AWS Kubernetes生产集群1.21升级至1.22的安全性与操作咨询

一、升级是否安全？ #

只要做好前置检查和准备工作，升级是可控且安全的。AWS官方对EKS版本升级做过充分兼容性测试，但生产环境不能直接裸升——你的集群依赖的第三方组件、自定义负载可能存在兼容性隐患，必须提前验证。

二、可能遇到的风险 #

• 废弃API移除导致负载失效：1.22版本彻底移除了一批v1beta1级别的API，包括Ingress/v1beta1、PodSecurityPolicy/v1beta1、Certificates/v1beta1等。如果你的工作负载YAML仍在使用这些旧API，升级后会出现创建/更新失败，甚至现有资源异常。
• 第三方组件兼容性问题：CNI插件（如Calico）、监控工具（Prometheus）、自定义控制器、日志采集组件等，如果未适配1.22版本，升级后可能出现功能崩溃或数据丢失。
• 节点版本差超限：EKS要求控制平面与工作节点的版本差不能超过1个大版本（控制平面1.22仅兼容1.21节点），若你的节点是1.20及更早版本，升级控制平面后节点会无法正常连接集群。
• 有状态应用临时不可用：迁移节点时操作不当，StatefulSet的Pod可能出现重启延迟、数据访问异常，尤其是存储类或CSI驱动存在兼容性问题时。

三、点击升级按钮是否仅更新控制平面？ #

是的。在EKS控制台点击集群版本升级，默认仅更新控制平面组件（包括etcd、kube-apiserver、kube-controller-manager、kube-scheduler等），工作节点组不会自动升级，需手动触发节点组的升级操作。

四、更新后的控制平面能否搭配旧版本工作节点及原有工作负载？ #

• 节点兼容性：控制平面1.22可搭配1.21版本的工作节点（符合EKS版本差规则），但无法兼容1.20及更早版本的节点，会出现通信异常。
• 工作负载兼容性：若你的负载YAML未使用1.22移除的废弃API，可正常运行；若使用了旧API，必须先将YAML修改为对应稳定版API（比如Ingress改为networking.k8s.io/v1），否则负载会无法被正常管理。

五、是否可以先更新控制平面，再创建新节点组迁移Pod？ #

这是生产环境推荐的蓝绿节点升级方案，完全可行：

1. 先升级控制平面到1.22，确认控制平面运行无异常。
2. 创建新的1.22版本工作节点组，配置与旧节点组保持一致（标签、污点、资源配额等）。
3. 逐步驱逐旧节点组的Pod：用kubectl cordon标记旧节点不可调度，再用kubectl drain --ignore-daemonsets --delete-emptydir-data安全驱逐Pod（参数可根据实际场景调整）。
4. 所有Pod迁移完成后，删除旧节点组。

六、带有PVC的StatefulSet迁移Pod时，如何确保找到对应PVC？ #

StatefulSet的PVC与Pod通过固定命名规则绑定：Pod名称格式为{statefulset-name}-{ordinal}，对应PVC名称为{pvc-template-name}-{statefulset-name}-{ordinal}。只要StatefulSet配置未修改，PVC的存储类、访问模式参数正确，Pod被调度到新节点时，Kubernetes会自动根据Pod名称匹配对应的PVC并挂载关联PV。

注意事项：

• 若PV使用ReadWriteOnce访问模式（如AWS EBS），需先删除旧Pod，待PV卸载后再调度新Pod到目标节点；ReadWriteMany模式无此限制。
• 确认CSI驱动（如EBS CSI Driver）已适配1.22版本，避免存储挂载失败。

内容的提问来源于stack exchange，提问作者FoxyJS