Google Distributed Cloud 實體隔離方案 1.16.2 熱修補程式

Hotfix 5

1.16.2-gdch.1353-5 熱修復已推出。

功能
這個 Hotfix 推出下列功能：

儲存空間

  • 在 System Artifact Registry 中，推出客戶自行管理、以虛擬機器 (VM) 為基礎的 Kubernetes 叢集專用 CSI 驅動程式私人預先發布版，供平台管理員和應用程式操作員整合。
修正項目
這個 Hotfix 修正了下列問題：

叢集管理

  • 修正問題：在 Kubernetes 叢集上，containerd 從 harbor.org.internal 提取容器映像檔時，無法驗證內部 TLS 憑證鏈結。現在，harbor.org.internal 會使用 PrivateRegistries 中的 trust-store-root-ext CA 憑證密鑰進行設定，並簡化平台管理員和應用程式操作員的系統私人登錄項目。

Hotfix 4

1.16.2-gdch.1353-4 修正程式已推出。

功能
這個 Hotfix 提供下列新功能：

CLI

  • 在 GDC 控制台 CLI 軟體包下載對話方塊中新增 SHA-256 核對和，並使用固定的下載網址 (?uncompressed=false) 從 Harbor 層摘要填入 CLIBundleMetadata.Checksum，讓平台管理員和應用程式操作員在安裝前驗證二進位檔的真實性和完整性。

身分與存取權管理

  • 在 Webhook、授權錯誤酬載和登入網頁範本中，新增專屬要求 ID，簡化平台管理員排解驗證失敗問題的程序。

  • 在 Webhook 驗證 TokenReview 偵錯記錄中，新增 API 伺服器稽核 ID 記錄，改善基礎架構營運商的要求關聯和診斷功能。

  • 新增設定支援，可限制驗證 Webhook 伺服器的最大爆發率，在平台管理員驗證量激增時，維持服務回應能力。

安全性

  • 新增對 Splunk 9.x 和 10.x 雙重部署的支援，確保在 Splunk 9.4 達到基礎架構營運商生命週期終點前，持續轉送安全性事件並提供供應商支援。

  • 將 harbor.org.internal 新增至 Harbor 閘道，並將其傳輸層安全標準：TLS 憑證分離至由 internal-tls-ca-issuer 簽署的專屬伺服器名稱指示 (SNI) 伺服器區塊，為基礎架構營運商保留全代管、自動化憑證管理環境：ACME、自備憑證 (BYO Cert) 和自備從屬 CA (BYO Sub-CA) 公用金鑰基礎架構 (PKI) 模式的組織預設憑證核發者。

儲存空間

  • 新增 bucket 層級儲存空間配額的 Alpha 版支援，包括 API 架構、驗證和執行手冊程序，讓基礎架構操作員能強制執行每個 bucket 的容量限制，並防止儲存空間耗盡。

  • 新增 bucket 生命週期政策中過期物件刪除標記 (ExpiredObjectDeleteMarker) 的支援功能，可自動移除過期的刪除標記，為應用程式操作人員最佳化物件儲存庫使用率。

  • 除了 library 之外，還在專屬的 kvcsi Harbor 專案中發布 KubeVirt CSI 容器映像檔，讓在虛擬機器和 Kubernetes 叢集上執行的工作負載，能為平台管理員和應用程式操作員提取必要的儲存空間驅動程式。

修正項目
這個 Hotfix 修正了下列問題：

資料庫服務

  • 將資料庫服務升級至 0.16.8 版，套用下列修正：

    • 修正問題：升級期間，本機資料庫運算子因 gRPC 連線逾時，無法與舊版 dbdaemon 執行個體通訊。
    • 修正以下問題：刪除 DBCluster 後，孤立的憑證金鑰仍留在 dbs-certificates 密鑰中，導致密鑰大小膨脹。
    • 修正問題：備份 bucket 刪除作業卡住，導致無法刪除 DBCluster 自訂資源。
    • 提高預設資源分配量並啟用資源設定功能，修正資料庫服務服務水準目標 (SLO) 探測器中的偽陽性逾時和記憶體不足 (OOM) 失敗問題。

身分與存取權管理

  • 修正問題：使用者在升級租用戶組織時，會遇到暫時性的 500 內部伺服器錯誤。我們已在驗證平台服務中加入就緒度和啟動探測，並妥善排除連線。

  • 修正問題：如果使用者與不存在的領域相關聯，則無法在驗證平台中刪除使用者。

  • 修正以下問題：在 OIDC 或 SAML 前置字串中指定結尾連字號 (-) 或冒號 (:) 分隔符時，GDC 控制台無法建立識別資訊提供者 (IDP)。我們已更新 IDP 前置字串驗證，允許平台管理員使用結尾分隔符。

  • 修正下列問題：在 GDC 控制台建立組織層級 IAM 角色繫結時，如果角色位於 platform 命名空間以外，則無法使用角色的實際命名空間進行傳播；列出全域 IAM 角色時，會保留部分結果，避免平台管理員遇到控制台 UI 錯誤。

  • 修正 GDC 控制台中的 user-cluster-applications-admin 角色名稱，確保平台管理員能正確指派角色及強制執行權限。

庫存清單

  • 修正了以下問題：使用 gdcloud system assets 指令為 B300 (d4-highgpu2-256-gdc-metal) 伺服器產生硬體資產時，系統會為主要資料層網路繫結選取錯誤的網路通訊埠，導致基礎架構運作人員無法佈建伺服器。

  • 修正 B300 (d4-highgpu2-256-gdc-metal) 伺服器未設定資料磁碟數量，導致預設資料磁碟數量設為 8，進而使 Server 自訂資源填入 spec.serverHardware.DataDiskInfo，並為基礎架構運算子正確佈建本機資料儲存空間磁碟區的問題。

  • 修正 YAML 纜線驗證問題：系統會將同等纜線類型類別 (例如 MMF 4x 和 MMF) 視為不相符，避免在為基礎架構運算子產生資產清單時，出現誤判的纜線路徑驗證警告。

  • 修正媒體轉換器通訊埠驗證規則運算式中的問題，以支援小寫 (p) 和大寫 (P) 通訊埠名稱，避免基礎架構運算子在動態擴充期間發生儲存格設定和預檢驗證失敗。

  • 修正問題：當對等互連交換器通訊埠終止於刻意未連線的跳接面板時，gdcloud system assets generate 會針對通過跳接面板的機架間頂端 (ToR) 交換器連線，回報誤判的配對警告。

  • 修正問題：基礎架構營運商在可用區擴充期間，gdcloud system assets add 無法在產生的切換密鑰範本中填入切換使用者名稱。

安全性

  • 修正問題：由於缺少 feature gate API 資源，siem-aas-global 子元件無法在各組織的 Management API 伺服器上進行協調。

  • 修正 Harbor 稽核記錄清除排程設定不具冪等性的問題，避免基礎架構操作員在容器登錄檔上發生設定協調錯誤。

儲存空間

  • 修正問題：如果 KMS 資料加密金鑰 (DEK) 快取初始化失敗，物件儲存庫 Proxy 會在啟動時發生當機迴圈，讓 Proxy 正常降級為未快取的 KMS 解密，並維持服務可用性。

  • 修正問題：非空白 bucket 刪除錯誤導致 bucket 控制器工作佇列資源不足，解決方法是在 bucket 調解器中導入指數重試輪詢。

  • 修正問題：nearline-stamping Helm 工作掛鉤中存在循環預先安裝依附元件，導致租戶組織啟動程序無限期停滯。

  • 修正 VerifyReplicationFilter 中的問題：S3 回應主體在 DeleteObjects 要求期間遭到耗用，導致後續篩選器處理和用戶端讀取作業的回應主體還原。

  • 修正 X-Amz-SignedHeaders 參數剖析問題，現在會以分號分割值，避免要求包含多個經過簽署的標頭時，發生 S3 授權失敗。

升級

  • 修正 feature gate 評估和程式碼產生邏輯，確保執行階段 feature gate 正確傳播功能類型，並在升級期間評估動態執行階段狀態，而非靜態建構階段。

安全漏洞管理

  • 修正安全漏洞管理安全區初始化問題：在部分升級的多可用區環境中，OPA Gatekeeper 限制會封鎖建立作業，但系統仍嘗試建立 tenable-nessus-system 命名空間。
變更
這項 Hotfix 包含下列異動：

說明文件

  • 更新服務手冊執行手冊，標準化客戶服務提報程序，引導使用者向 Google Cloud Care 提交客服案件。

Monitoring

  • 更新服務水準目標 (SLO) 匯出工具，將組織和可用區 ID 去識別化，並在匯出基礎架構營運商的資料前，提示使用者確認。

安全性

  • 更新 SIEM 資料保留設定，將預設保留時間還原為 89 天，並設定文件數量上限門檻，防止基礎架構操作員的 Elasticsearch 磁碟空間用盡。

Hotfix 3

1.16.2-gdch.1353-3 修正程式已推出。

功能
這個 Hotfix 提供下列新功能：

儲存空間：

  • 導入下列功能，強化內部儲存空間監控和診斷：

    • 端對端檔案儲存空間使用者歷程探測器。
    • 偵測孤立的 ONTAP 磁碟區。
    • 全新 CSI 和使用者歷程健康狀態資訊主頁。
    • 安全地抓取 CSI 和 Trident 指標。
修正項目
這個 Hotfix 修正了下列問題：

儲存空間

  • 提供下列更新，修正錯誤並提升控制層穩定性：

    • 升級 NetApp Trident 和 CSI sidecar 元件。
    • 提高 CSI worker 並行數量。
    • 新增可設定的 ONTAP API 逾時。
    • 限制 Trident 控制器排程至控制層節點，以提高儲存空間控制層處理量，並防止工作站和 GPU 節點發生連線問題。

Hotfix 2

修正項目
1.16.2-gdch.1353-2 修正程式已推出。這個 Hotfix 修正了下列問題：

備份

  • 新增虛擬機器備份方案的停用選項。

  • 在非 root 權限管理員叢集上，為備份叢集和虛擬機器控制器，有條件地啟用存活度探測。

CLI

  • 將 --auto-diff 設為 gdcloud system assets add 指令的預設執行模式。

叢集管理

  • 修正問題，以正確的叢集命名空間填入子網路狀態。

說明文件

  • 更新 GDC 控制台中的 GDC 離線說明文件，修正分頁內容無法顯示的問題。

身分與存取權管理

  • 新增缺少的 Identity and Access Management rotatableSecret 資源。

  • 如果角色名稱未變更，則略過 zonalRoleRef 更新，藉此最佳化協調作業。

  • 更新 ZonalRoleBindingReplica 調解器，正確處理使用者和管理員角色組合。

庫存清單

  • 更新 B300 伺服器的商品目錄擷取驗證。

  • 新增對中繼線、統一管理通訊埠和任意數量資料通訊埠的商品目錄支援。

  • 新增支援，可將電源分配裝置 (PDU) 放置在任何機架裝置 (U) 插槽中，不再限制只能放在 U02。

  • 移除懸空跳接面板檢查，並為懸空跳接面板新增機櫃頂端 (ToR) 交換器配對例外狀況。

  • 從商品目錄切換設定物件中移除使用者名稱和密碼欄位。

Logging

  • 修正記錄轉送功能，將標準 Kubernetes 叢集系統記錄導向應用程式運作人員 (AO) 租戶。

Monitoring

  • 在節點匯出工具指標中新增 node_name 標籤。

網路時間通訊協定 (NTP)

  • 提高記憶體限制，並為 NTP 服務新增快取功能，以提升穩定性。

網路

  • 新增主機網路 (HNETUpgrade) 資料層 RPM 熱修補升級支援，包括 onetd、libgdc-ipsec-offload 和 libstrongswan-doca 的 OCI 構件封裝、Kubernetes 工作型 Ansible 執行，以及升級失敗快訊。

  • 已略過檢查從全域 API 伺服器傳播的子網路上的 use 動詞。

  • 在正式環境中啟用子網路消費者追蹤功能，並為使用中的子網路新增叢集監控協調功能。

  • 修正 SwapEndFrontBacks 中的問題：在通訊埠驗證期間，字串替換會損毀裝置名稱。

  • 管理交換器設定新增支援三個字母的機架名稱。

  • 在 apiserver-proxy-lancer-mgmt 憑證資訊清單中加入 commonName 欄位。

平台驗證

  • 在正式環境中啟用憑證授權單位服務資料層功能旗標，並新增 CAS-Proxy 服務水準目標 (SLO)。

伺服器

  • 更新伺服器佈建作業，在將伺服器標示為就緒前，先安裝主機網路交付項目，並完成 ConnectX-7 (CX7) 韌體佈建工作。

  • 在正式環境中啟用 SERVAllowDellIDRACDowngrade 功能旗標，允許降級 d4-highgpu2 機器類別的 Dell iDRAC 和 BIOS 韌體。

  • 新增執行手冊，記錄降級 Dell 伺服器韌體的程序。

儲存空間

  • 新增隨選範圍讀取輔助程式 (RRH) 重建、自動復原、孤立項目清除和指標，以提升範圍讀取和多部分上傳的可靠性。

  • 如果設定未變更，則略過 CORS、生命週期和鎖定政策的多餘 StorageGRID 更新，藉此最佳化 bucket 協調。

  • 改善預先簽署網址生命週期安全性，並從錯誤記錄中遮蓋 S3 簽章和憑證。

  • 修正物件儲存庫 Proxy 處理常式中的要求指標競爭狀況、改善回應篩選器錯誤記錄，並新增酬載移轉檢測。

  • 將 StorageGRID hotfix 版本更新為 11.9.0.14，並略過在非錨定可用區建立 ObjectStorageUpgradeRequest 自訂資源。

虛擬機器

  • 更新虛擬機器 Package Repository 閘道，使用 STRIP_LEADING_DIRECTORY_PATH 轉送作業系統 (OS) 套件。

Hotfix 1

修正項目
1.16.2-gdch.1353-1 修正程式已推出。這個 Hotfix 修正了下列問題：

CLI

  • 在 gdcloud system container-registry load-oci 指令中新增對差異式 OCI 套件載入的支援，以減少 Hotfix 版本的下載和上傳大小。差異一律與基礎版本比較，而非與先前的修補程式版本比較。載入差異套件時，指令會略過基礎版本中已存在的重複映像檔層和 blob。由於 hotfix 會累積，因此每個 hotfix 發布套件都包含自基礎版本以來推出的所有修正，但不含基礎版本的重複構件。

資料庫服務

  • 將資料庫服務更新至 0.16.6 版，並將資料庫服務控制台 UI 更新至 2.16.0-beta.31 版，以套用最新的錯誤修正和穩定性改善項目。

說明文件

  • 更新 GDC 控制台「說明」選單中的 GDC 離線說明文件，加入最新內容。詳情請參閱「GDC 控制台存取權」。

防火牆

  • 新增 ZoneProtectionProfile 自訂資源資料模型、自訂設定檔產生和宣告、驗證用 Webhook，以及防火牆節點的偵察防護支援。操作人員可以使用 ZoneProtectionProfile 自訂資源 (zoneprotectionprofiles.firewall.private.gdc.goog/v1alpha2)，在組織層級 (包括根組織) 設定保護措施，封鎖惡意流量和通訊埠掃描。操作人員也可以自訂掃描門檻、定義 IP 位址許可清單 (exclusionIPs)、變更防護動作 (alert、allow、block、block-ip)，或選擇性停用掃描防護 (enabled: false)。

Gemini

  • 更新 Gemini Inference Stack 運算子和模型伺服器範本，移除不支援的伺服器設定，並套用穩定性修正。

身分與存取權管理

  • 修正 Anthos Identity Service (AIS) 中 rotatableSecret 的逾時問題，該問題會導致身分識別服務協調作業延遲。

  • 在 AIS 中啟用 Cookie 分割支援，解決大型驗證權杖問題，並更新身分識別服務容器映像檔。

庫存清單

  • 新增 B300 機架擴充支援。

  • 修正問題：自動產生的密碼含有不支援的特殊字元，導致交換器佈建和物件儲存庫啟動失敗。

  • 更新機架和執行個體 ID，支援 GPU Pod 的四字元 ID，並移除預檢期間不必要的線材、轉接器和收發器驗證。

  • 新增支援，可在停用中間機架 (在機架 A 和 B 之後，但在機架 X 和 Y 之前部署的機架) 後，擴充管理 IP 位址和 CIDR。以往，如果這個中間機架停用，日後部署或擴充至新機架時，會觸發 IP 位址分配問題。這項修正可解決這些衝突，確保機架擴充作業順暢進行。

  • 在商品目錄 Webhook 驗證中，新增對 iDRAC 和 OCP 通訊埠名稱的支援。

Logging

  • 最佳化 LoggingRule 篩選運算式，避免物件儲存庫的查詢率 (QPS) 過高。

Monitoring

  • 修正問題：EZ 基礎架構控制器上的指標通訊埠設定不正確，導致系統頻繁誤發 EZ-E1001、EZ-E1003 和 EZ-E1004 警告。

  • 改善 MonitoringTarget 調解器韌性，在憑證擷取失敗後自動重新排入目標佇列，並防止對永久磁碟區要求 (PVC) 進行不必要的修補。

  • 修正問題：在 Prometheus StatefulSet 比較期間，restartedAt 註解會導致不必要的重新啟動。

  • 移除監控命名空間中舊版 Google 建構的 OpenTelemetry Collector (GBOC) 網路政策。

網路

  • 修正問題：當伺服器與管理交換器位於不同機架時，系統不會填入 subnetClaimRef。

  • 修正問題：在垂直擴充期間，現有管理交換器缺少裝置類別 CIDR。

  • 新增 B300 伺服器管理和資料通訊埠命名格式 (例如 fe-s6p1 和 ocp-s1p1) 的支援和一般規則運算式驗證。

  • 修正 VLAN 介面資料表中的 JSON 剖析錯誤 (當介面清單跨越多行時)。

  • 在推出政策中新增主機網路階段，確保在元件更新期間，網路階段能可靠運作。

  • 停用 ABM Gateway 資源安裝，避免在不支援的環境中發生協調錯誤。

  • 修正 Connectivity Tests，在驗證期間將媒體轉換器視為被動裝置。

  • 改善交換器通訊埠連線驗證期間，無效通訊埠格式的錯誤處理機制。

作業系統

  • 增加快取大小並最佳化信任資料庫規則，提升節點上的檔案存取政策 Daemon (fapolicyd) 效能和穩定性。

安全性

  • 新增套件驗證預檢期間，支援多個根憑證的功能。

伺服器

  • 新增 Dell iDRAC 和 BIOS 韌體降級支援，適用於 d4-highgpu2 機器類別。

升級

  • 新增防護措施，防止重新評估已完成的升級作業，並改善升級自動化調度管理期間的用戶端驗證錯誤處理。

  • 新增支援修補程式的差異下載模式，只下載與基礎版本相比有變更的構件，大幅減少下載大小。

Vertex AI

  • 更新 Vertex AI Search 容器映像檔和 prediction_proxy，套用最新的安全性和穩定性更新。

虛擬機器

  • 新增支援功能，可在標準 Kubernetes 叢集上執行需要 GPU 的工作負載。

  • 在 AuditlogInventory 中，將共用 VM 和虛擬機器映像檔資源標示為與稽核相關，確保稽核記錄完整。

  • 修正 image-controller 中的問題：缺少快取檢查，導致同時建立映像檔時發生過多 HTTP 409 衝突錯誤。

  • 修正影響虛擬機器映像檔匯入穩定性的問題。

安全漏洞管理

  • 修正安全漏洞報告匯入工作流程，等待完成後再繼續。

  • 略過 Windows OIC 節點不必要的安全性法規遵循架構 Google Cloud (SCFGM) 產生作業。

  • 資料庫 CPU 和記憶體資源分配現可設定，並提高安全漏洞掃描資料庫的預設資料庫資源限制。