Kubeflow Manifests 1.10.0-rc.3版本深度解析

Kubeflow是一个基于Kubernetes的开源机器学习平台，旨在简化机器学习工作流程的部署和管理。作为Kubeflow生态系统的核心组件之一，Kubeflow Manifests提供了部署Kubeflow所需的所有Kubernetes清单文件。本次发布的1.10.0-rc.3版本是1.10.0正式版前的第三个候选版本，带来了多项重要改进和安全增强。

核心变更与特性

本次版本更新在多个方面进行了优化和改进，主要包括以下几个方面：

1. Istio组件升级与迁移

   • 将Istio相关镜像从DockerHub迁移至GCR（Google Container Registry），提高了镜像拉取的可靠性和安全性
   • 升级Istio代理版本至1.24.3，修复了已知的安全漏洞
   • 重构了Istio入口网关的生成逻辑，使其更加灵活和可配置

2. Pod安全标准(PSS)增强

   • 扩展了PSS基线/限制策略的覆盖范围，现在包括Notebooks、Katib、Kserve和istio-ingressgateway等组件
   • 删除了实验性安全配置中不再需要的补丁文件，简化了部署配置

3. 组件同步与更新

   • 同步了Kubeflow Training Operator至v1.9.1版本
   • 更新Katib组件至v0.18.0版本
   • 升级Model Registry至v0.2.15.3版本

4. 安全与权限修复

   • 修复了Pipeline组件中MinIO文件系统权限访问错误的问题
   • 增加了Kserve安全认证的自动化测试文档

兼容性与部署建议

该版本主要支持Kubernetes 1.31至1.33版本，同时在1.29+版本上也能工作，但需要注意以下几点：

1. 原生Sidecar支持

   • 在Kubernetes 1.29-1.30集群上，可能需要启用原生sidecars特性门控
   • 或者手动禁用NATIVE_SIDECARS配置
   • 值得注意的是，Kubernetes 1.30已在2025年6月28日终止支持，建议用户尽快升级至1.31+版本

2. 已验证环境

   • 该版本已在AKS和GKE 1.31+环境中通过测试
   • 即将发布的Kubernetes 1.33（计划2025年4月23日）也将获得支持

开发者工具与测试改进

1. 测试框架增强

   • 更新了Kind测试环境，支持Kubernetes 1.29-1.32版本测试
   • 优化了Kserve测试流程，使其更加高效和可靠

2. 文档与脚本改进

   • 新增了Spark Operator清单文件的同步脚本
   • 更新了README文件，增加了离线部署的相关提示
   • 改进了Trivy安全扫描脚本

总结与展望

Kubeflow Manifests 1.10.0-rc.3版本在安全性、兼容性和易用性方面都做出了显著改进。特别是对Istio组件的升级和Pod安全标准的扩展，使得整个平台更加安全可靠。随着Kubernetes生态系统的持续演进，Kubeflow团队也在积极跟进，确保平台能够支持最新的Kubernetes版本。

对于计划部署该版本的用户，建议仔细阅读更新日志，特别注意Kubernetes版本的兼容性要求。对于仍在使用较旧Kubernetes版本的环境，应考虑升级集群版本以获得最佳体验和安全性保障。