Kubernetes 1.37发布：Metrics API转正，Rootless Kubelet进Beta

云原生计算基金会发布 Kubernetes 1.37，代号为“Garhwal”。该版本聚焦稳定性、安全性和 AI/ML 工作负载，共带来 67 项增强，包括 27 项 Alpha、23 项 Beta、16 项正式发布或稳定功能，以及 1 项弃用或移除内容。

Metrics API 在本版本中正式达到 GA。metrics.k8s.io API 为节点和 Pod 健康状况提供统一的监测与度量接口，可支撑 HPA、VPA 等自动扩缩容机制，以及 kubectl top 等运维命令。HPA 的 scale-to-zero 能力也升级为 Beta 并默认启用，有助于云环境中的 GPU 型 AI/ML 工作负载按需降低资源成本。

面向调度的 Alpha 特性由 InPlacePodVerticalScalingSchedulerPreemption 功能门控控制。调度器可以抢占低优先级工作负载，释放已满载节点上的资源，让等待中的高优先级 Pod 进行原地规格调整并获得调度机会。此外，Pod 级 checkpoint/restore 功能允许 kubelet 创建和恢复 Pod 快照，保存运行中容器的内存及进程树，便于调试和安全分析。

StatefulSet 新增 Alpha 阶段的 Recreate 滚动更新策略，更新时会删除全部现有 Pod。该功能默认关闭，但启用后可在 Pod 卡住或长期等待时执行干净恢复，无需管理员手动删除 Pod。用户命名空间模式下的 Kubelet 也升级为 Beta，KubeletInUserNamespace 默认开启，使 kubelet 等核心节点组件能够借助 Linux 用户命名空间以非 root 身份运行，降低容器逃逸攻击的影响。

韧性 watchcache 初始化功能在 1.37 中正式稳定并默认启用。大型集群的 kube-apiserver 重启或缓存连接丢失时，过去可能向 etcd 发起大量请求，引发性能问题甚至导致控制平面宕机；现在系统会安全地委派有限请求，并以 HTTP 429 拒绝其余请求，从而避免启动阶段出现请求洪峰。CNCF 大使、Megazone Corp 技术布道师 Hoon Jo 近期也在 LinkedIn 发文强调了这一能力的价值。

Pod certificates 同样升级为稳定功能，可在 Pod 之间原生建立安全通信，并为内部服务引导 mTLS，无需依赖外部工具。官方信息显示，Kubernetes 1.38 预计于 2026 年 12 月发布，用户可通过发布说明和文档查看本次版本完整的增强、弃用及移除列表。