GKE 1.37 變更記錄

本文列出 Google Kubernetes Engine (GKE) 1.37 子版本修補程式版本的異動。

這些變更記錄是特定 GKE 系統元件更新的補充資訊。如要瞭解 GKE 的功能、異動和安全性問題，請參閱下列文件：

1.37.1-gke.1697000

以下各節說明這個修補程式版本與前一個修補程式版本 1.37.1-gke.1552000 相比的異動。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.37.1 版變更記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

accelerator-operator

將 accelerator-operator 元件從 1.37.1 版更新至 1.37.2 版。

  • 錯誤修正：
    • 將控制器執行階段通知器快取限制為標有 cloud.google.com/gke-gpudirect-tcpx=rdma 的節點，以及標有 gpudirect-controller-component=nccl-rdma-installer 的 kube-system Pod，並移除 managedFields。Operator 記憶體不再隨著叢集大小增加。
    • 將領導者選舉逾時時間增加至 60 秒租約 / 40 秒續約期限 / 5 秒重試期 (可透過 --leader-election-lease-duration、--leader-election-renew-deadline、--leader-election-retry-period 設定)，避免在 apiserver 負載下因租約續約逾時而重新啟動。
  • 安全性修正：
    • 將 google.golang.org/grpc 從 v1.83.1 更新至 v1.83.2、golang.org/x/net 更新至 v0.58.0、golang.org/x/sys 更新至 v0.47.0、golang.org/x/text 更新至 v0.41.0。

filestorecsi

將 filestorecsi 元件從 1.37.7 版更新至 1.37.9 版。

  • 功能：
    • 新增防禦性 rpc.statd 驗證、liveness 探測和可寫入的 /run 掛接。
  • 其他：
    • 更新內部基礎架構元件。

gcsfusecsi

將 gcsfusecsi 元件從 1.37.17 版更新至 1.37.19 版。

  • 安全性修正：
    • 更新容器基礎映像檔和 google.golang.org/grpc，解決 CVE-2026-84445。
    • 更新容器基礎映像檔和 OpenTelemetry Go 模組 (go.opentelemetry.io/otel)，解決 CVE-2026-81870 的問題。

gke-metrics-agent

將 gke-metrics-agent 元件從 2.137.3-gke.1 版更新至 2.137.4-gke.0 版。

  • 錯誤修正：
    • 修正以下問題：prometheus-metrics-collector 因暫時性 STS 權杖交換錯誤，改用無權限的節點服務帳戶，導致停止發出指標。節點 P4SA 可用時，請將 TOKEN_SOURCE_MODE 設為 MODE_TOKEN_BROKER_NO_FALLBACK。
  • 安全性修正：
  • 其他：
    • autoscaling-metrics-pipeline 更新也會在抓取時間長度指標中新增「total」步驟、scraper_inter_scrape_interval_seconds 指標、抓取酬載中缺少指標的警告記錄，並將 Windows Server 2019 基本映像檔固定至 GKE 節點預先載入層。

kubedns

將 kubedns 元件從 36.0.5 版更新至 36.0.6 版。

kuberay-operator

將 kuberay-operator 元件從 37.1.7 版更新至 37.1.9 版。

managed-opentelemetry

將 managed-opentelemetry 元件從 1.37.8-gke.0 版更新至 1.37.9-gke.0 版。

  • 功能：
    • 在通訊埠 8888 設定 Prometheus 自我指標提取匯出工具，並新增 AutoscalingMetric 自訂資源 (otelcol-metrics)，以便在自動調度資源指標管道可用時，公開每個信號的匯出工具佇列大小 (otelcol-traces-queue-size、otelcol-logs-queue-size、otelcol-metrics-queue-size)。
    • 更新 HorizontalPodAutoscaler，在啟用自動調度資源指標管道時，根據匯出工具佇列深度 (容量的 60%：追蹤記錄和記錄為 60Mi，指標為 30Mi) 和 CPU (800m 平均值) 調度資源，否則會改用 CPU (600m 平均值) 和記憶體 (1800Mi 平均值)，並調整 scaleUp 和 scaleDown 行為政策。

networkpolicy-calico

將 networkpolicy-calico 元件從 4.36.3 版更新至 4.36.4 版。

nodelocaldns

將 nodelocaldns 元件從 36.1.5 版更新至 36.1.7 版。

  • 安全性修正：
    • 更新 Go 模組，解決安全漏洞。
  • 其他：
    • 新增 GBOC 遷移設定支援。
    • 將 Go 模組 go.etcd.io/etcd/client/pkg/v3 從 v3.6.10 更新至 v3.6.14。

1.37.1-gke.1552000

以下各節說明這個修補程式版本與前一個修補程式版本 1.37.0-gke.3503000 相比的變更。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.37.1 版變更記錄。

Kubernetes 更新

k8s-api

k8s-api 群組已從 1.37.0-gke.900 版更新為 1.37.1-gke.300 版。

  • 功能：
    • 在 GKE 節點上為 crictl 工具導入套件式安裝方法，以便自動更新二進位檔。
    • 更新 Google Secrets Manager (GSM) 端點，支援透明 Proxy 設定 (TPC) 中的私人登錄檔。
    • 新增覆寫 kube-apiserver IP 位址的功能，允許控制器透過內部負載平衡器 (ILB) 連線。
    • 在設定輔助程式中，新增對 kubeconfig 憑證的支援。
    • 新增 zswap 設定支援，可在設定交換時透過 sysfs 啟用及設定 zswap。
    • 擴充 GKE AppPkg 安裝程式，支援將壓縮發布 tarball 的完整內容擷取至指定目的地目錄，並保留原始 tarball 以符合法規。
    • 新增支援功能，可在 AppPkg 安裝程序中，透過 components.gke.io/configure-script-path 註解自動執行自訂設定指令碼。
  • 錯誤修正：
    • 更新 Workload Identity 映像檔提取作業的服務帳戶權杖目標對象設定，改用標準工作負載集區格式 (${project_id}.s3ns.svc.id.goog)。這可解決映像檔提取作業遭 NodeRestriction 許可控制機制封鎖，或遭 Google STS 拒絕並顯示 invalid_grant 錯誤的問題。
    • 將節點問題偵測工具自訂外掛程式更新至 v1.0.41，解決 inotify 檢查期間的 epoll 停滯問題，並修正映像檔提取監控工具中的規則運算式問題，避免成功提取時產生偽陽性。
    • 強制 chronyd 在 COS 和 Ubuntu 節點上的 VM 恢復運作時立即同步處理系統時鐘，防止時間偏移或預先暫停時間過時。
    • 解決主機層級 NFS 包裝函式中的資源外洩問題，避免繫結掛接在主機命名空間中累積，最終導致節點無法建立新的掛接，並阻礙 Pod 啟動。
    • 修正問題：NFS 卸載要求誤當成掛接指令處理，導致卸載作業失敗。
    • 改善 NFS 包裝函式節點設定邏輯，可靠地清除過時繫結，並確保掛接二進位檔的原子安裝。
    • 在節點啟動期間限制 sunrpc 通訊埠範圍，提升設定穩定性。
    • 修正問題：StatefulSet 物件會錯誤還原 .spec 以外的 ControllerRevision 部分。
    • 在 kube-proxy 的 Windows 核心實作中新增防護機制，用於處理沒有通訊埠對應的負載平衡器。
    • 解決問題：如果完成器移除程序失敗，就無法移除工作 Pod。
    • 防止節點專屬 kubelet 設定外洩至 ConfigMap。
    • 修正動態資源分配 (DRA) 在檢查每個宣告的裝置限制時，可能發生整數溢位的問題。
    • 更新動態資源分配 (DRA)，確保 nil DeviceTaintSelector 正確對應至沒有裝置。
    • 調整舊版設定指令碼的執行順序，確保在 EVE 型安裝作業中略過這些指令碼。
  • 安全性修正：
    • 修正 StatefulSet 控制器中的混淆代理人安全漏洞，方法是僅從 ControllerRevision 還原 .Spec 欄位，防止未經授權跨命名空間建立 Pod (CVE-2026-2270)。
    • 拒絕 UNC 符號連結目標，提升 Windows subPath 解析度的安全性，有助於防止潛在的強制 NTLM 驗證。
    • 對保留的安裝 tarball 實施加密核對和驗證，並在每次重新啟動時重新擷取二進位檔，提升系統完整性。
  • 其他：
    • 移除 --pod-sysctls kubelet 指令列旗標，因為這項設定已移至 kubelet 設定。
    • 改善 NFS 和 rpcbind 作業的記錄功能，確保降級行為和設定問題會以適當的嚴重性等級記錄。
    • 將 Go 執行階段更新至 v1.26.8，並更新容器基礎映像檔，改用 distroless iptables。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

accelerator-operator

將 accelerator-operator 元件從 1.35.3 版更新至 1.37.1 版。

  • 其他：
    • 新增對新中繼資料欄位的支援：ClusterHash、ClusterName、Location、MasterProjectNumber 和 ProjectNumber。

clouddns

將 clouddns 元件從 36.3.3 版更新至 36.3.5 版。

  • 錯誤修正：
    • Cloud DNS 控制器：改善多租戶環境中 Cloud DNS 控制器的關機邏輯。這項改良邏輯可確保控制器關閉時，協調器、更新器和通知器會正確清除，有助於防止資源外洩。

filestorecsi

filestorecsi 元件從 1.36.19 版更新至 1.37.7 版。

gcp-controller-manager-combined

將 gcp-controller-manager-combined 元件從 36.2.1 版更新至 36.2.3 版。

  • 功能：
    • 在 nodeannotator 中新增支援，為 TPU8i 填入 TPU 分區拓撲標籤。
  • 安全性修正：
    • 將 github.com/google/cel-go 更新至 0.29.2 版，解決安全漏洞 GHSA-gcjh-h69q-9w9g。
  • 其他：
    • 將自訂 signerName 委派的設定旗標更新為 allow-signing-kubelet-serving-for-non-gcp。
    • 更新 gcp-controller-manager 容器映像檔。

gcsfusecsi

將 gcsfusecsi 元件從 1.37.6 版更新至 1.37.17 版。

  • 功能：
    • 新增支援個別租戶算繪和多租戶叢集設定。
    • 推出租戶專屬身分集區和身分提供者支援，用於驗證。
    • 新增支援，可透過 Google Kubernetes Engine Front End (GKFE) 使用投影服務帳戶權杖，執行 Dataplane。
  • 安全性修正：
    • 將 google.golang.org/grpc 更新至 v1.83.1，並更新 csi-attacher 容器映像檔，以解決 CVE-2026-84304。
  • 其他：
    • 更新資訊清單範本，根據租戶參數動態設定命名空間、標籤和資源名稱。
    • 設定 DNS 政策和 Kubernetes 服務環境變數，以便使用租戶專屬端點。
    • 在元件資訊清單中，新增租戶相關中繼資料標籤，包括 access-level、專案和租戶 ID。
    • 將 csi-node-driver-registrar 映像檔更新至 v2.15.0-gke.47。
    • not.GKEAutopilotEnabled 上的條件式共用掛接旗標、CSIDriver attachRequired、PriorityClass 和 csi-attacher sidecar/RBAC。
    • 將 GCSFuse 二進位檔升級至 v3.12.0。
    • 預設透過 --enable-grpc-by-default 和 sidecar 傳遞啟用 gRPC 管道。
    • 將 gcsfusecsi 容器映像檔更新至 v1.24.8-gke.2。

gke-metrics-agent

將 gke-metrics-agent 元件從 2.137.3-gke.0 版更新至 2.137.3-gke.1 版。

  • 功能：
    • 為 node-daemon 實作壓力停滯資訊 (PSI) 收集功能。
  • 安全性修正：
    • 將 autoscaling-metrics-exporter 更新至 0.3.2-gke 版，以解決安全漏洞。

gpu-device-plugin

將 gpu-device-plugin 元件從 1.37.0-gke.0 版更新至 1.37.1-gke.2 版。

  • 功能：
    • 新增 GPUDirect Storage 支援功能：當 cloud.google.com/gke-gpudirect-storage 節點標籤設為 true 時，將 --nvidia-fs 旗標傳遞至 COS GPU 安裝程式。
    • 新增支援透過節點標籤 cloud.google.com/gke-gpu-driver-version 指定的固定驅動程式，格式為 RWWW 和 WWW.YY.ZZ。
    • 將 gpu-device-plugin 升級至 v1.36.5-gke.0，修正安全漏洞。
    • 將 nvidia-partition-gpu 升級至 v1.36.5-gke.0，修正安全漏洞。
    • 將 nvidia-persistenced-installer 升級至 v1.36.5-gke.0，修正安全漏洞。
  • 安全性修正：
    • 更新 Go 模組，解決安全漏洞。
  • 其他：
    • 更新元件資訊清單，支援啟用 GKE Autopilot 和內部遷移設定。
    • 已將 gke-metrics-collector 映像檔更新為 20261003_2300_RC0。

gvisor

將 gvisor 元件從 1.37.13 版更新至 1.37.18 版。

  • 錯誤修正：
    • shim (GCSFuse Deadlocks)：
    • 在拆除期間，Gofer 結束時會取消卡住的容器，並主動中止 FUSE 連線 (#14811)。
    • 新增選擇加入的反應式逾時保護 FUSE 中止，可在容器拆除時執行 (#14635)。
    • shim：修正 shim，避免從狀態查詢過早轉換為停止狀態 (#14646)。
    • shim：更新 shim，在任何 init 工作仍處於運作狀態時，將容器回報為執行中 (#14645)。
    • runsc：允許終止處於 Created 狀態的容器 (#14533)。
    • kernel：修正孤立 shared-sighand 程序群組時的 setsid 死結問題 (#14534)。
    • fs/overlayfs：更新 overlayfs，使用呼叫端憑證進行上層 xattr 作業，而非根目錄 (#14560)。
    • fs/host：更新 HostReadiness，回報關閉 FD 的掛斷，並將 beforeSave 設為冪等 (#14588)。
  • 其他：
    • 將 gVisor 更新至 20260817.0_RC03 版。
    • 將 gke-distroless/static 基本映像檔更新至 gke_distroless_20260915.00_p0。
    • 更新內部元件設定，明確納入叢集參數。

kube-addon-manager

將 kube-addon-manager 元件從 35.0.5 版更新至 35.0.6 版。

  • 功能：
    • 新增多架構版本支援。

kubedns

將 kubedns 元件從 36.0.4 版更新至 36.0.5 版。

managed-opentelemetry

將 managed-opentelemetry 元件從 1.36.21-gke.2 版更新至 1.37.8-gke.0 版。

  • 功能：
    • 新增 OTLP gRPC 匯出工具支援，可用於記錄、推送指標和 Span。
    • 推出設定選項和驗證功能，可選擇 OTLP HTTP 和 OTLP gRPC 傳輸遙測資料。
    • 將 Google 建構的 OpenTelemetry Collector (imgOtelCollector) 更新至 0.153.0-gke.7。
    • 將 Google 建構的 OpenTelemetry Collector (imgOtelCollector) 更新至 0.159.0-gke.6。
    • 將 batch/logs、batch/metrics 和 batch/traces 處理器替換為 otlp_grpc/logs、otlp_grpc/traces、otlp_grpc/metrics 和 otlp_grpc/self-metrics 匯出工具的原生 exporterhelper sending_queue 和 batch 設定，並使用位元組大小的佇列 (sizer: bytes、block_on_overflow: true) 處理記錄、追蹤記錄和指標，確保記憶體邊界可預測，且背壓可靠。
    • 將共用的 otlp_grpc 匯出工具分割為專屬的個別信號匯出工具 (otlp_grpc/logs、otlp_grpc/traces、otlp_grpc/metrics)，讓每個遙測信號都有獨立的佇列容量、消費者工作站集區和批次處理參數。
    • 在收集器 Deployment 上設定 terminationGracePeriodSeconds: 60，允許記憶體內匯出工具傳送佇列在 Pod 終止期間正常耗盡。
    • 將 OTLP gRPC 接收器 keepalive.server_parameters.max_connection_age 從 10m 降低至 1m (並移除多餘的 max_connection_idle、time 和 timeout 覆寫)，讓長期存在的 gRPC 用戶端連線定期重新連線，並在新擴充的收集器副本之間重新平衡。
    • 在收集器 Deployment 的 topology.kubernetes.io/zone 和 kubernetes.io/hostname 中新增軟 topologySpreadConstraints (maxSkew: 1、whenUnsatisfiable: ScheduleAnyway)，讓水平擴展的副本分散在不同的可用區和節點。
  • 錯誤修正：
    • 修正 k8s_attributes 中的 Pod 中繼資料快取記憶體流失問題，包括在刪除事件前清除 Pod IP、容器重新啟動，以及關聯狀態轉換期間。
    • 在 memory_limiter 中，當 GC 無效時，套用指數輪詢，修正下游匯出工具背壓下，CPU 耗用強制 GC 迴圈的問題。
    • 修正 exporterhelper otelcol_exporter_queue_batch_send_size 和 otelcol_exporter_queue_batch_send_size_bytes 指標，以記錄批次處理後的批次大小，並使用位元組規模的直方圖值區，最多可達 16 MiB。
    • 修正接收器，使其在所有處理器和匯出器之後才啟動，防止共用 otlp 接收器發生啟動競爭狀況。
  • 安全性修正：
  • 其他：
    • 從 k8s_attributes 處理器設定中移除已淘汰的 extract.deployment_name_from_replicaset 設定，以消除啟動淘汰警告，並為 OpenTelemetry Collector 0.160.0+ 做好準備。

managed-prometheus

將 managed-prometheus 元件從 0.19.0-gke.1 版更新至 0.19.2-gke.0 版。

managedcertificates

managedcertificates 元件從 3.4.8 版更新至 3.4.10 版。

networkpolicy-calico

將 networkpolicy-calico 元件從 4.36.1 版更新至 4.36.3 版。

nodelocaldns

將 nodelocaldns 元件從 36.1.2 版更新至 36.1.5 版。

  • 安全性修正：
    • 更新 Go 模組，解決安全漏洞。

osimage

將 osimage 元件從 1.36.79 版更新至 1.37.15 版。

pdcsi

pdcsi 元件從 1.36.24 版更新為 1.37.9 版。

  • 功能：
    • 根據存取模式，為 PVC 實作動態預設 StorageClass 選取。
    • 新增 default-sc-rollback-handler 標準容器，支援復原功能。
    • 在 csi-driver-registrar 容器中新增 --http-endpoint=:9931 和 /healthz readinessProbe，因此只有在 Kubelet 完成註冊 PD CSI 外掛程式後，才會移除節點啟動汙點 readiness.k8s.io/gke-pd-csi-ready。
    • 允許在多租戶叢集上為 pdcsi 靜態 Pod 進行 ToLocalhost 輸出。
    • 新增 /debug/pprof 和 /metrics 端點，以便在透過 --http-endpoint 叫用時，發出 Go 執行階段指標和剖析資料。
    • 新增對 Sovereign Cloud 環境的 --universe-domain 旗標支援。
    • 新增具有 /etc/selinux 和 /sys/fs/selinux 掛接的疊加層，以支援 SELinuxMount 功能。
    • 將 PD CSI 驅動程式映像檔更新為 v1.27.1-gke.2，新增選用的節點準備狀態回報工具 (--enable-node-readiness-condition)，可在 csi-driver-registrar 正常運作時，將 pd.csi.storage.gke.io/Ready 節點條件設為 True。
    • 已在 Linux 節點 DaemonSet 啟用節點就緒狀態回報工具。
    • 已將 nodes/status patch 權限授予 pdcsi-driver-role，並新增 ValidatingAdmissionPolicy，限制 pdcsi-node-sa 只能修補自身節點的狀態條件。
  • 錯誤修正：
    • 修正 VerifyDevicePath 中的手動裝置路徑更新，以便正確使用手動建立的裝置符號連結，並在重新建立前清除過時的符號連結 (EEXIST)。
    • 修正 csiErrorBackoff、DeviceCache (使用非阻塞更新)、ListVolumes 和 ListSnapshots 中並行地圖讀取/寫入競爭狀況。
    • 修正因殭屍程序外洩而導致主機 PID 耗盡的問題，並防止 execPipeCommand 中出現未檢查的類型斷言恐慌。
    • 修正 Spot VM 的 GKE 資料快取磁碟區處理方式。
    • 重構 node_taint Webhook，避免捨棄現有節點資料。
    • 在 GCE OAuth HTTP 用戶端傳輸中新增 ResponseHeaderTimeout，防止連線中斷。
    • 略過來源空白的執行個體磁碟，減少垃圾記錄。
  • 安全性修正：
    • 已從 noauth 疊加層的 taint-controller 中移除未使用的服務帳戶憑證。
    • 更新 google.golang.org/grpc 以解決 CVE-2026-84304。
    • 更新 google.golang.org/grpc 程式庫和容器基礎映像檔，解決 CVE-2026-84445 的問題。
  • 其他：
    • 將 Go 執行階段更新至 1.26.5 版，並更新 Go 模組依附元件 (golang.org/x、gopkg.in/ini.v1、ginkgo 和 gomega)。
    • 將 Go 執行階段更新至 1.27.1 版，並重新整理 CSI 驅動程式元件 (包括佈建工具、註冊工具和快照工具) 的 Debian 和 Distroless 基本映像檔。
    • 將 csi-resizer sidecar 更新至 v2.1.0-gke.25 版。

tpu-device-plugin

將 tpu-device-plugin 元件從 1.36.8-gke.0 版更新至 1.36.9-gke.1 版。

  • 功能：
    • 新增對 enable_full_hierarchy_labels KCP 特性的支援。
    • 將 ACS 代理程式 (acs-agent) 容器從 tpu-device-plugin DaemonSet 移至 ai-telemetry-collector DaemonSet，避免客體診斷遙測失敗影響裝置外掛程式健康狀態和排程可用性。
  • 錯誤修正：
    • 將 ACS 代理程式映像檔還原為 sha256:2c2cad2eff5811c906334bced6a00b6f938d4308a26921bab9f5fc7d7ef445fb，避免同步通知器快取同步停滯，導致 TPU 裝置外掛程式註冊作業受阻，並解除叢集自動配置器資格限制。
  • 其他：
    • 將建構工具映像檔更新為 Golang 1.27.0，並將執行階段基本映像檔更新為 Debian 13 架構的無發行版版本。

workloadautoscaler

將 workloadautoscaler 元件從 20.2.0 版更新至 20.5.0 版。

  • 功能：
    • 新增 --fetched_cert_validity 設定旗標，用於管理所擷取憑證的有效期限。
    • 推出多維度 Pod 自動配置器 (MPA) 支援。
    • 新增支援，可透過垂直 Pod 自動配置器 (VPA) 就地調整 Pod 大小，無須重新啟動 Pod。
    • 導入強化版自動調度資源指標管道，包括支援統一水平自動調度 Pod 資源 (UAS) 和自訂指標整合。
  • 其他：
    • 移除 init-cert 容器和相關聯的 tls-certs 主機路徑磁碟區，簡化部署作業設定。
    • 移除先前用於憑證初始化的 gke-distroless/bash 映像檔依附元件。
    • 設定 API 節流 (QPS 和爆發) 和控制器記憶體限制，根據主節點的 CPU 容量動態調度資源。
    • 更新水平自動調度 Pod 資源 (HPA) 的設定，包括效能設定檔和模糊選取器檢查。
    • 定義垂直自動調度 Pod 資源 (VPA) 建議影子模式的 feature gate。
    • 將 Workload Autoscaler 更新至 0.28.0-gke.3 版。

1.37.0-gke.3503000

以下各節說明這個修補程式版本與前一個修補程式版本 1.37.0-gke.3165000 相比的異動。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.37.0 版異動記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

gpu-device-plugin

將 gpu-device-plugin 元件從 1.36.3-gke.2 版更新至 1.37.0-gke.0 版。

  • 其他：
    • 1.37 元件目錄的初始架構。

gvisor

將 gvisor 元件從 1.37.11 版更新至 1.37.13 版。

  • 其他：
    • 將 gVisor 更新至 20260803.0_RC01 版。

l7-lb-controller-combined

將 l7-lb-controller-combined 元件從 1.41.3-gke.0 版更新至 1.42.1-gke.0 版。

  • 錯誤修正：
    • 解決因情境管理不當而導致的執行階段恐慌錯誤。

1.37.0-gke.3165000

以下各節說明這個修補程式版本與前一個修補程式版本 1.37.0-gke.2941000 相比的變更。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.37.0 版異動記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

customer-logs-exporter

將 customer-logs-exporter 元件從 1.36.0-gke.11 版更新至 1.36.0-gke.12 版。

  • 安全性修正：
    • 將 google.golang.org/grpc 更新至 v1.82.1，解決安全諮詢 GO-2026-6061 的問題。

filestorecsi

filestorecsi 元件從 1.36.18 版更新為 1.36.19 版。

  • 其他：
    • 將 Go 執行階段更新至 1.25.11 版，並重新整理 csi-provisioner、csi-resizer、csi-snapshotter、snapshot-controller 和 snapshot-validation-webhook 的容器基礎映像檔。

gcp-controller-manager-combined

將 gcp-controller-manager-combined 元件從 36.1.6 版更新至 36.2.1 版。

  • 功能：
    • 新增 --fetched_cert_validity 旗標，可設定所擷取憑證的存留時間。
  • 其他：
    • 移除 /etc/srv/kubernetes/pki 的舊版主機路徑磁碟區掛接，以及叢集 CA 檔案 (--cluster-root-ca-file 和 --cluster-ca-bundle) 的相關指令列旗標，改用 DCD。
    • 將自訂簽署者名稱委派的旗標名稱更新為 allow-signing-kubelet-serving-for-non-gcp。

kube-addon-manager

將 kube-addon-manager 元件從 35.0.2 版更新至 35.0.5 版。

  • 功能：
    • 新增多架構版本支援。
  • 其他：
    • 更新 kubectl prune 許可清單，納入 Kubernetes 1.23.0 以上版本叢集的流量控管資源 (FlowSchema 和 PriorityLevelConfiguration)。
    • 新增設定選項，可管理外掛程式管理工具的主要選舉模式。

pdcsi

將 pdcsi 元件從 1.36.23 版更新至 1.36.24 版。

  • 安全性修正：
  • 其他：
    • 將 Go 執行階段更新至 1.26.5 版。
    • 更新 CSI 驅動程式、快照工具和相關 sidecar 元件的 debian-base 和 distroless-static 容器基礎映像檔。

tpu-device-plugin

tpu-device-plugin 元件從 1.36.7-gke.2 版更新為 1.36.8-gke.0 版。

  • 功能：
    • 更新 ACS 代理程式映像檔，加入 FatalErrorInfo 和 TPU 停止診斷收集功能。
    • 透過 --enable-baremetal-mode 推出 TPU 裸機節點支援。
    • 略過 TPU8i 的 MDS 分區拓撲標籤輪詢 (由 cloud-provider-gcp 填入)。
    • 新增多切片網路、運算和傳輸大小/延遲時間指標。
  • 錯誤修正：
    • 在 TPU 裝置外掛程式指標中，新增值區數量的邊界檢查。
    • 還原 vbar.sock 權限變更記錄。
  • 安全性修正：
    • 將 google.golang.org/grpc 更新至 1.82.1 版，解決安全漏洞 GO-2026-6061。
    • 將 vbar 目錄以唯讀方式掛接至工作負載，並強制執行 safeChmod，藉此封鎖 vbar.sock 符號連結提權。
    • 將 google.golang.org/grpc 更新至 1.82.1 版，以解決安全漏洞 GO-2026-6061。
    • 將執行階段基礎映像檔更新為 gcr.io/distroless/static-debian13，並將建構工具更新為 Golang 1.27.0，以修正基礎映像檔安全漏洞。
  • 其他：
    • 已更新 gke-distroless/bash 基本映像檔。

1.37.0-gke.2941000

以下各節說明這個修補程式版本與前一個修補程式版本 1.37.0-gke.2155000 相比的異動。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.37.0 版異動記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

customer-logs-exporter

將 customer-logs-exporter 元件從 1.36.0-gke.10 版更新為 1.36.0-gke.11 版。

  • 安全性修正：
    • 將 google.golang.org/grpc 更新至 1.82.1 版，解決 GO-2026-6061 問題。
  • 其他：
    • 新增設定支援，可透過 ComponentOptionsConfig 設定 Cloud Logging 端點和專案專屬中繼資料。

gke-metrics-agent

將 gke-metrics-agent 元件從 2.137.1-gke.0 版更新至 2.137.3-gke.0 版。

  • 功能：
    • 實作節點 Daemon 壓力停滯資訊 (PSI) 收集功能。
  • 其他：
    • 調整供應商依附元件，最佳化容器映像檔大小。
    • 將 Workload Autoscaler 更新至 0.28.0-gke.3 版。

gvisor

將 gvisor 元件從 1.37.7 版更新至 1.37.11 版。

  • 其他：
    • 將 gVisor 更新至 20260727.0_RC04 版。

l7-lb-controller-combined

將 l7-lb-controller-combined 元件從 1.41.1-gke.0 版更新至 1.41.3-gke.0 版。

  • 錯誤修正：
    • 改善 L4 Address Manager IP 驗證機制，避免誤判子字串相符，並強制執行明確的網路級別和負載平衡配置驗證。
  • 安全性修正：
    • 將 Go 版本更新至 1.26.6、Go kubernetes 用戶端依附元件更新至 v1.36.3，並將 google.golang.org/api 和 google.golang.org/grpc 更新至最新版本。

1.37.0-gke.2155000

以下各節說明這個修補程式版本與前一版 1.36.3-gke.1767000 的差異。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.37.0 版異動記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

accelerator-operator

將 accelerator-operator 元件從 1.35.1 版更新至 1.35.3 版。

  • 安全性修正：
    • 將 go.opentelemetry.io/otel/sdk 更新至 v1.40.0，解決 GO-2026-4394。
    • 將 golang.org/x/net 更新至 v0.53.0，解決 GO-2026-4440、GO-2026-4559 和 GO-2026-4918 的問題。
    • 將 google.golang.org/grpc 更新至 v1.79.3，解決 GO-2026-4762。
  • 其他：
    • 更新基本映像檔，改用 Golang 1.25.10。
    • 將 CI/CD 設定、容器建構步驟和 Go 1.25.0 工具鍊修正項目向後移植至發布分支版本。
    • 將元件映像檔更新至 1.35.0-gke.8 版。

advanceddatapath

將 advanceddatapath 元件從 36.3.14 版更新至 36.4.2 版。

  • 其他：
    • 新增 kubernetes.io/arch: arm64 的節點容忍度，允許元件 Pod 排定在具有 NoSchedule 效果的 ARM64 節點上。

customer-logs-exporter

將 customer-logs-exporter 元件從 1.36.0-gke.9 版更新至 1.36.0-gke.10 版。

  • 安全性修正：
    • 將 google.golang.org/grpc 更新至 1.82.1 版，解決 GO-2026-6061 問題。

filestorecsi

將 filestorecsi 元件從 1.36.17 版更新至 1.36.18 版。

  • 其他：
    • 將 Go 執行階段更新至 1.25.11 版。
    • 將基礎映像檔更新至最新無發行版版本，提升安全性和穩定性。
    • 在元件資訊清單中，將內部初始化容器明確命名為 imgSpnpInitContainer。

gcp-controller-manager-combined

將 gcp-controller-manager-combined 元件從 36.1.4 版更新至 36.1.6 版。

  • 功能：
    • 在元件設定中新增 ToLocalhost 類型的支援。
  • 其他：
    • 將自訂 signerName 委派旗標重新命名為 allow-signing-kubelet-serving-for-non-gcp，以便更清楚地在非 GCP 節點上簽署 kubelet 服務憑證。

gcsfusecsi

將 gcsfusecsi 元件從 1.36.41 版更新至 1.37.3 版。

  • 功能：
    • 推出非正式環境的共用掛接功能支援。
    • 新增 csi-attacher 元件支援，包括非正式環境的相關 PriorityClass 和 RBAC 設定。
  • 錯誤修正：
    • 將控制器旗標 --leader-election-namespace 重新命名為 --driver-namespace，以正確反映其功能。
    • 在 StaticPodNetworkPolicy 中允許 gcsfusecsi-controller 的 ToLocalhost egress，避免在本機 OAuth 權杖交換期間，SPNP 防火牆捨棄封包。
  • 安全性修正：
    • 將 github.com/google/cel-go 升級至 0.29.0 版，修復安全漏洞 GHSA-gcjh-h69q-9w9g。
    • 更新 github.com/google/cel-go 以解決 GO-2026-6094。
    • 更新 go.etcd.io/etcd/client/pkg/v3 以解決 GO-2026-6107。
    • 更新 Go 基本映像檔和 csi-attacher 邊車容器，解決安全漏洞。
  • 其他：
    • 更新掛接設定，為 Pod 和外掛程式註冊 (kubelet-pods-dir 和 kubelet-plugins-dir) 使用不同的主機路徑。
    • 將 addonmanager.kubernetes.io/mode 從「協調」更新為「重新建立」。

gvisor

將 gvisor 元件從 1.36.19 版更新至 1.37.7 版。

  • 其他：
    • 將 gVisor 更新至 20260803.0_RC01 版。

managed-prometheus

將 managed-prometheus 元件從 0.18.2-gke.0 版更新至 0.19.0-gke.1 版。

osimage

將 osimage 元件從 1.36.75 版更新至 1.36.79 版。