Highlights
SPIFFE-mTLS zwischen den Controllern: Artefakt-Abruf, Events und Webhooks einzeln per Flag, X.509-SVIDs etwa aus SPIRE.
Object Identity GA (vorher object-level
workload identity): Flux-Objekte authentisieren sich über
ihren serviceAccountName, Provider per SA-Annotation
credential.auth.fluxcd.io/provider
(kubernetes oder spiffe);
provider: generic für OCI und Images nimmt
SA-Tokens.
Alert/Provider v1, neue Typen
zoom, incident.io,
mastodon; ArtifactGenerator über Namespaces
hinweg.
Upgrade auf 2.10
Kubernetes ab 1.35.2, 1.36.1 bzw. 1.37.0; 1.34 (seit 27.10.2026 EOL) vorher heben.
Default-RBAC ohne create auf
serviceaccounts/token: für Object Identity mit
Provider kubernetes an source-, notification- oder
image-*-controller vorher eine ClusterRole binden
(fluxcd/flux2#6139).
image-reflector-controller speichert Tags im
Flux-Artefaktspeicher statt in BadgerDB; der erste Lauf scannt
jede ImageRepository neu, Opt-out
--feature-gates=FluxStorage=false.
Alert/Provider v1beta3 ist deprecated; nach
v1 entfallen spec.summary,
spec.interval, spec.proxy, das
statische JWT für Azure Event Hub und TLS/Proxy im
secretRef (Ersatz
eventMetadata.summary, certSecretRef,
proxySecretRef). flux migrate (Storage),
flux migrate -f <dir> (Repo), gemischte Flotte
mit -v 2.9.
kubeConfig.configMapRef: statt Key
audiences die SA-Annotation
credential.auth.fluxcd.io/audiences.
Ablauf: Upgrade Procedure for Flux v2.7+ (fluxcd/flux2 Discussion #5572).
Stand v2.10.0 (26.10.2026): source-/kustomize-controller
v1.10.1, notification v1.10.0, helm
v1.7.1 (Helm 4.3.1), image-* v1.3.0,
source-watcher v2.3.1.