Cilium 1.20 : Gateway API 1.6.1 imposé, politiques Kafka supprimées — le runbook de montée de version sans coupure

Cilium 1.20.0 est sorti le 29 juillet 2026 avec plus de 2 660 commits, suivi du correctif 1.20.1 le 18 août. C’est une release riche, mais surtout une release de rupture : plusieurs API dépréciées en 1.18 disparaissent réellement, et le support Gateway API impose désormais un plancher de version côté CRD. Autant dire que la mise à jour ne se joue pas en changeant un tag d’image dans un values.yaml.

Pourquoi cette montée de version tombe maintenant

Trois calendriers se télescopent sur le même trimestre.

D’abord, ingress-nginx est en fin de vie depuis mars 2026 : plus aucun correctif de sécurité n’est publié, alors qu’environ la moitié des clusters l’utilisent encore comme contrôleur d’ingress principal. Ensuite, Cilium 1.20 apporte un support Gateway API nettement plus complet, ce qui en fait un candidat naturel au remplacement. Enfin, Kubernetes 1.37 sort le 26 août 2026 et va ouvrir une seconde fenêtre de maintenance quelques semaines plus tard.

Beaucoup d’équipes vont donc empiler upgrade CNI, bascule Ingress → Gateway API et montée de version du control plane. C’est précisément le scénario qui produit des incidents difficiles à diagnostiquer, parce qu’on ne sait plus attribuer une régression à une cause.

Règle d’or : ne jamais coupler l’upgrade du CNI et celle du cluster dans la même fenêtre. Le CNI touche au datapath de tous les pods ; le control plane touche à la couche de gestion. Séparez-les d’au moins une semaine de production observée, et bannissez le saut de deux versions mineures de Cilium d’un coup — le chemin supporté reste N → N+1.

Sur le fond, ce qui compte…