Beim Rootless-Betrieb laufen die Node-Komponenten nicht mehr mit vollständigen Root-Rechten auf dem Host. Stattdessen ordnet ein Linux User Namespace einem normalen Host-Benutzer innerhalb des Namespace eine virtuelle UID 0 zu. Diese reicht für viele typische Aufgaben wie das Einhängen von Volumes, das Anlegen von Cgroups oder die Konfiguration von Netzwerk-Namespaces aus, bleibt aber auf den Namespace beschränkt. Ein erfolgreicher Ausbruch aus Container oder Runtime soll dadurch nicht automatisch vollständige Root-Rechte auf dem Host nach sich ziehen. Kubernetes weist allerdings darauf hin, dass User Namespaces keine Schwachstellen im Kernel selbst abfangen und klassische Maßnahmen wie seccomp weiterhin nötig bleiben.

Mit Version 1.37 ist das Feature "KubeletInUserNamespace" nun standardmäßig aktiviert. Bestehende Cluster ändern dadurch jedoch nicht automatisch ihren Betriebsmodus; der User Namespace muss weiterhin außerhalb von Kubernetes vorbereitet werden. Außerdem kann der Rootless-Betrieb die Kompatibilität mit einzelnen CNI- und CSI-Treibern beeinträchtigen. Neu lässt sich über die Eigenschaft "runningInUserNamespace" zudem erkennen, welche Nodes tatsächlich innerhalb eines User Namespace laufen. Admins können diese Information etwa für Labels oder Taints verwenden und so Workloads mit echten Root-Anforderungen von Rootless-Nodes fernhalten.

Kubernetes 1.37 trägt den Codenamen "Garhwal" und umfasst insgesamt 67 Erweiterungen, davon 16 stabile, 23 Beta- und 27 Alpha-Funktionen. Die Version erschien am 26. August 2026.