▸ saaro:~/blog ▊ Notizen & Artikel
← zurück

📷 "Technology Abstract" by Lenharth Systems is marked with CC0 1.0. To view the terms, visit https://creativecommons.org/publicdomain/zero/1.0/.

Kubernetes v1.36 ‚Haru': Mehr Sicherheit und KI-Fokus für die Container-Orchestrierung

19. Juli 2026 · 3 min · Martin Jochum #Kubernetes#Container#KI#Sicherheit#DevOps

Am 22. April 2026 wurde Kubernetes v1.36 unter dem Codenamen «Haru» (ハル) veröffentlicht — die erste große Kubernetes-Version des Jahres. Mit 70 Erweiterungen (18 Stable, 25 Beta, 25 Alpha) setzt das Release neue Akzente in den Bereichen Sicherheit, KI-Workload-Management und API-Skalierbarkeit. 106 Unternehmen und 491 Einzelpersonen haben daran mitgewirkt.

User Namespaces endlich produktionsreif

Die wohl wichtigste Sicherheits-Neuerung ist der GA-Status von User Namespaces (KEP #127). Dieses lang erwartete Feature erlaubt es, den Root-User eines Containers auf einen nicht-privilegierten Benutzer des Host-Systems abzubilden. Selbst wenn ein Prozess aus einem Container ausbricht, erhält er keine administrativen Rechte auf dem zugrundeliegenden Node. Damit schließt Kubernetes eine der größten Sicherheitslücken in Multi-Tenant-Umgebungen und bietet einen effektiven Schutz gegen Container-Breakout-Angriffe.

Ebenfalls in den Stable-Status aufgestiegen sind Mutating Admission Policies (KEP #3962). Administratoren können Mutationen von API-Ressourcen nun direkt im API-Server mittels der Common Expression Language (CEL) definieren — ohne dafür einen separaten Webhook-Server betreiben zu müssen. Das spart Latenz und reduziert die Betriebskomplexität erheblich.

Granularere Zugriffskontrolle und Sicherheit

Die Fine-Grained Kubelet API Authorization (KEP #2862) erreicht ebenfalls GA. Statt der bisher groben nodes/proxy-Berechtigung können Monitoring- und Observability-Tools nun präzise, nach dem Least-Privilege-Prinzip konfigurierte Zugriffe auf die kubelet-HTTPS-API erhalten. Das ist ein großer Schritt für sicherheitsbewusste Cluster-Betreiber.

Mit SELinux Volume Labeling (GA) wird die rekursive Datei-Neubeschriftung durch eine mount -o context=XYZ-Option ersetzt. Das beschleunigt den Pod-Start auf SELinux-basierten Systemen deutlich.

KI-Workloads: Neue Grundlagen für GPU-Cluster

Die Dynamic Resource Allocation (DRA) erhält in v1.36 mehrere wichtige Verbesserungen. DRA Admin Access und Prioritized Lists erreichen GA und bieten einen stabilen Rahmen für die Verwaltung von Hardware-Ressourcen wie GPUs über Cluster-Grenzen hinweg. DRA Partitionable Devices, Consumable Capacity und Device Taints and Tolerations wechseln in den Beta-Status und sind standardmäßig aktiviert.

Ein neues Alpha-Feature ist Workload-Aware Preemption: Bisher konnte der Scheduler einzelne Pods vorzeitig beenden, um Platz für höherpriore Workloads zu schaffen — ein Problem für verteiltes Training, bei dem sieben von acht Ranks laufen, aber der achte fehlt. Die neue Funktion behandelt eine PodGroup als eine einzige Preemption-Einheit und führt die Räumung erst durch, wenn die gesamte Gruppe platziert werden kann.

Die Gang Scheduling API wechselt von Alpha zu Beta. Mutable Pod Resources for Suspended Jobs (Beta) erlaubt es, CPU-, Memory- und GPU-Anforderungen an laufende Jobs anzupassen, ohne Pods neu zu starten — ein Gewinn für Queue-Controller in KI-Umgebungen.

API-Skalierbarkeit und Infrastruktur

Ein neues Alpha-Feature sind Sharded List and Watch Streams: In großen Clustern mit vielen Controllern können Watch-Streams zu Engpässen werden. Die neue Architektur verteilt die Last auf mehrere Streams.

Volume Group Snapshots (GA) ermöglichen Crash-consistent Snapshots über mehrere PersistentVolumeClaims hinweg — essenziell für Datenbanken und StatefulSets. OCI Volume Sources (GA) erlauben es, Container-Images und Artefakte direkt aus OCI-Registries als Volume zu mounten.

Pressure Stall Information (PSI) (GA) liefert präzise Metriken zu CPU-, Memory- und I/O-Engpässen auf cgroupv2-Basis und hilft, «Noisy Neighbor»-Effekte frühzeitig zu erkennen.

Wichtige Entfernungen und Änderungen

Beim Upgrade auf v1.36 sollten folgende Entfernungen beachtet werden:

  • Das gitRepo-Volume-Plugin (seit v1.11 deprecated) wurde endgültig entfernt.
  • Der IPVS-Modus in kube-proxy (seit v1.35 deprecated) ist nicht mehr verfügbar.
  • FlexVolume-Unterstützung in kubeadm und der Portworx-In-Tree-Treiber wurden entfernt.

Ebenfalls erwähnenswert: Das Ingress NGINX-Projekt wurde am 24. März 2026 von SIG Network und dem Security Response Committee eingestellt. Seitdem gibt es keine Releases, Bugfixes oder Sicherheits-Updates mehr. Migrationen zu Gateway API oder Alternativen sollten priorisiert werden.

Fazit

Kubernetes v1.36 «Haru» ist ein solides Release, das Sicherheits-Grundlagen auf Produktionsniveau hebt und gleichzeitig die Grundlage für die nächste Generation von KI-Workloads legt. VMware Cloud Foundation beschreibt den Trend treffend: «Kubernetes bewegt sich von einem flexiblen Framework hin zu stärker meinungsbildenden Standardeinstellungen für Sicherheit und Ressourcenverwaltung.» Der Fokus auf User Namespaces, DRA und Workload-Aware Scheduling zeigt, dass die Orchestrierungsplattform auch nach über zehn Jahren kein Abflauen der Innovation erkennen lässt.

Quellen