Kubernetes v1.37 'Garhwal': Stabilität, Workload-Identität und Gang-Scheduling für KI-Workloads
🇬🇧 Read in English~6 min read
kuberneteskubernetes-v1-37devopscloud-nativeai-mlsecurityscheduling
Back openDesk Edu for a sovereign, open-source education — every vote counts.
Vote nowSave products you love by clicking the heart icon.
LLMs können Terraform-Code generieren – aber nur 3 von 7 Modellen liefern sicherheitskonformen Code. Eine aktuelle Studie benchmarkt Modelle für sichere IaC-Generierung und zeigt, wie du KI sicher einsetzt.
Kubernetes v1.37 — codenamed Garhwal, nach einer Himalaya-Region in Uttarakhand, Indien — erschien am 26. August 2026. Die Release enthält 67 Enhancements: 16 wurden zu Stable, 23 zu Beta, 27 zu Alpha befördert, plus eine Deprecation/Removal. Wie üblich geht es weniger um eine Headline-Funktion als um die leise Reife des Control Planes: weniger Ausfälle unter Last, erste-class Workload-Identität und echte Scheduling-Primitive für KI/ML und HPC.
Dieser Artikel geht durch, was sich tatsächlich geändert hat — und was es vor einem Upgrade zu planen gilt. Die kanonische Liste steht im upstream Release-Blog.
Die wichtigste Stabilitätsarbeit ist der Abschluss der resilienten Watchcache-Initialisierung. Das Gate WatchCacheInitializationPostStartHook ist jetzt Stable und gesperrt aktiv (Standard seit v1.36). Der Praxiseffekt: Beim Start oder der Recovery des API-Servers flutet das Watch-Cache-Warm-up etcd nicht mehr mit List/Watch-Requests. Statt teure Requests etcd überlasten oder API Priority and Fairness erschöpfen zu lassen, delegiert kube-apiserver begrenzte Requests und lehnt den Rest mit HTTP 429 ab. Das senkt das Risiko von Control-Plane-Ausfällen in großen Clustern direkt — und ist ein Signal an Operatoren: Controller und Operatoren müssen 429 Too Many Requests sauber behandeln ( Retry-After respektieren, exponentielles Backoff).
Zwei begleitende Änderungen kommen hinzu: etcd RangeStream (Beta, Standard an, braucht etcd 3.7+) streamt große Listen in Chunks statt eines gepufferten Blobs, und ConcurrentWatchObjectDecode (jetzt Standard an) verlagert das Dekodieren/Transformieren pro Event auf einen begrenzten Worker-Pool — zusammen etwa 40–55 % kürzere Cache-Init bei Skalierung. Und die metrics.k8s.io-API wird nach fast neun Jahren in Beta endlich Stable und fixiert den Standardweg, wie HPA und kubectl top CPU/Speicher lesen. Auch KYAML, ein sichereres YAML-Subset, erreicht Stable ( kubectl get -o kyaml).
Eine der folgenreichsten GA-Features ist Pod Certificates samt ClusterTrustBundles (SIG Auth). Kubernetes hat jetzt erstklassige Unterstützung, um private Keys, X.509-Zertifikate und Trust-Bundles an Pods zu verteilen:
PodCertificateRequest-Objekte, stellt Zertifikate für berechtigte Pods aus und erneuert sie, und pflegt das passende ClusterTrustBundle.podCertificate-projiziertes Volume mit gewähltem Signer-Namen und kann ein ClusterTrustBundle-Volume für Trust-Anchors mounten.Das entfernt eine ganze Klasse von eigenbau-Init-Container/Zertifikats-Rotator-Glue und nützt direkt für mTLS, SPIFFE-artige Identität und Service-Mesh-Bootstrap — genau im Souveränitäts-/Security-Territorium, zu dem diese Seite immer wieder zurückkehrt.
Manifest-basierte Admission-Control wird Beta: Admission-Webhooks und CEL-Policies lassen sich aus Manifest-Dateien auf Disk laden ( staticManifestsDir in AdmissionConfiguration) statt nur über die Kubernetes-API. So geladene Policies werden ab API-Server-Start durchgesetzt, funktionieren weiter, während etcd nicht verfügbar ist, und können die API-basierten Admission-Ressourcen selbst vor Modifikation schützen. Für Cluster, in denen Admission die letzte Verteidigungslinie ist, zählt diese Durchsetzung zur Bootstrap-Zeit.
Ebenfalls Beta: besserer Umgang mit nicht entschlüsselbaren Ressourcen — Admins können Ressourcen, die der API-Server nicht mehr entschlüsseln kann, jetzt über die API finden und entfernen (mit Safeguards), statt direkt an etcd zu rühren.
Hier leistet v1.37 die interessanteste Arbeit, passend zum Branchen-Schwenk hin zu Training und Inference at scale.
PodGroup Beta: All-or-Nothing-Scheduling, sodass eine Gruppe von Pods nur landet, wenn der Cluster die ganze Gruppe hosten kann — und so die Partial-Scheduling-Deadlocks verhindert, die GPU-Nodes verschwenden. Dazu kommen workload-aware Preemption und PodGroup-Queueing sowie explizite Behandlung von Livelock, wenn mehrere Workloads den Scheduler racen.PodGroup als Einheit betrachten, statt einzelne Pods zu stören, die ein Workload gar nicht freimacht.numaNode-Attribut sind alle Stable; ResourceClaim-Support für Workloads ist Beta; und Alpha fügt derived attributes, Device-Compatibility-Groups und Node-Allocatable-Accounting hinzu.memory.min/memory.low/memory.high, um angeforderten Speicher zu schützen und vor harten Limits zu drosseln.emptyDir, medium: Memory) — ohne Restart.spec.minReplicas: 0 auf 0 und zurück skalieren — praktisch für idle Queue-Consumer, Batch-Jobs und GPU-Workloads.Für Teams mit TrainJob, JobSet, LWS oder RayJob liefern die neuen Workload Aware Scheduling Controller APIs (Alpha) und spec.scheduling am batch/v1 Job einen gemeinsamen Rahmen, sodass jeder Controller Gang-Scheduling und Topologie-Constraints konsistent exponiert.
StorageVersionMigration-Objekt deklarieren, und der Control Plane schreibt bestehende Ressourcen nach einem API-Upgrade oder Encryption-Change um — keine handgerollten kubectl get | replace-Scripts mehr.Unused-Condition hinzu, sodass sich verwaiste PVCs endlich sehen (und zurückfordern) lassen.ipvs-Mode ist deprecated. Loggt jetzt eine Startup-Warnung; mit v1.40 Standard aus, mit v1.43 entfernt. (Erinnerung: ipvs nutzte ohnehin immer iptables darunter.)kubectl run --filename/-f ist deprecated — der erzeugte Pod kommt rein aus CLI-Args.PreventStaticPodAPIReferences gated es).Zwei Caveats, die es vor dem Bump eines Produktions-Clusters zu testen gilt:
-o context=<label> statt rekursiver Relabeling — aber nur, wenn der CSI-Driver via .spec.seLinuxMount: true opt-in-t. Ein Mount trägt einen SELinux-Context; Pods mit unterschiedlichen SELinux-Labels, die ein Volume bisher teilten, können jetzt nicht mehr starten. .spec.seLinuxChangePolicy: Recursive am Pod behält das alte Verhalten (bis v1.38 umstellbar).maxUnavailable für StatefulSets ist wieder Standard an — nachdem ein v1.36-Bug (fester CrashLoopBackOff) gefixt wurde.v1.37 ist eine "make it boring"-Release: Sie härtet den Control Plane, gibt Workloads echte Identität und Scheduling-Primitive und räumt leise das Alte ab (kube-dns, ipvs). Wer KI/ML oder HPC auf Kubernetes betreibt, sollte das Gang-Scheduling- und DRA-Zeug jetzt piloting — und wer souveräne, selbst-gehostete Infrastruktur will, findet in Pod Certificates plus manifest-basierter Admission die Security-Primitive, die sich früh lohnen.