Elastic Cloud on Kubernetes

Elastic Cloud on Kubernetes의 각 릴리스에 포함된 변경 사항, 수정 사항 등을 확인하세요.

ECK는 이제 정적인 관리 대상 네임스페이스 목록 대신 레이블 셀렉터 기반 네임스페이스 범위 지정을 지원합니다. namespaceSelector 이 구성되면 오퍼레이터는 런타임에 네임스페이스 레이블을 대상으로 Kubernetes 레이블 셀렉터 를 평가합니다. 네임스페이스에 일치하는 레이블이 추가되면 즉시 온보딩되어 오퍼레이터가 해당 Elastic 리소스를 관리하기 시작하고, 레이블이 더 이상 일치하지 않으면 오프보딩되어 리소스 조정을 중지합니다. 두 전환 모두 실시간으로 이루어지며 오퍼레이터를 다시 시작할 필요가 없습니다. 따라서 오퍼레이터 구성을 변경하지 않고 레이블만 변경하여 관리 대상 네임스페이스를 손쉽게 늘리거나 줄일 수 있습니다. 동적 네임스페이스 처리는 Enterprise 기능입니다. 자세한 내용은 동적 네임스페이스 처리 문서.

ECK는 이제 eck.k8s.elastic.co/pause-orchestration 어노테이션을 지원합니다. 이 어노테이션은 ECK가 관리하는 모든 리소스에서 사양 기반 오케스트레이션을 일시적으로 중단합니다. Kubernetes 노드 드레이닝이나 인프라 변경 적용 같은 유지 관리 기간에 필수 관리 작업은 계속 실행하면서 ECK의 사양 변경 적용을 막고 싶을 때 유용합니다. 기존 eck.k8s.elastic.co/managed: "false" 어노테이션은 모든 조정을 완전히 중지하며 이제 더 이상 사용되지 않지만, 오케스트레이션을 일시 중지하면 인증서 순환, 서비스 조정, 사용자 및 시크릿 관리, 상태 모니터링은 계속 활성 상태로 유지되어 장시간 중지 중에도 클러스터 성능 저하를 방지합니다. 이 어노테이션은 ECK가 관리하는 모든 리소스 유형에서 지원되며 값은 웹훅으로 검증됩니다. 오케스트레이션이 일시 중지되면 ECK는 리소스 상태에 OrchestrationPaused 조건을 설정하며, 재개하면 보류 중인 모든 사양 변경 사항이 즉시 적용됩니다. 자세한 내용은 오케스트레이션 일시 중지 문서.

Elasticsearch에 연결되는 모든 Stack 구성 요소(APM Server, Beats, Enterprise Search, Elastic Maps Server, Logstash, Elastic Agent(독립 실행형), Fleet Server)는 이제 ECK 관리형 클라이언트 인증서를 자동으로 받아 Elasticsearch 연결 시 제시합니다. Fleet 관리형 에이전트의 경우 Fleet Server가 추가 구성 없이 연결된 모든 에이전트에 클라이언트 인증서 정보를 자동으로 전파합니다. 자세한 내용은 Elasticsearch 클라이언트 인증서 인증 문서.

Elasticsearch 연결 보안 외에도 Fleet Server에 연결되는 Elastic Agent가 클라이언트 인증서를 제시하도록 구성할 수 있습니다. 이는 Enterprise 기능입니다. 자세한 내용은 Fleet Server 클라이언트 인증서 인증 문서.

새 AutoOpsAgentPolicy 리소스는 이제 CRD에서 AutoOps 에이전트의 수집기 구성을 직접 조정할 수 있도록 spec.config 및 spec.configRef 필드를 제공합니다. 구성 파일을 직접 편집할 필요 없이 수집할 metricset과 수집 간격을 제어할 수 있습니다. 자세한 내용은 AutoOps 데이터 수집 문서.

Elasticsearch 9.5 이상에서 ECK는 이제 선택적으로 사용할 수 있는 파일 기반 전달 메커니즘을 spec.secureSettings 에 지원합니다. 이 메커니즘은 시크릿을 업데이트할 때마다 필요했던 롤링 재시작을 없애 줍니다. 활성화하려면 Elasticsearch 리소스에 eck.k8s.elastic.co/file-based-secure-settings: "true" 어노테이션을 추가하세요. 그러면 ECK가 Elasticsearch 파일 기반 설정 경로에 시크릿을 직접 쓰고 Elasticsearch가 그 자리에서 다시 로드합니다. 자세한 내용은 보안 설정 문서.

새 securityRoles 필드를 StackConfigPolicy 에 사용하면 정책 내에서 사용자 지정 Elasticsearch 역할을 선언적으로 정의하고 모든 대상 클러스터에 일관되게 적용할 수 있습니다. ECK는 정의를 각 Elasticsearch Pod에 마운트된 roles.yml 파일에 병합하며 Elasticsearch는 Pod를 다시 시작하지 않고 이를 핫 리로드합니다. 자세한 내용은 StackConfigPolicy 문서.

새 variablesFrom 필드를 StackConfigPolicy 에 사용하면 ConfigMap과 Secret의 키-값 쌍을 치환 변수로 로드하여 정책의 ${VAR} 또는 ${VAR:-default} 표현식으로 참조할 수 있습니다. 이 변수는 정책의 elasticsearch 및 kibana 필드에서 사용되므로 값이 다른 여러 환경에서 하나의 정책 정의를 재사용할 수 있습니다. ECK는 참조된 모든 소스를 감시하고 변경 시 자동으로 조정합니다. 자세한 내용은 StackConfigPolicy 문서.

ECK 3.5에는 대규모 클러스터에서 오퍼레이터의 메모리 사용량을 줄이는 두 가지 상호 보완적 개선 사항이 포함됩니다. 이제 controller-runtime 캐시는 ECK 유형 레이블이 있는 핵심 워크로드 리소스(Pod, StatefulSet, Deployment, DaemonSet, PodDisruptionBudget)만 감시하도록 자동으로 범위가 지정되어 동일한 클러스터에서 실행되는 관련 없는 워크로드를 캐시하는 비용을 피합니다. 추가 선택적 플래그인 --restrict-watched-resources는 Secret, Service, ConfigMap 캐시를 명시적으로 eck.k8s.elastic.co/watched=true 레이블이 지정된 항목으로 한정하여 해당 유형의 사용자 관리 리소스가 많은 클러스터에서 메모리 및 API 서버 부하를 크게 줄입니다.

Elasticsearch에 클라이언트 인증서를 제시하는 Logstash 지원 구현 #9308
Elasticsearch에 클라이언트 인증서를 제시하는 Beats 지원 구현 #9306
Elasticsearch에 클라이언트 인증서를 제시하는 Enterprise Search 지원 구현 #9332
Elasticsearch에 클라이언트 인증서를 제시하는 APM Server 지원 구현 #9307
Elasticsearch에 클라이언트 인증서를 제시하는 Elastic Maps Server 지원 구현 #9331
Elasticsearch에 클라이언트 인증서를 제시하는 ECK 모니터링 지원 구현 #9334
Elasticsearch에 클라이언트 인증서를 제시하는 Fleet Server 및 Elastic Agent 지원 구현 #9234
Elasticsearch에 클라이언트 인증서를 제시하는 AutoOps 에이전트 지원 구현 #9333
Fleet Server 및 Elastic Agent 연결의 mTLS 지원 구현 #9399
Fleet Server mTLS 지원에 버전 제한 적용 #9486
Elasticsearch에 pause-orchestration 어노테이션 지원 추가 #9330
annotator.sh 스크립트를 eck.k8s.elastic.co/pause-orchestration 어노테이션에 맞게 업데이트 #9354
Elastic Agent 및 Beats에 pause-orchestration 어노테이션 지원 추가(보일러플레이트) #9417
Elastic Agent 및 Beats에 pause-orchestration 어노테이션 지원 추가 #9398
pause-orchestration 어노테이션에 웹훅 검증 추가 #9474
Logstash에 pause-orchestration 어노테이션 지원 추가 #9484
AutoOps에 pause-orchestration 어노테이션 지원 추가 #9477
ECK 레이블이 지정된 리소스만 감시하도록 캐시를 구성하여 오퍼레이터 메모리 사용량 감소 #9339
--restrict-watched-resources 플래그를 도입하여 Secret, Service, ConfigMap 캐시 범위 축소 #9359
모든 ECK CRD의 컨테이너 리소스 사양 간소화 #9346
다음을 통한 AutoOps 에이전트 수집기 구성 재정의 허용: spec.config/spec.configRef #9507
Fleet 통합 정책에 Kibana Spaces 지원 추가 #9410
StackConfigPolicy에서 Elasticsearch 역할 정의 지원 #9442
StackConfigPolicy에 동적 치환 변수 도입 #9541
활성 StackConfigPolicy를 기준으로 보안 설정 소스 검증 #9593
Kibana 준비 상태 프로브에서 상태 API 사용 #9468
Helm 차트의 extraObjects에 map 지원 추가 #9478
Pod 재시작 없이 보안 설정을 핫 리로드할 수 있는 파일 기반 클러스터 설정 선택적 지원 #9458
정적 바이너리와 함께 Go 네이티브 FIPS로 전환 #9538
동적 네임스페이스: 레이블 셀렉터 기반 네임스페이스 범위 지정(Enterprise 기능) #9569
cert-manager 시크릿을 지원하도록 사용자 지정 CA 시크릿 구문 분석 완화 #9574
Elasticsearch keystore add-file 호출 일괄 처리 #9440
Condition 유형을 다음 위치에서 이동: common/v1alpha1 → common/v1 #9408

AutoOps 리소스 셀렉터 변경 시 동적 감시 누수 수정 #9434
템플릿 해시 계산 범위를 Spec으로 제한하여 예기치 않은 Pod 재시작 수정 #9437
AutoOps: Elasticsearch TLS 검증에 ca.crt 대신 tls.crt 사용 #9463
Logstash가 set-default-security-context 오퍼레이터 플래그를 무시하는 문제 수정 #9551
연결 해제 시 service-account-token 시크릿 정리 #9562
클라이언트 인증서 신뢰 번들 생성 시 소유자 참조 확인 #9561
에이전트 ClusterRole의 Kubernetes metricset에 누락된 RBAC 추가 #9612
평문 Pod 환경 변수 대신 Secret에 FLEET_SERVER_SERVICE_TOKEN 저장 #9626
Elasticsearch mTLS 지원을 위한 Fleet Server 최소 버전을 8.13.0으로 제한 #9598

업데이트된 종속성

ECK는 이제 인증에 클라이언트 인증서를 요구하도록 Elasticsearch를 구성할 수 있습니다. 클라이언트와 서버 모두 유효한 인증서를 제시하도록 요구하여 클라이언트와 Elasticsearch 간 상호 TLS(mTLS)를 적용하고 보안을 강화할 수 있습니다. 현재 Elasticsearch와 Kibana가 이 기능을 지원하며, Kibana는 Elasticsearch 연결 시 클라이언트 인증서를 제시하도록 구성할 수 있습니다. Elasticsearch에 연결되는 나머지 구성 요소(Beats, Elastic Agent, APM Server, Logstash 등)는 향후 릴리스에서 지원할 예정입니다. 자세한 내용은 클라이언트 인증서 인증 문서.

ECK는 이제 새로운 어노테이션 기반 메커니즘을 통해 Elasticsearch 클러스터의 롤링 재시작을 실행할 수 있습니다. 오퍼레이터가 수동 개입 없이 클러스터의 모든 노드를 정상적으로 다시 시작할 수 있어 문제 해결에 유용합니다. 롤링 재시작 문서 에서 자세한 내용을 확인할 수 있습니다.

ECK는 Elasticsearch 클러스터의 영역 인식 구성을 간소화하여 토폴로지 인식 할당 설정에 필요한 상용구 구성을 줄입니다. 자세한 내용은 영역 인식 문서.

이제 ECK 컨테이너 이미지는 Sigstore cosign을 사용해 서명됩니다. 따라서 배포 전에 ECK 오퍼레이터 이미지의 진위성과 무결성을 확인하여 Kubernetes 클러스터의 공급망 보안을 강화할 수 있습니다.

FIPS 모드를 활성화하면 ECK가 Elasticsearch의 암호로 보호된 키 저장소를 자동으로 관리합니다. xpack.security.fips_mode.enabled 가 Elasticsearch 구성에서 true 오퍼레이터가 암호로 보호된 키 저장소를 생성, 저장, 구성하므로 수동 podTemplate 재정의가 필요하지 않습니다. 이 기능은 Elasticsearch 9.4.0 이상에서 활성화되며 기존 사용자 제공 키 저장소 암호 구성을 유지합니다. 자세한 내용은 Elasticsearch FIPS 키 저장소 암호 문서.

Elasticsearch의 클라이언트 인증서 필수 기능 지원 구현 #9229
Elasticsearch에 클라이언트 인증서를 제시하는 Kibana 지원 구현 #9230
Elasticsearch 클러스터 롤링 재시작 지원 #9172
영역 인식 간소화 #9148
Elasticsearch에 오퍼레이터 관리형 FIPS 키 저장소 암호 지원 #9287 (이슈: #9171)
웹훅 경고 노출 및 controller-runtime Validator를 사용하도록 웹훅 리팩터링 #9235
ECK Helm 차트에 extraObjects 지원 추가 #9069
Helm 차트에 kubeAPIServerPort 구성 옵션 추가 #8980
seccompProfile을 RuntimeDefault로 설정 #9012
사용자 제공 HTTP CA 인증서 검증 #8992
ECK 컨테이너 이미지 서명(v2) #9078
잘못된 라이선스 유형을 진단할 수 있도록 라이선스 서명 검증 오류 개선 #9262
AutoOpsAgentPolicy 상태 보고 개선 #9095
최신 EPR 버전에서 runAsNonRoot true 지원 #8974
informer 캐시에서 관리 필드를 제거하여 오퍼레이터 메모리 사용량 감소 #9321
Filebeat 사이드카 구성에 버전 제한 querylog 파일 세트 추가 #9291
기본 Kibana 메모리 제한을 1Gi에서 2Gi로 상향 #9328
eck-operator Helm 차트에 이미지 다이제스트 지원 추가 #9362

StackConfigPolicy 컨트롤러가 조정할 때마다 불필요하게 file-settings 시크릿을 업데이트하지 않도록 수정 #9316
소프트 멀티테넌시용 NetworkPolicy 네임스페이스 셀렉터 레이블 수정 #9153
동일한 StatefulSet이 이미 있을 때 nodeSet 이름 사용 방지 #9036
동일한 이름의 볼륨이 있으면 기본 PVC 건너뛰기 #9199 (이슈: #8744)
StackConfigPolicy 시크릿 감시에서 빈 조정 요청 방지 #9179
remote-ca 시크릿 생성 실패를 비차단 방식으로 변경 #9271
삭제 시 Agent가 약하게 소유한 시크릿을 가비지 컬렉션 #9090
인증서 체인에서 오래된 CA를 감지하고 인증서 재발급 실행 #9197
require_started_replica 조건자에서 GREEN 클러스터의 샤드별 복제본 검사 건너뛰기 #9188
다음 항목의 서버 측 기본값 처리: TrafficDistribution #8994
Kibana 초기화 컨테이너에 기본 보안 컨텍스트 설정 #9218
Elasticsearch 전송 계층의 사용자 제공 CA 검증 #8953
DaemonSet UpdateReconciled를 Deployment 조정기와 일치시킴 #9256 (이슈: #9246)

수동 mTLS 구성 레시피 추가 #9124
Elasticsearch 샘플에 PodTopologyLabelsAdmission 언급 #9035
Logstash 차트 개선 #9087

업데이트된 종속성

ECK 3.3.2는 다음 설정으로 BoringCrypto 실험을 올바르게 활성화하여 FIPS 빌드를 수정합니다: GOEXPERIMENT=boringcrypto. 또한 이 릴리스에는 Go 1.24에서 도입된 네이티브 Go FIPS 140-3 모드의 예비 지원이 추가되며, 모듈 인증이 완료되면 향후 릴리스에서 활성화될 예정입니다.

FIPS 빌드 수정 및 네이티브 Go FIPS 140-3 지원 추가 #9263

업데이트된 종속성

ECK 3.3.1에서는 AutoOpsAgentPolicy의 Enterprise 요구 사항이 제거되었습니다. 이제 온프레미스 사용자도 Enterprise 라이선스 없이 AutoOps를 사용할 수 있습니다.

AutoOpsAgentPolicy의 Enterprise 요구 사항 제거 #9125
AutoOpsAgentPolicy에 네임스페이스 셀렉터 추가 #8991
Basic 라이선스 사용 시 최소 AutoOps Agent 버전을 9.2.4로 업데이트 #9157

업데이트된 종속성

ECK는 새 AutoOpsAgentPolicy 사용자 지정 리소스를 통해 Elastic AutoOps 통합을 지원합니다. 여러 Elasticsearch 클러스터를 한 번에 계측하여 자동 상태 모니터링과 성능 권장 사항을 받을 수 있습니다. AutoOps 문서 에서 자세한 내용을 확인할 수 있습니다.

ECK는 새 PackageRegistry 사용자 지정 리소스를 통해 Elastic Package Registry(EPR)의 배포와 관리를 지원합니다. 특히 에어 갭 환경에서 유용하며 Kibana가 공개 레지스트리 대신 자체 호스팅 레지스트리를 참조할 수 있습니다. 패키지 레지스트리 문서 에서 자세한 내용을 확인할 수 있습니다.

ECK는 이제 동일한 Elasticsearch 클러스터 또는 Kibana 인스턴스를 대상으로 하는 여러 Stack Config Policy를 지원하며, 가중치 기반 우선순위 시스템으로 결정론적 정책 구성을 제공합니다. Stack Config Policy 문서 에서 자세한 내용을 확인할 수 있습니다.

AutoOpsAgentPolicy 지원 #8941 (이슈: #8789)
ElasticPackageRegistry 지원 #8800 (이슈: #8925)
Stack Config Policy 구성 지원 #8917
ECK Operator Pod에서 표준 Kibana 레이블 및 Helm 레이블 사용 #8840 (이슈: #8584)
Elasticsearch 원격 클러스터 서버의 서비스 사용자 지정 지원 추가 #8892
코드베이스에서 Elasticsearch 6.x 지원 제거 #8979

Elasticsearch 버전 업그레이드 시 master StatefulSet을 마지막에 업그레이드 #8871 (이슈: #8429)
기존 Stack Config Policy의 경쟁 조건 수정 #8928 (이슈: #8912)
Kibana server.name을 설정하지 않음 #8930 (이슈: #8929)
불필요할 때 elasticsearch.k8s.elastic.co/managed-remote-clusters를 쓰지 않음 #8932 (이슈: #8781)
StackConfigPolicy에서 제거된 고립된 시크릿 마운트 정리 #8937 (이슈: #8921)
GVK의 GET 생성 작업에서 중복 오류 로깅 방지 #8957
한 번에 master 하나만 확장할 수 있는 제한 제거 #8940 (이슈: #8939)

새 요구 사항에 맞게 Google Cloud LoadBalancer 레시피 업데이트 #8843
PDB 문서의 minUnavailable 오타 수정 #8898
GKE AutoPilot에서 DaemonSet 대신 GKE ComputeClass 사용 #8982
GKE AutoPilot 레시피에서 vm.max_map_count를 1048576으로 조정 #8986
Stack 7.17 지원 제거 #9038

업데이트된 종속성

ECK는 Pod가 노드 간에 이동할 때 클러스터 가용성을 자동으로 유지하는 향상된 기본 PodDisruptionBudget을 제공합니다. 새 정책은 교체를 견딜 수 있는 티어별 Pod 수를 계산하고 각 티어의 PodDisruptionBudget을 자동 생성합니다. 이를 통해 클러스터 상태를 고려하면서 중단 없이 Elasticsearch 클러스터가 Kubernetes 노드를 더 빠르게 비울 수 있습니다. PodDisruptionBudget 문서에서 자세한 내용을 확인할 수 있습니다.

ECK는 이제 각 Elasticsearch 클러스터의 관리 사용자에게 생성되는 암호 길이를 구성할 수 있습니다. 기본 길이는 24자로 유지되지만 최대 72자까지 구성할 수 있습니다. 암호에는 영문자와 숫자가 포함되어 높은 복잡성을 보장합니다. 관리형 자격 증명 페이지에서 예제와 자세한 내용을 확인하세요.

Stack 모니터링 Beats의 인증서 다시 로드 활성화 #8833 (이슈: #5448)
파일 기반 암호의 문자 집합과 길이 구성 허용 #8817 (이슈: #2795, #8693)
cgroups 메모리 제한에 따라 GOMEMLIMIT 자동 설정 #8814 (이슈: #8790)
노드 역할 기반의 세분화된 PodDisruptionBudget 도입 #8780 (이슈: #2936)

고급 Fleet 구성 로직을 Agent v8.13 이상으로 제한 #8869
Fleet 모드에서 다시 시작해도 Agent 구성과 상태가 유지되도록 보장 #8856 (이슈: #8819)
Kibana 구성 시크릿에 credentials 레이블을 설정하지 않음 #8852 (이슈: #8839)
Kibana Helm 검증에서 elasticsearchRef.secretName 허용 #8822 (이슈: #8816)

Logstash 레시피를 filestream 입력으로 업데이트 #8801
Fleet Server를 Kubernetes 클러스터 외부에 노출하는 레시피 #8788
secretName 제한 명확화 #8782
ES_JAVA_OPTS 주석 업데이트 및 자동 힙 동작 설명 #8753

업데이트된 종속성

이제 상위 사용자 지정 리소스의 메타데이터를 오퍼레이터가 만든 하위 리소스로 전파할 수 있습니다. 예를 들어 Elasticsearch, Kibana 또는 Agent 리소스에 레이블이나 어노테이션을 추가하면 오퍼레이터가 만든 Pod, Service 및 기타 리소스로 자동 전파할 수 있습니다. 레이블 및 어노테이션 전파 페이지에서 예제와 자세한 내용을 확인하세요.

공격 표면을 줄이고 전반적인 보안을 개선하기 위해 이제 UBI 이미지는 UBI micro 기본 이미지를 기반으로 합니다.

UBI: minimal 대신 micro 이미지 사용 #8704
메타데이터를 하위 리소스로 전파 #8673 (이슈: #2652)
Fleet 관리형 Elastic Agent의 고급 구성 허용 #8623 (이슈: #8619)

서비스 계정 Secret에 소유자를 설정하고 애플리케이션 재생성 시 업데이트 #8716
수정: Logstash에서 TLS를 비활성화할 수 없는 문제 #8706 (이슈: #8600)
더 이상 사용되지 않는 container 입력에서 filestream으로 전환 #8679 (이슈: #8667)
9.0.0 maps 문제의 자동 해결 방법 추가 #8665 (이슈: #8655)
go.mod를 v3로 상향 #8609
Helm: 누락된 remoteClusterServer 값 지원 추가 #8612
Stack 모니터링의 Filebeat와 Metricbeat에 로그 볼륨 추가 #8606 (이슈: #8605)

[Helm] examples/logstash/basic-eck.yaml 수정 #8695

업데이트된 종속성

ECK 3.0.0은 Elastic Stack 버전 9.0.0을 지원합니다. Elastic Stack 버전 9.0.0은 3.0.0 이전 버전의 ECK 오퍼레이터에서 지원되지 않습니다.

다음 옵션 정의 지원 추가: dnsPolicy 및 dnsConfig ECK 오퍼레이터 StatefulSet 옵션 #7999
구성: 다음 구문으로 키의 점 이스케이프 허용: [unsplit.key] 구문 #8512 (이슈: #8499)
사용자가 AWS Marketplace에서 ECK 오퍼레이터를 더 쉽게 찾을 수 있도록 ECK 이미지를 Amazon ECR에 복사하는 기능 활성화 #8427
9.0부터 새 에이전트 이미지 경로 지원 #8518
9.x 이미지에서 ubi 접미사 제거 #8509
6.x Stack 버전 지원 제거 #8507
Create 및 Update 시 resourceVersion 로깅 #8503
policyID 검증 제거 #8449 (이슈: #8446)
9.0.0용 APM Server 리팩터링 #8448 (이슈: #8447)
Fleet 설정 중 오류 메시지와 이벤트 개선 #8350
9.0 업데이트가 8.18을 거치는지 검증 #8559 (이슈: #8557)

환경 변수로 지정된 관리 대상 네임스페이스를 올바르게 구문 분석 #8513 (이슈: #7542)

[문서] 릴리스 노트 제목 업데이트(#8599)
Istio 1.24 업데이트(#8476)
ECK 빠른 시작의 해결되지 않은 속성 수정(#8432)
[문서] 합성 모니터링 예제 추가(#8385)(이슈: #6294)
[문서] 가장 최근 Java 프로세스를 사용하도록 힙 덤프 명령 업데이트(#8294)
[문서] Enterprise Search 분석에 수집 노드가 필요함을 문서화(#8271)

업데이트된 종속성