Kubernetes v1.37 Garhwal: Rootless Kubelet, Gang Scheduling und native Pod-Zertifikate

📷 "Docker HQ, San Francisco, California" by willbuckner is licensed under CC BY 2.0. To view a copy of this license, visit https://creativecommons.org/licenses/by/2.0/.

Am 26. August 2026 wurde Kubernetes v1.37 “Garhwal” veröffentlicht – mit 67 Enhancements, darunter 16 stabile und 23 Beta-Features. Während das Release auf den Fundamenten der Vorgängerversionen aufbaut, setzt es einen klaren Fokus auf Betriebssicherheit, Ressourceneffizienz und die zunehmende Bedeutung von KI/ML-Workloads. Welche Änderungen für Cluster-Betreiber wirklich zählen.

Rootless Kubelet: Ein neues Sicherheitsniveau

Der Kubelet läuft seit jeher als root-Prozess auf dem Node – ein Angriffspunkt, der bei einer Kompromittierung die gesamte Maschine preisgibt. Mit v1.37 erreicht der rootless Kubelet (Feature Gate KubeletInUserNamespace) den Beta-Status. Der gesamte Node-Stack – Kubelet, Kube-Proxy, CRI- und OCI-Runtime – kann nun in einem User Namespace als unprivilegierter User betrieben werden.

Die praktische Konsequenz: Eine Code-Ausführung im Kubelet endet nicht länger in root-Rechten auf dem Host. In Kombination mit den stabilen User Namespaces aus v1.36 verschiebt sich die Vertrauensgrenze eines Kubernetes-Nodes grundlegend – besonders relevant für Edge-Deployments mit physischem Zugriff oder Multi-Tenant-Cluster. Das Feature ist standardmäßig deaktiviert, Cluster-Betreiber sollten es auf Edge- und Szenarien mit erhöhten Sicherheitsanforderungen pilotieren.

Pod-Zertifikate und KYAML: Stabilität für den Arbeitsalltag

Zwei lang erwartete Neuerungen erreichen in v1.37 den Stable-Status:

Pod Certificates und Cluster Trust Bundles ermöglichen native mTLS-Zertifikate für Pods direkt aus dem Cluster. Der Kubelet beantragt über ein PodCertificateRequest-Objekt ein Zertifikat, ein integrierter Signer stellt es aus, und per Projected Volume landet es direkt im Pod-Dateisystem. Die Verwaltung über ClusterTrustBundle-Objekte verteilt die Vertrauensanker. Damit werden externe Lösungen wie cert-manager in vielen Szenarien überflüssig – die Zertifikatsrotation erfolgt nativ durch den Kubelet.

KYAML – ein sichereres, mehrdeutigkeitsfreies YAML-Subset speziell für Kubernetes – ist nach dem Graduierungsweg Alpha (v1.34) → Beta (v1.35) nun stabil. Jede KYAML-Datei ist gültiges YAML, aber nicht jedes YAML ist KYAML. Wer schon einmal erlebt hat, dass "NO" als Boolean false interpretiert wurde, weiß, warum das zählt. Der Befehl kubectl get -o kyaml ist ab sofort produktiv einsetzbar.

Ebenfalls nach neun Jahren Beta: Die Metrics API (metrics.k8s.io) ist stabil. CPU- und Speicherdaten für Pods und Nodes, die Features wie kubectl top und den HPA antreiben, stehen nun über eine GA-API zur Verfügung.

Gang Scheduling und DRA: KI/ML-Workloads im Fokus

Kubernetes wird zunehmend zum Orchestrator für KI-Training und HPC-Simulationen. Genau hier setzt das Release an: Gang Scheduling (Beta hinter dem Feature Gate GenericWorkload) erlaubt eine “Alles-oder-Nichts”-Strategie – eine Gruppe von Pods (ein PodGroup) wird nur dann eingeplant, wenn der Cluster genug Ressourcen für die gesamte Gruppe hat. Bisher konnte der Scheduler einzelne Pods verteilen, während andere auf Kapazität warteten, was zu Deadlocks führte.

Die Workload- und PodGroup-APIs erreichen v1beta1, das Feld minCount ist nun änderbar, und der Scheduler reiht nur noch das PodGroup-Objekt in die Warteschlange ein – nicht mehr jedes Mitglied einzeln. Die neue CompositePodGroup API (Alpha) erlaubt hierarchische Scheduling-Strukturen für komplexe, heterogene Workloads, wie sie von JobSet und LeaderWorkerSet (LWS) verwaltet werden.

Im Bereich Dynamic Resource Allocation (DRA) werden vier Features stabil, darunter ResourceClaim-Status mit standardisierten Netzwerkschnittstellen-Daten und Device Taints/Tolerations – entscheidend für GPU-Workloads, bei denen eine fein granulare Steuerung der Ressourcenzuteilung nötig ist.

HPA Scale-to-Zero und weitere Highlights

Das HorizontalPodAutoscaler-Feature Scale-to-Zero (Beta, jetzt standardmäßig aktiviert) erlaubt es, Workloads bei fehlender Auslastung auf null Pods herunterzufahren – etwa Queue-Consumer, Batch-Jobs oder GPU-Workloads in Wartezeiten. Die Metrik muss dabei auf Objekt- oder Extern-Metriken basieren, da CPU/Memory-Metriken aktive Pods voraussetzen.

Weitere relevante Neuerungen: Die Manifest-basierte Admission-Control (Beta) erlaubt das Laden von Admission-Webhooks und CEL-Policies direkt von der Festplatte, unabhängig von etcd. Das Storage Version Migration API (storagemigration.k8s.io/v1) ist stabil – Daten können nach API-Upgrades automatisch auf die neue Speicherversion migriert werden. Und mit Memory QoS (Beta, standardmäßig aktiv) erhalten cgroups-v2-basierte Nodes effektivere Mechanismen zur Speicherisolierung.

Fazit

Kubernetes v1.37 “Garhwal” setzt den Kurs der vorherigen Releases fort: Sicherheit und Ressourceneffizienz werden zuerst class=“sinnvoll”. Der rootless Kubelet, native Pod-Zertifikate und Memory QoS machen den Cluster widerstandsfähiger, während Gang Scheduling und die DRA-Verbesserungen den Weg für KI/ML-Workloads auf Kubernetes ebnen. Für Betreiber lohnt sich ein genauer Blick auf die Beta-Features – und wer auf Edge-Knoten setzt, sollte das Pilotieren des rootless Kubelet auf die Agenda setzen.

Die Vorbereitungen für v1.38 laufen bereits; das Shadow-Team sucht schon Mitwirkende.