Kubernetes 1.36: Ingress NGINX Reaches End of Life — What to Migrate To
Kubernetes Blog · 2026-04-21
Kubernetes 1.36 發布，本版本最重要的里程碑是 Ingress NGINX Controller 正式宣告終止生命週期（EOL），將不再接收任何安全補丁或更新。
Ingress NGINX EOL：背景與影響
Ingress NGINX 的靈活性最終成為其包袱——片段注解（snippets annotation）造成的攻擊向量（允許任意 NGINX 配置注入，可導致特權提升）促使維護團隊做出停止支援的決策。
受影響組織的遷移選項：
- Gateway API（官方推薦）：更安全的 role-based API，明確分離 infra 管理員與應用開發者的職責
- NGINX Kubernetes Gateway：NGINX 官方提供的 Gateway API 實作
- Envoy Gateway：基於 Envoy 代理的 Gateway API 實作
- Traefik：支援 Gateway API 的現代 Ingress 控制器
識別受影響工作負載：kubectl get ingress -A | grep nginx
其他重要更新
SELinux 卷標籤（GA）：透過在掛載時應用 SELinux 標籤而非遞迴遍歷文件系統，顯著加快 Pod 啟動速度，特別對大型 PVC 效益明顯。
外部 ServiceAccount 令牌簽署（Stable）：支援與雲 KMS 解決方案（AWS KMS、Google Cloud KMS）集成，實現 Pod 身份的外部驗證。
gitRepo 卷永久刪除：因允許以 root 權限執行任意代碼被永久移除。
externalIPs 棄用警告：計劃在 v1.43 移除，因其容易引發中間人攻擊，建議改用 LoadBalancer 類型 Service。
Moving Past Bots vs. Humans: Cloudflare's New Framework for Intent-Based Access Control
Cloudflare Blog · 2026-04-21
Cloudflare 發文挑戰傳統「機器人 vs 人類」安全框架，提出以流量意圖為核心的訪問控制新思路。
問題：傳統框架已失效
網路的客戶端-伺服器模型造成固有的不確定性，傳統機器人管理依賴 IP 地址和 User-Agent 等不可靠信號，而這些信號已可被輕易偽造或繞過。
真正重要的問題是：
- 這是否為攻擊流量？
- 爬蟲流量是否與其返回的業務價值成比例？
- 請求者的意圖是什麼？
密碼學解決方案：匿名認證
Cloudflare 倡議採用以下技術作為隱私保護方案：
- Privacy Pass：匿名令牌協議，允許客戶端向第三方驗證者證明其屬性（如「已通過 CAPTCHA」），而不洩露身份
- Anonymous Rate-Limit Credentials：在不追蹤個人身份的前提下執行速率限制
- Anonymous Credit Tokens：付費內容訪問的隱私保護機制
更大的意義
沒有此類基礎設施，網站將被迫要求帳戶認證或將內容移至付費牆後，導致開放網路碎片化。Cloudflare 強調「開放發行者生態系統」的重要性：任何設備、任何 OS 都應能訪問開放網路，訪問控制決策應基於行為而非身份標籤。
對於 CDN 和 API 閘道工程師，這篇文章提供了下一代存取控制設計的理論框架。
KubeCon EU 2026: AI and Platform Engineering Converge — Three Key Signals
Port.io Blog · 2026-04-20
KubeCon EU 2026 揭示了平台工程與 AI 融合的三個關鍵訊號，為平台工程師描繪出行業轉型方向。
訊號一：內部開發者平台（IDP）正成為 AI 治理的必要基礎
KubeCon 討論表明，IDP 已超越「基本服務目錄」的定位，演變為動態治理層——同時控制人類工作流和 AI 代理工作流的訪問邊界和操作權限。平台工程師的角色從「建置基礎設施」轉向「為人類和 AI 建立可信賴的操作框架」。
訊號二：治理是主要瓶頸，而非算力
基礎設施有能力運行 AI 工作負載，但組織在以下方面仍面臨挑戰：
- 細粒度存取控制（誰的 Agent 可以做什麼？）
- 完整的審計軌跡（AI Agent 做了哪些操作？）
- 資料主權（訓練資料和推理資料的邊界在哪里？）
「氣隙式」部署和自托管模型的討論反映了跨產業的安全與隱私優先級。
訊號三：可執行洞察 > 可視性
在工程績效指標方面領先的組織，不是那些擁有最完善監控儀表板的，而是那些能及時根據指標資料採取行動的。平台工程的成熟標誌是：從「我們能看到問題」到「系統自動修復問題」的轉變。
對於平台工程師：優先投資讓 IDP 能夠表達和執行 AI 工作流策略的能力，而非僅擴展傳統的 K8s 工作負載管理功能。
來源：Cloudflare Blog, Kubernetes Blog, Port.io Blog