AKS Breaking Changes: Co se ruší v březnu 2026 a jak migrovat

Březen 2026 přinesl do AKS hned tři retirement deadlines naráz. Windows Server 2019, Azure Linux 2.0 a kubelet certificate rotation tag – tři věci, které pokud jste ještě nemigrovali, máte poslední chvíli. Z mých auditů vím, že minimálně 40 % enterprise clusterů má stále alespoň jeden node pool na zastaralém OS. Tady je konkrétní návod, jak to vyřešit.

1. Windows Server 2019 – konec podpory od 1. března

Microsoft přestal vydávat nové AKS node images pro Windows Server 2019 od 1. března 2026. To znamená:

• Žádné security patche – nové CVE zůstanou neopravené
• Upgrade clusteru selže – nová Kubernetes verze nepodporuje WS2019 node pooly
• Škálování může přestat fungovat – nové nody nedostanou čerstvý image

Zjistěte, jestli vás to zasahuje

# Výpis všech node poolů s Windows Server 2019
az aks nodepool list \
  --resource-group myResourceGroup \
  --cluster-name myAKSCluster \
  --query "[?osSku=='Windows2019'].{Name:name, OsSku:osSku, Count:count, VMSize:vmSize}" \
  --output table

Pokud vidíte Windows2019 v sloupci OsSku, musíte migrovat.

Migrace na Windows Server 2022 (blue-green)

Nejbezpečnější cesta je přidat nový node pool a přesunout workloady:

# 1. Přidejte nový node pool s Windows Server 2022
az aks nodepool add \
  --resource-group myResourceGroup \
  --cluster-name myAKSCluster \
  --name npwin22 \
  --os-type Windows \
  --os-sku Windows2022 \
  --node-count 3 \
  --node-vm-size Standard_D4s_v5
 
# 2. Cordon starý pool (zakáže scheduling nových podů)
kubectl cordon -l agentpool=npwin19
 
# 3. Drain starý pool (přesune existující workloady)
kubectl drain -l agentpool=npwin19 \
  --ignore-daemonsets \
  --delete-emptydir-data \
  --grace-period=120
 
# 4. Ověřte, že všechny pody běží na novém poolu
kubectl get pods -o wide --all-namespaces | grep npwin22
 
# 5. Smažte starý node pool
az aks nodepool delete \
  --resource-group myResourceGroup \
  --cluster-name myAKSCluster \
  --name npwin19

Tip: Pokud zvažujete Windows Server 2025, je od března k dispozici v preview s Containerd 2.0 a Gen2 VM jako výchozí. Pro produkci ale doporučuji zatím zůstat na WS2022 – preview znamená možné breaking changes.

2. Azure Linux 2.0 – konec podpory 31. března

Azure Linux 2.0 (dříve CBL-Mariner 2.0) dosáhne konce životnosti 31. března 2026. Po tomto datu:

• Žádné nové node images – stávající image zůstanou, ale bez patchů
• Node pooly nelze škálovat – přidání nových nodů selže
• Kubernetes upgrade selže pokud cílová verze nemá Azure Linux 2.0 image

Zjistěte svoji verzi

# Kontrola OS SKU a Kubernetes verze na všech node poolech
az aks nodepool list \
  --resource-group myResourceGroup \
  --cluster-name myAKSCluster \
  --query "[].{Name:name, OsSku:osSku, K8sVersion:currentOrchestratorVersion, OSType:osType}" \
  --output table

Pokud máte AzureLinux s Kubernetes verzí nižší než 1.31, běžíte na Azure Linux 2.0.

Migrace na Azure Linux 3

Dobrá zpráva – migrace je v podstatě upgrade Kubernetes verze:

# 1. Zkontrolujte dostupné verze
az aks get-upgrades \
  --resource-group myResourceGroup \
  --cluster-name myAKSCluster \
  --output table
 
# 2. Upgrade control plane na 1.31+
az aks upgrade \
  --resource-group myResourceGroup \
  --cluster-name myAKSCluster \
  --kubernetes-version 1.31.0 \
  --control-plane-only
 
# 3. Upgrade jednotlivých node poolů
az aks nodepool upgrade \
  --resource-group myResourceGroup \
  --cluster-name myAKSCluster \
  --name systempool \
  --kubernetes-version 1.31.0

Kubernetes 1.31+ automaticky používá Azure Linux 3 node images. Nepotřebujete blue-green – stačí standardní rolling upgrade.

Na co si dát pozor

Pozor na custom kernel moduly – nový kernel 6.6 může vyžadovat rekompilaci. Pokud používáte vlastní DaemonSety s kernel-level ovladači (GPU, síťové akcelerátory), otestujte na staging clusteru nejdříve.

3. Kubelet Certificate Rotation – konec tagu 30. března

Node pool tag aks-disable-kubelet-serving-certificate-rotation=true přestane fungovat od 30. března 2026. Pokud jste ho používali pro potlačení automatické rotace kubelet certifikátů, musíte ho odstranit:

# Zkontrolujte, jestli tag používáte
az aks nodepool list \
  --resource-group myResourceGroup \
  --cluster-name myAKSCluster \
  --query "[].{Name:name, Tags:tags}" \
  --output json | grep -i "certificate-rotation"
 
# Odstraňte tag z node poolu
az aks nodepool update \
  --resource-group myResourceGroup \
  --cluster-name myAKSCluster \
  --name systempool \
  --tags "aks-disable-kubelet-serving-certificate-rotation="

Po odebrání tagu AKS automaticky zajistí rotaci kubelet certifikátů. Je to bezpečnější výchozí chování – manuální správa certifikátů byla častým zdrojem výpadků.

Migrační checklist (shrnutí)

Co přichází dál

Březen je jen začátek. V nadcházejících měsících se připravte na:

• Flatcar Container Linux – retirement v červnu 2026
• Ingress NGINX – konec plné podpory v listopadu 2026, přechod na Application Routing add-on
• Ubuntu 24.04 jako výchozí OS od Kubernetes 1.35+

Závěr

Tři retirements v jednom měsíci není běžné, ale ukazuje to rychlost, jakou se AKS ekosystém posouvá vpřed. Nejdůležitější je Azure Linux 2.0 migrace (31. března je tvrdý deadline pro scaling) a Windows Server 2019 pokud provozujete .NET Framework workloady. Neodkládejte to – upgrade na staging clusteru zabere hodinu, v produkci s blue-green strategií odpoledne.

Potřebujete pomoc s migrací AKS clusterů nebo plánováním upgrade strategie? Podívejte se na naše služby cloudové architektury nebo se ozvěte pro bezplatnou konzultaci.