Kubernetes 1.38 beta lleva perfiles seccomp a OCI
Kubernetes v1.38.0-beta.0 incorpora perfiles seccomp distribuidos desde registros OCI en alpha y lleva SchedulerPreQueueingHints a beta. También cambia el límite de claves RSA que acepta go-jose, con posible impacto en emisores OIDC.
Kubernetes publicó v1.38.0-beta.0 el 6 de noviembre. Es una versión preliminar, no una actualización GA para desplegar a ciegas en producción: sirve para probar cambios antes de la versión estable prevista. La beta destaca por dos funciones con madurez distinta —perfiles seccomp distribuidos desde registros OCI y una mejora del scheduler para eventos de recursos—, además de cambios de dependencias que pueden afectar a la autenticación OIDC.
-InfraCrew dice: una beta sirve para encontrar la sorpresa en staging, que es el entorno donde todavía podemos fingir que era el plan.-
Un perfil de seccomp viaja como artefacto
La novedad más tangible para seguridad de contenedores es SecurityProfileOCI, una puerta de función alpha. Al activarla, el manifiesto de un Pod puede referenciar un perfil de seccomp de tipo OCI, con oci.ref fijado a un digest y un oci.baseProfile opcional. El runtime del contenedor obtiene el perfil del registro y lo combina con el perfil base; el cambio mueve su distribución a un artefacto versionable, en vez de depender únicamente de archivos locales en cada nodo.
Ese detalle de la referencia fijada importa: un tag mutable puede apuntar a contenido distinto entre dos pruebas, mientras el digest identifica los bytes esperados. Alpha significa opt-in y sujeta a cambios; no es una conversión automática de perfiles ya desplegados ni una razón para reemplazar de golpe los mecanismos locales. El equipo debe comprobar soporte en la combinación concreta de Kubernetes y runtime que utiliza y probar el perfil con las llamadas al sistema que necesita la aplicación.
-InfraCrew dice: si el perfil cambia en el registro y nadie se entera, la reproducibilidad termina siendo una tradición oral.-
El scheduler vuelve antes a los recursos pendientes
La segunda pieza está más avanzada: SchedulerPreQueueingHints pasa a beta y queda habilitada por defecto. Kubernetes indica que reduce trabajo de reencolado del scheduler ante eventos de ResourceClaim de DRA, la API de asignación dinámica de recursos. No es una promesa de que todos los Pods se programen más rápido; el beneficio descrito se limita a ese tipo de eventos y depende de que el clúster use DRA.
Para los equipos que ya gestionan dispositivos o recursos asignables mediante claims, el cambio merece pruebas con cargas representativas y métricas de cola. La mejora evita trabajo repetido, pero no sustituye una revisión de cuotas, disponibilidad del recurso o reglas de afinidad. Si el clúster no usa DRA, este punto de la beta puede no cambiar su operación diaria.
La versión también actualiza go-jose a 4.1.7 para resolver CVE-2026-116587 y otros avisos. El changelog añade un límite importante: el análisis de claves RSA ahora rechaza claves mayores de 4096 bits. Un emisor OIDC externo que utilice una clave mayor dejará de autenticar, así que conviene comprobar las claves reales de los proveedores antes de probar la beta con identidades de producción.
-InfraCrew dice: el scheduler no necesita correr más; a veces basta con que deje de volver a preguntar lo mismo.-
Qué probar antes de tocar un clúster estable
La beta tiene sentido en un entorno aislado para validar la descarga de perfiles OCI, la combinación con el perfil base y el comportamiento de las aplicaciones cuando la política limita llamadas al sistema. Mantén la referencia inmutable y prueba también qué ocurre si el registro no está disponible; el manifiesto puede estar bien y el arranque depender de un artefacto inaccesible. La beta no convierte esa dependencia en una función estable ni define por sí sola cómo autenticar el runtime contra cada registro.
Antes de elevar la versión, revisa por separado los componentes de identidad: una clave RSA superior a 4096 bits es un cambio de compatibilidad explícito, no una optimización inocua. Comprueba el material publicado por el emisor y valida el flujo OIDC con credenciales de prueba. Para el scheduler, compara los eventos de ResourceClaim y el uso de la cola en un clúster que realmente utilice DRA; una mejora acotada no justifica atribuir cambios de latencia a todos los workloads.
El anuncio es útil precisamente porque deja claro qué no está listo. OCI seccomp sigue en alpha, mientras que las pistas de preencolado están en beta; ambas requieren evaluar su madurez por separado. Quien solo necesita una versión soportada debería esperar la publicación estable y leer sus notas finales, que pueden diferir de esta beta.
Diccionario de la Crew
GA — Disponibilidad general; versión estable declarada lista para uso general.
OCI — Open Container Initiative; estándares para imágenes y artefactos de contenedores.
seccomp — Filtro de llamadas al sistema de Linux que limita las operaciones disponibles para un proceso.
DRA — Dynamic Resource Allocation; API de Kubernetes para asignar recursos especializados a cargas.
OIDC — OpenID Connect; protocolo de identidad construido sobre OAuth 2.0.
