Registro de mudanças do GKE 1.37

Neste documento, listamos as mudanças nas versões de patch da versão secundária 1.37 do Google Kubernetes Engine (GKE).

Esses registros de alterações são informações complementares sobre as atualizações de componentes específicos do sistema do GKE. Para informações sobre recursos, mudanças e problemas de segurança no GKE, consulte os seguintes documentos:

1.37.1-gke.1697000

As seções a seguir descrevem as mudanças nesta versão de patch em comparação com a versão anterior, 1.37.1-gke.1552000. Para informações sobre as mudanças upstream do Kubernetes, consulte o registro de alterações do Kubernetes v1.37.1.

Atualizações de componente

As seções a seguir fornecem informações sobre atualizações de componentes específicos do sistema do GKE nesta versão de patch.

accelerator-operator

Atualização do componente accelerator-operator da versão 1.37.1 para a 1.37.2.

  • Correções de bugs:
    • Limitamos o cache do informante do ambiente de execução do controlador aos nós rotulados como cloud.google.com/gke-gpudirect-tcpx=rdma e aos pods kube-system rotulados como gpudirect-controller-component=nccl-rdma-installer, além de remover managedFields. A memória do operador não aumenta mais com o tamanho do cluster.
    • Aumento dos tempos limite de eleição de líder para 60s de locação / 40s de prazo de renovação / 5s de período de repetição (configurável por --leader-election-lease-duration, --leader-election-renew-deadline, --leader-election-retry-period) para evitar reinicializações de tempos limite de renovação de locação sob carga do apiserver.
  • Correções de segurança:
    • Atualizamos google.golang.org/grpc da v1.83.1 para a v1.83.2, golang.org/x/net para a v0.58.0, golang.org/x/sys para a v0.47.0 e golang.org/x/text para a v0.41.0.

filestorecsi

Atualização do componente filestorecsi da versão 1.37.7 para a 1.37.9.

  • Recursos:
    • Adicionamos a verificação rpc.statd defensiva, sondagens de atividade e montagens /run graváveis.
  • Diversos:
    • Atualização dos componentes da infraestrutura interna.

gcsfusecsi

Atualização do componente gcsfusecsi da versão 1.37.17 para a 1.37.19.

  • Correções de segurança:
    • Atualizamos as imagens de base do contêiner e google.golang.org/grpc para resolver a CVE-2026-84445.
    • Atualizamos as imagens de base do contêiner e os módulos do OpenTelemetry Go (go.opentelemetry.io/otel) para resolver a CVE-2026-81870.

gke-metrics-agent

Atualização do componente gke-metrics-agent da versão 2.137.3-gke.1 para 2.137.4-gke.0.

  • Correções de bugs:
    • Correção de um problema em que o prometheus-metrics-collector para de emitir métricas devido a erros temporários de troca de token do STS que voltam para contas de serviço de nó sem permissão. Defina TOKEN_SOURCE_MODE como MODE_TOKEN_BROKER_NO_FALLBACK quando o P4SA do nó estiver disponível.
  • Correções de segurança:
  • Diversos:
    • A atualização do pipeline de métricas de escalonamento automático também adiciona uma etapa "total" à métrica de duração da raspagem, uma métrica scraper_inter_scrape_interval_seconds, um registro de aviso para métricas ausentes de payloads de raspagem e fixa a imagem de base do Windows Server 2019 em camadas pré-carregadas do nó do GKE.

kubedns

Atualização do componente kubedns da versão 36.0.5 para a 36.0.6.

kuberay-operator

Atualização do componente kuberay-operator da versão 37.1.7 para a 37.1.9.

managed-opentelemetry

Atualizamos o componente managed-opentelemetry da versão 1.37.8-gke.0 para a 1.37.9-gke.0.

  • Recursos:
    • Configuramos o exportador de pull de métricas próprias do Prometheus na porta 8888 e adicionamos um recurso personalizado AutoscalingMetric (otelcol-metrics) para expor os tamanhos de fila do exportador por sinal (otelcol-traces-queue-size, otelcol-logs-queue-size, otelcol-metrics-queue-size) quando o pipeline de métricas de escalonamento automático estiver disponível.
    • Atualizamos o HorizontalPodAutoscaler para escalonar na profundidade da fila do exportador (a 60% da capacidade: 60Mi para traces e registros, 30Mi para métricas) e na CPU (valor médio de 800m) quando o pipeline de métricas de escalonamento automático está ativado ou, caso contrário, para voltar para a CPU (valor médio de 600m) e a memória (valor médio de 1800Mi), com políticas de comportamento scaleUp e scaleDown ajustadas.

networkpolicy-calico

Atualização do componente networkpolicy-calico da versão 4.36.3 para a 4.36.4.

nodelocaldns

Atualização do componente nodelocaldns da versão 36.1.5 para a 36.1.7.

  • Correções de segurança:
    • Atualização dos módulos do Go para corrigir vulnerabilidades de segurança.
  • Diversos:
    • Adicionamos suporte à configuração para migração do GBOC.
    • Atualizamos o módulo Go go.etcd.io/etcd/client/pkg/v3 da v3.6.10 para a v3.6.14.

1.37.1-gke.1552000

As seções a seguir descrevem as mudanças nesta versão de patch em comparação com a versão anterior, 1.37.0-gke.3503000. Para informações sobre as mudanças upstream do Kubernetes, consulte o registro de alterações do Kubernetes v1.37.1.

Atualizações do Kubernetes

k8s-api

Atualizamos a coorte k8s-api da versão 1.37.0-gke.900 para a 1.37.1-gke.300.

  • Recursos:
    • Implementamos um método de instalação baseado em pacote para a ferramenta crictl em nós do GKE para facilitar as atualizações binárias automatizadas.
    • Atualizamos o endpoint do Google Secrets Manager (GSM) para oferecer suporte a registros particulares na configuração de proxy transparente (TPC, na sigla em inglês).
    • Adicionamos a capacidade de substituir o endereço IP do kube-apiserver para permitir que os controladores se conectem por um balanceador de carga interno (ILB, na sigla em inglês).
    • Adicionamos suporte a certificados em kubeconfig no assistente de configuração.
    • Adicionamos suporte à configuração de zswap, permitindo que zswap seja ativado e configurado usando sysfs durante a configuração de troca.
    • O instalador do AppPkg do GKE foi estendido para permitir a extração de todo o conteúdo de tarballs de lançamento compactados em um diretório de destino especificado e preservar o tarball original para fins de conformidade.
    • Adicionamos suporte à execução autônoma de scripts de configuração personalizados durante o processo de instalação do AppPkg usando a anotação components.gke.io/configure-script-path.
  • Correções de bugs:
    • Atualizamos a configuração de público-alvo do token da conta de serviço para extrações de imagens da Identidade da carga de trabalho para usar o formato padrão do pool de cargas de trabalho (${project_id}.s3ns.svc.id.goog). Isso resolve problemas em que as extrações de imagens eram bloqueadas pelo controle de admissão NodeRestriction ou rejeitadas pelo Google STS com um erro invalid_grant.
    • Atualizamos os plug-ins personalizados do detector de problemas de nós para a v1.0.41 para resolver as paralisações do epoll durante as verificações de inotify e corrigir um problema de regex no monitor de extração de imagens que causava falsos positivos em extrações bem-sucedidas.
    • Forçamos o chronyd a sincronizar o relógio do sistema imediatamente após a retomada da VM nos nós do COS e do Ubuntu para evitar desvios de tempo ou tempo de pré-suspensão desatualizado.
    • Resolvemos um vazamento de recursos no wrapper NFS no nível do host, em que as montagens de vinculação se acumulavam no namespace do host, impedindo que o nó criasse novas montagens e bloqueando a inicialização do pod.
    • Corrigimos um problema em que as solicitações de desmontagem do NFS eram processadas incorretamente como comandos de montagem, fazendo com que as operações de desmontagem falhassem.
    • Melhoria na lógica de configuração do nó do wrapper do NFS para limpar de forma confiável as vinculações desatualizadas e ajudar a garantir a instalação atômica de binários de montagem.
    • O intervalo de portas sunrpc foi fixado durante a inicialização do nó para melhorar a estabilidade da configuração.
    • Correção de um problema em que partes do ControllerRevision fora do .spec eram restauradas incorretamente para objetos StatefulSet.
    • Adicionamos uma proteção na implementação do kernel do Windows de kube-proxy para lidar com balanceadores de carga que não têm mapeamentos de porta.
    • Resolvemos um problema em que os pods de job não podiam ser removidos se o processo de remoção do finalizador falhasse.
    • Evitamos que as configurações do kubelet específicas do nó vazassem para o ConfigMap.
    • Correção de um possível estouro de números inteiros na alocação dinâmica de recursos (DRA, na sigla em inglês) durante as verificações de limite de dispositivos por declaração.
    • Atualizamos a alocação dinâmica de recursos (DRA, na sigla em inglês) para garantir que um DeviceTaintSelector nulo corresponda corretamente a nenhum dispositivo.
    • Ajustamos a ordem de execução dos scripts de configuração legados para garantir que eles sejam ignorados em instalações baseadas em EVE.
  • Correções de segurança:
    • Correção de uma vulnerabilidade de deputado confuso no controlador StatefulSet ao restaurar apenas o campo .Spec de ControllerRevision, o que ajuda a evitar a criação não autorizada de pods entre namespaces (CVE-2026-2270).
    • Melhoria na segurança da resolução de subPath do Windows ao recusar destinos de link simbólico UNC, o que ajuda a evitar uma possível autenticação NTLM forçada.
    • Melhoria na integridade do sistema com a implementação da validação de checksum criptográfico de tarballs de instalação preservados e a realização de uma nova extração de binários a cada reinicialização.
  • Diversos:
    • Remoção da flag de linha de comando --pod-sysctls do kubelet, já que essa configuração foi movida para a configuração do kubelet.
    • Geração de registros refinada para operações NFS e rpcbind para garantir que o comportamento degradado e os problemas de configuração sejam registrados nos níveis de gravidade adequados.
    • Atualizamos o ambiente de execução do Go para a v1.26.8 e as imagens de base do contêiner para usar iptables distroless.

Atualizações de componente

As seções a seguir fornecem informações sobre atualizações de componentes específicos do sistema do GKE nesta versão de patch.

accelerator-operator

Atualizamos o componente accelerator-operator da versão 1.35.3 para a 1.37.1.

  • Diversos:
    • Adicionamos suporte para novos campos de metadados: ClusterHash, ClusterName, Location, MasterProjectNumber e ProjectNumber.

clouddns

Atualizamos o componente clouddns da versão 36.3.3 para a 36.3.5.

  • Correções de bugs:
    • Controlador do Cloud DNS: lógica de desligamento aprimorada para controladores do Cloud DNS em ambientes multilocatários. A lógica aprimorada ajuda a garantir que os reconciliadores, atualizadores e informantes sejam devidamente limpos quando um controlador é encerrado, o que ajuda a evitar vazamentos de recursos.

filestorecsi

Atualizamos o componente filestorecsi da versão 1.36.19 para a 1.37.7.

gcp-controller-manager-combined

Atualizamos o componente gcp-controller-manager-combined da versão 36.2.1 para a 36.2.3.

  • Recursos:
    • Adicionamos suporte em nodeannotator para preencher rótulos de topologia de partição de TPU para TPU8i.
  • Correções de segurança:
    • Atualização do github.com/google/cel-go para a v0.29.2 para corrigir a vulnerabilidade de segurança GHSA-gcjh-h69q-9w9g.
  • Diversos:
    • Atualizamos a flag de configuração para a delegação personalizada de signerName para allow-signing-kubelet-serving-for-non-gcp.
    • Atualização da imagem do contêiner gcp-controller-manager.

gcsfusecsi

Atualizamos o componente gcsfusecsi da versão 1.37.6 para a 1.37.17.

  • Recursos:
    • Adicionamos suporte à renderização por locatário e às configurações de cluster multilocatário.
    • Introdução do suporte a pools de identidade e provedores de identidade específicos do locatário para autenticação.
    • Adicionamos suporte ao Dataplane no Google Kubernetes Engine Front End (GKFE) usando tokens de conta de serviço projetados.
  • Correções de segurança:
    • Atualizamos o google.golang.org/grpc para a v1.83.1 e a imagem do contêiner csi-attacher para resolver a CVE-2026-84304.
  • Diversos:
    • Atualizamos os modelos de manifesto de atualização para configurar dinamicamente namespaces, rótulos e nomes de recursos com base nos parâmetros do locatário.
    • Configurou políticas de DNS e variáveis de ambiente de serviço do Kubernetes para usar endpoints específicos do locatário.
    • Adicionamos rótulos de metadados relacionados à locação, incluindo access-level, identificadores de projeto e de locatário, aos manifestos de componentes.
    • Atualizamos a imagem csi-node-driver-registrar para v2.15.0-gke.47.
    • Sinalizações de montagem compartilhada condicionadas, CSIDriver attachRequired, PriorityClass e csi-attacher sidecar/RBAC em not.GKEAutopilotEnabled.
    • O binário do GCSFuse foi atualizado para a v3.12.0.
    • Ativação do gRPC por padrão por meio de --enable-grpc-by-default e passagem de arquivo secundário.
    • Atualização das imagens de contêiner do gcsfusecsi para a v1.24.8-gke.2.

gke-metrics-agent

Atualizamos o componente gke-metrics-agent da versão 2.137.3-gke.0 para a 2.137.3-gke.1.

  • Recursos:
    • Implementamos a coleta de informações de parada de pressão (PSI, na sigla em inglês) para node-daemon.
  • Correções de segurança:
    • Atualizamos o autoscaling-metrics-exporter para a versão 0.3.2-gke para corrigir vulnerabilidades de segurança.

gpu-device-plugin

Atualizamos o componente gpu-device-plugin da versão 1.37.0-gke.0 para a 1.37.1-gke.2.

  • Recursos:
    • Adicionamos suporte ao GPUDirect Storage transmitindo a flag --nvidia-fs para o instalador de GPU do COS quando o rótulo do nó cloud.google.com/gke-gpudirect-storage é definido como true.
    • Adicionamos suporte para um driver fixado especificado pelo rótulo de nó cloud.google.com/gke-gpu-driver-version na forma de RWWW e WWW.YY.ZZ.
    • O gpu-device-plugin foi atualizado para v1.36.5-gke.0 para correções de vulnerabilidade.
    • O nvidia-partition-gpu foi atualizado para v1.36.5-gke.0 para correções de vulnerabilidade.
    • O nvidia-persistenced-installer foi atualizado para v1.36.5-gke.0 para correções de vulnerabilidade.
  • Correções de segurança:
    • Atualização dos módulos do Go para corrigir vulnerabilidades de segurança.
  • Diversos:
    • Atualização do manifesto do componente para oferecer suporte à ativação do Autopilot do GKE e às configurações de migração interna.
    • Atualizamos a imagem gke-metrics-collector para 20261003_2300_RC0.

gvisor

Atualizamos o componente gvisor da versão 1.37.13 para a 1.37.18.

  • Correções de bugs:
    • shim (deadlocks do GCSFuse):
    • Contêineres não travados e conexões FUSE canceladas de forma reativa na saída do gofer durante a desmontagem (#14811).
    • Adicionamos a interrupção do FUSE protegida por tempo limite reativo opcional na remoção do contêiner (#14635).
    • shim: corrigimos o shim para não fazer a transição para o estado interrompido prematuramente de uma consulta de estado (#14646).
    • shim: shim atualizado para informar que o contêiner está em execução enquanto qualquer tarefa de inicialização ainda está ativa (#14645).
    • runsc: permissão para encerrar um contêiner no estado Created (#14533).
    • kernel: correção do deadlock setsid ao órfão de um grupo de processos de sighand compartilhado (#14534).
    • fs/overlayfs: atualização de overlayfs para usar as credenciais do autor da chamada para operações xattr superiores em vez de raiz (#14560).
    • fs/host: atualizamos HostReadiness para informar o desligamento no FD fechado e tornamos beforeSave idempotente (#14588).
  • Diversos:
    • Atualizamos o gVisor para a versão 20260817.0_RC03.
    • A imagem de base gke-distroless/static foi atualizada para gke_distroless_20260915.00_p0.
    • Atualizamos a configuração do componente interno para incluir explicitamente os parâmetros do cluster.

kube-addon-manager

Atualizamos o componente kube-addon-manager da versão 35.0.5 para a 35.0.6.

  • Recursos:
    • Adicionamos suporte a versões de várias arquiteturas.

kubedns

Atualização do componente kubedns da versão 36.0.4 para a 36.0.5.

managed-opentelemetry

Atualizamos o componente managed-opentelemetry da versão 1.36.21-gke.2 para a 1.37.8-gke.0.

  • Recursos:
    • Adicionamos suporte para exportadores de gRPC do OTLP para registros, métricas de push e períodos.
    • Introduzimos opções de configuração e validações para permitir a seleção entre os transportes OTLP HTTP e OTLP gRPC para dados de telemetria.
    • Atualizamos o coletor do OpenTelemetry criado pelo Google (imgOtelCollector) para 0.153.0-gke.7.
    • Atualizamos o coletor do OpenTelemetry criado pelo Google (imgOtelCollector) para 0.159.0-gke.6.
    • Os processadores batch/logs, batch/metrics e batch/traces foram substituídos por configurações nativas de exporterhelper sending_queue e batch nos exportadores otlp_grpc/logs, otlp_grpc/traces, otlp_grpc/metrics e otlp_grpc/self-metrics, usando filas de bytes (sizer: bytes, block_on_overflow: true) para registros, traces e métricas para garantir limites de memória previsíveis e contrapressão confiável.
    • Divida o exportador compartilhado otlp_grpc em exportadores dedicados por indicador (otlp_grpc/logs, otlp_grpc/traces, otlp_grpc/metrics) para que cada indicador de telemetria tenha capacidade de fila isolada, pools de workers de consumidor e parâmetros de lote.
    • Defina terminationGracePeriodSeconds: 60 no coletor Deployment para permitir que as filas de envio do exportador na memória sejam drenadas normalmente durante o encerramento do pod.
    • Redução do keepalive.server_parameters.max_connection_age do receptor gRPC do OTLP de 10m para 1m (e remoção das substituições redundantes de max_connection_idle, time e timeout) para que as conexões de cliente gRPC de longa duração se reconectem e se reequilibrem periodicamente entre as réplicas de coletor recém-escalonadas.
    • Adicionamos topologySpreadConstraints flexível (maxSkew: 1, whenUnsatisfiable: ScheduleAnyway) em topology.kubernetes.io/zone e kubernetes.io/hostname no coletor Deployment para que as réplicas escalonadas horizontalmente sejam distribuídas em diferentes zonas de disponibilidade e nós.
  • Correções de bugs:
    • Correção de vazamentos de memória do cache de metadados de pods em k8s_attributes quando os IPs de pods são limpos antes de excluir eventos, em reinicializações de contêineres e durante transições de estado de associação.
    • Correção do loop de GC forçado que consome muita CPU em memory_limiter sob contrapressão do exportador downstream, aplicando espera exponencial quando a GC é ineficaz.
    • Correção das métricas exporterhelper otelcol_exporter_queue_batch_send_size e otelcol_exporter_queue_batch_send_size_bytes para registrar tamanhos de lote pós-lote com buckets de histograma em escala de bytes de até 16 MiB.
    • Os receptores foram corrigidos para que sejam iniciados estritamente após todos os processadores e exportadores, evitando condições de disputa de inicialização em receptores otlp compartilhados.
  • Correções de segurança:
  • Diversos:
    • Remoção da configuração extract.deployment_name_from_replicaset descontinuada da configuração do processador k8s_attributes para eliminar avisos de descontinuação de inicialização e preparar para o OpenTelemetry Collector 0.160.0+.

managed-prometheus

Atualizamos o componente managed-prometheus da versão 0.19.0-gke.1 para 0.19.2-gke.0.

managedcertificates

Atualizamos o componente managedcertificates da versão 3.4.8 para a 3.4.10.

networkpolicy-calico

Atualizamos o componente networkpolicy-calico da versão 4.36.1 para a 4.36.3.

nodelocaldns

Atualização do componente nodelocaldns da versão 36.1.2 para a 36.1.5.

  • Correções de segurança:
    • Atualização dos módulos do Go para corrigir vulnerabilidades de segurança.

osimage

Atualização do componente osimage da versão 1.36.79 para a 1.37.15.

  • Recursos:
    • Ativamos o carregamento automático de módulos do kernel RDMA quando dispositivos CX-9 são detectados.
    • Adicionamos suporte para as versões v580.178.04 e v595.91.07 do driver NVIDIA.
    • Adicionamos suporte para TPUs bare metal.
    • Atualização do kernel do Linux para 6.18.48.
    • Atualização do Docker para a v29.4.3.
    • Atualização do Containerd para a v2.4.1.
    • Pacotes do sistema atualizados: cos-gpu-installer para v2.7.8, google-guest-configs para v20260918.00, app-admin/oslogin para v20260902.00, app-arch/zstd para v1.5.7-r1, dev-libs/expat para v2.8.4, dev-libs/libverto para v0.3.2-r1, dev-libs/libxml2 para v2.15.4 e dev-libs/popt para v1.19-r1.
  • Correções de bugs:
    • A sincronização de horário foi corrigida para ocorrer antes do handshake de TLS.
    • Correção de um problema em que as montagens temporárias de efivarfs em /tmp podiam persistir após a inicialização.
  • Correções de segurança:

pdcsi

Atualização do componente pdcsi da versão 1.36.24 para a 1.37.9.

  • Recursos:
    • Implementação da seleção dinâmica padrão de StorageClass para PVCs com base no modo de acesso.
    • Adicionamos o contêiner padrão default-sc-rollback-handler para suporte à reversão.
    • Adicionamos --http-endpoint=:9931 e um /healthz readinessProbe ao contêiner csi-driver-registrar para que o taint de inicialização do nó readiness.k8s.io/gke-pd-csi-ready seja removido somente depois que o Kubelet terminar de registrar o plug-in CSI do PD.
    • Permitimos a saída de ToLocalhost em clusters multilocatários para pods estáticos de pdcsi.
    • Adicionamos os endpoints /debug/pprof e /metrics para emitir métricas de ambiente de execução do Go e dados de criação de perfil quando invocados com --http-endpoint.
    • Adicionamos suporte à flag --universe-domain para ambientes de Sovereign Cloud.
    • Adicionamos uma sobreposição com montagens /etc/selinux e /sys/fs/selinux para oferecer suporte ao recurso SELinuxMount.
    • Atualizamos a imagem do driver CSI do disco permanente para v1.27.1-gke.2, que adiciona um gerador de relatórios de prontidão de nó opcional (--enable-node-readiness-condition) que define a condição do nó pd.csi.storage.gke.io/Ready como True quando csi-driver-registrar estiver íntegro.
    • Ativou o gerador de relatórios de prontidão do nó no nó do Linux DaemonSet.
    • Concedemos a permissão nodes/status patch para pdcsi-driver-role e adicionamos um ValidatingAdmissionPolicy que restringe pdcsi-node-sa para corrigir apenas as condições de status no próprio nó.
  • Correções de bugs:
    • Correção das atualizações manuais do caminho do dispositivo em VerifyDevicePath para que os links simbólicos de dispositivos criados manualmente sejam usados corretamente e os links simbólicos desatualizados (EEXIST) sejam limpos antes da recriação.
    • Correção de disputas de leitura/gravação de mapas simultâneas em csiErrorBackoff, DeviceCache (usando atualizações sem bloqueio), ListVolumes e ListSnapshots.
    • Corrigimos o esgotamento do PID do host causado por vazamentos de processos zumbis e evitamos pânicos de declaração de tipo não verificados em execPipeCommand.
    • Correção do processamento de volume do cache de dados do GKE em VMs spot.
    • Refatoramos o webhook node_taint para evitar a perda de dados de nós.
    • Adicionamos ResponseHeaderTimeout ao transporte do cliente HTTP OAuth do GCE para evitar conexões travadas.
    • Redução do spam de registros ao pular discos de instâncias com origens vazias.
  • Correções de segurança:
    • Remoção das credenciais de conta de serviço não utilizadas de taint-controller na sobreposição noauth.
    • Atualizamos o google.golang.org/grpc para resolver a CVE-2026-84304.
    • Atualizamos a biblioteca google.golang.org/grpc e as imagens de base do contêiner para resolver a CVE-2026-84445.
  • Diversos:
    • Atualizamos o ambiente de execução do Go para a versão 1.26.5 e as dependências do módulo do Go (golang.org/x, gopkg.in/ini.v1, ginkgo e gomega).
    • Atualização do ambiente de execução do Go para 1.27.1 e atualização das imagens de base do Debian e do Distroless para componentes do driver CSI, incluindo o provisionador, o registrador e o snapshotter.
    • Atualizamos o arquivo secundário csi-resizer para a versão v2.1.0-gke.25.

tpu-device-plugin

Atualizamos o componente tpu-device-plugin da versão 1.36.8-gke.0 para 1.36.9-gke.1.

  • Recursos:
    • Adicionamos suporte ao atributo KCP enable_full_hierarchy_labels.
    • O contêiner do agente do ACS (acs-agent) foi movido de tpu-device-plugin DaemonSet para ai-telemetry-collector DaemonSet para evitar que falhas de telemetria de diagnóstico de convidado afetem a integridade do plug-in do dispositivo e a disponibilidade de programação.
  • Correções de bugs:
    • Revertemos a imagem do agente do ACS para sha256:2c2cad2eff5811c906334bced6a00b6f938d4308a26921bab9f5fc7d7ef445fb para evitar que as paralisações de sincronização do cache do informante síncrono bloqueiem o registro do plug-in do dispositivo de TPU e desbloqueiem a qualificação do escalonador automático de cluster.
  • Diversos:
    • Atualizamos a imagem do builder para o Golang 1.27.0 e as imagens de base do ambiente de execução para versões sem distribuição baseadas no Debian 13.

workloadautoscaler

Atualização do componente workloadautoscaler da versão 20.2.0 para a 20.5.0.

  • Recursos:
    • Adicionamos a flag de configuração --fetched_cert_validity para gerenciar o período de validade dos certificados buscados.
    • Introdução do suporte ao escalonador automático multidimensional de pods (MPA, na sigla em inglês).
    • Adicionamos suporte ao redimensionamento de pods no local para o Autoescalonador de Pods Vertical (VPA) sem exigir reinicializações de pods.
    • Implementamos um pipeline de métricas de escalonamento automático aprimorado, incluindo suporte para o escalonamento automático horizontal de pods unificado (UAS, na sigla em inglês) e integração de métricas personalizadas.
  • Diversos:
    • Configuração de implantação simplificada com a remoção do contêiner init-cert e do volume de caminho do host tls-certs associado.
    • Remoção da dependência da imagem gke-distroless/bash usada anteriormente para inicialização de certificados.
    • Configuração da limitação de API (QPS e Burst) e dos limites de memória do controlador para escalonamento dinâmico com base na capacidade da CPU do mestre.
    • Atualização da configuração do escalonamento automático horizontal de pods (HPA), incluindo perfis de desempenho e verificações de seletor ambíguas.
    • Definição de feature gates para o modo de simulação de recomendação do escalonamento automático vertical de pods (VPA).
    • O escalonador automático de cargas de trabalho foi atualizado para a versão 0.28.0-gke.3.

1.37.0-gke.3503000

As seções a seguir descrevem as mudanças nesta versão de patch em comparação com a versão anterior, 1.37.0-gke.3165000. Para informações sobre as mudanças no Kubernetes upstream, consulte o registro de alterações do Kubernetes v1.37.0.

Atualizações de componentes

As seções a seguir fornecem informações sobre atualizações de componentes específicos do sistema do GKE nesta versão de patch.

gpu-device-plugin

O componente gpu-device-plugin foi atualizado da versão 1.36.3-gke.2 para 1.37.0-gke.0.

  • Diversos:
    • Estrutura inicial do diretório de componentes 1.37.

gvisor

O componente gvisor foi atualizado da versão 1.37.11 para a 1.37.13.

  • Diversos:
    • Atualização do gVisor para a versão 20260803.0_RC01.

l7-lb-controller-combined

Atualização do componente l7-lb-controller-combined da versão 1.41.3-gke.0 para 1.42.1-gke.0.

  • Correções de bugs:
    • Foi resolvido um erro de pânico no ambiente de execução causado pelo gerenciamento inadequado do contexto.

1.37.0-gke.3165000

As seções a seguir descrevem as mudanças nesta versão de patch em comparação com a versão anterior, 1.37.0-gke.2941000. Para informações sobre as mudanças no Kubernetes upstream, consulte o registro de alterações do Kubernetes v1.37.0.

Atualizações de componentes

As seções a seguir fornecem informações sobre atualizações de componentes específicos do sistema do GKE nesta versão de patch.

customer-logs-exporter

Atualização do componente customer-logs-exporter da versão 1.36.0-gke.11 para 1.36.0-gke.12.

  • Correções de segurança:
    • Atualizamos google.golang.org/grpc para a v1.82.1 para resolver o aviso de segurança GO-2026-6061.

filestorecsi

O componente filestorecsi foi atualizado da versão 1.36.18 para a 1.36.19.

  • Diversos:
    • Atualizamos o ambiente de execução do Go para a versão 1.25.11 e atualizamos as imagens de base do contêiner para csi-provisioner, csi-resizer, csi-snapshotter, snapshot-controller e snapshot-validation-webhook.

gcp-controller-manager-combined

Atualização do componente gcp-controller-manager-combined da versão 36.1.6 para a 36.2.1.

  • Recursos:
    • Adicionamos a flag --fetched_cert_validity para permitir a configuração do TTL do certificado para credenciais buscadas.
  • Diversos:
    • As montagens de volume de caminho de host legadas para /etc/srv/kubernetes/pki e as flags de linha de comando associadas para arquivos de CA do cluster (--cluster-root-ca-file e --cluster-ca-bundle) foram removidas em favor do DCD.
    • O nome da flag para delegação de nome de signatário personalizado foi atualizado para allow-signing-kubelet-serving-for-non-gcp.

kube-addon-manager

Atualização do componente kube-addon-manager da versão 35.0.2 para a 35.0.5.

  • Recursos:
    • Adicionamos suporte a versões de várias arquiteturas.
  • Diversos:
    • Atualizamos a lista de permissões de remoção do kubectl para incluir recursos de controle de fluxo (FlowSchema e PriorityLevelConfiguration) para clusters que executam o Kubernetes 1.23.0 e versões mais recentes.
    • Adicionamos uma opção de configuração para gerenciar os modos de eleição de líder do gerenciador de complementos.

pdcsi

O componente pdcsi foi atualizado da versão 1.36.23 para a 1.36.24.

  • Correções de segurança:
  • Diversos:
    • Atualizamos o ambiente de execução do Go para a versão 1.26.5.
    • Atualizamos as imagens de base de contêiner debian-base e distroless-static para o driver CSI, o snapshotter e os componentes sidecar relacionados.

tpu-device-plugin

Atualização do componente tpu-device-plugin da versão 1.36.7-gke.2 para 1.36.8-gke.0.

  • Recursos:
    • Atualização da imagem do agente do ACS para incluir a coleta de diagnósticos de FatalErrorInfo e TPU Halt.
    • Introdução ao suporte a nós bare metal de TPU via --enable-baremetal-mode.
    • Pular a sondagem do rótulo de topologia da partição MDS para TPU8i (preenchido por cloud-provider-gcp).
    • Adicione métricas de rede, computação e tamanho/latência de transferência de várias frações.
  • Correções de bugs:
    • Adicionamos verificações de limites para a contagem de buckets nas métricas do plug-in de dispositivo da TPU.
    • Restaure o registro de alteração de permissão vbar.sock.
  • Correções de segurança:
    • Atualizamos o google.golang.org/grpc para a versão 1.82.1 para corrigir a vulnerabilidade de segurança GO-2026-6061.
    • Bloqueie o escalonamento de privilégios do link simbólico vbar.sock montando o diretório vbar como somente leitura nas cargas de trabalho e aplicando o safeChmod.
    • Atualizamos o google.golang.org/grpc para a v1.82.1 para corrigir a vulnerabilidade GO-2026-6061.
    • Atualizamos a imagem de base do ambiente de execução para gcr.io/distroless/static-debian13 e o builder para Golang 1.27.0 para corrigir vulnerabilidades na imagem de base.
  • Diversos:
    • Atualizamos a imagem de base gke-distroless/bash.

1.37.0-gke.2941000

As seções a seguir descrevem as mudanças nesta versão de patch em comparação com a versão anterior, 1.37.0-gke.2155000. Para informações sobre as mudanças no Kubernetes upstream, consulte o registro de alterações do Kubernetes v1.37.0.

Atualizações de componentes

As seções a seguir fornecem informações sobre atualizações de componentes específicos do sistema do GKE nesta versão de patch.

customer-logs-exporter

Atualizamos o componente customer-logs-exporter da versão 1.36.0-gke.10 para a 1.36.0-gke.11.

  • Correções de segurança:
    • Atualizamos o google.golang.org/grpc para a v1.82.1 para resolver o GO-2026-6061.
  • Diversos:
    • Introdução de um novo suporte de configuração para endpoints do Cloud Logging e metadados específicos do projeto usando ComponentOptionsConfig.

gke-metrics-agent

O componente gke-metrics-agent foi atualizado da versão 2.137.1-gke.0 para 2.137.3-gke.0.

  • Recursos:
    • Implementação da coleta de informações de parada de pressão (PSI, na sigla em inglês) do daemon de nó.
  • Diversos:
    • Otimização do tamanho da imagem do contêiner com o refinamento das dependências do fornecedor.
    • O escalonador automático de cargas de trabalho foi atualizado para a versão 0.28.0-gke.3.

gvisor

Atualização do componente gvisor da versão 1.37.7 para a 1.37.11.

  • Diversos:
    • Atualização do gVisor para a versão 20260727.0_RC04.

l7-lb-controller-combined

Atualização do componente l7-lb-controller-combined da versão 1.41.1-gke.0 para 1.41.3-gke.0.

  • Correções de bugs:
    • Melhoria na validação de IP do gerenciador de endereços L4 para evitar correspondências de substring de falsos positivos e aplicar a validação explícita do nível de rede e do esquema de balanceamento de carga.
  • Correções de segurança:
    • Atualização da versão do Go para 1.26.6, atualizações da dependência do cliente do Kubernetes do Go para v1.36.3, atualização de google.golang.org/api e google.golang.org/grpc para as versões mais recentes.

1.37.0-gke.2155000

As seções a seguir descrevem as mudanças nesta versão de patch em comparação com a versão anterior, 1.36.3-gke.1767000. Para informações sobre as mudanças no Kubernetes upstream, consulte o registro de alterações do Kubernetes v1.37.0.

Atualizações de componentes

As seções a seguir fornecem informações sobre atualizações de componentes específicos do sistema do GKE nesta versão de patch.

accelerator-operator

O componente accelerator-operator foi atualizado da versão 1.35.1 para a 1.35.3.

  • Correções de segurança:
    • Atualizamos o go.opentelemetry.io/otel/sdk para a v1.40.0 para resolver o GO-2026-4394.
    • Atualizamos o golang.org/x/net para a v0.53.0 para resolver GO-2026-4440, GO-2026-4559 e GO-2026-4918.
    • Atualizamos o google.golang.org/grpc para a v1.79.3 para resolver o GO-2026-4762.
  • Diversos:
    • Atualizamos as imagens de base para usar o Golang 1.25.10.
    • Configurações de CI/CD, etapas de criação de contêineres e correções do conjunto de ferramentas do Go 1.25.0 foram portadas para a ramificação de lançamento.
    • Atualizamos a imagem do componente para a versão 1.35.0-gke.8.

advanceddatapath

O componente advanceddatapath foi atualizado da versão 36.3.14 para a 36.4.2.

  • Diversos:
    • Adicionamos tolerâncias de nó para kubernetes.io/arch: arm64 para permitir que os pods de componentes sejam programados em nós baseados em ARM64 com o efeito NoSchedule.

customer-logs-exporter

Atualizamos o componente customer-logs-exporter da versão 1.36.0-gke.9 para a 1.36.0-gke.10.

  • Correções de segurança:
    • Atualizamos o google.golang.org/grpc para a v1.82.1 para resolver o GO-2026-6061.

filestorecsi

O componente filestorecsi foi atualizado da versão 1.36.17 para a 1.36.18.

  • Diversos:
    • Atualizamos o ambiente de execução do Go para a versão 1.25.11.
    • Atualizamos as imagens de base para as versões mais recentes sem distroless para melhorar a segurança e a estabilidade.
    • Nomeamos explicitamente um contêiner de inicialização interno como imgSpnpInitContainer no manifesto do componente.

gcp-controller-manager-combined

Atualização do componente gcp-controller-manager-combined da versão 36.1.4 para a 36.1.6.

  • Recursos:
    • Adicionamos suporte ao tipo ToLocalhost na configuração do componente.
  • Diversos:
    • Renomeamos a flag de delegação personalizada signerName para allow-signing-kubelet-serving-for-non-gcp para melhorar a clareza da assinatura de certificados de exibição do kubelet em nós que não são do GCP.

gcsfusecsi

O componente gcsfusecsi foi atualizado da versão 1.36.41 para a 1.37.3.

  • Recursos:
    • Introduzimos o suporte ao recurso de montagem compartilhada para ambientes que não são de produção.
    • Adicionamos suporte ao componente csi-attacher, incluindo as configurações associadas de PriorityClass e RBAC para ambientes que não são de produção.
  • Correções de bugs:
    • A flag do controlador --leader-election-namespace foi renomeada como --driver-namespace para refletir corretamente a função dela.
    • Permitir a saída ToLocalhost em StaticPodNetworkPolicy para gcsfusecsi-controller para evitar quedas de firewall do SPNP durante a troca de token OAuth local.
  • Correções de segurança:
    • A vulnerabilidade de segurança GHSA-gcjh-h69q-9w9g foi corrigida com o upgrade de github.com/google/cel-go para a v0.29.0.
    • Atualização de github.com/google/cel-go para resolver GO-2026-6094.
    • Atualização de go.etcd.io/etcd/client/pkg/v3 para resolver GO-2026-6107.
    • Atualizamos a imagem de base do Go e o contêiner secundário csi-attacher para corrigir vulnerabilidades de segurança.
  • Diversos:
    • Atualização das configurações de montagem para usar caminhos de host distintos para pods e registro de plug-ins (kubelet-pods-dir e kubelet-plugins-dir).
    • Atualizamos o addonmanager.kubernetes.io/mode de "Reconciliar" para "Recriar".

gvisor

O componente gvisor foi atualizado da versão 1.36.19 para a 1.37.7.

  • Diversos:
    • Atualização do gVisor para a versão 20260803.0_RC01.

managed-prometheus

O componente managed-prometheus foi atualizado da versão 0.18.2-gke.0 para 0.19.0-gke.1.

osimage

Atualização do componente osimage da versão 1.36.75 para 1.36.79.