Upgrade produkčního Kubernetes bez výpadku
Pevný rozsah. Vaše servisní okno. Plán rollbacku podepsaný před začátkem prací. Váš tým se nemusí dotknout produkce a neztratí na tom celý sprint.
Upgrade není projekt. Je to kalendář.
Tři fakta, na kterých stojí celá tahle služba. Každé z nich si můžete ověřit u zdroje: odkazy jsou pod každou dlaždicí.
Kubernetes stárne podle kalendáře, který neurčujete vy
Nová minor verze vychází přibližně třikrát ročně a jedna verze dostává zhruba rok oprav. Na Amazon EKS trvá standardní podpora 14 měsíců od vydání verze. Produkční cluster proto potřebuje upgrade minimálně dvakrát ročně, a to donekonečna.
Zdroj: kubernetes.io: release cadence, kubernetes.io: patch support, AWS EKS pricing. Ověřeno 30. 8. 2026.
Za odkládání už platíte
Cluster na verzi mimo standardní podporu stojí na Amazon EKS 0,60 USD za hodinu místo 0,10 USD. Na Azure AKS stojí Premium tier s Long-Term Support rovněž 0,60 USD za hodinu proti 0,10 USD u Standard tier. Obě platformy si za odkládaný upgrade účtují 365 USD měsíčně na každý cluster, tedy přibližně 91 000 Kč ročně na cluster.
Zdroj: AWS EKS pricing, ceník AKS (ověřeno v Azure Retail Prices API), Microsoft Learn: AKS LTS. Ověřeno 30. 8. 2026.
Tlačítko „Upgrade“ zmáčkne kdokoli
Výpadek nezpůsobí cluster. Způsobí ho vaše aplikace: jedna replika, chybějící PodDisruptionBudget, žádný graceful shutdown, dlouhá spojení bez drainu. Odpovídáme za to, co se stane dvacet minut po zmáčknutí toho tlačítka.
Tohle není statistika, ale zkušenost z produkčních clusterů. Co konkrétně u vás projde a co ne, zjistíme v assessmentu a napíšeme to po službách.
Pět fází, těžiště je ve třetí
Assessment, remediace, zkouška nanečisto, provedení, předání. Na zkoušce stojí všechno ostatní, proto je to samostatná fáze s vlastním rozpočtem času.
Read-only přístup, žádný zásah do produkce. Projdeme manifesty a Helm charty na deprecated a odstraněná API, sestavíme matici kompatibility add-onů (CNI, CSI, ingress, cert-manager, service mesh, GitOps, autoscaler) a ohodnotíme každou službu podle toho, jestli přežije drain uzlu. Výstupem je mapa rizik, Workload Readiness Scorecard a plán upgradu s pevnou cenou.
Co neprojde Readiness Bar, opravíme ještě před upgradem, na současné verzi clusteru. Chybějící PodDisruptionBudgety, jedna replika u služby, která ji mít nemá, probes, které lžou, aplikace bez graceful shutdownu. Opravy aplikací a upgrade clusteru zásadně nemícháme do jednoho okna.
Samozřejmě že začínáme mimo produkci: na vašem stagingu, nebo na klonu clusteru, který postavíme tehdy, když se staging produkci v podstatných věcech nepodobá. Rozdíl není v tom, že zkoušíme, ale co si z toho odnášíme: projedeme celý upgrade včetně návratu zpět a zapíšeme čas každého kroku. Tyhle časy se pak stanou obsahem servisního okna, místo aby se odhadovaly. Když se něco rozbije, rozbije se to tady a opravíme to dřív, než se vás to dotkne.
To je jediný způsob, jak lze slíbit nulový výpadek a myslet to vážně. Bez změřené zkoušky je „bez výpadku“ jen naděje.
Ve vašem servisním okně, včetně nocí a víkendů, podle scénáře ověřeného ve zkoušce. Plán rollbacku je odsouhlasený písemně předem. Průběh sledujeme proti vašim SLO, ne proti pocitu. Pokud se ukazatele hnou, víme to dřív než vy.
Aktualizovaný infrastrukturní kód, závěrečný report a runbook, podle kterého další upgrade zvládne váš tým sám. Nepotřebujeme, abyste na nás byli závislí. Pokud si nás najmete znovu, ať je to proto, že se vám to vyplatí.
Co zjistíte zdarma sami, a co ne
Než nás oslovíte, spusťte si tohle. Myslíme to vážně: pokud vám to bude stačit, ušetřili jste 70 000 Kč.
Tohle je vyřešené, a to zdarma
- AWS EKS Upgrade Insights: od března 2025 upgrade sám zablokuje, když najde nevyřešené použití deprecated API. Zdarma, přímo v konzoli. Zdroj: AWS: oznámení z 27. 3. 2025
- Azure AKS: validace před upgradem, včetně kontroly breaking changes v API a špatně nastavených PodDisruptionBudgetů. Microsoft ve své vlastní dokumentaci navíc doporučuje open-source nástroje. Zdroj: Microsoft Learn: AKS upgrade options
- kubent, Pluto, KubePug: open-source skenery deprecated API. Zdarma, spustíte je proti clusteru i proti manifestům v Gitu. kube-no-trouble · Pluto · KubePug
Všechny odpovídají na jednu otázku: „je v mých manifestech API, které v cílové verzi zmizí?“ Je to důležitá otázka, je vyřešená a nemá smysl si za ni nechat platit. Odkazy ověřeny 7. 9. 2026.
Na tohle vám žádný z nich neodpoví
- V jakém pořadí upgradovat ingress-nginx, cert-manager, CSI driver a Istio, aby se navzájem nerozbily
- Který admission webhook začne po upgradu tiše blokovat vaše deploye
- Jestli konkrétní služba přežije drain uzlu, a která ne
- Co leží v Gitu a nasadí se zítra. EKS Insights čte audit log 30 dní zpětně, takže ještě měsíc po opravě hlásí problém, který už neexistuje Zdroj: aws/containers-roadmap #2569
- Jak dlouho potrvá okno a v který okamžik se rozhoduje o rollbacku
A hlavně: žádný z nich si v sobotu ve dvě ráno nesedne k vašemu clusteru a nepřevezme odpovědnost za to, co se stane dvacet minut po tom, co se to tlačítko zmáčkne.
Co znamená „bez výpadku“
Nulový výpadek je u nás měřená veličina, ne tvrzení v nabídce. Dopad na dostupnost změříme nejdřív při zkoušce nanečisto na klonu clusteru a znovu při samotném upgradu, proti vašim SLO. Naměřená čísla dostanete v závěrečném reportu.
Měřítkem je Readiness Bar: deset konkrétních podmínek, které ověříme v assessmentu. Co jimi neprojde, dostane samostatnou fázi remediace: opravíme to ještě před upgradem, na současné verzi clusteru. Nemícháme opravy aplikací a upgrade clusteru do jednoho okna, protože kdyby něco selhalo, nešlo by dohledat příčinu.
O aplikaci, kterou jsme neviděli, vám nulový výpadek nikdo poctivě slíbit nemůže. Proto začínáme tím, že se na ni podíváme.
Jak počítáme cenu
Nemáme ceník, protože každý cluster je jinak zanedbaný. Máme ale pevnou cenu prvního kroku a otevřeně říkáme, na čem závisí ta druhá.
Pevná cena za 1 cluster, pět pracovních dní, read-only přístup. Každý další cluster +25 000 Kč, nejvýše 3 clustery.
Dostanete mapu rizik, úplný seznam deprecated API, matici kompatibility add-onů, Workload Readiness Scorecard a plán upgradu, s pevnou cenou provedení.
Na čem cena závisí:
- počet clusterů
- o kolik verzí cluster zaostává
- kolik služeb neprojde Readiness Bar
- jestli existuje non-prod prostředí, kde jde zkoušet
Každý další cluster +75 000 Kč. Služby, které assessment najde pod Readiness Bar, se řeší samostatně, 19 000 Kč za den.
Přesnou cenu upgradu stanovíme až po assessmentu, protože bez něj by to byl odhad, a odhad na produkčním clusteru není cena, ale slib, který někdo zaplatí. Ceny jsou bez DPH a platí pro clustery na Azure AKS a Amazon EKS. Zahraničním klientům fakturujeme v eurech; přepočet odpovídá kurzu k 30. 8. 2026. Pro klienty v průběžné správě (lifecycle) navíc vydáváme čtvrtletní report o patch managementu ve formě, kterou přijme auditor.
Kdy to nedává smysl
Jeden cluster, tři uzly, žádné SLO a noční výpadek nikomu nevadí? Prodloužená podpora na Amazon EKS stojí 0,60 USD za hodinu za cluster, tedy zhruba 438 USD měsíčně. Je to levnější než my a je to legitimní řešení: zaplaťte AWS a upgradujte, až budete mít čas.
Dává to smysl od dvou produkčních clusterů výš, nebo když hodina výpadku stojí víc než celé okno, nebo když cluster nikdo nevlastní.
Zdroj: AWS: EKS extended support pricing. Měsíční částka je 0,60 USD × 730 hodin; z toho 365 USD je přirážka proti standardní podpoře. Ověřeno 7. 9. 2026.
Než se budeme bavit o naší ceně: spočítejte si, kolik vás stojí, že cluster neupgradujete.
Spočítat cenu odkládání →Na co se ptají jako první
Kolik stojí upgrade Kubernetes clusteru?
Assessment stojí 70 000 Kč za 1 cluster, každý další +25 000 Kč (nejvýše 3 clustery). Trvá pět pracovních dní a stačí k němu read-only přístup. Samotný upgrade stojí od 145 000 Kč za 1 cluster a 1 verzi, každý další cluster +75 000 Kč. Výsledná cena závisí na tom, o kolik verzí cluster zaostává, kolik služeb neprojde Readiness Bar a jestli existuje non-prod prostředí.
Cenu assessmentu odečítáme od ceny upgradu, pokud budeme pokračovat do 90 dnů. Přesnou cenu upgradu stanovíme až po assessmentu, protože bez něj by to byl odhad.
Nestačí mi EKS Upgrade Insights nebo kubent zdarma?
Na deprecated API ano, a doporučujeme je spustit dřív, než se nám ozvete. AWS EKS Upgrade Insights od března 2025 upgrade sám zablokuje, když najde nevyřešené použití API, které v cílové verzi zmizí. Azure AKS dělá vlastní validaci před upgradem a kubent, Pluto i KubePug jsou zdarma. Za tuhle otázku už nemá smysl platit.
Neodpoví vám ale na pořadí upgradu add-onů, na admission webhook, který začne po upgradu tiše blokovat deploye, na to, jestli konkrétní služba přežije drain uzlu, ani na to, co leží v Gitu a nasadí se zítra: EKS Insights čte audit log 30 dní zpětně. A žádný z nich nepřevezme odpovědnost za servisní okno. Přesně tam začíná to, co děláme my.
Jaký přístup k naší infrastruktuře potřebujete?
Na assessment stačí read-only: čtecí role v Azure nebo AWS a ServiceAccount v clusteru s právem číst objekty. Secrety nečteme a přístup k nim nepotřebujeme.
Pro samotné provedení upgradu potřebujeme dočasně zvýšená práva, časově omezená na servisní okno a odvolatelná jedním krokem. Na Azure používáme Azure Lighthouse, na AWS cross-account roli s ExternalId. Do management accountu nevstupujeme. Každý úkon je ve vašich logech pod jménem konkrétního inženýra.
Co když upgrade selže?
Plán rollbacku odsouhlasíme písemně před začátkem prací, včetně toho, za jakých konkrétních podmínek se do něj vrací. Ta kritéria nevymýšlíme až v okně, kdy na to není klid.
Návrat zpět je součástí zkoušky nanečisto: projedeme ho na klonu clusteru a změříme. Víme tedy dopředu, že funguje, a kolik minut zabere. To číslo je pak zahrnuté v plánu servisního okna, ne dohadované na místě.
Proto také nemícháme opravy aplikací a upgrade clusteru do jednoho okna: kdyby něco selhalo, nešlo by dohledat příčinu. Konkrétní obchodní podmínky pro takový případ si domlouváme ve smlouvě podle rozsahu zakázky.
Jak dlouho to trvá a kdy to poběží?
Assessment pět pracovních dní. Od assessmentu k provedení obvykle dva až tři týdny, podle rozsahu remediace. Samotné provedení běží ve vámi určeném servisním okně, včetně nocí a víkendů. Termín okna určujete vy, ne my.
Děláte to i pro self-hosted clustery?
Prioritně děláme Azure AKS a Amazon EKS. Tam je náš postup nejlépe zaběhnutý a ceny nejpředvídatelnější. Self-hosted clustery (kubeadm, RKE2, k3s) posuzujeme případ od případu: assessment na nich uděláme vždy, u provedení upgradu se rozhodneme podle toho, jak je cluster postavený. Řekneme to rovnou na první schůzce, ne až po zaplacení.
Začneme tím, že se podíváme, co se u vás rozbije
Napište nám, na jaké verzi běžíte a kolik máte produkčních clusterů. Ozveme se do jednoho pracovního dne s termínem a rozsahem. Na první schůzku nepotřebujeme žádný přístup.