特性门控

本页详述了管理员可以在不同的 Kubernetes 组件上指定的各种特性门控。

关于特性各个阶段的说明，请参见特性阶段。

概述

特性门控是描述 Kubernetes 特性的一组键值对。你可以在 Kubernetes 的各个组件中使用 --feature-gates 标志来启用或禁用这些特性。

每个 Kubernetes 组件都支持启用或禁用与该组件相关的一组特性门控。 使用 -h 参数来查看所有组件支持的完整特性门控。 要为诸如 kubelet 之类的组件设置特性门控，请使用 --feature-gates 参数， 并向其传递一个特性设置键值对列表：

--feature-gates=...,GracefulNodeShutdown=true

下表总结了在不同的 Kubernetes 组件上可以设置的特性门控。

• 引入特性或更改其发布阶段后，"开始（Since）" 列将包含 Kubernetes 版本。
• "结束（Until）" 列（如果不为空）包含最后一个 Kubernetes 版本，你仍可以在其中使用特性门控。
• 如果某个特性处于 Alpha 或 Beta 状态，你可以在 Alpha 和 Beta 特性门控表中找到该特性。
• 如果某个特性处于稳定状态， 你可以在已毕业和废弃特性门控表中找到该特性的所有阶段。
• 已毕业和废弃特性门控表还列出了废弃的和已被移除的特性。

Alpha 和 Beta 状态的特性门控

已毕业和已废弃的特性门控

使用特性

特性阶段

处于 Alpha、Beta、GA 阶段的特性。

Alpha 特性代表：

• 默认禁用。
• 可能有错误，启用此特性可能会导致错误。
• 随时可能删除对此特性的支持，恕不另行通知。
• 在以后的软件版本中，API 可能会以不兼容的方式更改，恕不另行通知。
• 建议将其仅用于短期测试中，因为开启特性会增加错误的风险，并且缺乏长期支持。

Beta 特性代表：

• 通常默认启用。Beta API 组默认是被禁用的。
• 该特性已经经过良好测试。启用该特性是安全的。
• 尽管详细信息可能会更改，但不会放弃对整体特性的支持。
• 对象的架构或语义可能会在随后的 Beta 或稳定版本中以不兼容的方式更改。 当发生这种情况时，我们将提供迁移到下一版本的说明。此特性可能需要删除、编辑和重新创建 API 对象。 编辑过程可能需要慎重操作，因为这可能会导致依赖该特性的应用程序停机。
• 推荐仅用于非关键业务用途，因为在后续版本中可能会发生不兼容的更改。如果你具有多个可以独立升级的，则可以放宽此限制。

General Availability（GA）特性也称为稳定特性，GA 特性代表着：

• 此特性会一直启用；你不能禁用它。
• 不再需要相应的特性门控。
• 对于许多后续版本，特性的稳定版本将出现在发行的软件中。

特性门控列表

每个特性门控均用于启用或禁用某个特定的特性：

• AdmissionWebhookMatchConditions:

  在变更性质和合法性检查性质的准入 Webhook 上启用匹配状况。

• AggregatedDiscoveryEndpoint:

  启用单个 HTTP 端点 /discovery/<version>， 支持用 ETag 进行原生 HTTP 缓存，包含 API 服务器已知的所有 APIResource。

• AllowServiceLBStatusOnNonLB:

  允许对类型为 LoadBalancer 以外的 Service 设置 .status.ingress.loadBalancer。

• AnyVolumeDataSource:

  允许使用任何自定义的资源来作为 PVC 中的 dataSource。

• APIListChunking:

  允许 API 客户端以块的形式从 API 服务器检索（LIST 或 GET）资源。

• APIPriorityAndFairness:

  在每个服务器上启用优先级和公平性来管理请求的并发度（由 RequestManagement 重命名而来）。

• APIResponseCompression:

  压缩 LIST 或 GET 请求的 API 响应。

• APISelfSubjectReview:

  激活 SelfSubjectReview API，允许用户查看请求主体的身份认证信息。 更多细节请参阅 API 访问客户端的身份认证信息。

• APIServerIdentity:

  使用 Lease（租约）为集群中的每个 API 服务器赋予一个 ID。

• APIServerTracing:

  在 API 服务器中添加对分布式跟踪的支持。 更多细节参阅针对 Kubernetes 系统组件的追踪。

• AppArmor:

  在 Linux 节点上为 Pod 启用 AppArmor 机制的强制访问控制。 更多细节参阅 AppArmor 教程。

• CloudControllerManagerWebhook:

  启用在云控制器管理器中的 Webhook。

• CloudDualStackNodeIPs:

  允许在外部云驱动中通过 kubelet --node-ip 设置双协议栈。 有关更多详细信息，请参阅配置 IPv4/IPv6 双栈。

• ClusterTrustBundle:

  启用 ClusterTrustBundle 对象和 kubelet 集成。

• ClusterTrustBundleProjection:

  clusterTrustBundle 投射卷源。

• ComponentSLIs:

  在 kubelet、kube-scheduler、kube-proxy、kube-controller-manager、cloud-controller-manager 等 Kubernetes 组件上启用 /metrics/slis 端点，从而允许你抓取健康检查指标。

• ConsistentHTTPGetHandlers:

  使用探测器为生命周期处理程序规范化 HTTP get URL 和标头传递。

• ConsistentListFromCache:

  允许 API 服务器从缓存中提供一致的 list 操作。

• ContainerCheckpoint:

  启用 kubelet checkpoint API。 详情见 Kubelet Checkpoint API。

• ContextualLogging:

  当你启用这个特性门控，支持日志上下文记录的 Kubernetes 组件会为日志输出添加额外的详细内容。

• CPUManager:

  启用容器级别的 CPU 亲和性支持，有关更多详细信息，请参见 CPU 管理策略。

• CPUManagerPolicyAlphaOptions:

  允许对 CPU 管理器策略进行微调，针对试验性的、Alpha 质量级别的选项。 此特性门控用来保护一组质量级别为 Alpha 的 CPU 管理器选项。 此特性门控永远不会被升级为 Beta 或者稳定版本。

• CPUManagerPolicyBetaOptions:

  允许对 CPU 管理器策略进行微调，针对试验性的、Beta 质量级别的选项。 此特性门控用来保护一组质量级别为 Beta 的 CPU 管理器选项。 此特性门控永远不会被升级为稳定版本。

• CPUManagerPolicyOptions:

  允许微调 CPU 管理器策略。

• CRDValidationRatcheting:

  如果资源更新的冲突部分未发生变化，则启用对自定义资源的更新以包含对 OpenAPI 模式的违规条目。 详情参见验证递进。

• CronJobsScheduledAnnotation:

  将调度作业的时间设置为代表 CronJob 创建的作业上的一个 注解。

• CrossNamespaceVolumeDataSource:

  启用跨名字空间卷数据源，以允许你在 PersistentVolumeClaim 的 dataSourceRef 字段中指定一个源名字空间。

• CSIMigrationAzureFile:

  启用封装和转换逻辑，将卷操作从 AzureFile 内嵌插件路由到 AzureFile CSI 插件。对于禁用了此特性的节点或者没有安装并配置 AzureFile CSI 插件的节点，支持回退到内嵌（in-tree）AzureFile 插件来执行卷挂载操作。 不支持回退到内嵌插件来执行卷制备操作，因为对应的 CSI 插件必须已安装且正确配置。 此特性需要启用 CSIMigration 特性标志。

• CSIMigrationPortworx:

  启用封装和转换逻辑，将卷操作从 Portworx 内嵌插件路由到 Portworx CSI 插件。需要在集群中安装并配置 Portworx CSI 插件.

• CSIMigrationRBD:

  启用封装和转换逻辑，将卷操作从 RBD 的内嵌插件路由到 Ceph RBD CSI 插件。 此特性要求 CSIMigration 和 csiMigrationRBD 特性标志均被启用， 且集群中安装并配置了 Ceph CSI 插件。 此标志已被弃用，以鼓励使用 InTreePluginRBDUnregister 特性标志。 后者会禁止注册内嵌的 RBD 插件。

• CSINodeExpandSecret:

  允许在 NodeExpandVolume CSI 操作期间， 将保密的身份验证数据传递到 CSI 驱动以供后者使用。

• CSIVolumeHealth:

  启用对节点上的 CSI 卷运行状况监控的支持。

• CustomCPUCFSQuotaPeriod:

  使节点能够更改 kubelet 配置 中的 cpuCFSQuotaPeriod。

• CustomResourceValidationExpressions:

  启用 CRD 中的表达式语言合法性检查， 基于 x-kubernetes-validations 扩展中所书写的合法性检查规则来验证定制资源。

• DefaultHostNetworkHostPortsInPodTemplates:

  更改何时设置 PodSpec.containers[*].ports[*].hostPort 的默认值。 默认仅在 Pod 中设置默认值。

  启用此特性意味着即使在嵌套的 PodSpec（例如 Deployment 中）中也会设置默认值， 这是以前的默认行为。

• DevicePluginCDIDevices:

  启用设备插件 API 对 CDI 设备 ID 的支持。

• DisableCloudProviders:

  禁用 kube-apiserver、kube-controller-manager 和 kubelet 中与 --cloud-provider 组件标志相关的所有功能。

• DisableKubeletCloudCredentialProviders:

  禁用 kubelet 中为拉取镜像内置的凭据机制， 该凭据用于向云提供商的容器镜像仓库进行身份认证。

• DisableNodeKubeProxyVersion:

  禁止设置 Node 的 kubeProxyVersion 字段。

• DynamicResourceAllocation:

  启用对具有自定义参数和独立于 Pod 生命周期的资源的支持。

• EfficientWatchResumption:

  允许将存储发起的书签（进度通知）事件传递给用户。这仅适用于 watch（监视）操作。

• ElasticIndexedJob:

  允许通过同时改变 spec.completions 和 spec.parallelism 使得 spec.completions == spec.parallelism 来对带索引的 Job 执行扩容或缩容。 更多细节请参阅弹性索引 Job 文档。

• EventedPLEG:

  启用此特性后，kubelet 能够通过 CRI 扩展从容器运行时接收容器生命周期事件。 （PLEG 是 “Pod lifecycle event generator” 的缩写，即 Pod 生命周期事件生成器）。 要使用此特性，你还需要在集群中运行的每个容器运行时中启用对容器生命周期事件的支持。 如果容器运行时未宣布支持容器生命周期事件，即使你已启用了此特性门控， kubelet 也会自动切换到原有的通用 PLEG 机制。

• ExecProbeTimeout:

  确保 kubelet 会遵从 exec 探针的超时值设置。 此特性门控的主要目的是方便你处理现有的、依赖于已被修复的缺陷的工作负载； 该缺陷导致 Kubernetes 会忽略 exec 探针的超时值设置。 参阅就绪态探针.

• ExpandedDNSConfig:

  在 kubelet 和 kube-apiserver 上启用后， 允许使用更多的 DNS 搜索域和搜索域列表。此功能特性需要容器运行时 （containerd v1.5.6 或更高，CRI-O v1.22 或更高）的支持。 参阅扩展 DNS 配置.

• ExperimentalHostUserNamespaceDefaulting:

  启用主机默认的用户名字空间。 这适用于使用其他主机名字空间、主机安装的容器，或具有特权或使用特定的非名字空间功能 （例如 MKNODE、SYS_MODULE 等）的容器。 如果在 Docker 守护程序中启用了用户名字空间重新映射，则启用此选项。

• GracefulNodeShutdown:

  在 kubelet 中启用体面地关闭节点的支持。 在系统关闭时，kubelet 会尝试监测该事件并体面地终止节点上运行的 Pod。 参阅体面地关闭节点以了解更多细节。

• GracefulNodeShutdownBasedOnPodPriority:

  允许 kubelet 在体面终止节点时检查 Pod 的优先级。

• HonorPVReclaimPolicy:

  无论 PV 和 PVC 的删除顺序如何，当持久卷回收策略为 Delete 时都要遵守该策略。更多细节参阅 PersistentVolume 删除保护终结器文档。

• HPAContainerMetrics:

  允许 HorizontalPodAutoscalers 基于目标 Pod 中单个容器的指标进行扩缩。

• HPAScaleToZero:

  使用自定义指标或外部指标时，可将 HorizontalPodAutoscaler 资源的 minReplicas 设置为 0。

• ImageMaximumGCAge:

  启用 kubelet 配置字段 imageMaximumGCAge，允许管理员指定多久之后镜像将被垃圾收集。

• InPlacePodVerticalScaling:

  启用就地 Pod 垂直扩缩。

• InTreePluginAWSUnregister:

  在 kubelet 和卷控制器上关闭注册 aws-ebs 内嵌插件。

• InTreePluginAzureDiskUnregister:

  在 kubelet 和卷控制器上关闭注册 azuredisk 内嵌插件。

• InTreePluginAzureFileUnregister:

  在 kubelet 和卷控制器上关闭注册 azurefile 内嵌插件。

• InTreePluginGCEUnregister:

  在 kubelet 和卷控制器上关闭注册 gce-pd 内嵌插件。

• InTreePluginOpenStackUnregister:

  在 kubelet 和卷控制器上关闭注册 OpenStack cinder 内嵌插件。

• InTreePluginPortworxUnregister:

  在 kubelet 和卷控制器上关闭注册 Portworx 内嵌插件。

• InTreePluginRBDUnregister:

  在 kubelet 和卷控制器上关闭注册 RBD 内嵌插件。

• InTreePluginvSphereUnregister:

  在 kubelet 和卷控制器上关闭注册 vSphere 内嵌插件。

• IPTablesOwnershipCleanup:

  这使得 kubelet 不再创建传统的 iptables 规则。

• JobBackoffLimitPerIndex:

  允许在索引作业中指定每个索引的最大 Pod 重试次数。

• JobManagedBy:

  允许将 Job 对象的调和委托给外部控制器。

• JobPodFailurePolicy:

  允许用户根据容器退出码和 Pod 状况来指定 Pod 失效的处理方法。

• JobPodReplacementPolicy:

  允许你在 Job 中为终止的 Pod 指定替代 Pod。

• JobReadyPods:

  允许跟踪状况为 Ready 的 Pod 的个数。Ready 的 Pod 记录在 Job 对象的 status 字段中。

• JobSuccessPolicy:

  允许用户基于一组成功的 Pod 来声明这组 Pod 所属的 Job 为成功。

• KMSv1:

  启用 KMS v1 API 以实现静态加密。 详情参见使用 KMS 驱动进行数据加密。

• KMSv2:

  启用 KMS v2 API 以实现静态加密。 详情参见使用 KMS 驱动进行数据加密。

• KMSv2KDF:

  启用 KMS v2 以生成一次性数据加密密钥。 详情参见使用 KMS 驱动进行数据加密。 如果 KMSv2 特性门控在你的集群未被启用，则 KMSv2KDF 特性门控的值不会产生任何影响。

• KubeletCgroupDriverFromCRI:

  启用检测来自 CRI 的 kubelet cgroup 驱动配置选项。你可以在支持该特性门控的 kubelet 节点上使用此特性门控， 也可以在支持 RuntimeConfig CRI 调用的 CRI 容器运行时所在节点上使用此特性门控。 如果 CRI 和 kubelet 都支持此特性，kubelet 将忽略 cgroupDriver 配置设置（或已弃用的 --cgroup-driver 命令行参数）。 如果你启用此特性门控但容器运行时不支持它，则 kubelet 将回退到使用通过 cgroupDriver 配置设置进行配置的驱动。 详情参见配置 cgroup 驱动。

• KubeletInUserNamespace:

  支持在用户名字空间里运行 kubelet。 请参见以非 root 用户身份运行 Kubernetes 节点组件。

• KubeletPodResources:

  启用 kubelet 上 Pod 资源 gRPC 端点。 详情参见支持设备监控。

• KubeletPodResourcesDynamicResources:

  扩展 kubelet 的 Pod 资源 gRPC 端点以包括通过 DynamicResourceAllocation API 在 ResourceClaims 中分配的资源。 详情参见资源分配报告。 包含有关可分配资源的信息，使客户端能够正确跟踪节点上的可用计算资源。

• KubeletPodResourcesDynamicResources:

  扩展 kubelet 的 Pod 资源 gRPC 端点，通过 DynamicResourceAllocation API 把已分配的资源算入 ResourceClaims 中。 有关更多细节，参见资源分配报告。 使用可分配资源的信息，使客户端能够正确跟踪节点上的空闲计算资源。

• KubeletPodResourcesGet:

  在 kubelet 上为 Pod 资源启用 Get gRPC 端点。 此 API 增强了资源分配报告。

• KubeletPodResourcesGetAllocatable:

  启用 kubelet 的 Pod 资源的 GetAllocatableResources 功能。 此 API 增强了资源分配报告。

• KubeletSeparateDiskGC:

  启用 kubelet，即使在容器镜像和容器位于独立文件系统的情况下，也能进行垃圾回收。

• KubeletTracing:

  新增在 kubelet 中对分布式追踪的支持。 启用时，kubelet CRI 接口和经身份验证的 http 服务器被插桩以生成 OpenTelemetry 追踪 span。 详情参见追踪 Kubernetes 系统组件。

• KubeProxyDrainingTerminatingNodes:

  为 externalTrafficPolicy: Cluster 服务实现终止节点的连接排空。

• LegacyServiceAccountTokenCleanUp:

  当服务账号令牌在指定时间内（默认为一年）未被使用时， 允许基于 Secret 清理服务账号令牌。

• LegacyServiceAccountTokenTracking:

  跟踪基于 Secret 的服务账号令牌的使用情况。

• LoadBalancerIPMode:

  当 Service 的 type 为 LoadBalancer 时，可设置该 Service 的 ipMode。 更多细节请参阅指定负载均衡器状态的 IPMode。

• LocalStorageCapacityIsolationFSQuotaMonitoring:

  如果本地临时存储启用了 LocalStorageCapacityIsolation，并且 emptyDir 卷所使用的文件系统支持项目配额， 并且启用了这些配额，将使用项目配额来监视 emptyDir 卷的存储消耗而不是遍历文件系统， 以此获得更好的性能和准确性。

• LogarithmicScaleDown:

  启用 Pod 的半随机选择，控制器将根据 Pod 时间戳的对数桶按比例缩小来驱逐 Pod。

• LoggingAlphaOptions:

  允许微调实验性的、Alpha 级别的日志选项。

• LoggingBetaOptions:

  允许微调实验性的、Beta 级别的日志选项。

• MatchLabelKeysInPodAffinity:

  为 Pod（反）亲和性启用 matchLabelKeys 和 mismatchLabelKeys 字段。

• MatchLabelKeysInPodTopologySpread:

  为 Pod 拓扑分布约束启用 matchLabelKeys 字段。

• MaxUnavailableStatefulSet:

  允许为 StatefulSet 的滚动更新策略设置 maxUnavailable 字段。此字段指定更新过程中不可用 Pod 个数的上限。

• MemoryManager:

  允许基于 NUMA 拓扑为容器设置内存亲和性。

• MemoryQoS:

  使用 cgroup v2 内存控制器为 Pod 或容器启用内存保护和使用限制。

• MinDomainsInPodTopologySpread:

  在 Pod 拓扑分布约束中启用 minDomains。

• MinimizeIPTablesRestore:

  启用 kube-proxy iptables 模式中的性能改进逻辑。

• MultiCIDRServiceAllocator:

  使用 IPAddress 对象跟踪为 Service 的集群 IP 分配的 IP 地址。

• NameGenerationRetries:

  当 API 服务器要生成名称时， 允许重试对象创建。当此特性被启用时，如果控制平面检测到与某个现有对象存在名称冲突， 则使用 generateName 的请求将被自动重试，最多重试 8 次。

• NewVolumeManagerReconstruction:

  在 kubelet 启动期间启用改进的挂载卷的发现。由于关联的代码已经进行了重大重构， Kubernetes v1.25 到 v1.29 允许你不采用这一逻辑，以免 kubelet 在启动时被卡住，或者未能为已终止的 Pod 卸载卷。 请注意，此重构是作为 Kubernetes 1.25 中的 SELinuxMountReadWriteOncePod Alpha 特性门控的一部分完成的。

  在 Kubernetes v1.25 和 v1.26 中，此重构行为是 SELinuxMountReadWriteOncePod 特性门控的一部分。

• NFTablesProxyMode:

  允许使用 nftables 模式运行 kube-proxy。

• NodeInclusionPolicyInPodTopologySpread:

  在计算 Pod 拓扑分布偏差时允许在 Pod 拓扑分布约束中使用 nodeAffinityPolicy 和 nodeTaintsPolicy。

• NodeLogQuery:

  允许使用 /logs 端点来查询节点服务的日志。

• NodeOutOfServiceVolumeDetach:

  当使用 node.kubernetes.io/out-of-service 污点将节点标记为无法提供服务时，节点上不能容忍这个污点的 Pod 将被强制删除， 并且针对此节点上被终止的 Pod 将立即执行解除卷挂接操作。 被删除的 Pod 可以很快在不同的节点上恢复。

• NodeSwap:

  允许 kubelet 为节点上的 Kubernetes 工作负载分配交换内存。 必须将 KubeletConfiguration.failSwapOn 设置为 false 才能使用此能力。 更多细节请参见交换内存。

• OpenAPIEnums:

  允许在从 API 服务器返回的 spec 中填充 OpenAPI 模式的 "enum" 字段。

• PDBUnhealthyPodEvictionPolicy:

  启用 PodDisruptionBudget 的 unhealthyPodEvictionPolicy 字段。 此字段指定何时应考虑驱逐不健康的 Pod。 更多细节请参阅不健康 Pod 驱逐策略。

• PersistentVolumeLastPhaseTransitionTime:

  为 PersistentVolume 添加一个新字段，用于保存卷上一次转换阶段的时间戳。

• PodAndContainerStatsFromCRI:

  将 kubelet 配置为从 CRI 容器运行时收集容器和 Pod 的统计信息，而不是从 cAdvisor 收集统计信息。 从 1.26 版本开始，这还包括从 CRI 收集指标并通过 /metrics/cadvisor 进行发布（而不是直接由 cAdvisor 发布）。

• PodDeletionCost:

  启用 Pod 删除开销特性， 允许用户影响 ReplicaSet 的缩容顺序。

• PodDisruptionConditions:

  启用支持追加一个专用的 Pod 状况，以表示 Pod 由于某个干扰正在被删除。

• PodHostIPs:

  为 Pod 和 downward API 启用 status.hostIPs 字段。此字段允许你将主机 IP 地址暴露给工作负载。

• PodIndexLabel:

  在创建新的 Pod 时允许 Job 控制器和 StatefulSet 控制器将 Pod 索引添加为标签。 详情参见 Job 完成模式文档和 StatefulSet Pod 索引标签文档。

• PodLifecycleSleepAction:

  在 Container 生命周期钩子中启用 sleep 操作。

• PodReadyToStartContainersCondition:

  使得 kubelet 能在 Pod 上标记 PodReadyToStartContainers 状况。

  此特性门控先前称为 PodHasNetworkCondition，关联的状况称为 PodHasNetwork。

• PodSchedulingReadiness:

  允许设置 schedulingGates 字段以控制 Pod 的调度就绪状态。

• ProcMountType:

  允许容器通过设置 SecurityContext 的 procMount 字段来控制对 proc 类型的挂载方式。

• ProxyTerminatingEndpoints:

  当 ExternalTrafficPolicy=Local 时，允许 kube-proxy 处理终止过程中的端点。

• QOSReserved:

  允许在 QoS 层面预留资源，避免低 QoS 级别的 Pod 占用高 QoS 级别所请求的资源（当前只适用于内存）。

• ReadWriteOncePod:

  允许使用 ReadWriteOncePod 访问模式的 PersistentVolume。

• RecoverVolumeExpansionFailure:

  允许用户编辑自己的 PVC 来缩容，以便从之前卷扩容引发的失败中恢复。 更多细节可参见处理扩充卷过程中的失败。

• RecursiveReadOnlyMounts:

  启用对递归只读挂载的支持。 更多细节参阅只读挂载。

• RelaxedEnvironmentVariableValidation:

  允许在环境变量中使用几乎所有可打印的 ASCII 字符。

• RemainingItemCount:

  允许 API 服务器在分块列表请求 的响应中显示剩余条目的个数。

• RemoveSelfLink:

  将所有对象和集合的 .metadata.selfLink 字段设置为空（空字符串）。 此字段自 Kubernetes v1.16 版本起已被弃用。 启用此特性后，.metadata.selfLink 字段仍然是 Kubernetes API 的一部分，但始终不设置。

• RotateKubeletServerCertificate:

  启用 kubelet 上服务器 TLS 证书的轮换。 更多细节参阅 kubelet 配置。

• SchedulerQueueingHints:

  启用调度器的排队提示增强功能， 有助于减少无效的重新排队。 调度器会在集群中发生可能导致 Pod 被重新调度的变化时，尝试重新进行 Pod 的调度。 排队提示是一些内部信号， 用于帮助调度器基于先前的调度尝试来筛选集群中与未调度的 Pod 相关的变化。

• SecurityContextDeny:

  此门控表示 SecurityContextDeny 准入控制器已弃用。

• SELinuxMountReadWriteOncePod:

  通过允许 kubelet 直接用正确的 SELinux 标签为 Pod 挂载卷而不是以递归方式更改这些卷上的每个文件来加速容器启动。 最初的实现侧重 ReadWriteOncePod 卷。

• SeparateTaintEvictionController:

  允许运行 TaintEvictionController，该控制器可在 NodeLifecycleController 之外执行基于污点的驱逐。 此特性启用时，用户可以在 kube-controller-manager 上设置 --controllers=-taint-eviction-controller 标志， 可选择禁用基于污点的驱逐。

• ServerSideApply:

  在 API 服务器上启用服务器端应用（SSA）。

• ServerSideFieldValidation:

  启用服务器端字段验证。这意味着资源模式的验证发生在 API 服务器端而不是客户端 （例如，kubectl create 或 kubectl apply 命令行）。

• ServiceAccountTokenJTI:

  控制是否将 JTI（UUID）嵌入到生成的服务账号令牌中， 以及对于这些令牌未来的请求，是否将这些 JTI 记录到 Kubernetes 审计日志中。

• ServiceAccountTokenNodeBinding:

  控制 API 服务器是否允许将服务账号令牌绑定到 Node 对象。

• ServiceAccountTokenNodeBindingValidation:

  控制 API 服务器是否会验证服务账号令牌中的 Node 引用。

• ServiceAccountTokenPodNodeInfo:

  控制 API 服务器在颁发绑定到 Pod 对象的服务账号令牌时， 是否嵌入关联 Node 的名称和 uid。

• ServiceNodePortStaticSubrange:

  允许对 NodePort Service 使用不同的端口分配策略。 有关更多详细信息， 请参阅保留 NodePort 范围以避免冲突。

• SidecarContainers:

  允许将 Init 容器的 restartPolicy 设置为 Always， 以便该容器成为一个边车容器（可重启的 Init 容器）。 详情参见边车容器和 restartPolicy。

• SizeMemoryBackedVolumes:

  允许 kubelet 检查基于内存制备的卷的尺寸约束（目前主要针对 emptyDir 卷）。

• SkipReadOnlyValidationGCE:

  跳过对 GCE 的验证，将在下个版本中启用。

• StableLoadBalancerNodeSet:

  允许服务控制器（KCCM）减少根据节点状态变化来对负载均衡器作重新配置的操作。

• StatefulSetAutoDeletePVC:

  允许使用可选字段 .spec.persistentVolumeClaimRetentionPolicy， 以便根据 StatefulSet 的生命周期来控制 PVC 的删除。 详情参见 PersistentVolumeClaim 保留。

• StatefulSetStartOrdinal:

  允许在 StatefulSet 中配置起始序号。 详情参见起始序号。

• StorageVersionAPI:

  启用存储版本 API。

• StorageVersionHash:

  允许 API 服务器在版本发现中公开存储版本的哈希值。

• StructuredAuthenticationConfiguration:

  为 API 服务器启用结构化身份验证配置。

• StructuredAuthorizationConfiguration:

  启用结构化授权配置，以便集群管理员可以在 API 服务器处理程序链中指定多个授权 Webhook。

• TopologyAwareHints:

  在 EndpointSlice 中启用基于拓扑提示的拓扑感知路由。 更多细节参见拓扑感知路由。

• TopologyManagerPolicyAlphaOptions:

  允许微调拓扑管理器策略的实验性的、Alpha 质量的选项。 此特性门控守护一组质量级别为 Alpha 的拓扑管理器选项。 此特性门控绝对不会进阶至 Beta 或稳定版。

• TopologyManagerPolicyBetaOptions:

  允许微调拓扑管理器策略的实验性的、Beta 质量的选项。 此特性门控守护一组质量级别为 Beta 的拓扑管理器选项。 此特性门控绝对不会进阶至稳定版。

• TopologyManagerPolicyOptions:

  允许对拓扑管理器策略进行微调。

• TranslateStreamCloseWebsocketRequests:

  允许从请求 v5 子协议版本的客户端处通过 WebSocket 流式传输远程命令子协议（exec、cp、attach）。

• UnauthenticatedHTTP2DOSMitigation:

  启用了针对未认证客户端的 HTTP/2 拒绝服务（DoS）防护措施。 Kubernetes v1.28.0 至 v1.28.2 版本并未包括这项特性门控。

• UnknownVersionInteroperabilityProxy:

  当存在多个不同版本的 kube-apiserver 时，将资源请求代理到正确的对等 kube-apiserver。 更多信息请参见混合版本代理 。

• UserNamespacesPodSecurityStandards:

  启用 Pod 安全标准策略的放宽措施，适用于在命名空间中运行的 Pod。 你需要在集群的所有节点上统一设置此特性门控，并且必须启用 UserNamespacesSupport 才能使用此功能。

• UserNamespacesSupport:

  为 Pod 启用用户命名空间支持。

• ValidatingAdmissionPolicy:

  在准入控制中启用 ValidatingAdmissionPolicy 以支持 CEL 合法性检查。

• VolumeAttributesClass:

  启用对 VolumeAttributesClasses 的支持。 更多细节参见卷属性类。

• VolumeCapacityPriority:

  启用基于可用 PV 容量对不同拓扑域下节点进行优先级排序的支持。

• WatchBookmark:

  启用对监听书签事件的支持。

• WatchList:

  启用对监听请求中流式传输对象初始状态的支持。

• WindowsHostNetwork:

  启用对 Windows 容器接入主机网络名字空间的支持。

• WinDSR:

  允许 kube-proxy 为 Windows 创建 DSR（Direct Server Return，直接服务器返回）负载均衡器。

• WinOverlay:

  允许 kube-proxy 以覆盖模式在 Windows 上运行。

• ZeroLimitedNominalConcurrencyShares:

  允许 API 服务器中的优先级和公平性使用 limited 部分的 nominalConcurrencyShares 字段的零值作为优先级。

接下来

• Kubernetes 的弃用策略介绍了项目针对已移除特性和组件的处理方法。
• 从 Kubernetes 1.24 开始，默认不启用新的 Beta API。 启用 Beta 功能时，还需要启用所有关联的 API 资源。 例如：要启用一个特定资源，如 storage.k8s.io/v1beta1/csistoragecapacities， 请设置 --runtime-config=storage.k8s.io/v1beta1/csistoragecapacities。 有关命令行标志的更多详细信息，请参阅 API 版本控制。