Релизы

v1.0.29

Изменения

• Правила релейбла из PrometheusRemoteWrite (writeRelabelConfigs) теперь применяются после добавления внешних лейблов модуля, например prometheus: deckhouse, поэтому правила могут использовать или удалять эти лейблы.
• Обновлены базовые образы компонентов модуля.

v1.0.28

Безопасность

• Исправлена уязвимость CVE-2026-85747 в хуках модуля.
• Исправлены уязвимости CVE-2026-111943 и CVE-2026-63209 в образах модуля.
• Исправлены уязвимости GHSA-6q48-6c7w-9gw2, GHSA-6v7p-g79w-8964, CVE-2025-47273, CVE-2026-59890, CVE-2026-97687, CVE-2026-97688 и CVE-2026-97689 в образе grafana-dashboard-provisioner.

v1.0.27

Безопасность

• Исправлены уязвимости CVE-2026-56851, CVE-2026-56857, CVE-2026-56866, CVE-2026-78659, CVE-2026-78660, CVE-2026-78663, CVE-2026-78667, CVE-2026-78669, CVE-2026-94439, CVE-2026-94440, CVE-2026-94448, CVE-2026-97030, CVE-2026-97031 и CVE-2026-97032 в образах модуля.

v1.0.26

Изменения

• Уведомление об устаревании Grafana. Grafana, поставляемая с модулем, теперь показывает предупреждающий баннер, если она работает по умолчанию, а не включена явно: начиная с версии модуля v1.1.0 Grafana будет выключена по умолчанию. Чтобы сохранить существующую Grafana, задайте grafana.enabled: true в ModuleConfig модуля; после явного включения баннер исчезает. Для просмотра и управления мониторингом рекомендуется веб-интерфейс модуля Console.
• Ресурсы Ingress и HTTPRoute модуля теперь учитывают глобальные настройки modules.ingress.enabled и modules.gatewayAPI.enabled.
• При использовании Gateway API заголовок Strict-Transport-Security теперь добавляется фильтрами HTTPRoute, а слушатели Gateway используют тот же Secret с TLS-сертификатом, что и ресурсы Ingress.

v1.0.25

Безопасность

• Исправлены уязвимости в образе Prometheus: CVE-2026-46595, CVE-2026-56854, CVE-2026-56855, CVE-2026-78662, CVE-2026-84303, CVE-2026-84304, CVE-2026-84445, GHSA-w67g-5rqw-f597 и CVE-2026-81870.
• Исправлены уязвимости в Grafana: CVE-2026-42129 и CVE-2026-10601 (обход пути в источнике данных Loki) и CVE-2026-42127 (отказ в обслуживании в обработчике запросов публичных дашбордов).

v1.0.24

Изменения

• Внешние Alertmanager больше не обнаруживаются через Service с лейблом prometheus.deckhouse.io/alertmanager: main. Этот устаревший способ удалён; такой Alertmanager нужно описать ресурсом CustomAlertmanager через spec.external.service.

Безопасность

• Клиентский сертификат для сбора метрик с пользовательских таргетов. Prometheus теперь аутентифицируется на пользовательских HTTPS-таргетах клиентским TLS-сертификатом, выпущенным CA kube-rbac-proxy платформы. CA автоматически доставляется ConfigMap-ом prometheus-custom-scraper-ca.crt в каждый namespace, где есть HTTPS-таргет, чтобы kube-rbac-proxy перед приложением мог проверить сертификат через --client-ca-file. На переходный период bearer-токен по-прежнему отправляется, поэтому существующие настройки продолжают работать; как перейти на сертификат, описано в FAQ.
• Поля spec.external.address и spec.external.service.path ресурса CustomAlertmanager теперь валидируются: принимаются только адреса http и https без учётных данных и управляющих символов, а путь может содержать только обычные символы URL-пути. Ресурс, не прошедший валидацию или ссылающийся на несуществующий Service, пропускается с предупреждением и больше не блокирует работу модуля.
• Учётные данные в ресурсах CustomAlertmanager, PrometheusRemoteWrite, GrafanaAlertsChannel и GrafanaAdditionalDatasource (пароли, токены, TLS-ключи) теперь скрываются от пользователей, у которых нет прав на чтение чувствительных данных.
• Исправлены уязвимости в образах компонентов модуля (Alertmanager, Grafana, Mimir, Promxy, Memcached) и в хуках модуля: CVE-2026-46595, CVE-2026-56854, CVE-2026-56855, CVE-2026-78662, CVE-2026-84304, CVE-2026-84445, CVE-2026-81870, CVE-2026-76905, CVE-2026-73502, CVE-2025-30153, CVE-2024-8986.

v1.0.23

Исправления

• Исправлены неверные ссылки на Prometheus и Alertmanager из Grafana.

v1.0.22

Безопасность

• Init-контейнер prompptool в подах Prometheus теперь запускается с корневой файловой системой только для чтения, как требует политика Pod Security Standard уровня Restricted.

v1.0.21

Исправления

• Исправлена ошибка рендеринга шаблонов модуля в режиме HTTPS CustomCertificate, когда данные пользовательского сертификата ещё не получены. Секрет с TLS-сертификатом теперь создаётся только после того, как сертификат появился.

v1.0.20

Исправления

• Исправлено переключение Prometheus на движок prompp.

v1.0.19

Безопасность

• Улучшена безопасность шаблонов модуля.
• Рабочие нагрузки Prometheus и Alertmanager приведены в соответствие с политикой Pod Security Standard уровня Restricted.

Новые возможности

• Пробы startup, readiness и liveness для инстансов Prometheus main и longterm теперь задаются явно, с таймаутом на команду проверки.

Изменения

• К метрикам, собираемым с компонентов модуля (Prometheus, Grafana, Memcached, Trickster, агрегирующий прокси), добавлен лейбл d8_source="dkp".

Исправления

• Исправлено описание расчёта retentionSize в документации модуля: фактическая формула — max(pvc_size * 0.85, pvc_size - 50 GiB), а для расчёта используется значение поля .spec.resources.requests.storage PersistentVolumeClaim.