Hotfixes do Google Distributed Cloud com isolamento físico 1.16.2

Hotfix 5

A correção 1.16.2-gdch.1353-5 está disponível.

Recurso
Este hotfix apresenta os seguintes recursos:

Armazenamento

  • Introduzimos um pré-lançamento particular de drivers CSI para clusters do Kubernetes baseados em máquina virtual (VM) gerenciados pelo cliente no System Artifact Registry para integração por administradores de plataforma e operadores de aplicativos.
Corrigido
Este hotfix corrige os seguintes problemas:

Gerenciamento de clusters

  • Correção de um problema em que o containerd em clusters do Kubernetes não conseguia verificar a cadeia de certificados TLS interna ao extrair imagens de contêiner do harbor.org.internal configurando o harbor.org.internal com o secret do certificado de CA trust-store-root-ext em PrivateRegistries e eliminando a duplicação de entradas de registro particular do sistema para administradores de plataforma e operadores de aplicativos.

Hotfix 4

O hotfix 1.16.2-gdch.1353-4 está disponível.

Recurso
Este hotfix oferece os seguintes novos recursos e funcionalidades:

CLI

  • Adicionamos somas de verificação SHA-256 à caixa de diálogo de download do pacote da CLI do console do GDC e preenchemos CLIBundleMetadata.Checksum com resumos de camadas do Harbor com um URL de download fixo (?uncompressed=false), permitindo que administradores de plataforma e operadores de aplicativos verifiquem a autenticidade e a integridade binárias antes da instalação.

Gerenciamento de identidade e acesso

  • Adicionamos IDs de solicitação exclusivos aos payloads de erro de webhook e autorização e aos modelos da Web de login para simplificar a solução de problemas de falhas de autenticação para administradores da plataforma.

  • Adicionamos o registro de ID de auditoria do servidor de API aos registros de depuração de autenticação de webhook TokenReview para melhorar a correlação de solicitações e os diagnósticos para operadores de infraestrutura.

  • Adicionamos suporte à configuração para limites máximos de taxa de burst no servidor de webhook de autenticação para manter a capacidade de resposta do serviço durante picos de autenticação de alto volume para administradores de plataforma.

Segurança

  • Adicionamos suporte para implantações duplas do Splunk 9.x e 10.x para garantir o encaminhamento contínuo de ocorrência de segurança e o suporte do fornecedor antes que o Splunk 9.4 chegue ao fim da vida útil para operadores de infraestrutura.

  • Adicionamos harbor.org.internal ao gateway do Harbor e desacoplamos o certificado TLS dele em um bloco de servidor dedicado de indicação de nome do servidor (SNI) assinado por internal-tls-ca-issuer, preservando os emissores de certificados padrão da organização em todos os modos de infraestrutura de chave pública (PKI) de ambiente de gerenciamento de certificados totalmente gerenciado e automatizado (ACME), traga seu próprio certificado (BYO Cert) e traga sua própria CA subordinada (BYO Sub-CA) para operadores de infraestrutura.

Armazenamento

  • Adicionamos suporte Alfa para cotas de armazenamento no nível do bucket, incluindo esquemas de API, validação e procedimentos de runbook, permitindo que os operadores de infraestrutura apliquem limites de capacidade por bucket e evitem o esgotamento do armazenamento.

  • Adicionamos suporte para expirar marcadores de exclusão de objetos (ExpiredObjectDeleteMarker) em políticas de ciclo de vida de buckets, permitindo a remoção automática de marcadores de exclusão expirados para otimizar a utilização do armazenamento de objetos para operadores de aplicativos.

  • Publicamos imagens de contêiner do CSI do KubeVirt em um projeto dedicado do Harbor kvcsi, além de library, permitindo que as cargas de trabalho em execução em máquinas virtuais e clusters do Kubernetes extraiam os drivers de armazenamento necessários para administradores de plataforma e operadores de aplicativos.

Corrigido
Este hotfix corrige os seguintes problemas:

Serviço de banco de dados

  • O Database Service foi atualizado para a versão 0.16.8 para aplicar as seguintes correções:

    • Correção de um problema em que o operador do banco de dados local não conseguia se comunicar com instâncias mais antigas do dbdaemon durante upgrades devido a tempos limite de conexão do gRPC.
    • Correção de um problema em que as chaves de certificado órfãs permaneciam no secret dbs-certificates após a exclusão de DBCluster, impedindo o aumento do tamanho do secret.
    • Correção de um problema em que as exclusões de buckets de backup travadas impediam a exclusão de recursos personalizados DBCluster.
    • Correção de tempos limite de falsos positivos e falhas de falta de memória (OOM, na sigla em inglês) no prober de objetivo de nível de serviço (SLO, na sigla em inglês) do Database Service, aumentando as alocações de recursos padrão e permitindo a configurabilidade de recursos.

Gerenciamento de identidade e acesso

  • Correção de um problema em que os usuários recebiam erros internos do servidor 500 temporários durante os upgrades da organização de locatário. Para isso, adicionamos sondagens de prontidão e inicialização com diminuição da conexão ao serviço da plataforma de autenticação.

  • Correção de um problema em que a exclusão de usuários na plataforma de autenticação falhava se o usuário estivesse associado a um realm inexistente.

  • Correção de um problema em que a criação do provedor de identidade (IDP) falhava no console do GDC ao especificar um hífen (-) ou dois-pontos (:) no prefixo OIDC ou SAML, atualizando a validação do prefixo do IDP para aceitar separadores finais para administradores da plataforma.

  • Correção de um problema em que a criação de vinculações de papéis do IAM no nível da organização no console do GDC não era propagada quando os papéis estavam fora do namespace platform usando o namespace real do papel, e preservação de resultados parciais ao listar papéis globais do IAM para evitar erros de UI do console para administradores da plataforma.

  • Correção do nome do papel user-cluster-applications-admin no console do GDC para garantir a atribuição adequada de papéis e a aplicação de permissões para administradores de plataforma.

Inventário

  • Correção de um problema em que a geração de recursos de hardware usando comandos gdcloud system assets para servidores B300 (d4-highgpu2-256-gdc-metal) selecionava portas de rede incorretas para o vínculo de rede do plano de dados principal, causando falhas de provisionamento de servidor para operadores de infraestrutura.

  • Correção de um problema em que a contagem de discos de dados não era configurada para servidores B300 (d4-highgpu2-256-gdc-metal), definindo a contagem padrão de discos de dados como 8 para que spec.serverHardware.DataDiskInfo seja preenchido em recursos personalizados Server e os volumes de armazenamento de dados locais sejam provisionados corretamente para operadores de infraestrutura.

  • Correção de um problema na validação de cabos YAML que tratava classes de tipo de cabo equivalentes (como MMF 4x e MMF) como incompatíveis, impedindo avisos de validação de caminho de cabo falso-positivos durante a geração de inventário para operadores de infraestrutura.

  • Correção de um problema nas regexes de validação de porta do conversor de mídia para oferecer suporte a nomes de porta em minúsculas (p) e maiúsculas (P), evitando falhas de configuração de célula e validação de simulação durante a expansão dinâmica para operadores de infraestrutura.

  • Correção de um problema em que o gdcloud system assets generate relatava avisos de pareamento de falso positivo para conexões de interruptor ToR entre racks que passavam por patch panels quando uma porta de interruptor de peering terminava em um patch panel intencionalmente desconectado.

  • Correção de um problema em que o gdcloud system assets add não preenchia os nomes de usuário do switch nos modelos de secret do switch gerados durante as expansões zonais para operadores de infraestrutura.

Segurança

  • Correção de um problema em que o subcomponente siem-aas-global falhava na reconciliação em servidores de API Management em todas as organizações devido à falta de recursos de API de feature gate.

  • Correção de um problema em que a configuração da programação de limpeza do registro de auditoria do Harbor não era idempotente, o que impedia erros de reconciliação de configuração no Container Registry para operadores de infraestrutura.

Armazenamento

  • Correção de um problema em que o proxy de repositório de objetos entrava em loop de falha na inicialização se a inicialização do cache da chave de criptografia de dados (DEK) do KMS falhasse, permitindo que o proxy fizesse uma degradação suave para a descriptografia do KMS sem cache e mantivesse a disponibilidade do serviço.

  • Correção de um problema em que erros de exclusão de buckets não vazios esgotavam a fila de trabalho do controlador de buckets ao introduzir uma espera exponencial de novas tentativas no reconciliador de buckets.

  • Correção de um problema em que a inicialização da organização do locatário travava indefinidamente devido a uma dependência de pré-instalação circular em hooks de job do Helm de carimbo de nearline.

  • Correção de um problema em VerifyReplicationFilter em que o corpo da resposta do S3 era consumido durante as solicitações DeleteObjects, restaurando o corpo da resposta para o processamento de filtro subsequente e as leituras do cliente.

  • Correção da análise do parâmetro X-Amz-SignedHeaders dividindo os valores em ponto e vírgula, evitando falhas de autorização do S3 quando as solicitações incluem vários cabeçalhos assinados.

Fazer upgrade

  • Corrigimos a avaliação do feature gate e a lógica de geração de código para garantir que os feature gates do ambiente de execução propaguem corretamente os tipos de recursos e avaliem os estados dinâmicos do ambiente de execução, em vez de estágios estáticos de tempo de build durante os upgrades.

Gestão de vulnerabilidades

  • Correção de um problema na inicialização do enclave de gestão de vulnerabilidades que tentava criar o namespace tenable-nessus-system quando as restrições do OPA Gatekeeper bloqueavam a criação em ambientes de várias zonas parcialmente atualizados.
Alterar
Este hotfix oferece as seguintes mudanças:

Documentação

  • Atualização dos runbooks do manual de serviço para padronizar os procedimentos de encaminhamento do suporte ao cliente e direcionar os usuários para abrir casos de suporte com o Google Cloud Care.

Monitoring

  • Atualização das ferramentas de exportação de objetivo de nível de serviço (SLO) para anonimizar identificadores de organização e zona e solicitar a confirmação do usuário antes da exportação de dados para operadores de infraestrutura.

Segurança

  • Atualização da configuração de retenção de dados do SIEM, restaurando o tempo de retenção padrão para 89 dias e configurando limites máximos de documentos para evitar o esgotamento do espaço em disco no Elasticsearch para operadores de infraestrutura.

Hotfix 3

O hotfix 1.16.2-gdch.1353-3 está disponível.

Recurso
Este hotfix oferece os seguintes novos recursos e funcionalidades:

Armazenamento:

  • Monitoramento e diagnóstico de armazenamento interno aprimorados com a introdução do seguinte:

    • Sondas de jornada do usuário de armazenamento de arquivos de ponta a ponta.
    • Detecção de volume órfão do ONTAP.
    • Novos painéis de integridade de CSI e jornada do usuário.
    • Proteja a extração de métricas do CSI e do Trident.
Corrigido
Este hotfix corrige os seguintes problemas:

Armazenamento

  • Foram fornecidas as seguintes atualizações para corrigir bugs e melhorar a estabilidade do plano de controle:

    • Fizemos upgrade dos componentes sidecar do NetApp Trident e do CSI.
    • Aumento da simultaneidade de workers do CSI.
    • Adicionamos tempos limite configuráveis da API ONTAP.
    • Restringimos a programação do controlador do Trident aos nós do plano de controle para melhorar a capacidade de processamento do plano de controle de armazenamento e evitar problemas de conectividade nos nós de trabalho e de GPU.

Hotfix 2

Corrigido
A correção 1.16.2-gdch.1353-2 está disponível. Este hotfix corrige os seguintes problemas:

Backup

  • Adicionamos uma opção de desativação para planos de backup máquina virtual.

  • Sondagens de atividade ativadas condicionalmente para controladores de cluster de backup e máquina virtual em clusters de admin não raiz.

CLI

  • Defina --auto-diff como o modo de execução padrão para o comando gdcloud system assets add.

Gerenciamento de clusters

  • Correção de um problema para preencher o status da sub-rede com o namespace de cluster correto.

Documentação

  • Atualizamos a documentação off-line do GDC hospedada no console do GDC para corrigir um problema que impedia a renderização do conteúdo com guias.

Gerenciamento de identidade e acesso

  • Adicionamos um recurso rotatableSecret que estava faltando para o Identity and Access Management.

  • Otimização da reconciliação ao pular as atualizações de zonalRoleRef quando o nome do papel não é alterado.

  • Atualização do reconciliador ZonalRoleBindingReplica para processar corretamente as combinações de papéis de usuário e administrador.

Inventário

  • Atualização da validação de ingestão de inventário para servidores B300.

  • Adicionamos suporte de inventário para cabos de tronco, portas de gerenciamento unificadas e um número arbitrário de portas de dados.

  • Adicionamos suporte para colocar unidades de distribuição de energia (PDUs) em qualquer slot de unidade de rack (U), em vez de restringi-las a U02.

  • Remoção das verificações de patch panel pendente e adição de exceções de pareamento de switch top-of-rack (ToR) para patch panels pendentes.

  • Os campos de nome de usuário e senha foram removidos dos objetos de configuração do switch de inventário.

Logging

  • Correção do roteamento de registros para direcionar os registros do sistema do cluster padrão do Kubernetes para o locatário do operador de aplicativo (AO, na sigla em inglês).

Monitoring

  • Adicionamos o rótulo node_name às métricas do exportador de nós.

Network Time Protocol (NTP)

  • Aumento dos limites de memória e adição de armazenamento em cache para serviços NTP para melhorar a estabilidade.

Rede

  • Adicionamos suporte para upgrades de hotpatch de RPM do plano de dados da rede host (HNETUpgrade), incluindo empacotamento de artefatos OCI para onetd, libgdc-ipsec-offload e libstrongswan-doca, execução do Ansible baseada em jobs do Kubernetes e alertas de falha de upgrade.

  • A verificação do verbo use em sub-redes propagadas do servidor de API global foi ignorada.

  • Ativamos o rastreamento de consumidores de sub-rede na produção e adicionamos a reconciliação de monitoramento de clusters para sub-redes em uso.

  • Correção de um problema em SwapEndFrontBacks em que a substituição de strings corrompia os nomes dos dispositivos durante a validação da porta.

  • Adicionamos suporte a nomes de rack de três letras nas configurações de chave de gerenciamento.

  • Adicionamos o campo commonName ao manifesto do certificado apiserver-proxy-lancer-mgmt.

Autenticação da plataforma

  • Ativamos a flag de recurso do plano de dados do Certificate Authority Service na produção e adicionamos objetivos de nível de serviço (SLOs) de CAS-Proxy.

Servidores

  • Atualizamos o provisionamento do servidor para instalar os resultados da rede do host e concluir os jobs de provisionamento de firmware do ConnectX-7 (CX7) antes de marcar os servidores como prontos.

  • Ativamos a flag de recurso SERVAllowDellIDRACDowngrade na produção para permitir downgrades de firmware do Dell iDRAC e do BIOS para a classe de máquina d4-highgpu2.

  • Adicionamos um runbook para documentar os procedimentos de downgrade do firmware do servidor Dell.

Armazenamento

  • Adicionamos a reconstrução sob demanda do Range-Read Helper (RRH), a recuperação automática, a limpeza de órfãos e métricas para melhorar a confiabilidade da leitura de intervalos e do upload em várias partes.

  • Otimização da reconciliação de buckets ao pular atualizações redundantes do StorageGRID para políticas de CORS, ciclo de vida e bloqueio quando as configurações não são alteradas.

  • Melhoria na segurança do ciclo de vida do URL pré-assinado e remoção de assinaturas e credenciais do S3 dos registros de erros.

  • Corrigimos uma disputa de ponteiro de solicitação no gerenciador de proxy de repositório de objetos, melhoramos a geração de registros de erros do filtro de resposta e adicionamos instrumentação de transferência de payload.

  • Atualizamos a versão do hotfix do StorageGRID para 11.9.0.14 e pulamos a criação de recursos personalizados ObjectStorageUpgradeRequest em zonas não âncoras.

Máquinas virtuais

  • Atualizamos o Package Repository do gateway da máquina virtual para usar STRIP_LEADING_DIRECTORY_PATH no roteamento de pacotes do sistema operacional (SO).

Hotfix 1

Corrigido
O hotfix 1.16.2-gdch.1353-1 está disponível. Este hotfix corrige os seguintes problemas:

CLI

  • Adição de suporte ao carregamento de pacotes OCI com base em diferenças no comando gdcloud system container-registry load-oci para reduzir os tamanhos de download e upload de versões de hotfix. As diferenças são sempre comparadas com a versão base, não com as versões de hotfix anteriores. Ao carregar um pacote de diferenças, o comando ignora camadas de imagem duplicadas e blobs que já existem na versão base. Como os hotfixes são cumulativos, cada pacote de versão de hotfix contém todas as correções introduzidas desde a versão base, excluindo artefatos duplicados da versão base.

Serviço de banco de dados

  • Atualizamos o Database Service para a versão 0.16.6 e UI do console do Database Service para a versão 2.16.0-beta.31 para aplicar as correções de bugs e melhorias de estabilidade mais recentes.

Documentação

  • Atualizamos a documentação do GDC offline hospedada no menu Ajuda do console do GDC com o conteúdo mais recente. Para mais informações, consulte Acesso ao console do GDC.

Firewall

  • Adicionamos o modelo de dados de recursos personalizados ZoneProtectionProfile, a geração e as declarações de perfil personalizado, os webhooks de validação e o suporte à proteção de reconhecimento para nós de firewall. Usando o recurso personalizado ZoneProtectionProfile (zoneprotectionprofiles.firewall.private.gdc.goog/v1alpha2), os operadores podem configurar a proteção no nível da organização, incluindo a organização raiz, para bloquear o tráfego malicioso e as verificações de portas. Os operadores também podem personalizar os limites de verificação, definir listas de permissões de endereços IP (exclusionIPs), mudar as ações de proteção (alert, allow, block, block-ip) ou desativar seletivamente as proteções de verificação (enabled: false).

Gemini

  • Atualizamos o operador da pilha de inferência do Gemini e os modelos de servidor de modelos para remover configurações de servidor não compatíveis e aplicar correções de estabilidade.

Gerenciamento de identidade e acesso

  • Correção de um problema de tempo limite com rotatableSecret no Anthos Identity Service (AIS) que causava atrasos na reconciliação do serviço de identidade.

  • Ativamos o suporte à divisão de cookies no AIS para resolver problemas de tokens de autenticação grandes e atualizamos as imagens do contêiner do serviço de identidade.

Inventário

  • Adição de suporte para expansão de rack B300.

  • Correção de um problema em que senhas geradas automaticamente com caracteres especiais não compatíveis causavam falhas no provisionamento de switches e na inicialização do repositório de objetos.

  • Atualizamos os IDs de rack e instância para aceitar identificadores de quatro caracteres para pods de GPU e removemos validações desnecessárias de cabos, adaptadores e transceptores durante as verificações de simulação.

  • Adicionamos suporte para o endereço IP de gerenciamento e a expansão de CIDR após a desativação de um rack intermediário (um rack implantado após os racks A e B, mas antes dos racks X e Y). Anteriormente, se esse rack intermediário fosse desativado, a implantação ou expansão para um novo rack posteriormente acionaria problemas de alocação de endereço IP. Essa correção resolve esses conflitos, garantindo uma expansão de rack sem problemas.

  • Adição de suporte para nomes de portas iDRAC e OCP na validação de webhook de inventário.

Logging

  • Otimização das expressões de filtro LoggingRule para evitar altas taxas de consulta (QPS) em repositórios de objetos.

Monitoring

  • Correção de um problema em que configurações incorretas de porta de métricas no controlador de infraestrutura EZ causavam o disparo incorreto de alertas de alta frequência de EZ-E1001, EZ-E1003 e EZ-E1004.

  • Melhoria da resiliência do reconciliador do MonitoringTarget ao colocar os destinos automaticamente na fila novamente após falhas na recuperação de certificados e evitar patches desnecessários em declarações de volume persistente (PVCs, na sigla em inglês).

  • Correção de um problema em que as anotações restartedAt causavam reinicializações desnecessárias durante a comparação do StatefulSet do Prometheus.

  • As políticas de rede legadas do coletor do OpenTelemetry criado pelo Google (GBOC, na sigla em inglês) foram removidas do namespace de monitoramento.

Rede

  • Correção de um problema em que subnetClaimRef não era preenchido quando um servidor estava localizado em um rack diferente do switch de gerenciamento.

  • Correção de um problema em que os CIDRs da categoria de dispositivo estavam ausentes para as chaves de gerenciamento existentes durante a expansão vertical.

  • Adicionamos suporte e validação de expressão regular genérica para o gerenciamento de servidores B300 e formatos de nomenclatura de porta de dados (como fe-s6p1 e ocp-s1p1).

  • Correção de erros de análise de JSON em tabelas de interface de VLAN quando a lista de interfaces é dividida em várias linhas.

  • Adicionamos um estágio de rede de host às políticas de lançamento para garantir um preparo de rede confiável durante as atualizações de componentes.

  • Desativamos a instalação de recursos do gateway do ABM para evitar erros de reconciliação em ambientes não compatíveis.

  • Os testes de conectividade foram corrigidos para tratar os conversores de mídia como dispositivos passivos durante a validação.

  • Melhoria no tratamento de erros para formatos de porta inválidos durante a validação da conexão da porta do switch.

Sistema operacional

  • Melhoria no desempenho e na estabilidade do daemon da política de acesso a arquivos (fapolicyd) nos nós, aumentando o tamanho do cache e otimizando as regras do banco de dados de confiança.

Segurança

  • Adição de suporte a vários certificados raiz durante as verificações de simulação de validação de pacotes.

Servidores

  • Adição de suporte para downgrades de firmware do Dell iDRAC e do BIOS para a classe de máquina d4-highgpu2.

Fazer upgrade

  • Adicionamos proteções para evitar a reavaliação de upgrades concluídos e melhoramos o tratamento de erros de validação do cliente durante a orquestração de upgrade.

  • Adição de suporte a um novo modo de download de diferenças para hotfixes, para baixar apenas os artefatos alterados em comparação com a versão base, reduzindo drasticamente o tamanho do download.

Vertex AI

  • Atualizamos as imagens de contêiner da Vertex AI para Pesquisa e o prediction_proxy para aplicar as atualizações mais recentes de segurança e estabilidade.

Máquinas virtuais

  • Adicionamos suporte à execução de cargas de trabalho que exigem GPUs em clusters padrão do Kubernetes.

  • Marcou os recursos de VM compartilhada e de imagem de máquina virtual como relevantes para auditoria em AuditlogInventory para garantir uma geração de registros de auditoria abrangente.

  • Correção de um problema em image-controller em que verificações de cache ausentes causavam erros de conflito HTTP 409 excessivos durante a criação simultânea de imagens.

  • Correção de um problema que afetava a estabilidade da importação de imagens de máquina virtual.

Gestão de vulnerabilidades

  • Correção dos fluxos de trabalho de importação de relatórios de vulnerabilidade para aguardar a conclusão antes de prosseguir.

  • Ignoramos a geração desnecessária do Security Compliance Framework for Google Cloud (SCFGM) para nós do Windows OIC.

  • As alocações de recursos de CPU e memória do banco de dados foram tornadas configuráveis, e os limites padrão de recursos do banco de dados de verificação de vulnerabilidades foram aumentados.