Kubernetes v1.35 업데이트 미리보기

서두

Kubernetes v1.35 릴리스가 다가오면서 프로젝트는 안정성과 보안, 기능 일관성을 위해 여러 기능을 정리하고 새 기능을 도입한다.

 v1.35에서 예정된 중요한 폐기(deprecation), 제거(removal), 신규/향상 기능을 미리 살펴본다.

공식 사이트

Kubernetes v1.35 Sneak Peek

 

(※ 공식 릴리스 이전 내용이므로 일부 변경될 수 있습니다.)

( 공식 사이트에서 발췌한 내용을 기반으로 작성하였으나, 명확하지 않은 부분은 경험을 토대로 작성하였습니다. 이는 정확한 정보가 아닐 수 있음을 알려드립니다. )

 

광고 클릭은 큰 힘이 됩니다!

728x90

---

폐기 및 제거 예정 기능

1. cgroup v1 지원 제거 (KEP-5573)

Kubernetes는 v1.35부터 cgroup v1 지원을 완전히 제거한다.

문제

• cgroup v1은 오래된 방식이며 일관성이 떨어지고 현대 기능 지원에 한계가 있었다.

변화

• kubelet은 cgroup v2만 지원하며, cgroup v1만 지원하는 구형 Linux 노드에서는 kubelet이 시작 실패한다.

영향

• 구버전 OS 기반 노드를 사용하는 클러스터는 반드시 cgroup v2 기반으로 마이그레이션해야 한다.
• containerd 및 런타임은 대부분 cgroup v2를 기본 지원한다.

---

2. kube-proxy IPVS 모드 폐기 (KEP-5495)

kube-proxy의 IPVS 모드가 v1.35에서 폐기된다. 

이 항목은 업그레이드시 기존 클러스터의 네트워크 모드에따라 타격이 있을듯 하다. 
또한 가끔 IPVS 모드가 아닌 다른 모드 사용시 심심치 않게 충돌 현상을 봤는데.. 어플리케이션 등을 고려해서 테스트가 필수적으로
필요해 보인다.

문제

• iptables/nftables 대비 유지보수 비용 증가
• 기능 동등성 유지 어려움
• 최신 네트워크 기능과 충돌

변화

• v1.35에서 “Deprecated”
• Linux에서 권장 모드는 nftables

---

3. containerd v1.x 지원 종료 (KEP-4033)

Kubernetes v1.35은 containerd 1.X를 마지막으로 지원하는 릴리스다.

위 kube-proxy 보다야 낫지만 이 또한 containerd의 업그레이드 까지 고려 해야하니 충분한 테스트를 필요로 할 것 같다.

영향

• 다음 릴리스(v1.36)부터는 containerd 2.0 이상 필수
• kubelet은 kubelet_cri_losing_support 메트릭을 통해 곧 미지원이 될 런타임 버전을 표시한다.

조치

• containerd 2.x로 업그레이드 필수

---

새로운 기능 및 향상된 기능

1. Node Declared Features (KEP-5328)

노드가 지원 가능한 Kubernetes 기능을 스스로 선언하는 새로운 프레임워크(Alpha)

아직 이 기능을 완벽하게 본 건 아니지만.. 구버전, 신버전의 혼합이 가능한 구성으로 클러스터를 관리 가능하다는거면.. 너무 좋은 기능이라 생각한다. 컨트롤 플랜과 몇몇 노드는 최신 버전으로 유지하며 구 버전 노드를 한 클러스터에 유지 하면서 간다고?! 생각만 해도 해피한 기능이다.. 다만 지원 범위가 확실하지 않아 좀 더 탐구가 필요해 보인다.

문제

• 컨트롤 플레인과 노드 간 버전 차이로 인해 기능 미지원 노드에 Pod가 스케줄링되는 문제가 있었다.

변화

• 노드는 .status.declaredFeatures 필드를 통해 자신이 지원하는 기능을 선언한다.
• 스케줄러·Admission Controller·Cluster Autoscaler가 이를 활용한다.

이점

• 노드 라벨 수동 관리 감소
• 기능 미지원 노드에 Pod 배치 방지
• 이종 버전 클러스터 안정성 향상

---

2. Pod 리소스 인플레이스 업데이트 GA (KEP-1287)

이전 1.34에서 언급한 기능이다. 이제 Pod 리소스를 재시작 없이 조정하는 기능이 GA에 도달했다.

기존

• CPU/메모리 변경 시 Pod를 재생성해야 했고, 상태ful 워크로드에 위험했다.

변화

• Pod의 리소스(request/limit)를 즉시 적용 가능
• CRI의 UpdateContainerResources API 확장 포함

이점

• 무중단 수직 확장
• 인프라 자동화 단순화
• stateful 서비스 운영 안정

---

3. Pod Certificates (KEP-4317)

Pod에 고유 mTLS 인증서를 자동 발급/회전하는 기능 (Beta)

파드 자체에서 인증서 발급과/자동갱신을 하는 기능이다. 외부 의존성을 내리고 기능으로  추가함으로써 워크로드 자체의 확장성을 넓힌듯 하다.

기존 문제

• SPIRE, cert-manager 등 외부 시스템에 의존
• Kubernetes 자체적으로 workload identity 제공 부족

변화

• kubelet이 Pod 인증서를 API 서버에 요청해 projected volume으로 마운트
• 자동 회전 지원

이점

• 네이티브 mTLS 기반 microservice 보안 강화
• 서비스 메시 구성 간소화
• zero-trust 아키텍처 구현 용이

---

4. Taints의 숫자 비교 지원 (KEP-5471)

toleration이 숫자 기반 비교(Gt/Lt)를 지원 이 변경을 통해 Pod는 톨러레이션을 사용하여 특정 수치 임계값을 충족하는 노드에 "옵트인"할 수 있다. 예를 들어, Pod는 SLA 테인트 값이 950( operator: Gt, value: "950")보다 큰 노드를 요구할 수 있다.

말이 좀 어려운데, 쉽게 말해 이전까지는 Yes or No 구분되던 값을 숫자를 통해 조절하는 기능인듯 하다.
"950 보다 높으면 스케줄링"과 같은 유연한 스케줄링이 가능해진것

기존

• exact/exist match만 가능 → SLA 기반 스케줄링 불가

변화

tolerations:
- key: "node-sla"
  operator: "Gt"
  value: "950"
  effect: "NoExecute"

이점

• 신뢰도·성능 지표 기반 노드 선택
• SLA 위반 시 Pod 자동 축출 가능
• affinity보다 강력한 정책 적용

---

5. User Namespaces 향상 (KEP-127)

이전 버전에도 언급되었던 컨테이너 root(UID 0)를 호스트의 비특권 UID로 매핑하는 기능이 지속적으로 강화었다.

주요 효과

• Pod 탈출 사고 시 호스트 root 권한 획득 차단
• 멀티테넌트 환경 보호
• rootless Kubernetes 기반 마련

상태

• v1.35에서도 베타 유지, 안정성 증가

---

6. OCI 이미지 볼륨 기본 활성화 예정 (KEP-4639)

이전 버전에서 언급한 OCI 이미지(데이터 전용 이미지)를 읽기 전용 볼륨으로 마운트하는 기능이 v1.35에서 기본 활성화될 가능성이 높다.

기존

• initContainer로 다운로드
• 메인 이미지에 데이터 포함
• 복잡한 배포 방식

변화

volumes:
- name: model
  image:
    reference: ghcr.io/org/model:2025

이점

• 대규모 데이터(ML 모델, 정적 콘텐츠 등) 배포 간소화
• 이미지 경량화
• 표준화된 데이터 배포 방식 유지

---

정리

Kubernetes v1.35는 인프라 운영 안정성과 보안성을 강화하기 위해 필수적인 변화를 도입한다.

• cgroup v1 제거, IPVS 폐기, containerd v1.x 지원 종료로 레거시 환경 정리
• 인플레이스 리소스 업데이트 GA, OCI 볼륨 기본 활성화로 운영 효율성 확대
• Pod Certificates·User Namespaces 강화로 보안·Workload Identity 향상
• Node Declared Features 도입으로 이종 버전 환경에서도 안정적 스케줄링 지원

프로덕션 업그레이드 전 스테이징 환경 테스트는 필수이며, 특히 kube-proxy 모드, containerd 2.x 및 cgroup v2 준비 여부를 점검해야 한다.

---

참고

• KEP-5573: Remove cgroup v1 support
• KEP-5495: Deprecate ipvs mode in kube-proxy
• KEP-4033: Discover cgroup driver from CRI
• KEP-5328: Node Declared Features
• KEP-1287: In-place Update of Pod Resources
• KEP-4317: Pod Certificates
• KEP-5471: Numeric values for Taints
• KEP-127: User Namespaces
• KEP-4639: OCI Volume Source

---

중요

잘못된 정보나, 문의등은 댓글로 메일과 함께 적어주시면 감사하겠습니다.