本頁面由 Cloud Translation API 翻譯而成。

將 Apigee Hybrid 升級至 1.15 版

本程序說明如何從 Apigee Hybrid 1.14.x 版升級至 1.15.0 版。

與 Apigee Hybrid 1.14 版的差異

請注意以下異動：

支援大型郵件酬載：從 1.15 版和 1.14.2 修補程式版本開始，Apigee 現在支援最大 30 MB 的郵件酬載。詳情請參閱：
- 在 Apigee Hybrid 中設定大型訊息酬載支援
- 「設定屬性參考資料」一節中的 runtime.resources.limits.memory。
- 請參閱「設定屬性參考資料」一文中的 runtime.resources.requests.memory。
更嚴格的類別例項化檢查：Apigee Hybrid 的 JavaCallout 政策現在會在 Java 類別例項化期間，提供額外的安全性。這項強化安全措施可防止部署直接或間接嘗試執行需要不允許權限的動作的政策。
在大多數情況下，現有政策仍會正常運作，不受影響。不過，如果政策依賴第三方程式庫，或是自訂程式碼間接觸發需要提升權限的操作，就可能會受到影響。

重要事項：這項變更是在 1.14.1 版中推出。如果您是從 1.14.0 以下版本升級，請按照「從 1.14.0 以下版本升級後驗證政策」一節中的程序，驗證政策行為。

如要進一步瞭解 Hybrid 1.14 版的功能，請參閱 Apigee Hybrid 1.14.0 版版本資訊。

必要條件

升級至混合式 1.15 版前，請確認您的安裝項目符合下列需求：

如果混合式安裝作業執行的版本舊於 v1.14，請務必先升級至 1.14 版，再升級至 1.15 版。請參閱「將 Apigee Hybrid 升級至 1.14 版」。
Helm 版本 v3.14.2 以上。
kubectl：適用於 Kubernetes 平台版本的 kubectl 支援版本。請參閱「支援的平台和版本：kubectl」。
cert-manager：支援的 cert-manager 版本。請參閱「支援的平台和版本：cert-manager」。如有需要，請按照下方的「準備升級至 1.15 版」一節，升級 cert-manager。

升級至 1.15.0 版前 - 限制和重要注意事項

Apigee Hybrid 1.15.0 推出新的環境專屬 Proxy 限制，讓您在單一環境中部署更多 Proxy 和共用流程。請參閱「限制：API Proxy」，瞭解每個環境可部署的 Proxy 和共用流程數量限制。這項功能僅適用於新建立的混合式機構，無法套用至升級的機構。如要使用這項功能，請重新安裝 Hybrid 1.15.0，並建立新機構。

這項功能僅適用於 2024 年訂閱方案，且須遵守該訂閱方案授予的權利。如要進一步瞭解這項功能，請參閱「提升每個環境的 Proxy 限制」。
升級至 Apigee Hybrid 1.15 版時，可能需要停機。

將 Apigee 控制器升級至 1.15.0 版時，所有 Apigee 部署作業都會進行輪流重新啟動。如要在輪流重新啟動期間，盡量減少實際工作環境混合式環境的停機時間，請確保您至少執行兩個叢集 (位於相同或不同區域/資料中心)。將所有正式版流量導向單一叢集，並將即將升級的叢集離線，然後繼續進行升級程序。針對每個叢集重複執行上述程序。

Apigee 建議您開始升級後，應盡快升級所有叢集，以減少對正式環境造成影響的機率。升級第一個叢集後，其餘叢集沒有升級時間限制。不過，在所有剩餘叢集升級前，Cassandra 備份和還原功能無法與混合版本搭配運作。舉例來說，您無法使用 Hybrid 1.14 的備份檔還原 Hybrid 1.15 執行個體。
升級期間不需要完全暫停管理平面變更。如果管理平面變更需要暫時停止運作，升級說明中會註明。

升級至 1.15.0 版總覽

升級 Apigee Hybrid 的程序分為下列幾節：

準備升級。
安裝混合式執行階段 1.15.0 版。

準備升級至 1.15 版

備份混合式安裝作業

這些操作說明會使用環境變數 APIGEE_HELM_CHARTS_HOME，代表您在檔案系統中安裝 Helm 圖表的目錄。視需要將目錄變更為這個目錄，然後使用下列指令定義變數：
Linux
```
export APIGEE_HELM_CHARTS_HOME=$PWD
echo $APIGEE_HELM_CHARTS_HOME
```
Mac OS
```
export APIGEE_HELM_CHARTS_HOME=$PWD
echo $APIGEE_HELM_CHARTS_HOME
```
Windows
```
set APIGEE_HELM_CHARTS_HOME=%CD%
echo %APIGEE_HELM_CHARTS_HOME%
```
備份 1.14 版 $APIGEE_HELM_CHARTS_HOME/ 目錄。你可以使用任何備份程序。舉例來說，您可以使用下列指令，建立整個目錄的 tar 檔案：
```
tar -czvf $APIGEE_HELM_CHARTS_HOME/../apigee-helm-charts-v1.14-backup.tar.gz $APIGEE_HELM_CHARTS_HOME
```
請按照「Cassandra 備份與復原」一文中的說明，備份 Cassandra 資料庫。
重要事項：從 1.14 版開始，Guardrails 會在 Apigee Hybrid 升級期間強制執行下列備份相關檢查。
1. 必須啟用備份功能，才能在需要時還原至先前的版本。
2. 如果啟用 CSI 備份，升級前 24 小時內必須進行備份。如果需要還原至先前版本，這麼做可將資料遺失的風險降到最低。
如要進一步瞭解安全防護檢查，請參閱「安全防護」。

如果您在覆寫中使用服務憑證檔案 (.json) 驗證服務帳戶，請確認服務帳戶憑證檔案位於正確的 Helm 圖表目錄中。Helm 圖表無法讀取各圖表目錄以外的檔案。

如果您使用 Kubernetes 密鑰或 GKE 的 Workload Identity Federation 驗證服務帳戶，則不需要執行這個步驟。

下表列出各項服務帳戶檔案的目標位置，視安裝類型而定：

正式環境

服務帳戶	預設檔案名稱	Helm 資訊套件目錄
`apigee-cassandra`	`PROJECT_ID-apigee-cassandra.json`	`$APIGEE_HELM_CHARTS_HOME/apigee-datastore/`
`apigee-logger`	`PROJECT_ID-apigee-logger.json`	`$APIGEE_HELM_CHARTS_HOME/apigee-telemetry/`
`apigee-mart`	`PROJECT_ID-apigee-mart.json`	`$APIGEE_HELM_CHARTS_HOME/apigee-org/`
`apigee-metrics`	`PROJECT_ID-apigee-metrics.json`	`$APIGEE_HELM_CHARTS_HOME/apigee-telemetry/`
`apigee-runtime`	`PROJECT_ID-apigee-runtime.json`	`$APIGEE_HELM_CHARTS_HOME/apigee-env`
`apigee-synchronizer`	`PROJECT_ID-apigee-synchronizer.json`	`$APIGEE_HELM_CHARTS_HOME/apigee-env/`
`apigee-udca`	`PROJECT_ID-apigee-udca.json`	`$APIGEE_HELM_CHARTS_HOME/apigee-org/`
`apigee-watcher`	`PROJECT_ID-apigee-watcher.json`	`$APIGEE_HELM_CHARTS_HOME/apigee-org/`

非正式環境

在下列每個目錄中，複製 apigee-non-prod 服務帳戶檔案：

服務帳戶	預設檔案名稱	Helm 資訊套件目錄
`apigee-non-prod`	`PROJECT_ID-apigee-non-prod.json`	`$APIGEE_HELM_CHARTS_HOME/apigee-datastore/` `$APIGEE_HELM_CHARTS_HOME/apigee-telemetry/` `$APIGEE_HELM_CHARTS_HOME/apigee-org/` `$APIGEE_HELM_CHARTS_HOME/apigee-env/`

請確認 TLS 憑證和金鑰檔案 (.crt、.key 和/或 .pem) 位於 $APIGEE_HELM_CHARTS_HOME/apigee-virtualhost/ 目錄中。

升級 Kubernetes 版本

檢查 Kubernetes 平台版本，並視需要將 Kubernetes 平台升級至混合式 1.14 和混合式 1.15 支援的版本。如需協助，請參閱相關平台的說明文件。

按一下即可展開支援的平台清單

支援的版本

	1.13	1.14	1.15
GKE on Google Cloud	1.27.x 1.28.x 1.29.x 1.30.x	1.28.x 1.29.x 1.30.x 1.31.x	1.29.x 1.30.x 1.31.x 1.32.x
GKE on AWS	1.27.x 1.28.x 1.29.x^{(≥ 1.12.1)(8)} 1.30.x	1.28.x 1.29.x^{(≥ 1.12.1)(8)} 1.30.x 1.31.x	1.29.x^{(≥ 1.12.1)(8)} 1.30.x 1.31.x 1.32.x
GKE on Azure	1.27.x 1.28.x 1.29.x^{(≥ 1.12.1)(8)} 1.30.x	1.28.x 1.29.x^{(≥ 1.12.1)(8)} 1.30.x 1.31.x	1.29.x^{(≥ 1.12.1)(8)} 1.30.x 1.31.x 1.32.x
VMware 上的 Google Distributed Cloud (僅限軟體) ⁽⁵⁾	1.16.x (K8s v1.27.x) 1.28.x⁽⁴⁾ 1.29.x 1.30.x	1.28.x⁽⁴⁾ 1.29.x 1.30.x 1.31.x	1.29.x 1.30.x 1.31.x 1.32.x
裸機上的 Google Distributed Cloud (僅限軟體)	1.16.x (K8s v1.27.x) 1.28.x⁽⁴⁾ 1.29.x 1.30.x	1.28.x⁽⁴⁾ 1.29.x 1.30.x 1.31.x	1.29.x 1.30.x 1.31.x 1.32.x
EKS	1.27.x 1.28.x 1.29.x 1.30.x	1.28.x 1.29.x 1.30.x 1.31.x	1.29.x 1.30.x 1.31.x 1.32.x
AKS	1.27.x 1.28.x 1.29.x 1.30.x	1.28.x 1.29.x 1.30.x 1.31.x	1.29.x 1.30.x 1.31.x 1.32.x
OpenShift⁽⁹⁾	4.12 4.13 4.14 4.15 4.16	4.13 4.14 4.15 4.16 4.17	4.16 4.17 4.18
Rancher Kubernetes Engine (RKE)	v1.26.2+rke2r1 v1.27.x 1.28.x 1.29.x 1.30.x	1.27.x 1.28.x 1.29.x 1.30.x 1.31.x	v1.28.x 1.29.x 1.30.x 1.31.x 1.32.x
VMware Tanzu	v1.26.x	v1.26.x	v1.26.x
元件	1.13	1.14	1.15
Cloud Service Mesh	1.19.x⁽³⁾	1.22.x⁽³⁾	1.22.x⁽³⁾
JDK	JDK 11	JDK 11	JDK 11
憑證管理員	1.15.x⁽¹⁰⁾ 1.16.x⁽¹⁰⁾ 1.17.x⁽¹⁰⁾	1.15.x⁽¹⁰⁾ 1.16.x⁽¹⁰⁾ 1.17.x⁽¹⁰⁾	1.16.x⁽¹⁰⁾ 1.17.x⁽¹⁰⁾
Cassandra	4.0	4.0	4.0
Kubernetes	1.27.x 1.28.x 1.29.x 1.30.x	1.28.x 1.29.x 1.30.x 1.31.x	1.29.x 1.30.x 1.31.x 1.32.x
kubectl	1.27.x 1.28.x 1.29.x 1.30.x	1.28.x 1.29.x 1.30.x 1.31.x	1.29.x 1.30.x 1.31.x 1.32.x
Helm	3.14.2+	3.14.2+	3.14.2+
Secret Store CSI 驅動程式	1.4.6+	1.4.6+	1.4.6+
保管箱	1.15.2	1.17.2	1.17.2
⁽¹⁾ 在 Anthos On-Premises (Google Distributed Cloud) 1.13 版中，請按照這些操作說明，避免與 `cert-manager` 發生衝突：發生衝突的 cert-manager 安裝作業 ⁽²⁾ Apigee Hybrid 1.12 以上版本已於官方公告的日期終止支援。我們已停止提供每月定期修補程式。除了獲得明確官方例外情況的客戶外，我們不再正式支援這些版本。其他客戶必須升級。 ⁽³⁾ 系統會自動安裝 Cloud Service Mesh，並搭配 Apigee Hybrid 1.9 以上版本。 ⁽⁴⁾ AWS 上的 GKE 版本號碼現在會反映 Kubernetes 版本。如需版本詳細資料和建議的修補程式，請參閱「GKE Enterprise 版本和升級支援」。 ⁽⁵⁾ Vault 未通過 Google Distributed Cloud for VMware 認證。 ⁽⁶⁾ 支援 Apigee Hybrid 1.10.5 以上版本。 ⁽⁷⁾ 支援 Apigee Hybrid 1.11.2 以上版本。 ⁽⁸⁾ 支援 Apigee Hybrid 1.12.1 以上版本。 ⁽⁹⁾ Apigee Hybrid 已在 OpenShift 上通過測試和認證，使用的 Kubernetes 版本與各個 OCP 版本綁定。 ⁽¹⁰⁾ 某些版本的 cert-manager 有一個問題，Webhook TLS 伺服器可能無法自動更新 CA 憑證。為避免發生這種情況，Apigee 建議使用： Hybrid v1.13：使用 cert-manager 1.15.5 以上版本。混合式 v1.14：使用 cert-manager 1.15.5 以上或 1.16.3 以上版本。 Hybrid 1.15：使用 cert-manager 1.16.3 以上版本或 1.17.2 以上版本。

不支援的版本

	1.6 ⁽²⁾	1.7 ⁽²⁾	1.8 ⁽²⁾	1.9 ⁽²⁾	1.10 ⁽²⁾	1.11 ⁽²⁾	1.12 ⁽²⁾
GKE on Google Cloud	1.19.x 1.20.x 1.21.x	1.20.x 1.21.x 1.22.x ^{(≥ 1.7.2)} 1.23.x ^{(≥ 1.7.2)}	1.21.x ^{(≤ 1.8.3)} 1.22.x ^{(≤ 1.8.3)} 1.23.x ^{(≤ 1.8.4)} 1.24.x ^{(≥ 1.8.4)} 1.25.x ^{(≥ 1.8.4)}	1.23.x 1.24.x 1.25.x 1.26.x ^{(≥ 1.9.2)}	1.24.x 1.25.x 1.26.x 1.27.x^{(≥ 1.10.5)(6)} 1.28.x^{(≥ 1.10.5)(6)}	1.25.x 1.26.x 1.27.x 1.28.x^{(≥ 1.11.2)(7)} 1.29.x^{(≥ 1.11.2)(7)}	1.26.x 1.27.x 1.28.x 1.29.x^{(≥ 1.12.1)(8)}
GKE on AWS	1.7.x 1.8.x 1.9.3 以上 1.10.x	1.9.x 1.10.x 1.12.x ^{(≥ 1.7.2)}	1.10.x 1.11.x 1.12.x (K8s v1.23.x) 1.13.x (K8s v1.24.x) 1.14.x (K8s v1.25.x)	1.12.x 1.13.x (K8s v1.24.x) 1.14.x (K8s v1.25.x)	1.13.x (K8s v1.24.x) 1.14.x (K8s v1.25.x) 1.26.x⁽⁴⁾ 1.27.x^{(≥ 1.10.5)(6)} 1.28.x^{(≥ 1.10.5)(6)}	1.14.x (K8s v1.25.x) 1.26.x⁽⁴⁾ 1.27.x 1.28.x^{(≥ 1.11.2)(7)} 1.29.x^{(≥ 1.11.2)(7)}	1.26.x⁽⁴⁾ 1.27.x 1.28.x 1.29.x^{(≥ 1.12.1)(8)}
GKE on Azure	1.8.x	1.9.x 1.10.x 1.12.x ^{(≥ 1.7.2)}	1.10.x 1.11.x 1.12.x 1.13.x 1.14.x	1.12.x 1.13.x 1.14.x	1.13.x 1.14.x 1.26.x⁽⁴⁾ 1.27.x^{(≥ 1.10.5)(6)} 1.28.x^{(≥ 1.10.5)(6)}	1.14.x 1.26.x⁽⁴⁾ 1.27.x 1.28.x^{(≥ 1.11.2)(7)} 1.29.x^{(≥ 1.11.2)(7)}	1.26.x⁽⁴⁾ 1.27.x 1.28.x 1.29.x^{(≥ 1.12.1)(8)}
VMware 上的 Google Distributed Cloud (僅限軟體) ⁽⁵⁾	1.7.x 1.8.x 1.9.3 以上 1.10.x	1.9.x 1.10.x 1.11.x ⁽⁴⁾ ^{(≥ 1.7.2)} 1.12.x ^{(≥ 1.7.2)}	1.10.x 1.11.x 1.12.x 1.13.x 1.14.x 1.15.x (K8s v1.26.x)	1.12.x 1.13.x 1.14.x 1.15.x (K8s v1.26.x)	1.13.x ⁽¹⁾ 1.14.x 1.15.x (K8s v1.26.x) 1.16.x (K8s v1.27.x) 1.27.x^{(≥ 1.10.5)(6)} 1.28.x^{(≥ 1.10.5)(6)}	1.14.x 1.15.x (K8s v1.26.x) 1.16.x (K8s v1.27.x) 1.28.x^{(≥ 1.11.2)(7)} 1.29.x^{(≥ 1.11.2)(7)}	1.15.x (K8s v1.26.x) 1.16.x (K8s v1.27.x) 1.28.x⁽⁴⁾ 1.29.x^{(≥ 1.12.1)(8)}
裸機上的 Google Distributed Cloud (僅限軟體)	1.7.x 1.8.2 以上版本 1.9.3 以上版本 1.10.x	1.9.x 1.10.x 1.11.x ^{(≥ 1.7.2)} 1.12.x ^{(≥ 1.7.2)}	1.10.x 1.11.x 1.12.x 1.13.x 1.14.x 1.15.x	1.12.x 1.13.x 1.14.x 1.15.x	1.13.x ⁽¹⁾ 1.14.x (K8s v1.25.x) 1.15.x (K8s v1.26.x) 1.16.x (K8s v1.27.x) 1.27.x⁽⁴⁾^{(≥ 1.10.5)(6)} 1.28.x^{(≥ 1.10.5)(6)}	1.14.x 1.15.x (K8s v1.26.x) 1.16.x (K8s v1.27.x) 1.28.x⁽⁴⁾^{(≥ 1.11.2)(7)} 1.29.x^{(≥ 1.11.2)(7)}	1.15.x (K8s v1.26.x) 1.16.x (K8s v1.27.x) 1.28.x⁽⁴⁾ 1.29.x^{(≥ 1.12.1)(8)}
EKS	1.19.x 1.20.x 1.21.x	1.21.x 1.22.x ^{(≥ 1.7.2)} 1.23.x ^{(≥ 1.7.2)}	1.22.x ^{(≤ 1.8.3)} 1.23.x ^{(≤ 1.8.4)} 1.24.x ^{(≥ 1.8.4)} 1.25.x ^{(≥ 1.8.4)}	1.23.x 1.24.x 1.25.x 1.26.x	1.24.x 1.25.x 1.26.x 1.27.x^{(≥ 1.10.5)(6)} 1.28.x^{(≥ 1.10.5)(6)}	1.25.x 1.26.x 1.27.x 1.28.x^{(≥ 1.11.2)(7)} 1.29.x^{(≥ 1.11.2)(7)}	1.26.x 1.27.x 1.28.x 1.29.x^{(≥ 1.12.1)(8)}
AKS	1.19.x 1.20.x 1.21.x	1.21.x 1.22.x ^{(≥ 1.7.2)} 1.23.x ^{(≥ 1.7.2)}	1.22.x ^{(≤ 1.8.3)} 1.23.x ^{(≤ 1.8.4)} 1.24.x ^{(≥ 1.8.4)} 1.25.x ^{(≥ 1.8.4)}	1.23.x 1.24.x 1.25.x 1.26.x^{(≥ 1.9.2)}	1.24.x 1.25.x 1.26.x 1.27.x^{(≥ 1.10.5)(6)} 1.28.x^{(≥ 1.10.5)(6)}	1.25.x 1.26.x 1.27.x 1.28.x^{(≥ 1.11.2)(7)} 1.29.x^{(≥ 1.11.2)(7)}	1.26.x 1.27.x 1.28.x 1.29.x^{(≥ 1.12.1)(8)}
OpenShift⁽⁹⁾	4.6 4.7 4.8	4.7 4.8	4.8 4.9 4.10	4.10 4.11	4.11 4.12 4.14^{(≥ 1.10.5)(6)} 4.15^{(≥ 1.10.5)(6)}	4.12 4.13 4.14 4.15^{(≥ 1.11.2)(7)} 4.16^{(≥ 1.11.2)(7)}	4.12 4.13 4.14 4.15 4.16^{(≥ 1.12.1)(8)}
Rancher Kubernetes Engine (RKE)	不適用	不適用	不適用	1.3.8	v1.26.2+rke2r1 1.27.x^{(≥ 1.10.5)(6)} 1.28.x^{(≥ 1.10.5)(6)}	v1.26.2+rke2r1 v1.27.x 1.28.x^{(≥ 1.11.2)(7)} 1.29.x^{(≥ 1.11.2)(7)}	v1.26.2+rke2r1 v1.27.x 1.28.x 1.29.x^{(≥ 1.12.1)(8)}
VMware Tanzu	不適用	不適用	不適用	不適用	不適用	不適用	v1.26.x
元件	1.6 ⁽²⁾	1.7 ⁽²⁾	1.8 ⁽²⁾	1.9 ⁽²⁾	1.10 ⁽²⁾	1.11 ⁽²⁾	1.12 ⁽²⁾
Cloud Service Mesh	1.9.x 1.10.x 1.12.x 1.13.x	1.10.x 1.11.x 1.12.x 1.13.x ^{(≥ 1.7.2)} 1.14.x 1.15.x ^{(≥ 1.7.6)}	1.11.x 1.12.x 1.13.x 1.14.x 1.15.x	1.17.x⁽³⁾	1.17.x⁽³⁾	1.17.x^{(v1.11.0 - v1.11.1)}⁽³⁾ 1.18.x^{(≥ 1.11.2)(7)}⁽³⁾	1.18.x⁽³⁾
JDK	JDK 11	JDK 11	JDK 11	JDK 11	JDK 11	JDK 11	JDK 11
憑證管理員	1.5.4	1.7.x	1.7.x 1.8.x 1.9.x 1.10.x 1.11.x	1.10.x 1.11.x	1.10.x 1.11.x 1.12.x	1.11.x 1.12.x 1.13.x	1.11.x 1.12.x 1.13.x
Cassandra	3.11	3.11	3.11	3.11	3.11	3.11	4.0
Kubernetes				1.23.x 1.24.x 1.25.x	1.24.x 1.25.x 1.26.x	1.25.x 1.26.x 1.27.x	1.26.x 1.27.x 1.28.x 1.29.x
kubectl					1.24.x 1.25.x 1.26.x	1.25.x 1.26.x 1.27.x	1.26.x 1.27.x 1.28.x 1.29.x
Helm					3.10 以上版本	3.10 以上版本	3.14.2+
Secret Store CSI 驅動程式						1.3.4+	1.4.1+
保管箱						1.13.x	1.15.2
⁽¹⁾ 在 Anthos On-Premises (Google Distributed Cloud) 1.13 版中，請按照這些操作說明，避免與 `cert-manager` 發生衝突：發生衝突的 cert-manager 安裝作業 ⁽²⁾ Apigee Hybrid 1.12 以上版本已於官方公告的日期終止支援。我們已停止提供每月定期修補程式。除了獲得明確官方例外情況的客戶外，我們不再正式支援這些版本。其他客戶必須升級。 ⁽³⁾ 系統會自動安裝 Cloud Service Mesh，並搭配 Apigee Hybrid 1.9 以上版本。 ⁽⁴⁾ AWS 中的 GKE 版本號碼現在會反映 Kubernetes 版本。如需版本詳細資料和建議的修補程式，請參閱「GKE Enterprise 版本和升級支援」。 ⁽⁵⁾ Vault 未通過 Google Distributed Cloud for VMware 認證。 ⁽⁶⁾ 支援 Apigee Hybrid 1.10.5 以上版本。 ⁽⁷⁾ 支援 Apigee Hybrid 1.11.2 以上版本。 ⁽⁸⁾ 支援 Apigee Hybrid 1.12.1 以上版本。 ⁽⁹⁾ Apigee Hybrid 已在 OpenShift 上通過測試和認證，使用的 Kubernetes 版本與各個 OCP 版本綁定。 ⁽¹⁰⁾ 某些版本的 cert-manager 有一個問題，Webhook TLS 伺服器可能無法自動更新 CA 憑證。為避免發生這種情況，Apigee 建議使用： Hybrid v1.13：使用 cert-manager 1.15.5 以上版本。混合式 v1.14：使用 cert-manager 1.15.5 以上或 1.16.3 以上版本。 Hybrid 1.15：使用 cert-manager 1.16.3 以上版本或 1.17.2 以上版本。

移除 Istio CRD

Apigee Hybrid 叢集中存在 istio.io 自訂資源定義 (CRD) 時，可能會導致 apigee-ingressgateway-manager Pod 發生故障。

如要進一步瞭解 Apigee Hybrid 中的 istio.io CRD，請參閱已知問題 416634326。

使用下列指令，判斷叢集是否含有 istio.io CRD：

kubectl get crd -o custom-columns=NAME:metadata.name | grep istio.io

如果叢集有 istio.io CRD，輸出內容應如下所示：

kubectl get crd -o custom-columns=NAME:metadata.name | grep istio.io
  authorizationpolicies.security.istio.io
  destinationrules.networking.istio.io
  envoyfilters.networking.istio.io
  gateways.networking.istio.io
  peerauthentications.security.istio.io
  proxyconfigs.networking.istio.io
  requestauthentications.security.istio.io
  serviceentries.networking.istio.io
  sidecars.networking.istio.io
  telemetries.telemetry.istio.io
  virtualservices.networking.istio.io
  wasmplugins.extensions.istio.io
  workloadentries.networking.istio.io
  workloadgroups.networking.istio.io

選用：將 CRD 儲存在本機，以防需要重新建立：
```
kubectl get crd $(cat istio-crd.csv) -o yaml > istio-crd.yaml
```
注意：如果您在叢集中使用 istio，但並非用於 Apigee，則必須使用 1.22.7-asm.4-distroless 版本。
刪除 istio.io CRD：
模擬測試：
```
kubectl delete crd $(cat istio-crd.csv) --dry-run=client
```
提示：你可以使用 --dry-run=client 或 --dry-run=server。詳情請參閱kubectl delete選項。

執行：
```
kubectl delete crd $(cat istio-crd.csv)
```

列出要重新安裝或重新建立的 ingress-manager Pod：

kubectl get deployments -n apigee

輸出內容範例：

NAME                            READY   UP-TO-DATE   AVAILABLE   AGE
apigee-controller-manager       1/1     1            1           32d
apigee-ingressgateway-manager   2/2     2            2           32d

重新啟動 ingress-manager Pod：

kubectl rollout restart deployment -n APIGEE_NAMESPACE apigee-ingressgateway-manager

安裝 Hybrid 1.15.0 執行階段

設定資料收集管道。

從混合式 1.14 版開始，所有 Apigee 混合式機構都會預設啟用新的分析和偵錯資料管道。您必須按照啟用 Analytics 發布者存取權中的步驟，設定授權流程。

準備升級 Helm 資訊套件

提取 Apigee Helm 資訊套件。

Apigee Hybrid 圖表託管於 Google Artifact Registry：

oci://us-docker.pkg.dev/apigee-release/apigee-hybrid-helm-charts

使用 pull 指令，將所有 Apigee Hybrid Helm 圖表複製到本機儲存空間，指令如下：

export CHART_REPO=oci://us-docker.pkg.dev/apigee-release/apigee-hybrid-helm-charts
export CHART_VERSION=1.15.0
helm pull $CHART_REPO/apigee-operator --version $CHART_VERSION --untar
helm pull $CHART_REPO/apigee-datastore --version $CHART_VERSION --untar
helm pull $CHART_REPO/apigee-env --version $CHART_VERSION --untar
helm pull $CHART_REPO/apigee-ingress-manager --version $CHART_VERSION --untar
helm pull $CHART_REPO/apigee-org --version $CHART_VERSION --untar
helm pull $CHART_REPO/apigee-redis --version $CHART_VERSION --untar
helm pull $CHART_REPO/apigee-telemetry --version $CHART_VERSION --untar
helm pull $CHART_REPO/apigee-virtualhost --version $CHART_VERSION --untar

視需要升級 cert-manager。
如要升級 cert-manager 版本，請使用下列指令安裝新版本：
```
kubectl apply -f https://github.com/cert-manager/cert-manager/releases/download/v1.17.2/cert-manager.yaml
```
如需支援的版本清單，請參閱「支援的平台和版本：cert-manager」。

注意：部分版本的 cert-manager 有個問題，Webhook TLS 伺服器可能無法自動更新 CA 憑證。為避免發生這種情況，Apigee 建議使用 cert-manager 1.16.3 以上版本1.16.3或 1.17.2 以上版本1.17.2。
如果 Apigee 命名空間不是 apigee，請編輯 apigee-operator/etc/crds/default/kustomization.yaml 檔案，並將 namespace 值替換為您的 Apigee 命名空間。
```
apiVersion: kustomize.config.k8s.io/v1beta1
kind: Kustomization

namespace: APIGEE_NAMESPACE
```
如果您使用 apigee 做為命名空間，則不需要編輯檔案。

安裝更新的 Apigee CRD：

注意：這是安裝 Apigee CRD 的唯一支援方法。請勿在沒有 -k 的情況下使用 kubectl apply，也不要省略 --server-side。

執行下列指令，使用 kubectl 模擬測試功能：

kubectl apply -k  apigee-operator/etc/crds/default/ --server-side --force-conflicts --validate=false --dry-run=server

使用模擬執行指令驗證後，請執行下列指令：

kubectl apply -k  apigee-operator/etc/crds/default/ \
  --server-side \
  --force-conflicts \
  --validate=false

使用 kubectl get crds 指令驗證安裝：

kubectl get crds | grep apigee

輸出內容應如下所示：

apigeedatastores.apigee.cloud.google.com                    2024-08-21T14:48:30Z
apigeedeployments.apigee.cloud.google.com                   2024-08-21T14:48:30Z
apigeeenvironments.apigee.cloud.google.com                  2024-08-21T14:48:31Z
apigeeissues.apigee.cloud.google.com                        2024-08-21T14:48:31Z
apigeeorganizations.apigee.cloud.google.com                 2024-08-21T14:48:32Z
apigeeredis.apigee.cloud.google.com                         2024-08-21T14:48:33Z
apigeerouteconfigs.apigee.cloud.google.com                  2024-08-21T14:48:33Z
apigeeroutes.apigee.cloud.google.com                        2024-08-21T14:48:33Z
apigeetelemetries.apigee.cloud.google.com                   2024-08-21T14:48:34Z
cassandradatareplications.apigee.cloud.google.com           2024-08-21T14:48:35Z

檢查叢集節點上的標籤。根據預設，Apigee 會在標籤為 cloud.google.com/gke-nodepool=apigee-data 的節點上排定資料 Pod，並在標籤為 cloud.google.com/gke-nodepool=apigee-runtime 的節點上排定執行階段 Pod。您可以在 overrides.yaml 檔案中自訂節點集區標籤。

詳情請參閱「設定專屬節點集區」。

安裝 Apigee Hybrid Helm 資訊套件

注意：執行任何 Helm 升級/安裝指令前，請在指令結尾加上 --dry-run，使用 Helm 試執行功能。請參閱 helm -h，列出支援的指令、選項和用法。

如果沒有，請前往 APIGEE_HELM_CHARTS_HOME 目錄。從該目錄執行下列指令。

升級 Apigee Operator/Controller：

注意：這個步驟需要叢集權限。如要瞭解詳情，請執行 helm -h 或 helm upgrade -h。

模擬測試：

helm upgrade operator apigee-operator/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  -f OVERRIDES_FILE \
  --dry-run=server

升級圖表：

helm upgrade operator apigee-operator/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  -f OVERRIDES_FILE

確認 Apigee Operator 安裝狀態：

helm ls -n APIGEE_NAMESPACE

NAME       NAMESPACE       REVISION   UPDATED                                STATUS     CHART                   APP VERSION
operator   apigee   3          2024-08-21 00:42:44.492009 -0800 PST   deployed   apigee-operator-1.15.0   1.15.0

檢查可用性，確認該服務已啟動並正常運作：

kubectl -n APIGEE_NAMESPACE get deploy apigee-controller-manager

NAME                        READY   UP-TO-DATE   AVAILABLE   AGE
apigee-controller-manager   1/1     1            1           7d20h

升級 Apigee 資料儲存庫：

模擬測試：

helm upgrade datastore apigee-datastore/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  -f OVERRIDES_FILE \
  --dry-run=server

升級圖表：

helm upgrade datastore apigee-datastore/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  -f OVERRIDES_FILE

檢查 apigeedatastore 的狀態，確認是否已啟動並正常運作：

kubectl -n APIGEE_NAMESPACE get apigeedatastore default

NAME      STATE       AGE
default   running    2d

升級 Apigee 遙測功能：

模擬測試：

helm upgrade telemetry apigee-telemetry/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  -f OVERRIDES_FILE \
  --dry-run=server

升級圖表：

helm upgrade telemetry apigee-telemetry/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  -f OVERRIDES_FILE

檢查狀態，確認是否已啟動並執行：

kubectl -n APIGEE_NAMESPACE get apigeetelemetry apigee-telemetry

NAME               STATE     AGE
apigee-telemetry   running   2d

升級 Apigee Redis：

模擬測試：

helm upgrade redis apigee-redis/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  -f OVERRIDES_FILE \
  --dry-run=server

升級圖表：

helm upgrade redis apigee-redis/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  -f OVERRIDES_FILE

檢查狀態，確認是否已啟動並執行：

kubectl -n APIGEE_NAMESPACE get apigeeredis default

NAME      STATE     AGE
default   running   2d

升級 Apigee Ingress 管理工具：

模擬測試：

helm upgrade ingress-manager apigee-ingress-manager/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  -f OVERRIDES_FILE \
  --dry-run=server

升級圖表：

helm upgrade ingress-manager apigee-ingress-manager/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  -f OVERRIDES_FILE

檢查可用性，確認該服務是否正常運作：

kubectl -n APIGEE_NAMESPACE get deployment apigee-ingressgateway-manager

NAME                            READY   UP-TO-DATE   AVAILABLE   AGE
apigee-ingressgateway-manager   2/2     2            2           2d

升級 Apigee 機構：

模擬測試：

helm upgrade ORG_NAME apigee-org/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  -f OVERRIDES_FILE \
  --dry-run=server

升級圖表：

helm upgrade ORG_NAME apigee-org/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  -f OVERRIDES_FILE

檢查對應機構的狀態，確認是否已啟動並正常運作：

kubectl -n APIGEE_NAMESPACE get apigeeorg

NAME                      STATE     AGE
apigee-org1-xxxxx          running   2d

注意：如果升級指令因 Forbidden: state: releasing 錯誤而失敗，現有元件仍處於發布狀態。你可以等待目前更新完成，然後再試一次。使用下列指令檢查發布狀態：

kubectl get org -n APIGEE_NAMESPACE

升級環境。
一次只能安裝一個環境。使用 --set env=ENV_NAME 指定環境。

模擬測試：
```
helm upgrade ENV_RELEASE_NAME apigee-env/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  --set env=ENV_NAME \
  -f OVERRIDES_FILE \
  --dry-run=server
```
- ENV_RELEASE_NAME 是用於追蹤 apigee-env 圖表安裝和升級的名稱。這個名稱不得與安裝中的其他 Helm 版本名稱重複。通常與 ENV_NAME 相同。不過，如果環境與環境群組的名稱相同，您必須為環境和環境群組使用不同的發布名稱，例如 dev-env-release 和 dev-envgroup-release。如要進一步瞭解 Helm 中的發布版本，請參閱 Helm 說明文件中的「Three big concepts class="external"」。
- ENV_NAME 是您要升級的環境名稱。
- OVERRIDES_FILE 是 1.15.0 版的新覆寫檔案
升級圖表：
```
helm upgrade ENV_RELEASE_NAME apigee-env/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  --set env=ENV_NAME \
  -f OVERRIDES_FILE
```
檢查相應環境的狀態，確認該環境已啟動並執行：
```
kubectl -n APIGEE_NAMESPACE get apigeeenv
```
```
NAME                          STATE       AGE   GATEWAYTYPE
apigee-org1-dev-xxx            running     2d
```

注意：如果升級指令失敗並顯示 Forbidden: state: releasing 錯誤，表示現有元件仍處於發布狀態。你可以等待目前更新完成，然後再試一次。使用下列指令檢查發布狀態：

kubectl get env -n APIGEE_NAMESPACE

升級環境群組 (virtualhosts)。
1. 您一次只能升級一個環境群組 (虛擬主機)。使用 --set envgroup=ENV_GROUP_NAME 指定環境群組。針對 overrides.yaml 檔案中提及的每個環境群組，重複執行下列指令：
  模擬測試：
```
helm upgrade ENV_GROUP_RELEASE_NAME apigee-virtualhost/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  --set envgroup=ENV_GROUP_NAME \
  -f OVERRIDES_FILE \
  --dry-run=server
```
  ENV_GROUP_RELEASE_NAME 是您先前安裝 apigee-virtualhost 圖表時使用的名稱。通常是 ENV_GROUP_NAME。
  
  升級圖表：
```
helm upgrade ENV_GROUP_RELEASE_NAME apigee-virtualhost/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  --set envgroup=ENV_GROUP_NAME \
  -f OVERRIDES_FILE
```
  注意： ENV_GROUP_RELEASE_NAME 在 apigee 命名空間中不得重複。
  舉例來說，如果您有名為 prod 的環境和名為 prod 的環境群組，請將 ENV_GROUP_RELEASE_NAME 的值設為不重複的值，例如 prod-envgroup。
2. 檢查 ApigeeRoute (AR) 的狀態。
  安裝 virtualhosts 會建立 ApigeeRouteConfig (ARC)，一旦 Apigee 監控程式從控制層提取環境群組相關詳細資料，ARC 就會在內部建立 ApigeeRoute (AR)。因此，請檢查對應 AR 的狀態是否為執行中：
```
kubectl -n APIGEE_NAMESPACE get arc
```
```
NAME                                STATE   AGE
apigee-org1-dev-egroup                       2d
```
```
kubectl -n APIGEE_NAMESPACE get ar
```
```
NAME                                        STATE     AGE
apigee-org1-dev-egroup-xxxxxx                running   2d
```
確認所有安裝項目都已順利升級後，請從 apigee-system 命名空間刪除舊版 apigee-operator。
1. 解除安裝舊版 operator：
```
helm delete operator -n apigee-system
```
2. 刪除 apigee-system 命名空間：
```
kubectl delete namespace apigee-system
```

在 Apigee 命名空間中再次升級 operator，重新安裝已刪除的叢集範圍資源：

helm upgrade operator apigee-operator/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  --atomic \
  -f overrides.yaml

從 1.14.0 以下版本升級後驗證政策

從 1.14.0 升級後，請使用這個程序驗證 JavaCallout 政策的行為。

檢查 Java JAR 檔案是否要求不必要的權限。
部署政策後，請檢查執行階段記錄，確認是否出現下列記錄訊息： "Failed to load and initialize class ...". 如果看到這則訊息，表示已部署的 JAR 要求了不必要的權限。如要解決這個問題，請調查 Java 程式碼並更新 JAR 檔案。
調查並更新 Java 程式碼。
請檢查所有 Java 程式碼 (包括依附元件)，找出可能導致不允許作業的原因。找到後，請視需要修改原始碼。
啟用安全檢查功能，測試政策。
在非正式版環境中，啟用安全性檢查標記，並使用更新的 JAR 重新部署政策。如要設定標記，請按照下列步驟操作：
- 在 apigee-env/values.yaml 檔案中，將 runtime:cwcAppend: 下方的 conf_security-secure.constructor.only 設為 true。例如：
```
# Apigee Runtime
runtime:
  cwcAppend:
    conf_security-secure.constructor.only: true
```
- 更新環境的 apigee-env 圖表，套用變更。例如：
```
helm upgrade ENV_RELEASE_NAME apigee-env/ \
  --install \
  --namespace APIGEE_NAMESPACE \
  --set env=ENV_NAME \
  -f OVERRIDES_FILE
```
如果記錄訊息 "Failed to load and initialize class ..." 仍存在，請繼續修改及測試 JAR，直到記錄訊息不再顯示為止。
在正式環境中啟用安全檢查。
在非正式環境中徹底測試及驗證 JAR 檔案後，請將 conf_security-secure.constructor.only 旗標設為 true，並更新正式環境的 apigee-env 圖表，以啟用正式環境中的安全性檢查。

還原至先前版本

如要復原至先前的版本，請使用舊版圖表，以相反順序復原升級程序。請先從 apigee-virtualhost 開始，然後逐步返回 apigee-operator，再還原 CRD。

提示：如果您知道最後一個發布版本，可以使用 helm rollback 指令，而不是下文所述的 helm upgrade 指令。

將所有圖表從 apigee-virtualhost 還原至 apigee-datastore。下列指令假設您使用的是舊版 (v1.14.x) 的圖表。

針對每個環境群組執行下列指令：

helm upgrade ENV_GROUP_RELEASE_NAME apigee-virtualhost/ \
  --install \
  --namespace apigee \
  --atomic \
  --set envgroup=ENV_GROUP_NAME \
  -f 1.14_OVERRIDES_FILE

針對每個環境執行下列指令：

helm upgrade ENV_RELEASE_NAME apigee-env/ \
  --install \
  --namespace apigee \
  --atomic \
  --set env=ENV_NAME \
  -f 1.14_OVERRIDES_FILE

還原 apigee-operator 以外的其餘圖表。

helm upgrade ORG_NAME apigee-org/ \
  --install \
  --namespace apigee \
  --atomic \
  -f 1.14_OVERRIDES_FILE

helm upgrade ingress-manager apigee-ingress-manager/ \
  --install \
  --namespace apigee \
  --atomic \
  -f 1.14_OVERRIDES_FILE

helm upgrade redis apigee-redis/ \
  --install \
  --namespace apigee \
  --atomic \
  -f 1.14_OVERRIDES_FILE

helm upgrade telemetry apigee-telemetry/ \
  --install \
  --namespace apigee \
  --atomic \
  -f 1.14_OVERRIDES_FILE

helm upgrade datastore apigee-datastore/ \
  --install \
  --namespace apigee \
  --atomic \
  -f 1.14_OVERRIDES_FILE

建立 apigee-system 命名空間。
```
kubectl create namespace apigee-system
```

將資源註解修補回 apigee-system 命名空間。

kubectl annotate --overwrite clusterIssuer apigee-ca-issuer meta.helm.sh/release-namespace='apigee-system'

如果也變更了發行名稱，請使用 operator 發行名稱更新註解。

kubectl annotate --overwrite clusterIssuer apigee-ca-issuer meta.helm.sh/release-name='operator'

將 apigee-operator 安裝回 apigee-system 命名空間。

helm upgrade operator apigee-operator/ \
  --install \
  --namespace apigee-system \
  --atomic \
  -f 1.14_OVERRIDES_FILE

重新安裝舊版 CRD，還原 CRD。

kubectl apply -k apigee-operator/etc/crds/default/ \
  --server-side \
  --force-conflicts \
  --validate=false

從 APIGEE_NAMESPACE 命名空間清除 apigee-operator 版本，完成回溯程序。
```
helm uninstall operator -n APIGEE_NAMESPACE
```

部分叢集範圍資源 (例如 clusterIssuer) 會在解除安裝 operator 時刪除。使用下列指令重新安裝：

helm upgrade operator apigee-operator/ \
  --install \
  --namespace apigee-system \
  --atomic \
  -f 1.14_OVERRIDES_FILE

將 Apigee Hybrid 升級至 1.15 版 透過集合功能整理內容 你可以依據偏好儲存及分類內容。

與 Apigee Hybrid 1.14 版的差異

必要條件

升級至 1.15.0 版前 - 限制和重要注意事項

升級至 1.15.0 版總覽

準備升級至 1.15 版

備份混合式安裝作業

Linux

Mac OS

Windows

正式環境

非正式環境

升級 Kubernetes 版本

按一下即可展開支援的平台清單

支援的版本

元件

不支援的版本

元件

移除 Istio CRD

安裝 Hybrid 1.15.0 執行階段

設定資料收集管道。

準備升級 Helm 資訊套件

安裝 Apigee Hybrid Helm 資訊套件

從 1.14.0 以下版本升級後驗證政策

還原至先前版本

將 Apigee Hybrid 升級至 1.15 版