在1.30.7-aliyun.1版本修復了CVE漏洞CVE-2024-10220。

在Kubernetes 1.29版本

• PreStop Hook新增一種休眠（Sleep）模式，允許在容器實際被終止前暫停一段指定的時間，以等待尚未完成的處理或者網絡請求。更多信息，請參見KEP-3960: Introducing Sleep Action for PreStop Hook。

• SidecarContainers進入Beta，默認啟用。此功能允許將init容器的restartPolicy設置為Always，使之成為一個Sidecar容器，支持獨立啟動、停止或重啟，且不會影響主應用容器和其他Init容器。更多信息，請參見Sidecar Containers。

• 新增ServiceCIDR資源類型，允許動態配置集群中Service ClusterIP地址的分配范圍。該特性處于Alpha階段，默認禁用。關于允許動態擴展Service可用IP數量的更多信息，請參見KEP-1880: Multiple Service CIDRs。

• PVC (Persistent Volume Claim) 和Container的API使用相同的ResourceRequirements結構體來定義資源requests和limits。這導致當Container的resources結構發生變化時，例如新增了claims字段，會導致PVC的API也隨之改變。因此，PVC改用獨立的VolumeResourceRequirements結構體，其中僅包含requests和limits，不包含claims。更多信息，請參見Volume resource requirements。

• PodReadyToStartContainers特性進入Beta，默認啟用。此特性表示Pod的沙盒（Sandbox）環境已經成功創建（容器運行時環境已就緒），且網絡配置已完成，便于kubelet了解Pod狀態。更多信息，請參見Pod conditions。

• PodAffinity和PodAntiAffinity新增支持matchLabelKeys和mismatchLabelKeys，以解決調度器在Deployment滾動更新期間無法區分新老Pod，繼而導致調度結果不符合親和性和反親和性預期的問題。配置PodAffinity的matchLabelKeys時，Deployment會為ReplicaSet添加pod-template-hash標簽，讓Deployment的每個Pod都帶有相應的哈希字符串，來告知調度器僅對帶有相同pod-template-hash值的Pod進行評估，便于區分同一批次更新的Pod。更多信息，請參見KEP-3633。

• 除核心Kubernetes API資源外，ValidatingAdmissionPolicy類型檢查新增支持CRD和API Extension類型，有助于確保策略的可靠性和集群配置的正確性。更多信息，請參見type-checking。

• 新增UserNamespacesPodSecurityStandards特性門控，支持將用戶命名空間（User Namespace）集成到Pod安全標準中。當此特性門控開啟時，支持在Pod的安全上下文中以非root用戶或指定用戶身份運行容器。該特性門控當前為Alpha階段，默認為false，未來可能會一直處于false狀態。更多信息，請參見KEP-127: Update PSS based on feature gate。

• 針對節點對象，新增DisableNodeKubeProxyVersion特性門控，棄用status.nodeInfo.kubeProxyVersion字段，即在Kubernetes中禁用設置Node端的kubeProxyVersion字段。kubelet并不一定能夠準確識別kube-proxy的版本，該字段不一定準確。此特性門控當前為Alpha階段，默認為false。

• JobBackoffLimitPerIndex特性門控進入Beta，默認為true。此特性門控允許在索引作業（Indexed Job）中指定每個索引（Index）的最大重試次數。關于索引作業的更多信息，請參見使用索引作業完成靜態工作分配下的并行處理。

在Kubernetes 1.30版本

• ImageMaximumGCAge允許kubelet配置對未使用鏡像被垃圾回收前的最大存活時間，即在達到指定時間后若鏡像仍然未被使用，那么鏡像將可被垃圾收集機制清理。默認值為"0s"，即不設置時間限制。該特性門控在v1.29進入Alpha，v1.30進階至Beta。

• kubelet新增監控指標image_pull_duration_seconds，用于跟蹤鏡像拉取時間。更多信息，請參見Alpha階段的Kubernetes指標清單。

• LegacyServiceAccountTokenCleanUp特性門控進階至GA，默認啟用。如果ServiceAccount關聯的自動生成的Secret在特定時間內（默認為一年）未被使用，且沒有被任何Pod掛載，kube-controller-manager將向Secret添加kubernetes.io/legacy-token-invalid-since標簽，值為當前日期，標記Secret為無效。如果Secret自標記為無效開始，在特定時間（默認為一年）依舊未被使用，將會被kube-controller-manager自動清理。對于被打上失效標簽但未被自動移除的Secret，可以通過移除kubernetes.io/legacy-token-invalid-since標簽使其重新生效。更多信息，請參見Auto-generated legacy ServiceAccount token clean up和Legacy ServiceAccount token cleaner。

• 在v1.30中，在kube-proxy的--nodeport-addresses未設置的情況下（默認未設置），NodePort類型的Service更新將僅更新節點的主要IP（Primary Node IP），而非節點的所有IP。更多信息，請參見#122724。

• 為了防止配置沖突和安全問題，OIDC Issuer URL不允許和API Server ServiceAccount Issuer URL配置相同的參數。更多信息，請參見#123561。

• LoadBalancerIPMode特性門控允許為類型為LoadBalancer的Service新增.status.loadBalancer.ingress.ipMode字段，用于指定負載均衡器IP的轉發行為。該字段僅在指定了.status.loadBalancer.ingress.ip字段時才能被指定。LoadBalancerIPMode特性門控進入Beta。更多信息，請參見Specifying IPMode of load balancer status和Load Balancer IP Mode for Services。

• 基于ContainerResource指標的Pod水平自動擴縮容（HorizontalPodAutoscaler，HPA）在v1.30中升級為Stable。這一新行為允許HPA根據Pod中各個容器的資源使用情況來配置自動伸縮，而不僅是Pod的整體資源使用情況，便于為在Pod中最重要的容器配置擴縮容閾值。更多信息，請參見Container resource metrics。

• AdmissionWebhookMatchConditions特性門控進階至GA，默認啟用，不可禁用。此特性門控允許對準入Webhook支持根據特定的條件進行匹配，更細粒度地控制Webhook的觸發條件。更多信息，請參見Dynamic Admission Control。

• 新增JobSuccessPolicy特性門控，允許基于一組成功的Pod來聲明這組Pod所屬的Job已經成功完成。成功策略中可以指定某些索引（例如索引Pod x、y、z），或索引數量（例如一組索引中的3個Pod），來聲明Job是否成功完成。該特性門控處于Alpha階段。更多信息，請參見Job success/completion policy。

• 新增RelaxedEnvironmentVariableValidation特性門控，允許在環境變量中使用絕大部分可打印的ASCII字符（范圍為32至126的所有字符，除=外）。該特性門控處于Alpha階段，默認禁用。更多信息，請參見#123385。

• 新增CustomResourceFieldSelectors特性門控，支持對CRD配置selectableFields，以便使用Field Selectors過濾List、Watch和DeleteCollection請求，更便于定位或管理符合特定條件的CRD資源。該特性門控處于Alpha階段，默認禁用。更多信息，請參見Custom Resource Field Selectors。

• CRDValidationRatcheting特性門控帶來了更新：當CRD添加新的驗證時，即使因此導致存量資源在更新后無效，但只要未通過驗證的部分并沒有更新，API Server便不會攔截資源的更新，不影響現有的資源和用戶。這有助于將CRD遷移使用OpenAPI v3 schemas時進行合法性檢查，安全地更新新的驗證規則。此特性門控進入Beta，默認啟用。更多信息，請參見CRD Validation ratcheting。

• Downward API使用status.hostIPs字段支持雙協議棧，即同時支持IPv4和IPv6。status.hostIPs的列表中的第一個IP地址始終與status.hostIP相同。更多信息，請參見Downward API。

• NodeLogQuery特性門控允許使用/logs端點查詢節點服務的日志。該特性門控進階至Beta，默認為false。更多信息，請參見日志查詢。

在Kubernetes 1.29版本

• CronJob不支持在.spec.schedule配置CRON_TZ或者TZ，使用.spec.timeZone字段代替（該字段自v1.25可用）。更多信息，請參見CronJob的限制。

• 移除尚處于Alpha階段且有爭議的networking/v1alpha1 API ClusterCIDR。

在Kubernetes 1.30版本

• kubectl apply命令移除--prune-whitelist參數，建議使用--prune-allowlist代替。更多信息，請參見--prune。

• 準入插件SecurityContextDeny自v1.27開始棄用，在v1.30從代碼中移除。建議使用PodSecurity準入插件代替，該插件自v1.25版本進入Stable，默認啟用。更多信息，請參見PodSecurity。