Kubernetes 1.35: Security-First Release
Veröffentlicht Dezember 2025
Dieses Release fühlt sich an, als hätten die Kubernetes-Maintainer endlich die Sicherheits-Checkliste genommen und Jahre von Verbesserungen auf einmal abgearbeitet. 17 sicherheitsrelevante Änderungen, gehärtete Defaults und Legacy-Bereinigung.
Warum Kubernetes 1.35 wichtig ist
Kubernetes 1.35 ist subtil massiv für jeden, dem die Härtung seiner Cluster wichtig ist—und etwas nervenaufreibend für jeden, der auf älteres Verhalten angewiesen ist. Es schließt alte Türen, ersetzt veraltete Annahmen und gibt mehr Kontrolle in die Hände von Administratoren, die straffere Kontrolle wollen.
Änderungen, die Probleme verursachen können
cgroup v1 Unterstützung entfernt
Ab Kubernetes 1.35 ist die Unterstützung für cgroups v1 standardmäßig deaktiviert. Prüfen Sie, ob Ihr Linux-Server cgroups v2 verwendet, bevor Sie aktualisieren.
Secret-Pulled Images erzwungen
Neues imagePullCredentialsVerificationPolicy-Feld erzwingt Autorisierungsprüfungen für Image-Pulls, auch für gecachte Images.
SPDY zu WebSockets Übergang
Kubernetes CLI wechselt von SPDY zu WebSockets. API-Server erfordert jetzt 'create'-Berechtigung für Verbindungs-Upgrades.
Gehärtete Kubelet-Zertifikatvalidierung
API-Server validiert jetzt, dass der Kubelet-Zertifikat-CN mit system:node:<nodename> übereinstimmt, um Impersonation-Angriffe zu verhindern.
Neue Sicherheitsfunktionen
Eingeschränkte Impersonation
Benutzer können während der Impersonation keine Aktionen mehr ausführen, die sie selbst nicht ausführen könnten.
Flagz für Kubernetes-Komponenten
Neuer Endpunkt zeigt Runtime-Flags für Komponenten an und hilft bei der Erkennung von Konfigurationsabweichungen und Sicherheitsrichtlinienverletzungen.
HostNetwork Pods mit User Namespaces
Pods können jetzt auf das Host-Netzwerk zugreifen und gleichzeitig die User-Namespace-Isolation beibehalten, wodurch das Root-Kompromittierungsrisiko reduziert wird.
CSI-Treiber Opt-In für SA-Tokens
Service-Account-Tokens werden jetzt über ein neues Secrets-Feld statt VolumeContext geliefert. Least Privilege standardmäßig.
Jetzt standardmäßig aktiviert
Diese Verbesserungen sind graduiert und jetzt standardmäßig in Kubernetes 1.35 aktiviert
Pod-Zertifikate
Vereinfachte Zertifikatsbereitstellung für Pods über die PodCertificateRequest-API.
User Namespaces für Pods
Verbesserte Isolation, die Container-Root von Host-Root trennt.
OCI-Artefakte als VolumeSource
OCI-Images direkt als Volumes für Konfiguration und Assets mounten.
Getrennte kubectl-Benutzereinstellungen
Saubere Trennung von Cluster-Konfigurationen und Benutzereinstellungen über kuberc-Datei.
Gogo Protobuf entfernt
Veraltete Serialisierungsbibliothek entfernt, Sicherheitslage verbessert.
Strukturierte Authentifizierungskonfiguration
Dateibasierte Authentifizierungskonfiguration mit CEL-Ausdrücken-Unterstützung.
Feingranulare SupplementalGroups
Strenger Modus ignoriert bösartige /etc/group-Konfigurationen in Container-Images.
Drop-in Kubelet-Konfigurationsverzeichnis
Linux-artiges Konfigurationsverzeichnis für vorhersagbares Kubelet-Management.
So planen Sie Ihr Kubernetes 1.35 Upgrade
Bevor Sie upgraden, überprüfen Sie den offiziellen Upgrade-Leitfaden und berücksichtigen Sie:
stat -fc %T /sys/fs/cgroup/ aus, um zu bestätigenKnative graduiert offiziell in der CNCF
Knative, die Kubernetes-native Serverless-Plattform, ist offiziell in der CNCF graduiert. Dieser Meilenstein bestätigt die Produktionsreife.
Mehr über Knative erfahrenDocker vs Kubernetes
Verstehen Sie die Unterschiede zwischen Docker und Kubernetes und warum Orchestrierung unerlässlich ist.
Leitfaden lesenDeep Dive: Warum Kubernetes 1.35 ein Security-First Release ist
Lesen Sie unsere vollständige Analyse, was diese Änderungen für Ihre Cluster bedeuten
Empfohlenes Buch
Stop Guessing Kubernetes: Clear Answers to the Most Confusing Questions Part I
Ein praktischer, sachlicher Leitfaden zum Verständnis von Kubernetes, wie es tatsächlich funktioniert. Dieses Buch räumt mit dem Rauschen auf und erklärt Kubernetes von Grund auf, anhand realer Fragen, die Ingenieure täglich stellen.
Buch auf Amazon kaufen