Kubernetes Blog
·
Kubernetes v1.36：弃用和移除Service ExternalIPs
内容提要
Kubernetes 1.36正式弃用.spec.externalIPs字段，因其存在安全漏洞（CVE-2020-8554）。建议用户禁用此功能，使用LoadBalancer服务或Gateway API等替代方案，以确保IP地址分配的安全性和管理权限。
关键要点
-
Kubernetes 1.36正式弃用.spec.externalIPs字段，因其存在安全漏洞（CVE-2020-8554）。
-
建议用户禁用.spec.externalIPs功能，使用LoadBalancer服务或Gateway API等替代方案。
-
Kubernetes项目自1.21版本以来推荐用户禁用.spec.externalIPs，并引入了DenyServiceExternalIPs的准入控制器。
-
使用LoadBalancer服务时，管理员可以控制IP地址的分配，避免安全问题。
-
Gateway API允许集群管理员定义网关资源，提供更安全的IP地址管理。
-
Kubernetes的Gateway API是下一代的Ingress、负载均衡和服务网格API，旨在解决现有资源的不足。
延伸解读
安全隐患与替代方案
Kubernetes 1.36正式弃用.spec.externalIPs字段，主要是因为其存在安全漏洞（CVE-2020-8554）。用户应关注这一变化，及时禁用此功能，并考虑使用LoadBalancer服务或Gateway API等更安全的替代方案，以确保IP地址的安全管理。
DenyServiceExternalIPs的作用
自Kubernetes 1.21版本以来，DenyServiceExternalIPs准入控制器被引入以帮助用户禁用.spec.externalIPs功能。启用该控制器可以有效防止未来对.externalIPs字段的误用，增强集群的安全性。
LoadBalancer与Gateway API的优势
使用LoadBalancer服务时，管理员可以更好地控制IP地址的分配，避免安全问题。而Gateway API则为集群管理员提供了更灵活的网关资源管理，适合需要更高安全性的场景。用户应根据实际需求选择合适的方案。
延伸问答
Kubernetes 1.36中弃用的.spec.externalIPs字段有什么安全问题？
该字段存在安全漏洞，允许未授权用户利用，具体漏洞为CVE-2020-8554。
Kubernetes推荐使用哪些替代方案来替代.spec.externalIPs？
建议使用LoadBalancer服务或Gateway API等替代方案。
如何禁用.spec.externalIPs功能以提高安全性？
可以启用DenyServiceExternalIPs准入控制器来禁用该功能。
LoadBalancer服务如何解决.spec.externalIPs的安全问题？
LoadBalancer服务允许管理员控制IP地址分配，避免多个服务使用相同IP。
Gateway API在Kubernetes中有什么作用？
Gateway API允许集群管理员定义网关资源，提供更安全的IP地址管理。
Kubernetes 1.36弃用.spec.externalIPs的背景是什么？
自Kubernetes 1.21版本以来，项目已推荐禁用该功能以应对安全问题。
