1.3.9. Nodes
- Additional CRI-O storage locations の一般提供が開始されました
今回のアップデートにより、Additional CRI-O storage locations 機能の一般提供が開始されました。この機能を使用すると、Pod のプル元となるデフォルト以外の追加のアーティファクトストレージロケーションを CRI-O 内に作成できます。これにより、アプリケーションの起動時間が短縮され、アプリケーションをより効率的に実行できるようになります。
詳細は、コンテナーの起動を高速化する Additional CRI-O storage locations を参照してください。
- ミラーリングされたレジストリー向けプロジェクトスコープのイメージプルシークレットの一般提供が開始されました
今回のアップデートにより、ミラーリングされたレジストリー向けプロジェクトスコープのイメージプルシークレット機能の一般提供が開始されました。この機能を使用すると、ノードレベルのシークレットではなく、プロジェクトスコープのプルシークレットを使用して、ミラーリングされたレジストリーからイメージをプルできます。
詳細は、ミラーリングされたレジストリーに対するプロジェクトスコープのイメージプルシークレットの設定 を参照してください。
- 動的リソース割り当て (DRA) の改善
今回のアップデートにより、DRA 機能に対して以下の改善が行われました。
DRA によるパーティショニング可能なデバイス機能の一般提供が開始されました。今回のアップデートにより、動的リソース割り当てで利用するために、Multi-Instance GPU などの物理ハードウェアを手動で小さな論理インスタンスに分割する機能の一般提供が開始されました。
詳細は、DRA を使用して Pod に GPU を割り当てる を参照してください。
DRA の消費可能容量。今回のアップデートにより、DRA の消費可能容量メソッドが利用可能になりました。事前に固定パーティションを作成することなく、GPU などの単一デバイスを複数の独立したリソース要求間で共有できます。各要求は一定量のデバイス容量を要求し、スケジューラーは消費容量の合計がデバイスの総容量を超えないように制御します。
その結果、ワークロードは必要なデバイス容量のみを使用できるため、排他的割り当てや事前定義されたパーティションと比較して、アクセラレーターの利用率が向上します。
詳細は、DRA を使用して Pod に GPU を割り当てる を参照してください。
DRA におけるデバイスの taint と toleration。今回のアップデートにより、DRA におけるデバイスの taint と toleration が利用可能になりました。リソーススライス内で DRA ドライバーを使用すると、GPU などの個々のデバイスに taint を設定できます。これにより、スケジューラーはそれらのデバイスに新しい Pod を配置せず、すでにそのデバイスを使用している Pod を削除できます。クラスター管理者は、
DeviceTaintRuleオブジェクトを作成することで、条件に一致するデバイスに同じ効果を適用できます。ワークロードは、Pod の仕様内ではなく、リソース要求内でこれらの taint を許容します。詳細は、DRA を使用して Pod に GPU を割り当てる を参照してください。
DRA のデバイスバインディング条件。今回のアップデートにより、DRA のデバイスバインディング条件が利用可能になりました。ファブリック接続型またはネットワーク接続型のアクセラレーターのように、Pod の起動前にノード上でのアタッチや準備が必要なデバイスについては、スケジューラーは即座に Pod をバインドするのではなく、デバイスの準備が完了するまで待機します。DRA ドライバーは、デバイスに必要な準備状態および障害条件を宣言します。ドライバー側で割り当てを選択したノード上に維持する必要もある場合、スケジューラーはそのノード情報をリソース要求に記録し、コントローラーがそのノード上でデバイスのアタッチや準備を行えるようにします。
その結果、これらのデバイスを必要とする Pod は、ハードウェアがノード上で実際に利用可能になった後にのみ起動するため、デバイスのアタッチ処理中に発生する起動失敗を回避できます。
詳細は、DRA を使用して Pod に GPU を割り当てる を参照してください。
Pod ステータスにおけるデバイスのヘルスステータス今回のアップデートにより、Pod ステータスで割り当てられた DRA デバイスの健全性を報告できるようになりました。DRA ドライバーが GPU などのデバイスが異常であると報告すると、kubelet はその情報を、そのデバイスを使用する各コンテナーに記録します。Pod のステータスを確認することで、割り当てられたデバイスが
Healthy、Unhealthy、またはUnknownのいずれであるかを確認できます。ドライバーが追加情報を提供した場合、ステータスには健全性に関する結果を説明するメッセージが含まれることもあります。その結果、アプリケーションログだけに頼ることなく、障害が発生した Pod の原因がアプリケーションにあるのか、それとも基盤となるデバイスにあるのかを特定できるようになります。
詳細は、DRA を使用して Pod に GPU を割り当てる を参照してください。
- 接続エラーおよびレジストリーエラーに対する、回復力のあるイメージミラーフォールバック
ImageDigestMirrorSetまたはImageTagMirrorSetを使用するイメージのプルは、一時的なレジストリーエラー、レート制限、またはレイヤーの欠落が原因でレイヤーのダウンロードが失敗した場合、次に設定されているミラーを使用して処理を続行します。認証エラーが発生すると、プル処理が停止します。設定変更は不要です。詳細は、イメージレジストリーリポジトリーのミラーリングについてを 参照してください。
- sigstore を使用したコンテナーイメージ署名検証
検証済みの通信事業者コア Operator の場合、
ClusterImagePolicyまたはImagePolicyカスタムリソースを使用して、sigstore フレームワークでコンテナーイメージの署名を検証できます。詳細は、sigstore を使用したセキュア署名の管理を 参照してください。