发布日期: 2025-05-08
版本号: v1.33.0+k3s1

K3s v1.33.0+k3s1 版本发布，将 Kubernetes 升级至 v1.33.0 并修复了多项问题。主要更新包括：为集群 DNS 添加 IPv6 支持、启动时加载 nft 模块、新增 k3s certificate check 命令并支持表格输出、允许在运行时自动导入容器镜像至 containerd、修复非 root 用户下的 K3S_DATA_DIR 问题、改进 Flannel RBAC 配置、对齐 --etcd-snapshot-dir 的默认路径说明、修复设置绑定地址时的本地密码验证问题、禁用 S3 传输的透明压缩/解压缩、升级 Local Path Provisioner 版本、支持从 AWS 共享凭证文件加载 etcd 快照备份的 S3 凭证、合并 Linux 与 Windows 的 containerd 配置模板、将 containerd 升级至 v2.0（需迁移自定义配置模板）、减少缓存抖动、为 containerd 快照添加指标、修复 check-config 命令中 CONFIG_SECCOMP 的分类、在变量设置时渲染 CNI 目录配置、升级 containerd 与 runc 版本、改进节点启动时的就绪轮询、将 k3s 镜像发布至 GitHub Container Registry、支持使用 secretbox 加密提供程序进行密钥加密、修复 kubelet 证书签名密钥使用问题、升级 etcd 至 v3.5.21、升级 flannel 至 v0.26.7、升级 Traefik 至 v3.3.6、通过 CLI 标志设置 kubelet 只读端口、修复 P2P 对等体引导时的过载问题、修复引导器返回空对等体列表时的处理程序 panic、改进 k3s.cattle.io API 路径、修复内核无 v1 控制器支持时的内存 cgroup 检查、添加 netfilter 统计模块检查等。 内嵌组件版本为：Kubernetes v1.33.0、Kine v0.13.14、SQLite 3.46.1、Etcd v3.5.21-k3s1、Containerd v2.0.4-k3s4、Runc v1.2.5、Flannel v0.26.7、Metrics-server v0.7.2、Traefik v3.3.6、CoreDNS v1.12.1、Helm-controller v0.16.10、Local-path-provisioner v0.0.31。用户可通过 GitHub 提交问题、加入 Slack 频道或查阅文档获取支持与贡献指南。

更新内容 （中文）

此版本将 Kubernetes 更新至 v1.33.0，并修复了若干问题。

更多新内容详情，请参阅 Kubernetes 发布说明。

自 v1.32.0+k3s1 以来的变更：

  • 为 cluster-dns 添加 IPv6 使用文档 (#11498)
  • 启动时加载 nft 模块 (#11524)
  • 添加 “k3s certificate check” 条款以改善测试覆盖率 (#11485)
    • 现在可以使用 --output table 标志获取 k3s certificate check 的表格输出。
  • 修复 release-XX 分支的 skew semver (#11531)
  • 将 supervisor API 请求处理程序移至专用包并添加单元测试 (#11471)
  • 为 containerd 镜像存储自动导入镜像 (#10973)
    • 用户现在只需在 k3s 运行时将镜像放入 agent/images 文件夹，即可自动导入到 containerd。
  • 修复以非 root 用户运行时的 K3S_DATA_DIR (#11378)
  • 改进 flannel RBAC 变更 (#11569)
  • 对齐 etcd-snapshot-dir 默认路径描述 (#11571)
    • 使 CLI 报告的默认 --etcd-snapshot-dir 值与实际值（server、etcd-snapshot 命令）保持一致。
  • 修复设置 bind-address 时的本地密码验证 (#11607)
  • 杂项：升级 klipper-lb 和 klipper-helm (#11595)
  • 移除延迟节点密码验证的本地限制 (#11646)
  • 禁用 s3 传输的透明压缩/解压缩 (#11604)
  • 升级 Local Path Provisioner 版本 (#11657)
  • 使用 systemd-node 运行 Docker 测试，允许 K3s 服务重启 (#11638)
  • 更正 k3s token 命令帮助 (#11673)
  • 添加对 AWS 共享凭据文件的支持 (#11614)
    • etcd 快照备份/恢复现在支持从 AWS SDK 共享凭据文件加载 s3 凭据。
  • 在 Github Actions arm64 运行器上运行 Docker 测试 (#11705)
  • 将测试工具函数整合到顶层包中 (#11711)
  • 整合 Linux 和 Windows 的 containerd 配置模板 (#11707)
    • Linux 和 Windows 的 containerd 配置模板已合并，不再特定于操作系统。
  • 将 Docker 一致性测试转换为 go 测试框架 (#11643)
  • 将 Windows 编译测试移至 GHA 并启用测试 (#11713)
  • 更新至 containerd v2.0 (#11626)
    • Containerd 已升级至 2.0 版本。
    • Containerd 2.0 使用新的配置文件架构。如果您使用自定义 containerd 配置模板，应将模板迁移至 config-v3.toml.tmpl 以切换到新版本。更多信息请参阅上游文档。
  • 减少缓存抖动 (#11769)
  • 回滚 “为 flannel 后端添加传递配置选项的能力” (#11783)
  • 为 k3s docker 镜像添加静态 bin 目录支持 (#11790)
  • 添加 etcd 快照指标 (#11793)
  • 修复：在 check-config 命令中将 CONFIG_SECCOMP 移至通常必要的类别 (#11807)
    • 修复：CONFIG_SECCOMP 已从 check-config 命令的可选功能部分移至必要功能部分，以确保配置检查的准确性。
  • 在设置了变量时渲染 CNI 目录配置 (#11818)
  • 升级 containerd 以修复 go-cni 死锁 (#11832)
  • 将 k3s.cattle.io API 移至 github.com/k3s-io/api (#11827)
  • 修复非初始服务器上的引导 (#11844)
  • 修复在不支持 v1 控制器的内核上的内存 cgroup 检查 (#11838)
  • 修复在不支持 v1 控制器的内核上的内存 cgroup 检查 (#11859)
  • 将 netfilter 统计模块添加到 check-config (#11860)
  • 在 k3s systemd 单元中设置 User 以修复加载 AWS 共享凭据文件的问题 (#11777)
  • 升级至 containerd v2.0.3/runc v1.2.5 (#11863)
  • 避免使用 github.com/pkg/errors 中捕获堆栈的函数 (#11880)
  • 添加定期后台快照协调 (#11881)
  • 升级 klipper-lb 镜像至 v0.4.13 (#11898)
  • 修复初始启动期间同步空 apiserver 地址列表的问题 (#11935)
  • 串行一致性测试修复 (#11894)
  • 迁移至 UrfaveCLI v2 (#11831)
  • 添加社区管理 (#11926)
  • 删除 AddOn 时删除先前创建的所有资源 (#11975) (#11977)
    • 通过 --disable 标志禁用自动部署清单（AddOn）时，部署控制器现在将确保删除清单先前创建的所有资源，即使在禁用前从文件中删除了某些资源。
  • 升级 containerd 至 v2.0.4 (#11982)
  • 改进节点启动时的就绪轮询 (#11878)
  • 将 k3s 镜像发布到 Github Container Registry (#11835)
    • k3s 镜像现在除 dockerhub 外还发布到 ghcr.io。您可以 docker pull ghcr.io/k3s-io/k3s:<TAG>
  • 修复由默认 authorization-mode apiserver 参数引起的问题 (#12018)
  • 在 ADOPTERS.md 中添加 External Secrets (#12045)
  • 添加对使用 k3s secrets-encrypt 命令的 secretbox 加密提供者的支持 (#12021)
    • 用户现在可以通过设置 secrets-encryption-provider 标志来配置使用 secretbox 提供者进行加密。
  • 清理 Docker 测试的匿名卷和命名卷 (#12069)
  • 为 etcd 配置添加 ReusePort/ReuseAddr 标志 (#12084)
  • 静音 vagrant 进度输出 (#12085)
  • 合并用于操作系统和架构的 build-k3s GHA 工作流 (#12080)
  • 将 Windows 测试移出安装脚本工作流 (#12089)
  • 添加 govulncheck (#12083)
  • 在证书检查中添加错误信息 (#12047)
    • 使用 –debug 标志时，为 k3s 证书检查添加额外日志。
  • 升级 Klipper Helm 和 Helm Controller 版本 (#12026)
  • 杂项：升级 kine 至 v0.13.13 (#12103)
  • 修复：签名 kubelet 证书时使用正确的密钥 (#12011)
  • 在 README.md 中添加社区 (#12091)
  • 升级 etcd 至 v3.5.21 (#12117)
  • 创建 scorecard.yml (#12128)
  • 添加 OpenSSF Scorecard 徽章 (#12134)
  • 升级 kine 以修复 nats-server/v2 CVE-2025-30215 (#12140)
  • 升级 flannel 至 0.26.7 (#12126)
  • 通过 CLI 标志设置 kubelet 只读端口 (#12165)
  • 修复从配置为连接循环的服务器引导 P2P 对等节点时的过度负载 (#12154)
  • 处理顶级不稳定测试 (#12163)
  • 修复引导程序返回空对等节点列表时的处理程序 panic (#12177)
  • 升级 traefik 至 v3.3.6 (#12188)
  • 升级 spegel 至 v0.1.1 (#12199)
  • 构建 k3s 改进 (#12200)
  • 修复 sonobuoy 一致性测试 (#12214)
  • 更新 k8s 版本至 1.33 (#12221)

嵌入组件版本

组件 版本
Kubernetes v1.33.0
Kine v0.13.14
SQLite 3.46.1
Etcd v3.5.21-k3s1
Containerd v2.0.4-k3s4
Runc v1.2.5
Flannel v0.26.7
Metrics-server v0.7.2
Traefik v3.3.6
CoreDNS v1.12.1
Helm-controller v0.16.10
Local-path-provisioner v0.0.31

有用链接

一如既往，我们欢迎并感谢来自社区用户的反馈。请随时：

更新内容 （原始）

This release updates Kubernetes to v1.33.0, and fixes a number of issues.

For more details on what’s new, see the Kubernetes release notes.

Changes since v1.32.0+k3s1:

  • Add IPv6 to cluster-dns Usage Docs (#11498)
  • Load nft modules at startup (#11524)
  • Add “k3s certificate check” clause for better test coverage (#11485)
    • Can now get a table output for k3s certificate check using --output table flag
  • Fix skew semver for release-XX branches (#11531)
  • Move supervisor API request handlers into dedicated package and add unit tests (#11471)
  • Auto import images for containerd image store (#10973)
    • Users can now auto import images to containerd by just throwing the image in the agent/images folder while k3s is running
  • Fix K3S_DATA_DIR when running as non-root user (#11378)
  • Improve flannel RBAC changes (#11569)
  • Align etcd-snapshot-dir default path description (#11571)
    • Align the CLI-reported default --etcd-snapshot-dir value with the actual one (server, etcd-snapshot commands).
  • Fix local password validation when bind-address is set (#11607)
  • Chore: Bump klipper-lb and klipper-helm (#11595)
  • Remove local restriction for deferred node password validation (#11646)
  • Disable s3 transport transparent compression/decompression (#11604)
  • Bump Local Path Provisioner version (#11657)
  • Run Docker tests with systemd-node, allows K3s service restarts (#11638)
  • Correct the k3s token command help (#11673)
  • Add support for AWS shared credentials file (#11614)
    • Etcd snapshot backup/restore now supports loading s3 credentials from an AWS SDK shared credentials file.
  • Run Docker test on Github Actions arm64 runners (#11705)
  • Consolidate test utility functions into top level package (#11711)
  • Consolidate linux and windows containerd config templates (#11707)
    • The containerd config templates for linux and windows have been consolidated and are no longer os-specific.
  • Convert docker conformance test to go test framework (#11643)
  • Move Windows compilation test to GHA and enable tests (#11713)
  • Update to containerd v2.0 (#11626)
    • Containerd has been bumped to version 2.0.
    • Containerd 2.0 uses a new config file schema. If you are using a custom containerd config template, you should migrate your template to config-v3.toml.tmpl to switch to the new version. See the upstream documentation for more information.
  • Reduce cache thrashing (#11769)
  • Revert “Add ability to pass configuration options to flannel backend” (#11783)
  • Add static bin dir support to k3s docker image (#11790)
  • Add etcd snapshot metrics (#11793)
  • Fix: move CONFIG_SECCOMP to generally necessary category in check-config command (#11807)
    • Fixed: CONFIG_SECCOMP has been moved from the optional features section to the necessary features section in the check-config command to ensure accurate configuration checks.
  • Render CNI dir config whenever vars are set (#11818)
  • Bump containerd for go-cni deadlock fix (#11832)
  • Move k3s.cattle.io APIs to github.com/k3s-io/api (#11827)
  • Fix bootstrapping on non-init servers (#11844)
  • Fix memory cgroup check on kernels without v1 controller support (#11838)
  • Fix memory cgroup check on kernels without v1 controller support (#11859)
  • Add netfilter statistic module to check-config (#11860)
  • Set User in k3s systemd unit to fix loading AWS shared credentials files (#11777)
  • Bump to containerd v2.0.3/runc v1.2.5 (#11863)
  • Avoid use of github.com/pkg/errors functions that capture stack (#11880)
  • Add periodic background snapshot reconcile (#11881)
  • Bump klipper-lb image to v0.4.13 (#11898)
  • Fix syncing empty list of apiserver addresses during initial startup (#11935)
  • Serial Conformance Test Fixes (#11894)
  • Migrate to UrfaveCLI v2 (#11831)
  • Add Community Management (#11926)
  • Remove all resources previously created when deleting AddOn (#11975) (#11977)
    • When disabling auto-deploying manifests (AddOns) via the --disable flag, the deploy controller will now ensure deletion of all resources previously created by the manifest, even if some resources were removed from the file before it was disabled.
  • Bump containerd to v2.0.4 (#11982)
  • Improve readiness polling on node startup (#11878)
  • Publish k3s image to Github Container Registry (#11835)
    • The k3s image in now published to ghcr.io in addition to dockerhub. You can docker pull ghcr.io/k3s-io/k3s:<TAG>
  • Fix issue caused by default authorization-mode apiserver arg (#12018)
  • Adds External Secrets to ADOPTERS.md (#12045)
  • Add support for secretbox encryption provider with the k3s secrets-encrypt command (#12021)
    • Users can now configure secrets encryption to use secretbox provider by setting the secrets-encryption-provider flag.
  • Cleanup anonymous and named volumes for docker tests (#12069)
  • Add ReusePort/ReuseAddr flags to etcd config (#12084)
  • Silence vagrant progress output (#12085)
  • Consolidate build-k3s GHA workflow for OS and ARCH (#12080)
  • Move Windows test out of Install Script workflow (#12089)
  • Adding in govulncheck (#12083)
  • Add error in certificate check (#12047)
    • Add extra logs to k3s certificate check when using –debug flag
  • Bump Klipper Helm and Helm Controller version (#12026)
  • Chore: bump kine to v0.13.13 (#12103)
  • Fix: Use proper key when signing kubelet certificate (#12011)
  • Add Community in README.md (#12091)
  • Bump etcd to v3.5.21 (#12117)
  • Create scorecard.yml (#12128)
  • Add OpenSSF Scorecard badge (#12134)
  • Bump kine for nats-server/v2 CVE-2025-30215 (#12140)
  • Bump flannel to 0.26.7 (#12126)
  • Set kubelet read-only-port via CLI flag (#12165)
  • Fix excessive load when bootstrapping P2P peers from servers configured in a join loop (#12154)
  • Address top flaky tests (#12163)
  • Fix handler panic when bootstrapper returns empty peer list (#12177)
  • Bump traefik to v3.3.6 (#12188)
  • Bump spegel to v0.1.1 (#12199)
  • Build k3s overhaul (#12200)
  • Fix sonobuoy conformance testing (#12214)
  • Update k8s version to 1.33 (#12221)

Embedded Component Versions

Component Version
Kubernetes v1.33.0
Kine v0.13.14
SQLite 3.46.1
Etcd v3.5.21-k3s1
Containerd v2.0.4-k3s4
Runc v1.2.5
Flannel v0.26.7
Metrics-server v0.7.2
Traefik v3.3.6
CoreDNS v1.12.1
Helm-controller v0.16.10
Local-path-provisioner v0.0.31

As always, we welcome and appreciate feedback from our community of users. Please feel free to:

下载链接