Google Distributed Cloud エアギャップ 1.16.2 のホットフィックス

ホットフィックス 5

1.16.2-gdch.1353-5 ホットフィックスが利用可能です。

機能
このホットフィックスでは、次の機能が導入されています。

ストレージ

  • プラットフォーム管理者とアプリケーション オペレーターが統合できるように、System Artifact Registry で、お客様が管理する仮想マシン（VM）ベースの Kubernetes クラスタ用の CSI ドライバの限定公開プレビューを導入しました。
修正済み
このホットフィックスでは、次の問題が修正されています。

クラスタ管理

  • PrivateRegistries の trust-store-root-ext CA 証明書シークレットを使用して harbor.org.internal を構成し、プラットフォーム管理者とアプリケーション オペレーターのシステム プライベート レジストリ エントリの重複を排除することで、Kubernetes クラスタの containerd が harbor.org.internal からコンテナ イメージを pull するときに内部 TLS 証明書チェーンの検証に失敗する問題を修正しました。

ホットフィックス 4

1.16.2-gdch.1353-4 ホットフィックスが利用可能です。

機能
このホットフィックスでは、次の新機能と機能が提供されます。

CLI

  • GDC コンソールの CLI バンドル ダウンロード ダイアログに SHA-256 チェックサムを追加し、固定ダウンロード URL（?uncompressed=false）を使用して Harbor レイヤ ダイジェストから CLIBundleMetadata.Checksum を入力しました。これにより、プラットフォーム管理者とアプリケーション オペレーターは、インストール前にバイナリの真正性と整合性を検証できます。

Identity and Access Management

  • Webhook と認可エラーのペイロード、ログイン ウェブ テンプレートに一意のリクエスト ID を追加し、プラットフォーム管理者が認証エラーのトラブルシューティングを簡単に行えるようにしました。

  • Webhook 認証の TokenReview デバッグログに API サーバー監査 ID ロギングを追加し、インフラストラクチャ オペレーターのリクエストの相関関係と診断を改善しました。

  • プラットフォーム管理者が大量の認証スパイクが発生したときにサービスの応答性を維持できるように、認証 Webhook サーバーの最大バーストレート制限の構成サポートを追加しました。

セキュリティ

  • Splunk 9.x と 10.x のデュアル デプロイのサポートを追加しました。これにより、Splunk 9.4 がインフラストラクチャ オペレーターのサポート終了に達する前に、セキュリティ イベントの転送とベンダー サポートを継続できます。

  • harbor.org.internal を Harbor ゲートウェイに追加し、その TLS 証明書を internal-tls-ca-issuer によって署名された専用の Server Name Indication（SNI）サーバー ブロックに分離しました。これにより、インフラストラクチャ オペレーター向けのフルマネージド、自動証明書管理環境（ACME）、Bring Your Own Certificate（BYO Cert）、Bring Your Own Subordinate CA（BYO 下位 CA）の公開鍵基盤（PKI）モード全体で、組織のデフォルトの証明書発行者が保持されます。

ストレージ

  • API スキーマ、検証、ランブック手順など、バケットレベルの保存容量の上限のアルファ版サポートが追加されました。これにより、インフラストラクチャ オペレーターはバケットごとに容量制限を適用し、ストレージの枯渇を防ぐことができます。

  • バケット ライフサイクル ポリシーで期限切れのオブジェクト削除マーカー（ExpiredObjectDeleteMarker）のサポートを追加しました。これにより、期限切れの削除マーカーを自動的に削除して、アプリケーション オペレーターのオブジェクト ストレージの使用率を最適化できます。

  • library に加えて、専用の kvcsi Harbor プロジェクトで KubeVirt CSI コンテナ イメージを公開しました。これにより、仮想マシンと Kubernetes クラスタで実行されているワークロードが、プラットフォーム管理者とアプリケーション オペレーターに必要なストレージ ドライバを pull できるようになりました。

修正済み
このホットフィックスでは、次の問題が修正されています。

データベース サービス

  • Database Service をバージョン 0.16.8 にアップグレードし、次の修正を適用しました。

    • gRPC 接続のタイムアウトが原因で、アップグレード中にローカル データベース オペレーターが古い dbdaemon インスタンスと通信できない問題を修正しました。
    • DBCluster の削除後に孤立した証明書鍵が dbs-certificates シークレットに残る問題を修正し、シークレット サイズの肥大化を防ぎました。
    • バックアップ バケットの削除が停止し、DBCluster カスタム リソースの削除が妨げられる問題を修正しました。
    • デフォルトのリソース割り当てを増やし、リソースの構成を有効にすることで、Database Service サービスレベル目標（SLO）プローバーの誤検出タイムアウトとメモリ不足（OOM）エラーを修正しました。

Identity and Access Management

  • 認証プラットフォーム サービスに、正常なコネクション ドレインを伴う readiness プローブと startup プローブを追加することで、テナント組織のアップグレード中に一時的な 500 内部サーバーエラーが発生する問題を修正しました。

  • ユーザーが存在しないレルムに関連付けられている場合に、認証プラットフォームでユーザーの削除が失敗する問題を修正しました。

  • OIDC または SAML 接頭辞に末尾のハイフン（-）またはコロン（:）区切り文字を指定すると、GDC コンソールで ID プロバイダ（IDP）の作成が失敗する問題を修正しました。IDP 接頭辞の検証を更新して、プラットフォーム管理者の末尾の区切り文字を受け入れるようにしました。

  • GDC コンソールで組織レベルの IAM ロール バインディングを作成するときに、ロールの実際の Namespace を使用してロールが platform Namespace の外部に存在する場合に、ロールが伝播されない問題を修正しました。また、プラットフォーム管理者のコンソール UI エラーを防ぐために、グローバル IAM ロールを一覧表示するときに部分的な結果を保持するようにしました。

  • GDC コンソールの user-cluster-applications-admin ロール名を修正し、プラットフォーム管理者に適切なロールの割り当てと権限の適用が行われるようにしました。

在庫

  • B300（d4-highgpu2-256-gdc-metal）サーバーの gdcloud system assets コマンドを使用してハードウェア アセットを生成するときに、プライマリ データプレーン ネットワーク ボンドに誤ったネットワーク ポートが選択され、インフラストラクチャ オペレーターのサーバー プロビジョニングが失敗する問題を修正しました。

  • B300（d4-highgpu2-256-gdc-metal）サーバーにデータディスク数が構成されていなかった問題を修正しました。デフォルトのデータディスク数を 8 に設定し、Server カスタム リソースに spec.serverHardware.DataDiskInfo が入力され、インフラストラクチャ オペレーターにローカル データ ストレージ ボリュームが適切にプロビジョニングされるようにしました。

  • YAML ケーブル検証で、同等のケーブルタイプ クラス（MMF 4x や MMF など）が不一致として扱われ、インフラストラクチャ オペレーターのインベントリ生成中にケーブルパス検証の誤検出警告が発生する問題を修正しました。

  • メディア コンバータ ポート検証の正規表現で、小文字（p）と大文字（P）の両方のポート名をサポートするように修正しました。これにより、インフラストラクチャ オペレーターの動的拡張中にセル構成と事前検証が失敗するのを防ぎます。

  • ピアスイッチ ポートが意図的に接続されていないパッチパネルで終了したときに、パッチパネルを通過するラック間のトップオブラック（ToR）スイッチ接続に対して gdcloud system assets generate が誤検出のペア設定警告を報告する問題を修正しました。

  • インフラストラクチャ オペレーターのゾーン拡張中に、gdcloud system assets add が生成されたスイッチ シークレット テンプレートにスイッチ ユーザー名を入力できない問題を修正しました。

セキュリティ

  • フィーチャー ゲート API リソースがないため、siem-aas-global サブコンポーネントが組織全体の Management API サーバーで調整に失敗する問題を修正しました。

  • Harbor 監査ログのパージ スケジュール構成がべき等ではなく、インフラストラクチャ オペレーターのコンテナ レジストリで構成の調整エラーが発生する問題を修正しました。

ストレージ

  • KMS データ暗号鍵（DEK）キャッシュの初期化に失敗した場合に、起動時にオブジェクト ストレージ プロキシがクラッシュループする問題を修正しました。これにより、プロキシはキャッシュされていない KMS 復号にグレースフル デグラデーションし、サービスの可用性を維持できるようになりました。

  • バケット調整ツールに指数バックオフを導入することで、空でないバケットの削除エラーによりバケット コントローラの作業キューが枯渇する問題を修正しました。

  • nearline-stamping Helm ジョブフックの循環プリインストール依存関係が原因で、テナント組織のブートストラップが無期限にハングする問題を修正しました。

  • VerifyReplicationFilter で、DeleteObjects リクエスト中に S3 レスポンス本文が消費される問題を修正し、後続のフィルタ処理とクライアント読み取りのためにレスポンス本文を復元しました。

  • セミコロンで値を分割して X-Amz-SignedHeaders パラメータの解析を修正し、リクエストに複数の署名付きヘッダーが含まれている場合に S3 認可が失敗しないようにしました。

アップグレード

  • フィーチャー ゲートの評価とコード生成ロジックを修正し、ランタイム フィーチャー ゲートがフィーチャー タイプを正しく伝播し、アップグレード中に静的なビルド時のステージではなく動的なランタイム状態を評価するようにしました。

脆弱性の管理

  • 部分的にアップグレードされたマルチゾーン環境で OPA Gatekeeper の制約によって作成がブロックされた場合に、脆弱性の管理エンクレーブの初期化で tenable-nessus-system Namespace の作成が試行される問題を修正しました。
変更
このホットフィックスには、次の変更が含まれています。

ドキュメント

  • サービス マニュアルのランブックを更新し、カスタマー サポートのエスカレーション手順を標準化して、ユーザーが Google Cloud Care でサポートケースを開くように誘導しました。

モニタリング

  • サービスレベル目標（SLO）エクスポート ツールを更新し、組織とゾーンの識別子を匿名化して、インフラストラクチャ オペレーターのデータ エクスポート前にユーザーに確認を求めるようにしました。

セキュリティ

  • SIEM データの保持構成を更新し、デフォルトの保持時間を 89 日に復元しました。また、インフラストラクチャ オペレーターの Elasticsearch でディスク容量が不足しないように、ドキュメントの最大しきい値を構成しました。

ホットフィックス 3

1.16.2-gdch.1353-3 ホットフィックスが利用可能です。

機能
このホットフィックスでは、次の新機能と機能が提供されます。

ストレージ:

  • 以下を導入して、内部ストレージのモニタリングと診断を強化しました。

    • エンドツーエンドのファイル ストレージ ユーザー ジャーニー プローバー。
    • 孤立した ONTAP ボリュームの検出。
    • 新しい CSI とユーザー ジャーニーの健全性ダッシュボード。
    • CSI と Trident の指標のスクレイピングを保護します。
修正済み
このホットフィックスでは、次の問題が修正されています。

ストレージ

  • バグを修正し、コントロール プレーンの安定性を向上させるために、次の更新を行いました。

    • NetApp Trident と CSI サイドカー コンポーネントをアップグレードしました。
    • CSI ワーカーの同時実行数を増やしました。
    • 構成可能な ONTAP API タイムアウトを追加しました。
    • Trident コントローラのスケジューリングをコントロール プレーン ノードに制限して、ストレージ コントロール プレーンのスループットを向上させ、ワーカーノードと GPU ノードでの接続の問題を防止しました。

ホットフィックス 2

修正済み
ホットフィックス 1.16.2-gdch.1353-2 が利用可能です。このホットフィックスでは、次の問題が修正されています。

バックアップ

  • 仮想マシンのバックアップ プランに無効化オプションを追加しました。

  • 非ルート管理者クラスタのバックアップ クラスタと仮想マシン コントローラの livenessProbe を条件付きで有効にしました。

CLI

  • --auto-diff を gdcloud system assets add コマンドのデフォルトの実行モードとして設定します。

クラスタ管理

  • サブネットのステータスに正しいクラスタ Namespace が入力されるように問題を修正しました。

ドキュメント

  • GDC コンソールでホストされている GDC オフライン ドキュメントを更新し、タブ付きコンテンツがレンダリングされない問題を修正しました。

Identity and Access Management

  • Identity and Access Management に不足していた rotatableSecret リソースを追加しました。

  • ロール名が変更されていない場合に zonalRoleRef の更新をスキップすることで、調整を最適化しました。

  • ユーザーと管理者のロールの組み合わせを適切に処理するように ZonalRoleBindingReplica Reconciler を更新しました。

在庫

  • B300 サーバーのインベントリ取り込み検証を更新しました。

  • トランクケーブル、統合管理ポート、任意の数のデータポートのインベントリ サポートを追加しました。

  • 配電ユニット（PDU）を U02 に制限するのではなく、任意のラックユニット（U）スロットに配置するためのサポートを追加しました。

  • 未接続のパッチパネルのチェックを削除し、未接続のパッチパネルのトップオブラック（ToR）スイッチのペア設定の例外を追加しました。

  • インベントリ スイッチ構成オブジェクトからユーザー名とパスワードのフィールドを削除しました。

ロギング

  • 標準の Kubernetes クラスタ システムログをアプリケーション オペレーター（AO）テナントに転送するようにログ ルーティングを修正しました。

モニタリング

  • ノード エクスポータの指標に node_name ラベルを追加しました。

ネットワーク タイム プロトコル（NTP）

  • メモリ上限を引き上げ、NTP サービスのキャッシュを追加して、安定性を向上させました。

ネットワーキング

  • ホスト ネットワーク（HNETUpgrade）データプレーン RPM ホットパッチ アップグレードのサポートを追加しました。これには、onetd、libgdc-ipsec-offload、libstrongswan-doca の OCI アーティファクト パッケージング、Kubernetes ジョブベースの Ansible 実行、アップグレード失敗アラートが含まれます。

  • グローバル API サーバーから伝播されたサブネットの use 動詞のチェックをスキップしました。

  • 本番環境でサブネット コンシューマー トラッキングを有効にし、使用中のサブネットにクラスタ監視の調整を追加しました。

  • SwapEndFrontBacks で、ポートの検証中に文字列の置換によってデバイス名が破損する問題を修正しました。

  • 管理スイッチ構成で 3 文字のラック名のサポートを追加しました。

  • apiserver-proxy-lancer-mgmt 証明書マニフェストに commonName フィールドを追加しました。

プラットフォーム認証

  • 本番環境で Certificate Authority Service データプレーン フィーチャー トグルを有効にし、CAS-Proxy サービスレベル目標（SLO）を追加しました。

サーバー

  • サーバーを準備完了としてマークする前に、ホスト ネットワークの成果物をインストールし、ConnectX-7（CX7）ファームウェアのプロビジョニング ジョブを完了するように、サーバーのプロビジョニングを更新しました。

  • 本番環境で SERVAllowDellIDRACDowngrade フィーチャー トグルを有効にして、d4-highgpu2 マシンクラスの Dell iDRAC と BIOS ファームウェアのダウングレードを許可しました。

  • Dell サーバー ファームウェアをダウングレードする手順を記載したランブックを追加しました。

ストレージ

  • オンデマンドの範囲読み取りヘルパー（RRH）の再構築、自動復元、孤立したクリーンアップ、指標を追加して、範囲読み取りとマルチパート アップロードの信頼性を向上させました。

  • 構成が変更されていない場合に CORS、ライフサイクル、ロックポリシーの冗長な StorageGRID 更新をスキップすることで、バケットの調整を最適化しました。

  • 署名付き URL のライフサイクル セキュリティを改善し、エラーログから S3 署名と認証情報を削除しました。

  • オブジェクト ストレージ プロキシ ハンドラのリクエスト ポインタの競合状態を修正し、レスポンス フィルタのエラー ロギングを改善しました。また、ペイロード転送の計測を追加しました。

  • StorageGRID ホットフィックス バージョンを 11.9.0.14 に更新し、アンカー以外のゾーンでの ObjectStorageUpgradeRequest カスタム リソースの作成をスキップしました。

仮想マシン

  • 仮想マシン Package Repository ゲートウェイを更新し、オペレーティング システム（OS）パッケージのルーティングに STRIP_LEADING_DIRECTORY_PATH を使用するようにしました。

ホットフィックス 1

修正済み
1.16.2-gdch.1353-1 ホットフィックスが利用可能です。このホットフィックスでは、次の問題が修正されています。

CLI

  • gdcloud system container-registry load-oci コマンドに、差分ベースの OCI パッケージ読み込みのサポートを追加しました。これにより、ホットフィックス リリースのダウンロード サイズとアップロード サイズが削減されます。差分は常にベースリリースと比較され、以前のホットフィックス バージョンとは比較されません。差分パッケージを読み込む際、このコマンドは、ベースリリースにすでに存在する重複するイメージレイヤと blob をスキップします。ホットフィックスは累積されるため、各ホットフィックス リリース パッケージには、ベースリリース以降に導入されたすべての修正が含まれます。ただし、ベースリリースの重複するアーティファクトは除外されます。

データベース サービス

  • Database Service をバージョン 0.16.6 に、Database Service コンソール UI をバージョン 2.16.0-beta.31 に更新し、最新のバグの修正と安定性の向上を適用しました。

ドキュメント

  • GDC コンソールの [ヘルプ] メニューでホストされている GDC オフライン ドキュメントを最新のコンテンツに更新しました。詳細については、GDC コンソールへのアクセスをご覧ください。

ファイアウォール

  • ZoneProtectionProfile カスタム リソース データモデル、カスタム プロファイルの生成とクレーム、検証用 Webhook、ファイアウォール ノードの偵察保護サポートを追加しました。ZoneProtectionProfile カスタム リソース（zoneprotectionprofiles.firewall.private.gdc.goog/v1alpha2）を使用すると、オペレーターはルート組織を含む組織レベルで保護を構成し、悪意のあるトラフィックやポートスキャンをブロックできます。オペレーターは、スキャンのしきい値をカスタマイズしたり、IP アドレスの許可リスト（exclusionIPs）を定義したり、保護アクション（alert、allow、block、block-ip）を変更したり、スキャン保護（enabled: false）を選択的に無効にしたりすることもできます。

Gemini

  • Gemini Inference Stack オペレーターとモデルサーバー テンプレートを更新し、サポートされていないサーバー構成を削除して、安定性に関する修正を適用しました。

Identity and Access Management

  • Anthos Identity Service（AIS）の rotatableSecret で、アカウント管理サービスの調整が遅れるタイムアウトの問題を修正しました。

  • AIS で Cookie 分割のサポートを有効にして、大規模な認証トークンの問題を解決し、アカウント管理サービス コンテナ イメージを更新しました。

在庫

  • B300 ラック拡張のサポートを追加しました。

  • サポートされていない特殊文字を含む自動生成パスワードが原因で、スイッチのプロビジョニングとオブジェクト ストレージのブートストラップが失敗する問題を修正しました。

  • GPU Pod の 4 文字の識別子をサポートするようにラック ID とインスタンス ID を更新し、プリフライト チェック中に不要なケーブル、アダプタ、トランシーバーの検証を削除しました。

  • ミドルラック（ラック A と B の後、ラック X と Y の前にデプロイされたラック）のデコミッション後に、管理 IP アドレスと CIDR 拡張のサポートを追加しました。以前は、このミドルラックが廃止された場合、後で新しいラックにデプロイまたは拡張すると、IP アドレスの割り当てに関する問題が発生していました。この修正により、これらの競合が解決され、ラックの拡張がシームレスに行われるようになります。

  • インベントリ Webhook 検証で iDRAC ポート名と OCP ポート名のサポートを追加しました。

ロギング

  • オブジェクト ストレージで高いクエリレート（QPS）が発生しないように、LoggingRule フィルタ式を最適化しました。

モニタリング

  • EZ インフラストラクチャ コントローラの指標ポート構成が正しくないため、高頻度の EZ-E1001、EZ-E1003、EZ-E1004 アラートが誤って発生する問題を修正しました。

  • 証明書の取得に失敗した後にターゲットを自動的に再キューイングし、永続ボリューム クレーム（PVC）で不要なパッチを防止することで、MonitoringTarget Reconciler の復元力を向上させました。

  • Prometheus StatefulSet の比較中に restartedAt アノテーションによって不要な再起動が発生する問題を修正しました。

  • モニタリング名前空間から、以前の Google が構築した OpenTelemetry Collector（GBOC）ネットワーク ポリシーを削除しました。

ネットワーキング

  • サーバーが管理スイッチとは異なるラックに配置されている場合に subnetClaimRef が入力されない問題を修正しました。

  • 垂直拡張中に、既存の管理スイッチのデバイス カテゴリ CIDR が欠落する問題を修正しました。

  • B300 サーバー管理とデータポートの命名形式（fe-s6p1 や ocp-s1p1 など）のサポートと一般的な正規表現検証を追加しました。

  • インターフェース リストが複数行にまたがる場合に、VLAN インターフェース テーブルで JSON 解析エラーが発生する問題を修正しました。

  • ロールアウト ポリシーにホスト ネットワーク ステージを追加し、コンポーネントの更新中に信頼性の高いネットワーク ステージングを確保しました。

  • サポートされていない環境で調整エラーが発生しないように、ABM Gateway リソースのインストールを無効にしました。

  • 検証中にメディア コンバータをパッシブ デバイスとして扱うように接続テストを修正しました。

  • スイッチポート接続の検証中に無効なポート形式のエラー処理を改善しました。

オペレーティング システム

  • キャッシュ サイズを増やし、信頼データベース ルールを最適化することで、ノードでのファイル アクセス ポリシー デーモン（fapolicyd）のパフォーマンスと安定性を向上させました。

セキュリティ

  • パッケージ検証のプリフライト チェック中に複数のルート証明書のサポートが追加されました。

サーバー

  • d4-highgpu2 マシンクラスの Dell iDRAC と BIOS ファームウェアのダウングレードのサポートを追加しました。

アップグレード

  • 完了したアップグレードの再評価を防ぐための安全対策を追加し、アップグレードのオーケストレーション中のクライアント検証エラー処理を改善しました。

  • ホットフィックスの新しい差分ダウンロード モードのサポートを追加しました。これにより、ベースリリースと比較して変更されたアーティファクトのみをダウンロードし、ダウンロード サイズを大幅に削減できます。

Vertex AI

  • Vertex AI Search コンテナ イメージと prediction_proxy を更新し、最新のセキュリティと安定性の更新を適用しました。

仮想マシン

  • 標準の Kubernetes クラスタで GPU を必要とするワークロードを実行するためのサポートを追加しました。

  • 包括的な監査ロギングを確実に行うため、AuditlogInventory で共有 VM と仮想マシンイメージのリソースを監査関連としてマークしました。

  • image-controller で、キャッシュ チェックがないために、同時イメージ作成中に過剰な HTTP 409 競合エラーが発生する問題を修正しました。

  • 仮想マシンイメージのインポートの安定性に影響する問題を修正しました。

脆弱性の管理

  • 脆弱性レポートのインポート ワークフローを修正し、完了するまで待機してから続行するようにしました。

  • Windows OIC ノードで不要な Google Cloud （SCFGM）の生成をスキップしました。

  • データベースの CPU とメモリのリソース割り当てを構成可能にし、脆弱性スキャン データベースのデフォルトのデータベース リソース上限を増やしました。