用途：对 kube-hetzner 托管的既有集群做安全升级，包括模块版本升级、provider 锁文件刷新、k3s/RKE2 通道或版本变更，以及因主机被怀疑入侵、服务器类型弃用、架构或容量迁移而更换节点。
主要能力与流程：分为阶段推进。先用 git、terraform state pull（不打印内容）、kubectl 获取节点与工作负载、readyz 检查、SSH 可达性做预检；再进入模块收敛阶段，执行 terraform init -upgrade、fmt、validate、plan 与 apply，并用 jq 检查计划中 hcloud 资源是否出现 delete。随后单独做 Kubernetes 运行时升级，k3s/RKE2 通常每次只升一个次版本，等待 system-upgrade 计划完成。最后是可选的不变节点替换，需处理有状态工作负载、卷挂载、etcd 仲裁和负载均衡目标。
关键限制：不得提交 kubeconfig、tfstate、tfvars、.terraform 等敏感文件；若计划出现替换或销毁须停止排查；升级模块与升级运行时须分阶段；不要在健康仲裁下使用 k3s --cluster-reset；遵守 nodepool 生命周期规则；维护用防火墙访问须在完成后关闭并证明。安全边界上，不变替换只降低旧主机持久化风险，并不证明密钥未被外泄。SELinux 问题不应直接全局禁用。资料未提供具体价格或平台支持信息。