云原生动态：Kubernetes v1.37升级迫在眉睫需修复containerd 2.0与cgroup v2，etcd v3.7.0带来RangeStream流式大查询，Netflix揭示容器启动内核瓶颈

本周云原生生态多项重要进展：Kubernetes v1.37将于8月26日发布，包含三项破坏性变更——containerd 1.x将被移除、cgroup v1节点将无法启动、弃用的kubelet标志将被删除；etcd v3.7.0于7月8日正式发布，引入RangeStream流式大结果集功能，消除大型集群中因内存缓冲导致的OOM崩溃；Netflix公开其容器规模化部署中发现的Linux内核全局挂载锁瓶颈，揭示了NUMA拓扑与容器并发启动之间的微妙关系。

主要新闻

Kubernetes v1.37：containerd 2.0、cgroup v2与三项破坏性变更

Kubernetes v1.37将于2026年8月26日发布，距今仅44天。此版本包含三项关键破坏性变更，若不提前处理将在升级时导致集群故障。第一，containerd 1.x将被完全移除，v1.37要求containerd 2.0或更高版本；第二，cgroup v1节点的kubelet将拒绝启动，FailCgroupV1标志自v1.35起默认为true；第三，弃用的--cgroup-driver等kubelet标志将被彻底删除。

etcd v3.7.0的EtcdRangeStream特性门控将在此版本中作为beta特性引入，启用后kube-apiserver的watch缓存将通过单次RangeStream调用初始化，而非分页的Range请求，显著降低启动I/O。Code Freeze将于7月22日锁定功能范围，团队应立即运行预检清单验证containerd版本、cgroup状态和kubelet配置。

Source: Kubernetes v1.37: containerd 2.0, cgroup v2, and What to Fix Before August 26

etcd v3.7.0发布：RangeStream消除大查询OOM，租约性能提升2倍

etcd v3.7.0于7月8日发布，是Kubernetes核心组件etcd的最新次版本。最核心特性RangeStream通过流式RPC以分块方式传输大型结果集，而非缓冲整个响应，彻底解决了大型集群中因LIST操作导致的内存缓冲OOM崩溃问题。该功能已通过EtcdRangeStream特性门控集成到即将发布的Kubernetes v1.37中。

其他关键改进包括：租约和用户/角色操作性能提升高达2倍（通过SharedBufReadTxMode）、FastSLeaseKeepAlive移除了不必要的等待applied index的同步延迟、keys-only range查询现在完全从内存索引读取而不触碰bbolt后端。此版本还完成了v2store的完全移除、弃用--experimental-*标志的删除、以及过时protobuf库的全面迁移。值得注意的是，v3.7仅发布多架构容器镜像，不再提供架构特定标签（如amd64），CI/CD管道若拉取etcd:3.7.0-amd64将会失败。

Source: Announcing etcd v3.7.0

Netflix揭示容器启动内核瓶颈：全局挂载锁与NUMA拓扑的隐形战争

Netflix近期公开其容器规模化部署中遇到的性能瓶颈，问题根源不在Kubernetes调度层或容器运行时，而在Linux内核层。当数百个容器同时启动时，每个容器需要进行数十次挂载和卸载操作用于镜像层，内核的全局挂载锁（global mount lock）成为共享瓶颈。数千个操作争夺单一资源，使容器初始化从常规微操作演变为大规模同步问题。

实验揭示硬件拓扑对性能的决定性影响：在双路NUMA环境中，高并发显著放大共享缓存和全局锁的竞争，产生可感知的延迟尖峰；而单路实例配合分布式缓存架构则表现出更平滑的扩展特性。Netflix选择的实际缓解方案是重新设计overlay文件系统，将每容器的挂载操作从O(n)（n为层数）降至O(1)，通过将层挂载分组到公共父目录下大幅降低内核挂载压力。这一方案与现有内核广泛兼容，不需要平台级升级。

Source: Why Netflix Hit a Kernel Bottleneck: Scaling Containers on Modern CPUs

Google GKE Autopilot支持GPU与TPU网络，containerd v2.3.3修复五个CRI漏洞

Google为GKE Autopilot添加GPU和TPU支持，用户现在可通过托管DRANET设置请求TPU和RDMA网络接口的Pod，无需直接管理底层节点。该功能通过自定义ComputeClass定义和ResourceClaimTemplate对象实现，支持Nvidia B200和TPU v6e等加速器的声明式网络配置，为AI推理和训练工作负载提供了统一的Kubernetes原生部署模型。

containerd于7月10日发布v2.3.3补丁版本，修复了多个稳定性问题，包括NRI GetIPs在Pod沙箱拆除期间的空指针解引用、目标沙箱未运行时拒绝CreateContainer调用等。此外，containerd此前已修复五个CRI安全漏洞（CVE-2026-53488等），涉及镜像标签验证、检查点导入、CDI注解和符号链接处理等信任边界问题，AWS已在受影响的托管集群中部署补丁。

Source: Google adds GPU & TPU support to GKE Autopilot

分析

Kubernetes v1.37的三项破坏性变更标志着云原生基础设施的技术债务清理进入关键阶段。containerd 2.0的要求意味着2023年就已宣布的容器运行时迁移时间线终于到达终点。cgroup v1的强制淘汰尤其影响自管理集群——裸金属、老旧VM和CentOS 7时代的基础设施将面临硬性升级压力。etcd v3.7的RangeStream是多年来最具实际生产价值的改进，大型LIST操作在控制器调谐大量命名空间时产生的etcd CPU消耗一直是集群性能瓶颈。

Netflix的容器启动内核瓶颈揭示了一个被长期忽视的事实：容器编排的性能极限不仅由调度器和运行时决定，还受制于内核文件系统抽象和CPU微架构。当容器并发启动数量达到数百级别时，全局挂载锁的竞争会使NUMA拓扑成为可感知的性能因素。Netflix的O(1)挂载优化方案——通过结构性简化而非暴力优化解决问题——为云原生社区提供了一个高效解决内核级瓶颈的范例。

GKE Autopilot的GPU/TPU网络支持反映了AI工作负载对Kubernetes基础设施的新要求。传统的GPU直通已不足以满足大规模AI训练的网络需求，RDMA和高吞吐互联正成为必需品。Google通过声明式ComputeClass抽象将加速器网络配置融入Kubernetes原生模型，降低了AI基础设施的运维复杂度。

结论

本周云原生生态呈现出三条清晰主线：Kubernetes v1.37升级准备（containerd 2.0和cgroup v2的强制迁移）、控制平面性能突破（etcd v3.7的RangeStream解决大查询OOM）、以及从内核到加速器的全栈性能优化（Netflix的NUMA感知容器启动和GKE的RDMA网络）。建议立即启动v1.37预检流程，优先验证containerd版本和cgroup状态，并评估etcd v3.7 RangeStream对大型集群性能的实际影响。