Automatische Updates

Container-Optimized OS-Images verfügen über die integrierte Möglichkeit, nach der Veröffentlichung automatisch ein Upgrade auf eine neuere Version durchzuführen. Wenn diese Funktion aktiviert ist, können Nutzerinstanzen in Bezug auf Sicherheitsupdates und Fehlerkorrekturen auf dem neuesten Stand gehalten werden.

Wenn Container-Optimized OS als Teil eines verwalteten Dienstes (z. B. Google Kubernetes Engine, Cloud SQL usw.) verwendet wird, aktualisiert der verwaltete Dienst die Container-Optimized OS-Instanz für die Nutzer, um die Option zu aktivieren. Daher sind automatische Updates standardmäßig für diese deaktiviert.

Nutzer, die Produktionsarbeitslasten ausführen, die sensibel auf Kernel-Upgrades reagieren und eine kontrollierte Qualifizierung und Einführung benötigen, sollten auch automatische Updates deaktivieren. Weitere Informationen finden Sie im Abschnitt Automatische Updates deaktivieren.

Hinweis: Direkte Updates werden auf Container-Optimized OS-VMs mit aktiviertem Secure Boot (Extensible Firmware Interface) nicht unterstützt. Der UEFI Secure Boot ist auf VMs mit Container-Optimized OS nicht standardmäßig aktiviert. Weitere Informationen zum sicheren UEFI-Start finden Sie in der Shielded VM-Dokumentation.

Hinweis: Direkte Updates werden in Arm-basierten Images von Container-Optimized OS nicht unterstützt.

Automatische Updates deaktivieren

Die Funktion für automatische Updates ist standardmäßig für alle Container-Optimized OS-Images aktiviert. Sie können das Feature deaktivieren, indem Sie die cos-update-strategy-Metadaten auf eine der folgenden Arten festlegen:

Neue Instanz erstellen

Erstellen Sie eine neue Instanz mit deaktivierten automatischen Updates:

gcloud compute instances create INSTANCE_NAME --metadata cos-update-strategy=update_disabled

Vorhandene Instanz

Deaktivieren Sie automatische Updates für eine vorhandene Instanz:

gcloud compute instances add-metadata INSTANCE_NAME --metadata cos-update-strategy=update_disabled

Updates für alle Instanzen in einem Projekt deaktivieren

Ab Meilenstein 97 können Sie automatische Updates für alle Instanzen in einem Projekt mithilfe von Metadaten-Flags in Projektmetadaten deaktivieren.

gcloud compute project-info add-metadata \
    --metadata cos-update-strategy=update_disabled

Hinweis: Auf Instanzebene definierte Metadaten-Flags haben Vorrang vor Metadaten-Flags auf Projektebene.

Design für automatische Updates

Container-Optimized OS verwendet ein Aktiv-Passiv-Root-Partitionsschema. Das Betriebssystem-Image wird komplett aktualisiert, einschließlich dem Kernel, im Gegensatz zu Aktualisierungen von traditionellen Linux-Distributionen, die Paket für Paket erfolgen. Das Image wird mit aktivierter automatischer Aktualisierungsfunktion gesendet. Dies bedeutet, dass eine standardmäßige Container-Optimized OS-Instanz immer die neueste Betriebssystemversion herunterlädt und sie kurz nach der Veröffentlichung auf der passiven Partition installiert.

Wenn Sie ein Image aus dem LTS-Meilenstein oder der cos-stable-Image-Familie verwenden, erhalten Sie ein Update mit der neuesten Betriebssystemversion vom selben Meilenstein. Bei den Image-Familien cos-dev und cos-beta wird die neueste Betriebssystemversion aus der entsprechenden Imagefamilie aktualisiert.

Hinweis: Das Update wird erst nach dem Neustart der Instanz wirksam. Die automatische Aktualisierung erzwingt den Neustart bei der Installation des Updates nicht. Nachdem eine aktualisierte Version installiert wurde, muss die Instanz neu gestartet werden, bevor sie auf die neuere Version aktualisiert werden kann.

Änderungen am Verhalten bei automatischen Updates

Das Container-Optimized OS-Team arbeitet aktiv an der Verbesserung unserer Back-End-Infrastruktur, die automatische Updates ermöglicht. Im Rahmen dieser Änderungen rotieren wir die Schlüssel, die zum Signieren und Überprüfen der Nutzlasten von Updates verwendet werden. Images, die vor der Schlüsselrotation freigegeben wurden, können jedoch nicht automatisch auf Images aktualisiert werden, die nach der Rotation freigegeben wurden. Die betroffene Image-Liste sieht so aus:

• Diese Images können nicht auf die neueste Version aktualisiert werden:

  • Auf Meilenstein 77: Images vor cos-77-12771-1000-0
  • Auf Meilenstein 81: Images vor cos-81-12271-1000-0
  • Auf Meilenstein 85: Images vor cos-85-13310-1000-0
  • Auf Meilenstein 86: Images vor cos-dev-86-15053-0-0

• Für diese Images werden keine Aktualisierungen mehr bereitgestellt:

  • Alle Meilensteine vor 77, einschließlich aller veralteten Meilensteine.

Bei Nutzern, die ein eigenständiges Container-Optimized OS mit einer der betroffenen Versionen verwenden und die Funktion für automatische Updates aktiviert ist, werden ihre Instanzen nicht auf neuere Versionen aktualisiert. In diesen Fällen sollten Nutzer neuere Betriebssystemversionen manuell auswählen, indem sie ihre VM-Instanzen mit dem neueren Image neu erstellen. Automatische Updates funktionieren weiterhin bei allen unterstützten Meilensteinen für neue Releases.

Hinweis: Nutzer, die Container-Optimized OS als Teil eines verwalteten Dienstes (z. B. Google Kubernetes Engine, Cloud SQL) verwenden, sind nicht betroffen.