觀點 · 資訊分享
AWS EKS 支援 Kubernetes 1.36：容器被攻破也拿不到節點權限，Pod 資源可免重啟調整
Amazon EKS 與 EKS Distro 支援 Kubernetes 1.36。新版把「使用者命名空間」升為正式版，容器逃逸後不會取得節點層級權限；另有 Pod 資源免重啟調整等功能，所有提供 EKS 的 AWS 區域都能用。
- 發布
- 2026-06-03
- 篇幅
- 約 4 分鐘 · 1,930 字
- 結構
- 7 節 + 3 題常見問題
- 標籤
一句話看懂：AWS 的 Kubernetes 服務 EKS 支援 1.36 版，新版重點是「容器逃逸後不會拿到節點權限」與「Pod 資源免重啟調整」。
先用白話講：Kubernetes 升級帶來什麼？
想像 Kubernetes 是一棟公寓大樓的管理系統，每個房間就是一個容器。
以前，如果有人在房間裡自稱「房東」（root），管理系統可能真的把他當房東看待。新版的「使用者命名空間」像是在房間門口加了一道「身分轉換門」：在房間裡他可以自稱房東，但走出房間後，大樓管理系統只把他當成普通住戶，動不了水電總開關。
另外，以前要調整房間的冷氣功率（CPU 與記憶體），常常得先請住戶搬出去再重新安排（重啟 Pod）。新功能讓你在人還在房間裡時，就能直接調整。
發生什麼事
AWS 在 2026 年 6 月 2 日的公告中宣布，Amazon Elastic Kubernetes Service（EKS）與 Amazon EKS Distro 現在可以執行 Kubernetes 1.36。
- 可用範圍：所有提供 EKS 的 AWS 區域，包含 AWS GovCloud (US)。
- 升級管道：可用 EKS 主控台、
eksctl命令列工具，或基礎設施即程式碼（IaC）工具，建立 1.36 的新叢集，或把既有叢集升到 1.36。 - EKS Distro：1.36 的建置版本可從 ECR Public Gallery 和 GitHub 取得，適合想在 EKS 之外自行架設的人。
公告點名的四項新功能
| 功能 | 白話說明 | 對你的意義 |
|---|---|---|
| 使用者命名空間（GA） | 容器內的 root 對應成主機上的無特權使用者 | 容器逃逸後不會取得節點層級權限 |
| Pod 層級資源原地垂直調整 | Pod 可以調整共用的 CPU 與記憶體預算，不必重啟 | 調整資源時不需要先停掉 Pod |
| Mutating Admission Policies | 用 CEL 在 API 伺服器內直接改寫資源 | 不需要額外架設 Webhook |
| Resource Health Status | 在 Pod 狀態裡回報裝置（device）健康狀況 | 協助判斷崩潰循環是不是硬體造成 |
其中「崩潰循環」（Crash Loop）指 Pod 一直啟動、當掉、再啟動。公告提到的情境是：有了裝置健康回報，比較容易看出這是硬體問題造成的。
給開發者的技術細節
- 先檢查再升級：公告建議用 EKS cluster insights，先看有沒有會影響叢集升級的問題。
- 自架環境：如果你用 EKS Distro 在別的地方跑 Kubernetes，可以從 GitHub 或 ECR Public Gallery 取得 1.36 的建置版本。
- 怎麼啟用新功能：這則公告只列出功能名稱，沒有說明各項功能的啟用方式與限制，請對照 Kubernetes 1.36 的官方發行說明與 AWS 的 EKS 文件。
- 版本生命週期：公告另外提醒可以查 EKS 的版本生命週期政策，確認這個版本的支援期限。
我的看法
我自己最在意的是「使用者命名空間」升為正式版。對沒有專職維運人員的小團隊來說，容器隔離常常是設定得出來、但不一定有人顧得到的一環。這項功能升到 GA，代表這層防護比較有機會變成可以放心採用的選項，不過公告沒有說明預設是否開啟，實際要怎麼套用到自己的 Pod，還是得查官方文件。
「Pod 資源免重啟調整」對流量會起伏的服務應該有幫助，不過公告沒有給任何效能或限制細節，我不會只看一句宣傳就當成萬靈丹，會先在測試環境確認行為。
升級建議照老規矩：先在測試叢集跑一輪，確認自己用到的 Operator、舊版 API 與 YAML 設定沒有相容問題，再逐步升級正式環境。AWS 提供的 cluster insights 是個不錯的起點，但它能抓到的問題有限，不能取代自己的測試。
名詞小辭典
- Kubernetes（K8s）：開源的容器編排系統，用來自動部署、擴充與管理容器化的應用程式。
- EKS：Amazon Elastic Kubernetes Service，AWS 代管的 Kubernetes 服務，控制平面由 AWS 維運。
- Pod：Kubernetes 裡最小的部署單位，裡面有一個或多個共用網路與儲存空間的容器。
- CEL（Common Expression Language）：一種用來撰寫判斷與運算式的語言，在這裡用來定義修改資源的規則。