RSS Kubernetes 博客 关注 SELinux 卷标变更现已进入通用可用（GA）阶段（并可能在 v1.37 版本中产生相应影响） Kubernetes v1.37 计划默认启用 SELinuxMount 功能门控，以提升卷的挂载速度。此变更可能会破坏依赖旧版递归重新标记方法的现有应用，尤其是那些在特权与非特权 Pod 之间共享卷的应用。文章建议对 v1.36 集群进行审计，以识别并解决与 SELinux 相关的潜在冲突。当启用 SELinux 时，kubelet 会为卷应用 SELinux 标签以实现访问控制；新方法通过挂载选项实现更快的重新标记。为此引入了 SELinuxChangePolicy 字段和 Recursive 选项，允许用户退出该性能加速机制。若满足相应条件，kubelet 现在可直接以适当的 SELinux 标签挂载卷，无需执行递归重新标记。selinux-warning-controller 可识别可能因新配置而失效的冲突 Pod，并发出事件和指标。集群管理员可利用这些指标检测潜在问题并做出相应调整。推荐的升级路径包括：启用控制器、解决冲突，随后在监控错误的同时升级到默认启用 SELinuxMount 的版本。管理员可采用多种方法针对特定 Pod 强制退出该机制。新行为虽能提升性能，但会改变不同 Pod 间卷的共享方式。 SELinux Volume Label Changes goes GA (and likely implications in v1.37) kubernetes.io
SELinuxChangePolicy字段和Recursive选项，允许用户退出该性能加速机制。若满足相应条件，kubelet 现在可直接以适当的 SELinux 标签挂载卷，无需执行递归重新标记。selinux-warning-controller可识别可能因新配置而失效的冲突 Pod，并发出事件和指标。集群管理员可利用这些指标检测潜在问题并做出相应调整。推荐的升级路径包括：启用控制器、解决冲突，随后在监控错误的同时升级到默认启用 SELinuxMount 的版本。管理员可采用多种方法针对特定 Pod 强制退出该机制。新行为虽能提升性能，但会改变不同 Pod 间卷的共享方式。