容器优化操作系统如何处理安全更新?

当作为Kubernetes发动机的一部分运行时, the auto-upgrade functionality of Container Optimized OS (cos) is disabled . 通过使用GKE升级功能升级节点的映像版本来应用cos的更新升级主节点,然后是节点池,或者使用GKE自动升级功能。

https://cloud.google.com/kubernetes-engine/docs/how-to/upgrading-a-cluster

总之,遵循以下过程:

1. 节点已禁用调度(因此在调度允许加入集群的新pod时不会考虑这些节点)。

2. 分配给正在升级的节点的pod被耗尽。如果连接到重新调度替换的复制控制器或等效管理器,并且有集群容量在另一个节点上调度替换,则可以在其他位置重新创建它们。

3. 节点的计算机引擎实例使用相同的名称用新的cos映像升级。
4. 启动节点,将其重新添加到集群,并重新启用调度。(除某些情况外,大多数豆荚不会自动向后移动。)

当您运行升级时,Kubernetes引擎停止调度、耗尽和删除集群的所有节点及其pod,一次一个。替换节点将使用与其前一个节点相同的名称重新创建。必须成功地重新创建每个节点才能完成升级。当新节点向主节点注册时,Kubernetes引擎将节点标记为可调度的。

是否必须设置配置选项以自动更新?

计算引擎(GCE)容器优化操作系统(COS)虚拟机(即直接从GCE创建的实例)的自动更新行为通过“COS更新策略”GCE元数据进行控制。请参阅上的文档 here

当前记录的默认行为是:“如果未设置,则自动下载并安装来自当前频道的所有更新。”

节点是否需要访问internet,更新从何而来?或者,谷歌云是否足够聪明,可以让容器优化的操作系统在私有专有网络中进行自我更新?