Release notes for CloudNativePG 1.30 ==================================== CloudNativePGの1.30マイナーリリースのユーザーに表示される変更の履歴。 変更の完全なリストについては、 `commits `_ を参照してください。 GitHubのリリースブランチで。 バージョン1.30.0 ---------------- **発売日** 2026年6月29日 重要な変更 ^^^^^^^^^^ - ネイティブツリー内Barman Cloudサポートの非推奨通知を更新して、1.30.0ではなくCloudNativePG 1.31.0で削除されることを反映しています。ユーザーは引き続きBarman Cloudプラグインに移行することをお勧めします。 ( `#11083 `_ ) - ``cluster`` 参照は、\ ``Database`` 、\ ``Pooler`` 、\ ``Publication`` 、\ ``Subscription`` 、および\ ``ScheduledBackup`` リソースで不変になりました。別のクラスターでこれらのオブジェクトのいずれかをポイントすることには、明確に定義されたセマンティクスがなく、以前はコントローラを一貫性のない状態のままにしました。更新は、CEL検証ルールを介してAPIサーバーで拒否されるようになりました。 ( `#10743 `_ ) 機能 ^^^^ - **安全なプライマリ選挙のためのプライマリ\ ``Lease``** プライマリプロモーションをシリアル化するミューテックスとして機能するKubernetes ``Lease`` オブジェクトクラスターにちなんで命名されました。インスタンスマネージャーは、プライマリとして機能する前にリースを保持する必要があり、クリーンシャットダウン時にリリースする必要があるためレプリカは、完全なTTLを待たずに昇格できます。タイミングは、新しい\ ``.spec.primaryLease`` スタンザを介して構成できます。リースはプロモーションゲートであり、フェンスではありません。一次隔離は引き続きフェンシングを担当します。 `#10627 `_ - **宣言的ロール管理のための\ ``DatabaseRole`` CRD** ``Cluster`` の\ ``.spec.managed.roles`` スタンザでインライン宣言するのではなく、スタンドアロンのKubernetesオブジェクトとしてPostgreSQLロールを管理する\ ``DatabaseRole`` カスタムリソースを導入しました。各ロールは、独自のライフサイクル、ステータス、およびRBACを取得します。これにより、GitOpsワークフローに適合し、ロール定義を所有するアプリケーションの横に存在します。仕様はインラインメソッドと同じ\ ``RoleConfiguration`` 構造を再利用するため、ロールの移行は、スタンザを独自のマニフェストに移動することです。 ``databaseRoleReclaimPolicy`` フィールド ``retain`` 、デフォルト、または\ ``delete`` は、リソースが削除され、永続ボリュームをミラーリングしたときにロールに何が起こるかを制御します。 `#6155 `_ - **宣言的ロールのTLSクライアント証明書** ``DatabaseRole`` に\ ``clientCertificate`` ブロックを含めて、クラスターのクライアントCAによって署名され、\ ``-client-cert`` シークレットに保存されるTLSクライアント証明書をオペレーターが自動的に生成および更新できるようになりました。これにより、パスワードなしのPostgreSQL ``cert`` 認証が有効になります。シークレットは、機能が無効になるか、\ ``DatabaseRole`` が削除されるとクリーンアップされます。 `#10896 `_ - **イメージカタログを介したPgBouncerイメージ管理** ``Pooler`` リソースは、新しい\ ``spec.pgbouncer.imageCatalogRef`` フィールドを介して\ ``ImageCatalog`` または\ ``ClusterImageCatalog`` のエントリーを参照できるようになり、PgBouncerイメージ管理を一元化できます。カタログエントリが更新されると、参照しているすべての\ ``Poolers`` が自動的にリコンサイルされ、仕様を変更せずに新しいイメージをロールアウトします。解決された画像は\ ``status.image`` でレポートされ、新しい\ ``status.phase`` ``active`` 、\ ``paused`` 、\ ``inactive`` 、または\ ``failed`` も\ ``kubectl get pooler`` の\ ``Phase`` 列として表示され、ライフサイクルを概要します。 `#10568 `_ 機能強化 ^^^^^^^^ - PostgreSQL 19の\ ``pg_upgrade`` に追加された拡張パスのサポートに基づいて、イメージボリューム拡張を使用するクラスターでPostgreSQL 19以降への\ ``pg_upgrade`` インプレースメジャーアップグレードを有効にしました。アップグレード中に\ ``Job`` 、ソースおよびターゲットバージョンの拡張イメージはサイドバイサイドでマウントされるため、古いサーバーはライブラリを保持し、失敗したアップグレードはきれいに元に戻ります。 `#10366 `_ ) - ``.spec.monitoring.tls.enabled`` を介して\ ``Pooler`` メトリックエンドポイントのTLSサポートを追加しました。有効にすると、メトリックサーバーはHTTPSで提供され、\ ``.spec.pgbouncer.clientTLSSecret`` から証明書とキーを再利用し、ハンドシェイクのたびにリロードして、再起動なしのローテーションをサポートします。生成された\ ``PodMonitor`` は、それに応じて\ ``https`` をスクレイピングします。 `#10466 `_ - ラベルセレクターを\ ``Cluster`` スケールサブリソース\ ``status.selector`` に追加し、\ ``Cluster`` を垂直ポッドオートスケーラーVPAおよび水平ポッドオートスケーラーHPAの有効な\ ``targetRef`` にします。\ ``Cluster`` をインスタンスポッドにマッピングできるようになりました。 @sebv004による寄稿。 ( `#8996 `_ ) - プライマリポッドがkubeletパースペクティブから\ ``Ready`` であるが、オペレーターの\ ``/pg/status`` チェックが失敗し、フェイルオーバーが遅延される場合、オペレーターは\ ``Cluster`` で\ ``Warning`` ``PrimaryStatusCheckFailed`` イベントを発行するようになり、ユーザーに\ ``kubectl describe cluster`` を介して遅延を可視化します。 ( `#10509 `_ ) - ``ENABLE_WEBHOOK_NAMESPACE_SUFFIX`` フラグを追加しました。これは、オペレーターのWebhook構成名の後に\ ``-`` を付けて、複数のオペレーターインスタンスが同じクラスターに共存できるようにします。オペレーターはこれらの構成を検索するだけです。ユーザーはそれらを作成および保守する必要があります。 @maxlengdellによる寄稿。 ( `#10420 `_ ) - オペレーターは、ポッドがロールされたときにCNPG-iプラグインを自動的にリロードするようになりました。\ ``EndpointSlices`` バッキングプラグイン\ ``Services`` を監視し、新しいポッドが\ ``Ready`` になるとプラグインを使用してすべてのクラスターを再エンキューするため、アップグレードされたプラグインは待機せずに選択されます次の再同期。 ( `#10836 `_ ) - インスタンスのシリアル番号は、常にグローバルカウンターをインクリメントするのではなく、既存のインスタンス名の中で最も低い空きスロットを再利用することにより割り当てられるようになりました。ポッドとPVCの名前は、インスタンスが再作成されても安定したままであり、たとえば、ノードドレイン後に再作成されるインスタンスは同じ名前で戻ってきて、削除されたインスタンスによって解放されたシリアルは再利用されます。新しい\ ``Initialized`` クラスター条件は、クラスターが最初のブートストラップを完了したかどうかをレポートし、 ``status.latestGeneratedNode`` は非推奨です。それはもう書き込まれませんが、下位互換性のためにCRDに保存されます。 `#10548 `_ - デフォルトと検証は、アドミッションWebhookが使用できない場合、または障害を無視するように構成された場合のフォールバックとして、調整中に実行されるようになったため、オペレーターは無効または不完全な仕様をリコンサイルしなくなりました。欠落しているデフォルトは直接適用され、検証失敗は後でサイレントに失敗するのではなく、リソースステータスに表示されます。 `#10874 `_ セキュリティ ^^^^^^^^^^^^ - **``CVE-2026-55769`` / ``GHSA-x8c2-3p4r-v9r6`` オペレーター発行の接続での\ ``search_path`` ピンニング** データベース所有者は\ ``public`` スキーマにオーバーロードされたビルトイン演算子を植え、\ ``search_path`` を変更して、クラスタースーパーユーザーとして実行される演算子イントロスペクションプローブがこれらのオーバーロードを解決できるように\ ``pg_catalog`` の前に、 ``COPY ... FROM PROGRAM`` を介してポッド内RCEにつながる可能性がある\ ``CWE-426`` 特権エスカレーションチェーン\ ``CVE-2018-1058`` と同じクラス。オペレーターは、プールされたすべての接続に\ ``search_path = pg_catalog, public, pg_temp`` を固定するため、起動メッセージで出荷され、テナント制御のデフォルトより優先されます。 ( `#10774 `_ 、 `GHSA-x8c2-3p4r-v9r6 `_ ) - **``GHSA-7qwx-x8ff-3px9`` 認証されたオペレーターからインスタンスマネージャーへの呼び出し** インスタンスマネージャーのリモートウェブサーバーは、オペレーター専用の制御エンドポイントの認証ではなくネットワーク分離に依存しているため、ポッドのステータスポートに到達できる当事者はそれらを呼び出すことができます、バックアップオーケストレーションとWALアーカイブを中断し、運用メタデータを読み取ります。アップグレードエンドポイントはSHA-256固定されているため、任意のコードの実行は許可されません。インスタンスマネージャーは、一致する証明書を提示しない機密エンドポイントへの要求を拒否します。この強化はバックポートされません。以前のリリースでは、\ ``NetworkPolicy`` でステータスポートを制限し続ける必要があります。 ( `#10579 `_ 、 `GHSA-7qwx-x8ff-3px9 `_ ) - **``CVE-2026-55765`` / ``GHSA-w3gf-xc94-wvmj`` オペレーターサイドのSCRAM-SHA-256パスワードエンコーディング** オペレーターは現在SCRAM-SHA-256が\ ``CREATE`` /``ALTER ROLE ... PASSWORD`` を発行する前にクリアテキストロールパスワードをエンコードするため、リテラルPostgreSQLが解析および\ ``pg_stat_statements`` などの拡張機能または\ ``pgaudit`` がキャプチャする場合があります）は、平文シークレットではなくSCRAMベリファイアです。事前ハッシュされたMD5またはSCRAM値は変更せずに転送され、シークレットごとのアノテーション\ ``cnpg.io/passwordPassthrough: "enabled"`` はオプトアウトします。 ( `#10724 `_ 、 `GHSA-w3gf-xc94-wvmj `_ ) 変更 ^^^^ - Kubernetes 1.36のサポートを追加しました。 ( `#10900 `_ ) - デフォルトのPostgreSQLバージョンを18.4に更新しました。 ( `#10719 `_ ) - パブリッククラウドプロバイダーでオペレーターのテストに使用されるKubernetesバージョンを更新しました。 ( `#10720 `_ , `#10563 `_ , `#11033 `_ ) 修正 ^^^^ - クラスターがレプリカに降格された後、古いプライマリ側のステータスを報告する宣言的な\ ``Database`` 、\ ``Publication`` 、および\ ``Subscription`` オブジェクトを修正しました。コントローラはレプリカの状態を再チェックし、\ ``Cluster`` を監視するようにして、降格がすぐに検出されるようにします。 ( `#10871 `_ ) - 対応する\ ``Job`` およびPVCが作成される前にインスタンスシリアルカウンタが進められたことが原因で発生した非シークエンシャルのポッド名たとえば ``-1`` 、\ ``-3`` を修正した。バンプは、これらのリソースが存在した場合にのみ持続されるようになりました。 ( `#10491 `_ ) - ファイナライザーリコンサイラーの前にレプリカゲートが実行され、ファイナライザーがリリースされない、レプリカクラスターの\ ``Terminating`` で行き詰まった\ ``Database`` 、\ ``Publication`` 、または\ ``Subscription`` の削除を修正しました。レプリカでは、PostgreSQLオブジェクトはプライマリクラスターに残されます。 ( `#10853 `_ ) - 生き残ったCRが所有するPostgreSQLオブジェクトをドロップする\ ``delete`` 再利用ポリシーと競合する重複\ ``Database`` または\ ``Subscription`` を修正しました。ドロップは、記録された調整に基づいてゲートされるようになりました。 ( `#10870 `_ ) - キャッシュされたシークレットバージョンが無効化されず、パスワードが再適用されなかったため、スーパーユーザーアクセスが無効になってから再度有効になった後、\ ``postgres`` スーパーユーザーがロックアウトされたままになる問題を修正した。 @mhartmann-jaconiによって診断されました。 ( `#10834 `_ ) - バックアップが\ ``running`` に到達する前に、バックアップを実行しているインスタンスマネージャーが再起動された場合たとえば、オペレーターのアップグレードに続くインプレースアップグレードによって、バックアップが\ ``started`` フェーズでスタックする問題を修正した。調整が再スケジュールされるため、失われたセッションが検出されます。 ( `#10859 `_ ) - SPDYフォールバックとWebSocketをネゴシエートするように\ ``exec`` / ``attach`` ストリーミングを修正し、SPDYを削除したKubernetesバージョンと、WebSocket execアップグレードを拒否するOpenShiftなどのプラットフォームの両方との互換性を復元します。 @bartscheersによる寄稿。 ( `#10876 `_ 、 `#10933 `_ ) - 並列\ ``Backup`` オブジェクトが競合した場合のリソースリークを修正しました。バックアップは厳密に作成時の順序で実行されるようになりました、したがって、既に実行中のバックアップが新しいバックアップにプリエンプトされることはなく、そのレプリケーションスロットとPostgreSQLセッションは、プライマリで孤立しなくなりました。 @GabriFedi97による寄稿。 ( `#10747 `_ ) - 参照されたシークレットを取得できなかった場合に、PostgreSQLロールのパスワードをクリアするロール調整を修正しました。シークレットが利用可能になるまでロールは変更されず、アクションごとのエラーが集計されて可視性が向上します。 ( `#10053 `_ ) - メトリックエクスポーターのセットアップエラー一般的にコントローラとの重複キーレースがロールバックし\ ``streaming_replica`` 作成とウェッジレプリカ参加をロールバックしたブートストラップ障害を修正しました。 metrics-exporterステップが別のトランザクションで実行されるようになりました。 @BlaiseAntonyによる寄稿。 ( `#10749 `_ ) - ``Backup`` は作成されたが、そのステータスパッチが着地しなかったときに発生する\ ``ScheduledBackup`` コントローラループを修正しました。コントローラは、次の反復に\ ``AlreadyExists`` でループする代わりに、既存の\ ``Backup`` を採用するようになりました。 ( `#10612 `_ ) - ``Cluster`` が削除された\ ``Pooler`` をリコンサイルするときのnilポインターパニックを修正しました。 ( `#10667 `_ ) - すべての名前付けログパイプ\ ``postgres`` 、\ ``postgres.csv`` 、および\ ``postgres.json`` が\ ``WithActiveInstance`` 中にコンシューマを取得し、名前付けパイプの代わりに通常のファイルが作成されないようにブートストラップログ処理を修正しました。 ( `#10043 `_ ) - アドレスを角かっこで囲むことにより、無効なIPv6 URLの生成を修正しました。 @Infinoidによる寄稿。 ( `#10682 `_ ) - 構成が\ ``enabled: false`` を設定している場合、外部クラスタープラグインがアクティブなものとして扱われるのを修正しました。 ( `#10932 `_ ) - 復元ジョブが古い\ ``Cluster`` プライマリがまだ記録されておらず、タイムラインがまだ設定されていないを読み取り、その\ ``.history`` ファイルがスプリットブレインガードによって拒否される可能性があるオブジェクトストアからのブートストラップリカバリ中のレースを修正しました。これが発生すると、リカバリはベースバックアップのタイムラインで停止し、後のタイムラインでコミットされたトランザクションをサイレントにドロップしました。クラスタータイムラインが設定されていないときに履歴ファイルを使用できるようになりました。 @dennispidunによる寄稿。 ( `#10818 `_ ) - インスタンスのPVCを削除すると、インスタンスが永久にスタックしたままになる可能性があるレースを修正しました。WAL PVCがまだ終了中にデータPVCが削除された場合、オペレーターは終了ボリュームにバインドされたインスタンスを再作成し、ポッドをスケジュール不可のままにして、それ以降のすべてのリコンシリエーションをブロックします。オペレーターは、インスタンスを再作成または再接続する前に、終了PVCが完全に削除されるのを待機するようになり、ログラインとクラスターフェーズを介して待機を表面化します。 `#11017 `_ - サーバーとクライアントCAが同じシークレットデフォルトに解決する場合、クラスター作成中のキャッシュレースを修正しました。古いインフォーマーキャッシュは、\ ``AlreadyExists`` で失敗した冗長\ ``Create`` をトリガーし、クラスターが\ ``Unable to create required cluster objects`` でスタックしたままになる可能性がありました。オペレーターは、名前が一致する場合、既に取得したCAシークレットを再利用するようになりました。 ( `#10989 `_ ) - 他のブートストラップ方法で既に適用されているのと同じプリフライトディレクトリチェックを強制することにより、既存の\ ``PGDATA`` たとえばレプリカポッドの再起動後を上書きまたは失敗する\ ``pg_basebackup`` ブートストラップパスを修正しました。これにより、静的にプロビジョニングされたPVCがサイレントに上書きされるのを防ぎます。 ( `#11006 `_ ) - リコンサイル後のプラグインフックがエラーを返したときの\ ``Healthy`` とプラグイン障害フェーズ間の\ ``Cluster`` フェーズのフラッピングを修正しました。 ``Healthy`` フェーズは、成功したリコンシリエーションの最後のステップとして登録されるため、プラグインエラーで終了するループは\ ``Healthy`` を報告しません。 @GabriFedi97による寄稿。 ( `#10421 `_ ) - 外部サーバーのシークレットがローテーションされた後の古い証明書データと部分的な読み取りを修正しましたたとえば、2つの証明書から1つに縮小するCAバンドル。ファイルはアトミックに書き込まれるようになったため、libpqは常に古い値または新しい値を読み取ります。ミックスする。 @Anand-240による寄稿。 ( `#10975 `_ ) - 短い名前の代わりにプラグイン\ ``Service`` FQDNを使用するようにプラグインの接続を修正し、クラスターレベルのプロキシがポッドに自動的に注入される際の障害を回避します。 @kdautreyによる寄稿。 ( `#10921 `_ ) - 要求ごとの\ ``Cluster`` 作成/更新検証Webhookメッセージからの過剰なオペレーターログノイズを修正し、\ ``info`` ではなく\ ``debug`` にログに記録されるようになりました。 ( `#10984 `_ ) - 有効なPostgreSQLパラメーター名ではないキーを受け入れる\ ``spec.postgresql.parameters`` を修正しました。これにより、\ ``postgresql.conf`` に任意の指示子を注入する可能性があります。キー名がWebhookによって検証されるようになりました。 ( `#11029 `_ ) - WAL-archiverプラグインが既存のクラスターで有効になっている場合のスイッチオーバーデッドロックを修正しました。\ ``primaryUpdateMethod: switchover`` では、クリーンな降格にはまだ不足しているアーカイバーサイドカーが必要であるため、プライマリをロールアウトできませんでした。オペレーターはプライマリポッドを再作成するため、サイドカーが挿入され、アーカイブが再開されます。このチェックは、 Barman Cloudプラグインなどのネイティブサイドカー\ ``restartPolicy: Always`` を備えたinitコンテナとしてアーカイバーを注入するプラグインもカバーしています。 ( `#11032 `_ , `#11059 `_ ) - インスタンス作成ジョブがバックオフ制限を使い果たしたときに、クラスターが\ ``Setting up primary`` に無期限に滞在する問題を修正した。オペレーターは、ターミナルジョブの障害を検出し、クラスターを回復不可としてマークし、失敗したジョブに名前を付け、そのログをポイントします。 ( `#11035 `_ ) - データPVCが作成された後、初期化ジョブが開始される前に、ステータスパッチが競合するファーストプライマリブートストラップデッドロックを修正しました。孤立した保留中のPVCがインスタンスとしてカウントされ、ブートストラップゲートをブロックしたままになります。 PVC状態リコンサイラーは、割り当てられたシリアルを再利用してブートストラップジョブを再作成します。 ( `#11039 `_ ) - 外部クラスター名とシークレットセレクター参照が検証なしでファイルシステムパスに結合されるのを修正し、インスタンスマネージャーが接続マテリアルをダンプするときに\ ``..`` コンポーネントまたはパスセパレーターが外部シークレットディレクトリをエスケープします。これらの値は検証Webhookで拒否され、書き込みサイトで再チェックされます。 @r0binakによって報告されました。 ( `#11045 `_ ) - ``pending`` で永久にスタックするバックアップを修正しました。コンカレントバックアップゲートはリコンサイルごとに実行され、インスタンスマネージャーによって非同期で書き込まれた既に完了したフェーズを上書きする可能性があります。ゲートは、バックアップフェーズがまだ設定されていない場合または\ ``pending`` である場合にのみ実行されます。 ( `#11056 `_ ) - 古いキャッシュにより、オペレーターが既にプロビジョニングしたスナップショットを再作成し、 ``AlreadyExists`` で失敗した場合、失敗として永久にマークされる宣言的\ ``VolumeSnapshot`` バックアップが修正されました。既存のスナップショットがこのバックアップのラベルを運び、それを採用する場合、オペレーターは衝突を許容するようになりました。外部スナップショットとの衝突は引き続きエラーとして表面化します。 ( `#11071 `_ ) - スナップショットが既にプロビジョニングされている場合でも、ファイナライズステップ中に一時的なインスタンスマネージャー接続エラーたとえば、短いポッドネットワークの中断からのダイヤルタイムアウトで破棄されるボリュームスナップショットバックアップを修正した。このようなネットワークエラーは、ターミナルとして扱われる代わりに再試行されるようになりました。 ( `#11069 `_ ) - トークンの保存と移行メタデータのクリーンアップの間でリコンサイルが再キューイングされたときに、\ ``status.demotionToken`` を失うレプリカスイッチオーバーを修正しましたたとえば、不安定なWebhookに対して失敗したクリーンアップパッチ。空の変更なしトークンは、格納されている値をパッチして戻されません。 ( `#11075 `_ ) - ``cnpg`` プラグイン: - Windowsで\ ``kubectl cnpg psql`` を修正しました。実行はUnix専用のシステムコールに依存し、「Windowsではサポートされていません」で失敗しました。 Windowsは子プロセスとして\ ``kubectl exec`` を起動するようになりました。 @Utkarsh-sharma47による寄稿。 `#10972 `_ !– 1.29 1.28 1.25 –> - ロググループごとのタイマーが解放されなかった、ビジークラスターでの\ ``kubectl cnpg logs -f`` の無制限のメモリリークを修正しました。タイマーが反復にわたって再利用されるようになりました。 @Anand-240による寄稿。 ( `#10976 `_ ) サポートされているバージョン ^^^^^^^^^^^^^^^^^^^^^^^^^^^^ - Kubernetes 1.36、1.35、および1.34 - PostgreSQL 18、17、16、15、および14 - PostgreSQL 18.4がデフォルトイメージです。PostgreSQL 14のサポートは2026年11月12日に終了します