#规划节点的原地 OS 升级

#步骤 1：确认目标操作系统和内核

确认目标操作系统版本、内核版本、内核来源以及 CPU 架构均在受支持范围内。有关当前支持矩阵和已知限制，请参阅 受支持的 OS 和内核版本。

在维护窗口之前应用以下规则：

• 操作系统主版本和次版本必须与支持矩阵一致。
• 核心内核版本必须与支持矩阵一致。仅允许构建后缀不同。
• 内核必须是操作系统厂商提供的官方内核。
• 不支持 Ubuntu HWE 内核以及第三方或自行编译的内核。
• 如果目标版本不在支持矩阵中，请在升级前联系技术支持确认兼容性。

#步骤 2：检查冲突软件包

在原地操作系统升级期间，操作系统包管理器可能会安装或覆盖容器运行时、Kubernetes 或容器网络二进制文件。升级前，请检查并解决与 组件冲突的软件包。有关软件包列表和命令，请参阅 移除冲突软件包。

如果发现冲突软件包，请在卸载之前制定应用迁移方案并备份受影响的数据。

#步骤 3：记录当前运行时和节点组件版本

在操作系统升级前记录版本信息。升级节点后，使用这些记录进行对比。

containerd --version
runc --version
crictl --version
kubelet --version

同时记录操作系统升级流程可能会更新的关键节点配置文件，例如 /etc/resolv.conf、/etc/fstab、systemd 配置文件以及容器运行时配置文件。

#步骤 4：验证集群容量并驱逐节点

确认其余节点有足够容量来运行从目标节点驱逐的 Pod。然后在操作系统升级前驱逐该节点。

你可以使用 控制台从节点驱逐 Pod。有关控制台操作，请参阅 管理节点。

如果你使用 kubectl，请在运行前与运维团队确认命令选项。例如：

kubectl cordon <node-name>
kubectl drain <node-name> --ignore-daemonsets --delete-emptydir-data

由 DaemonSet 管理的 Pod 不会被驱逐操作驱逐。使用本地存储的工作负载在驱逐后可能会丢失本地数据。继续之前，请先确认工作负载影响。

#步骤 1：确认操作系统和内核

验证节点正在运行预期的操作系统和内核版本。

cat /etc/os-release
uname -r

将输出结果与支持矩阵及你批准的维护计划进行比较。

#步骤 2：验证基础节点配置

验证操作系统升级没有还原所需的节点设置。

echo "=== Base node configuration check ==="

# SELinux must be disabled on systems that use SELinux.
getenforce 2>/dev/null || echo "SELinux command not available"

# AppArmor must be disabled on systems that use AppArmor.
systemctl status apparmor 2>/dev/null || echo "AppArmor service not installed"

# Swap must be disabled.
swapon --show
free -h | grep Swap

# Firewall services must be disabled according to your cluster network plan.
systemctl status firewalld 2>/dev/null || echo "firewalld not installed"
systemctl status ufw 2>/dev/null || echo "ufw not installed"

# /tmp must not be mounted with noexec.
mount | grep " /tmp "

# DefaultTasksMax must be infinity.
systemctl show --property=DefaultTasksMax

如果操作系统升级后启用了 swap，请根据你的操作系统策略将其禁用，并从 /etc/fstab 中移除 swap 条目。

如果操作系统升级后启用了 SELinux 或 AppArmor，请根据你的操作系统策略以及 的节点要求将其禁用。

#步骤 3：验证运行时和节点组件版本

将运行时和节点组件版本与升级前记录进行比较。

containerd --version
runc --version
crictl --version
kubelet --version

然后验证 containerd 正在运行：

systemctl status containerd

如果有任何二进制文件被操作系统软件包覆盖，请停止维护，并在继续处理其他节点之前联系技术支持。

#步骤 4：验证时间同步和 DNS

验证操作系统升级未更改时间同步和 DNS 配置。

date
timedatectl
cat /etc/resolv.conf

节点之间的时间偏差必须不超过 10 秒。如果偏差大于 10 秒，请先同步时间，再恢复节点上的工作负载调度。

#步骤 5：重启 kubelet 并验证节点恢复

在操作系统升级完成且基础节点检查通过后，重启 kubelet。

systemctl daemon-reload
systemctl restart kubelet
systemctl status kubelet

等待节点恢复到 Ready 状态。

kubectl get node <node-name> --watch

当节点恢复健康后，恢复调度。

kubectl uncordon <node-name>

你也可以从 控制台恢复调度。有关控制台操作，请参阅 管理节点。

#步骤 6：验证工作负载恢复

在恢复调度后，验证节点状态和工作负载放置情况。

kubectl get nodes
kubectl get pods -A -o wide | grep <node-name>

然后验证受节点驱逐影响的业务服务。只有在当前节点及相关服务都处于健康状态后，才能继续处理下一个节点。