【ITニュース解説】Kubernetes v1.35 (Timbernetes): Why This Release Actually Matters for Production & AI Workloads

Kubernetes v1.35「Timbernetes」は、特にAI（人工知能）関連の処理や、企業の本番環境での利用を念頭に置いた、非常に重要なリリースである。今日のIT業界では、AIワークロードが爆発的に増加しており、多くの企業が数百ものGPU（Graphics Processing Unit）を使って分散学習を行っている。しかし、従来のKubernetes環境では、不安定なスケジューリングや頻繁なPod（コンテナの最小実行単位）の再起動といった問題に直面し、大規模なAIインフラの運用は困難を極めていた。Kubernetesが、このような「ダウンタイムなしのスケーリング」や「信頼性の高いギャングスケジューリング」を実現するための「戦場」と化している状況で、v1.35はこの課題に正面から向き合っている。

このリリースには、セキュリティ、スケーラビリティ、そして古いコードの整理に焦点を当てた60もの機能強化が含まれている。その目的は明確で、実際のクラウドネイティブな運用における「成熟度」を高めることにある。例えば、Podのリソースを稼働中に変更する機能や、AIワークロードに特化したスケジューリング、そして不要になった機能の厳格な廃止など、これらは現場のシステム管理者や運用エンジニア（SRE）が日々直面する問題に直接対応するものだ。もしあなたが、Kubernetes上でデータベースのようなステートフルなシステム、分散型のAIジョブ、あるいは長時間稼働するサービスを動かしているのであれば、このリリースは近年のKubernetesリリースの中でも特に実用的なものとなるだろう。

Kubernetes v1.35における本番環境の重要な改善点として、まず「Podのインプレースリソース更新」が正式に利用可能になったことが挙げられる。これは、Podの再起動なしにCPUやメモリのリソースをスケーリングできる機能である。データベースやAI学習ジョブ、その他のステートフルなサービスなど、処理の中断を許容できないシステムにとって、これは非常に重要な変更だ。例えば、トラフィックが急増した際でも、サービスを停止することなくリアルタイムでリソースを調整できるため、再デプロイの手間が不要になる。また、「Pod世代のトラッキング」では、Podのメタデータにある世代情報と、kubelet（各ノードでコンテナを管理するエージェント）が変更を適用したことを示すステータス情報が安定して利用できるようになった。これにより、インプレースリサイズのような変更が確実に適用されたかを、本番環境の監視で信頼性高く確認できるようになる。さらに、「Topology Manager NUMA Enhancements」は、CPUとメモリの配置を最適化するNUMA（Non-Uniform Memory Access）のサポートを強化し、8つ以上のNUMAノードを持つ大規模なサーバーでも安定して動作するようになった。これは、AIや高性能計算（HPC）ワークロードで一般的に使用される大規模なマルチGPUシステムを、より効率的に活用できるようになることを意味する。

運用の成熟度を高めるための改善も多岐にわたる。「ネイティブPod証明書」は、Pod間で安全な通信（mTLS: mutual Transport Layer Security）を確立するための証明書を、Kubernetesが自動で管理・更新できるようになる。これにより、外部の証明書管理ツールや、追加のサイドカーコンテナを導入する必要がなくなり、ゼロトラスト環境（全ての通信を信頼しない前提のセキュリティモデル）におけるワークロードの認証・認可が簡素化される。ステートフルなアプリケーションを管理する「StatefulSet」では、「maxUnavailable」オプションが導入された。これは、StatefulSetの更新時に、同時に停止してもよいPodの数を指定できる機能だ。これにより、更新中もサービスの可用性に関するSLA（Service Level Agreement）を維持しながら、並行してPodを更新できるようになる。また、「ユーザー名前空間」は、Pod内でコンテナがroot（管理者権限）として動作している場合でも、ホストマシン上では特権を持たないユーザーにマッピングする機能である。これにより、マルチテナントクラスター（複数のユーザーやアプリケーションが共有する環境）における特権昇格のリスクを劇的に低減し、セキュリティを大幅に向上させる。スケジューラーの改善として、「Opportunistic Batching」は、類似のPodをまとめてスケジューリングすることで、大規模なAIジョブが大量に発生した際のスケジューリング遅延を削減する。さらに、「ネイティブストレージバージョン移行」は、Kubernetesの内部APIオブジェクトのストレージバージョン移行機能が、Kubernetes本体に組み込まれ、ベータ版としてデフォルトで有効になった。これにより、長期間稼働しているクラスターのアップグレードリスクが低減され、外部ツールへの依存がなくなることで運用が簡素化される。

AIインフラの未来を見据えた重要な機能も登場している。「ギャングスケジューリング」は、新しい「Workload API」と「PodGroup」を利用することで、分散AIやHPCジョブにおいて「全てが起動するか、何も起動しないか」という厳密なスケジューリングを実現する。これにより、必要なリソースの一部だけが割り当てられてしまい、残りのリソースを待つ「部分配置によるデッドロック」を防ぎ、高価なGPUの利用効率を最大化する。また、「コンテナレベルのリスタートポリシー」により、Pod内の各コンテナに対して独立した再起動ルールを定義できるようになった。これにより、機械学習パイプラインでよく使われるサイドカーコンテナが障害を起こしても、Pod全体が再起動されることなく、影響範囲を限定できるため、システムの安定性が向上する。ノードが自身の持つ特殊な能力をKubernetesに伝える「Node Declared Features」も導入された。ノードがGPUの種類や特定のハードウェア機能などをKubernetesに自動的に広告できるようになり、スケジューラーが互換性のないノードにPodを配置するのを自動的に回避できるようになる。そして、「Extended Toleration Operators」は、ノードの信頼性スコアに基づいて、数値比較を用いたSLA（Service Level Agreement）を考慮したスケジューリングを可能にする。

今回のリリースでは、プラットフォームの近代化を促すためのいくつかの破壊的な変更と、重要な非推奨化が行われた。例えば、「cgroup v1」のサポートが完全に削除されたため、古いLinuxノードはkubeletの起動に失敗する。全てのノードを「cgroup v2」にアップグレードする必要がある。「containerd v1.x」は今回が最後のサポートとなり、今後は「containerd 2.0+」への移行が求められる。「IPVS kube-proxy」は非推奨となり、警告ログが出力されるため、「nftables」ベースのプロキシへの移行計画が必要となる。また、「Ingress NGINX」も2026年3月までのベストエフォートサポートとなり、「Gateway API」への移行が推奨される。これらの非推奨化は、Kubernetesが古い技術のリスクを抱え続けるのではなく、積極的に近代化を推進するという明確な方針を示している。

セキュリティとID管理の面でも、本番環境に耐えうる重要な機能が追加された。先に述べた「ユーザー名前空間（ベータ版）」は、アプリケーションを書き換えることなく、特権昇格のリスクを低減する。「Kubelet Cached Image Verification（ベータ版）」は、イメージがキャッシュされていても、イメージのプル権限を強制する。これは、共有GPUクラスターなどで、キャッシュされた悪意のあるイメージが使用されるのを防ぐ上で重要である。「CSI Token Security」では、ServiceAccountトークンがsecretsフィールド経由で提供されるようになり、意図しない認証情報漏洩を防ぐ。さらに、「Constrained Impersonation（アルファ版）」は、きめ細かい認可（許可の範囲を細かく設定すること）により、サービスアカウントが特権を不正に昇格させることを防ぐ。

ワークロードとオブザーバビリティ（システムの状態を外部から把握する能力）に関するアップグレードも行われた。「Suspended Job Resource Tuning（アルファ版）」により、メモリ不足（OOM）で停止したジョブのリソースを、ジョブを再作成することなく調整できるようになった。「Deployment terminatingReplicas」は、デプロイ中にクリーンアップされているPodの数をリアルタイムで可視化し、より詳細なロールアウト状況の把握を可能にする。「OCI Artifact Volumes（ベータ版）」は、機械学習モデルや設定ファイルを、initコンテナを使わずに直接ボリュームとしてPodにマウントできる機能であり、ワークフローの簡素化に寄与する。サービスにおけるトラフィック分配の機能として、「PreferSameNode」と「PreferSameZone」が、曖昧な「PreferClose」という設定に代わって導入され、低遅延での推論（AIモデルの実行）を実現するためのサービス配置の最適化が進んだ。

CLI、設定、APIの改善もユーザー体験を向上させる。「KYAML（ベータ版、デフォルトで有効）」は、安全なYAMLのサブセットを導入し、一般的な設定ミスを防ぎつつ、既存のkubectlワークフローとの互換性を保つ。これにより、GitOpsパイプライン（Gitリポジトリを唯一の真実のソースとしてシステムの状態を管理する手法）における設定の不一致が大幅に減少する。「kuberc Credential Plugin Policies（ベータ版）」は、認証プラグインの実行に対してきめ細かい制御を可能にし、CI/CD（継続的インテグレーション・継続的デリバリー）環境における予期せぬ認証情報使用を防ぐ。また、「Comparable Resource Versions（安定版）」は、小数点のようなリソースバージョンセマンティクスを導入し、コントローラーやインフォーマーのウォッチャーパターン（変更を監視し反応する仕組み）をより信頼性の高いものにする。本番環境への影響として、「/flagz」と「/statusz」エンドポイントが、構造化されたバージョン管理されたJSON出力（アルファ版）をサポートするようになった。これにより、従来のgrepベースの脆弱なヘルスチェックから、実際のオブザーバビリティ統合へと移行し、より高度な監視が可能になる。

Kubernetes v1.35「Timbernetes」は、特にAI/MLワークロードにとって大きな進歩をもたらすリリースだ。Podのインプレースリサイズはダウンタイムを排除し、ギャングスケジューリングは大規模なAI学習を信頼性高く実行可能にする。また、戦略的な非推奨化は、長らく求められていたシステムの近代化を促す。このリリースにより、Kubernetesは将来のプラットフォームを構築するための強力な選択肢であり続けるだろう。