服务对象与地域限制
PuppyIP 仅面向海外合规企业及其授权人员提供服务，不面向中国大陆地区开放或提供代理服务。本服务仅限用于中国大陆境外的合法业务活动，严禁在中国大陆境内使用本服务。
代理 IP 或服务器位于境外，不改变上述限制。不得通过中转、转接、共享或转售向中国大陆境内的最终使用者提供本服务。使用前请阅读用户服务协议。
本文要点
- 1.17.3（2026-10-29）和 1.16.13（2026-10-30）都修复 bug 578314600：apigee-connect-agent 遵从 HTTPS_PROXY（包括代理凭据），并在控制平面连接上使用 HTTP/2 keepalive。
- 1.17.x 到 1.17.3、1.16.x 到 1.16.13 是同分支补丁升级；1.16.x 到 1.17.3、1.15.x 到 1.16.13 属于跨小版本升级，应遵循目标版本完整前置流程。1.17.3 发布说明特别提醒不要使用存在潜在回归的 1.17.2。
- 两者都是补丁版本，容器镜像已集成在 Helm 图表中，通过 Helm 升级通常会同步更新镜像，无需手工更换。
- 指南通用前置条件列出 Helm 3.14.2+，但同页支持矩阵对 Hybrid 1.16 和 1.17 列出 3.17.0 至 3.x.x。按目标版本矩阵核对 Helm、kubectl 和 cert-manager，不要只采用通用下限。
- 升级可能需要停机并触发滚动重启。备份图表和 Cassandra，保持 namespace 与 service accounts 不变，并把多集群流量切换仅视为风险缓解措施。
先确认故障边界：管理平面 tether
Google Cloud 将 bug 578314600 描述为：在需要通过 HTTP forward proxy 出站的集群中，apigee-connect-agent 忽略 HTTPS_PROXY，因此无法建立与管理平面的 tether（连接通道）。1.17.3 和 1.16.13 都包含修复；agent 现在在控制平面连接上使用 HTTP/2 keepalive，并遵从 HTTPS_PROXY，包括其中的代理凭据。
这是一项针对特定组件、变量和连接路径的修复。发布说明没有称它会修复所有代理、DNS、证书或出站网络问题；先判断故障是否符合这个描述，再按对应组件的支持文档排查其他路径。
按当前次版本选择补丁目标
如果当前运行 1.17.x（包括 1.17.2），目标补丁是 1.17.3，发布日期为 2026 年 10 月 29 日；发布说明特别提醒不要使用可能存在回归的 1.17.2。如果当前运行 1.16.x（包括 1.16.12），目标补丁是 1.16.13，发布日期为 2026 年 10 月 30 日。 1.16.13 公告也特别提醒不要使用存在潜在回归的 1.16.12。
从 1.16.x 到 1.17.3 是跨小版本升级，应走 1.17 指南的完整准备流程；1.17.x 到 1.17.3 才是同分支补丁升级。低于 1.16 的安装须先到 1.16；同理，1.15.x 到 1.16.13 是跨小版本升级，1.16.x 到 1.16.13 是同分支补丁升级，低于 1.15 则须先到 1.15。
这两个目标都是补丁版本，补丁镜像已集成到相应 Helm 图表中；经 Helm 升级时通常会自动更新镜像，一般不需要手工更改镜像。
先核对 Helm、kubectl 与 cert-manager
两份指南的通用前置条件都列出 Helm 3.14.2+，但同页支持矩阵对 Hybrid 1.16 和 1.17 均列出 3.17.0 至 3.x.x。准备这两个目标版本时，应以目标版本矩阵核对，不能只采用较低的通用下限，也不能据此推断 Helm 4 兼容。kubectl 必须匹配所用 Kubernetes 平台，cert-manager 也必须符合所选 Hybrid 版本的支持矩阵。
如果升级过程中还计划把 cert-manager 升至 1.18 或 1.19，先核对证书轮换风险：cert-manager 1.18 将 Certificate.Spec.PrivateKey.rotationPolicy 的默认值从 Never 改为 Always，可能影响流量。按所选升级指南，在升级 cert-manager 前完成其针对 apigee-ca 的准备步骤，或保留指南允许的 1.17.x 及更早版本。
备份图表、Cassandra 与当前配置
开始前备份当前版本的 Helm 图表目录，并按官方 Cassandra backup and recovery 流程备份数据库；确认 TLS 证书与密钥文件位于指南指定的 apigee-virtualhost 目录。升级假设沿用相同的 Kubernetes namespace 和 service accounts；升级期间不要创建新的 Apigee environments，配置有改动时先反映到对应 overrides 文件。
集群处于不同 Hybrid 版本期间，指南提醒 Cassandra backup and restore 不能跨混合版本工作：1.15 备份不能用于恢复 1.16 实例，1.16 备份不能用于恢复 1.17 实例。按目标分支规划集群升级顺序，不要把跨版本恢复当成回滚方案。
把滚动重启纳入发布窗口
升级可能需要停机；升级 Apigee controller 时，所有 Apigee deployments 都会滚动重启。官方建议生产环境至少有两个集群，并在升级一个集群前把生产流量转到另一个集群、将待升级集群下线；这是降低影响的做法，不是无中断保证。开始后应尽快完成其余集群升级。
如果从 1.15.x 升到 1.16.13，operator 升级还会在每个 environment 中各重启一次 runtime、synchronizer、MART、Envoy adapter 和 migration pods。指南要求确保所有 environments 有 surge pods 容量，或选择低流量窗口；这项额外影响针对 1.15.x 到 1.16.13 的迁移。
逐版执行并按对应指南恢复
按选定版本的官方升级步骤逐项操作，并使用指南为每个 Helm 或 kubectl 步骤规定的 dry-run 方式先验证，再应用变更。升级期间遵守该版本的组件顺序和状态检查要求，不要把 1.16 与 1.17 的命令清单混用。
如果需要回退，使用目标指南给出的上一版本图表、匹配的 overrides 和规定的逆序回退流程；CRD、图表与 Cassandra 的恢复边界均以该版本指南为准。本文提供版本选择和风险核对，不替代具体集群的预生产验证或回退演练。
资料来源
常见问题
这次修复也改变了 HTTP_PROXY 的处理吗？
发布说明明确点名的是 HTTPS_PROXY，并说明会遵从其中的代理凭据；它没有说明这次修复改变了 HTTP_PROXY 的处理方式。不要把两个变量视为可互换的发布承诺。
它会同时修复 API proxy 发往目标服务的代理问题吗？
所列缺陷针对 apigee-connect-agent 与管理平面之间的 tether。发布说明没有把这项修复描述为 API proxy 目标调用代理配置的变更；应继续按相应运行时功能的官方配置文档处理目标流量。