --resource-group myResourceGroup --cluster-name myAKSCluster --name autoUpgradeSchedule

常见问题解答

• 如何检查群集中的现有维护配置？

  使用 az aks maintenanceconfiguration show 命令。

• 计划外、反应性维护是否也能在 notAllowedTime 或 notAllowedDates 期间进行？

  是的。 对于紧急或关键的计划外、反应性维护操作，AKS 保留在这些时段外进行操作的权利。

• 如何判断是否发生了维护事件？

  对于发布，请检查群集的区域并在每周发布中查找信息，看它是否与维护计划匹配。 若要查看自动升级的状态，请在群集上查找活动日志。 还可查找升级 AKS 群集中所述的与升级相关的特定事件。

• 是否可以同时使用多种维护配置？

  是的，可以同时运行所有三种配置：default、aksManagedAutoUpgradeSchedule 和 aksManagedNodeOSUpgradeSchedule。 如果时段重叠，AKS 会决定运行顺序。

• 我配置了维护时段，但升级没有进行。 为什么？

  考虑到维护时段，AKS 自动升级需要一定的时间（通常不超过 15 分钟）。 建议在创建或更新维护配置与计划启动时间之间至少间隔 15 分钟。

  此外，请确保在计划内维护时段开始时启动群集。 如果群集已停止，则会解除其控制平面的分配，不允许执行任何操作。

• 为什么我的代理池之一在维护时段之外进行了升级？

  如果代理池因故未升级（例如，Pod 中断预算阻止其升级），则稍后可能会在维护时段之外对其进行升级。 此方案称为“弥补升级”。它可以避免让代理池使用与 AKS 控制平面不同的版本进行升级。

  代理池可能被意外升级的另一个原因是没有已定义的维护配置，或者它已被删除。 在这种情况下，具有自动升级配置但没有维护配置的群集将在随机时间（回退时间表，可能不是希望使用的时间范围）进行升级。

• 对于维护配置，是否有任何最佳做法？

  如果你使用的是 NodeImage 通道，建议将节点 OS 安全更新计划设置为每周一次，因为每周都会发布一个新的节点映像。 也可选择使用 SecurityPatch 通道来接收每日安全更新.

  请将自动升级计划设置为每月一次，随时了解 Kubernetes N-2 支持策略。

后续步骤

• 若要开始升级 AKS 群集，请参阅 AKS 群集的升级选项。