Notas de la versión de Google Distributed Cloud aislado

16 de febrero de 2024 [GDC 1.12.0]

Anuncio
  • Ya está disponible la versión 1.12.0 de Google Distributed Cloud aislado.
    Consulta la descripción general del producto para conocer las funciones de Google Distributed Cloud aislado.
  • Google Distributed Cloud aislado 1.12.0 admite dos sistemas operativos:
    • Ubuntu 20231205
    • Rocky Linux 20231208
Seguridad

Se actualizó la versión de la imagen de SO Ubuntu de Canonical a la 20231208 para aplicar los parches de seguridad más recientes y las actualizaciones importantes. Para aprovechar las correcciones de errores y vulnerabilidades de seguridad, debes actualizar todos los nodos con cada versión. Se corrigieron las siguientes vulnerabilidades de seguridad:

Seguridad

Se corrigieron las siguientes vulnerabilidades de seguridad de las imágenes de contenedor:

Seguridad

Se actualizó la imagen base de gcr.io/distroless/base al resumen sha256:eda29d6da91216123f1c1841b7c7a7abe1eece155cfe8d20d2a29e5daf9ad497 para aplicar los parches de seguridad más recientes y las actualizaciones importantes.

Cambiar

Administrador de complementos:

Compilación y empaquetado:

  • La versión de Golang se actualizó a la 1.20.

  • Google Distributed Cloud aislado 1.12.0 agrega listas de materiales de software (SBOM) adicionales a la lógica de salida y actualizaciones para garantizar que esas SBOM se publiquen en el futuro.

  • Google Distributed Cloud aislado 1.12.0 agrega archivos tar gdch_notice_license_files para subir manifiestos.

Administración del inventario:

  • Google Distributed Cloud aislado 1.12.0 agrega validaciones para las fichas de conexión de la versión de hardware 3.0.
  • Google Distributed Cloud aislado 1.12.0 actualiza el patrón de puerto de administración del servidor de la consola para permitir LAN1A y LAN2A.
  • Google Distributed Cloud aislado 1.12.0 agrega un mensaje para mitigar la confusión de los modos activo y pasivo de PA850.
  • Google Distributed Cloud aislado 1.12.0 admite un casete de conexión en la validación.
  • Google Distributed Cloud aislado 1.12.0 agrega la validación del firewall permanente a la conexión del firewall de administración.
  • En Google Distributed Cloud aislado 1.12.0, se agrega un mensaje de enrutamiento entre dominios sin clases (CIDR) de OI al generador del cuestionario de admisión de clientes.
  • Google Distributed Cloud aislado 1.12.0 mejora un mensaje de error sobre la falta de dirección MAC para mitigar la inestabilidad de la verificación previa cuando se valida la conexión de HSM y mgmtsw.

Organización de TI del centro de operaciones:

  • La organización de TI del Centro de operaciones tiene las siguientes actualizaciones de nombre:

    • Se cambió el nombre de Centro de operaciones (OC) a Instalación de Operations Suite (OIF).

    • OC Core cambió de nombre a Operations Suite Infrastructure Core Rack (OIR).

    • Se cambió el nombre de Operations Center IT (OCIT) a Operations Suite Infrastructure (OI).

    • Se cambió el nombre de OCIT a OI.

    Para obtener más información, consulta Terminología.

  • Google Distributed Cloud aislado 1.12.0 actualiza la secuencia de comandos de configuración de Userlock para permitir el uso de un servidor de conmutación por error.

  • La versión 1.12.0 de Google Distributed Cloud aislado crea previamente grupos de seguridad adicionales de la infraestructura de Operations Suite (OI) para permitir el acceso detallado en los sistemas de OI.

Artifact Registry:

  • Google Distributed Cloud aislado 1.12.0 quita la marca corta -f (--force) de los recursos de la CLI.

Actualización de versión:

  • La versión de la imagen basada en Debian se actualiza a bookworm-v1.0.0-gke.3.

Función

Administrador de certificados:

  • Se introdujo la configuración del tamaño de la clave en un certificado web-tls para las organizaciones.

Servicio de base de datos:

  • Compatibilidad con la recuperación de un momento determinado (PITR) para sus bases de datos de Oracle
  • Compatibilidad con la migración avanzada de Postgres para migrar bases de datos locales a bases de datos administradas por el servicio de administración de bases de datos de GDC.

Registro:

Marketplace:

  • MongoDB Enterprise Advanced (BYOL) ya está disponible en el Marketplace de Google Distributed Cloud aislado 1.12.0.
    Es una colección de productos y servicios que impulsan la seguridad y la eficiencia, y te permiten controlar tus bases de datos de MongoDB.

Almacén de objetos:

  • Se agregó una imagen nueva necesaria para alojar archivos de actualización en el software de almacén de objetos.
  • Se agregó una etiqueta de versión de encriptación a los webhooks de bucket.
  • Se agregó un reconciliador para la rotación de credenciales de objetos.

Servicios Principales de Infraestructura de Operations Suite (OIC)

  • Google Distributed Cloud aislado 1.12.0 recopila registros de OIC en Grafana.
  • Google Distributed Cloud aislado 1.12.0 mueve la secuencia de comandos Copy-BareMetalFiles.ps1 de la documentación de instalación a las secuencias de comandos en private-cloud/operations/dsc/.
Seguridad de la plataforma

  • La infraestructura de clave pública interna de Google Distributed Cloud aislado emite un certificado TLS web para un clúster de administración raíz.

Cumplimiento de seguridad:

  • Google Distributed Cloud aislado 1.12.0 presenta la seguridad de puertos necesaria para aprobar una evaluación de seguridad.

Sistema de tickets

  • Se actualizaron los trabajos programados en ServiceNow para escalonar su ejecución y evitar picos en la base de datos.
  • El operador de infraestructura recibe una alerta cuando un incidente de supervisión de metadatos en ServiceNow está inactivo.

Actualización

  • Se agregó el panel Estado de la actualización para los operadores de infraestructura y los administradores de plataformas.
  • Se agregó un comando para activar la actualización del clúster de usuario.

Vertex AI:

Administración de máquinas virtuales

Fija

Facturación:

  • Se corrigió el problema por el que el trabajo onetimeusage siempre fallaba cuando se actualizaban las etiquetas en el objeto onetimeusage, lo que causaba alertas de error.
  • Se corrigió el problema que causaba que el costo agregado de un recurso personalizado (CR) se duplicara cuando el trabajo se reiniciaba después de que el costo del CR se escribiera en la base de datos, antes de que la etiqueta se actualizara a procesada.

Módulo de seguridad de hardware:

  • Se corrigió el problema que causaba que el módulo de seguridad de hardware alternara con frecuencia entre los estados ServicesNotStarted y ready.

Identidad híbrida:

  • Se solucionó el problema con la configuración de red en los Pods de identidad.

Administración del inventario:

  • Se solucionó el problema por el que el analizador de licencias no analizaba los archivos de almacén de objetos cuyo texto JSON de licencia se extendía por varias líneas.
  • Se corrigió el problema con la expresión regular de validación de CableType de CellCfg de hardware 3.0.
  • Se solucionó el problema que incluía el nodo de arranque en la validación de hardware.
  • Se solucionó el problema por el que el nodo del clúster de administración raíz tenía desactivado SecureBootEnable después del inicio del servidor.

Servicios Principales de Infraestructura de Operations Suite (OIC)

  • Se corrigió el problema por el que Initialize-BareMetalHost.ps1 no detectaba que se requería un reinicio.
  • Se solucionó el problema con una raíz de CA empresarial y no se emitió un archivo req para enviarlo a una raíz de CA sin conexión.
  • Se solucionó el problema por el que el proceso de creación de la VM de OIC dejaba habilitada la sincronización de hora de Hyper-V.

Sistema de tickets

  • Se corrigió el problema de auditoría de MariaDB.

Actualización

  • Se solucionó el problema con las alertas de Identity and Access Management (IAM) agregando verificaciones de actualización posteriores a la instalación de IAM.

Administración de máquinas virtuales

  • Se solucionó el problema por el que el estado de la VM mostraba PendingIPAllocation si no se podía programar. Después de la corrección, el estado de la VM muestra ErrorUnscheduable.
  • Se solucionó el problema por el que se usaba el secreto de almacén de objetos incorrecto en las operaciones de importación de imágenes de VM.
Problema

Copia de seguridad y restablecimiento:

  • Las alertas de un repositorio de copias de seguridad pueden activarse incluso cuando el repositorio está en buen estado.

Administración de clústeres:

  • El trabajo de machine-init falla durante el aprovisionamiento del clúster.

Servidores físicos:

  • El progreso de la actualización del clúster de administrador raíz se detiene en la actualización del nodo, específicamente en NodeBIOSFirmwareUpgradeCompleted.

Servicio de base de datos:

  • Las cargas de trabajo de Database Service operan dentro del clúster del sistema, lo que podría generar que las cargas de trabajo de la base de datos compartan la infraestructura de procesamiento con otras instancias de base de datos y varios sistemas del plano de control.

Harbor como servicio (HaaS):

  • Como es una función de versión preliminar de Google Distributed Cloud aislado 1.12.0, no se espera que HaaS funcione en entornos de producción.
    El trabajo de preinstalación falla por diseño para evitar que los subcomponentes se concilien correctamente, lo que impide que los usuarios usen HaaS.
    Se espera encontrar subcomponentes de HaaS en el estado de conciliación, lo que no afecta la funcionalidad de otros componentes.

Firewall:

  • Durante la implementación del cliente, el nombre de usuario del administrador del archivo secret.yaml debe ser admin y, en su lugar, contiene TO-BE-FILLED después de la primera creación. Se debe usar el nombre de usuario admin para inicializar la primera configuración en el firewall.

Módulo de seguridad de hardware:

  • Las licencias de prueba desactivadas se siguen detectando en CipherTrust Manager, lo que activa advertencias de vencimiento falsas.
  • Cuando se borra un KMS CTMKey, el PA puede encontrar comportamientos inesperados, incluido que el servicio de KMS no se inicie para la organización.
  • Un secreto rotativo para los módulos de seguridad de hardware se encuentra en un estado desconocido.
  • Las rotaciones de la autoridad certificadora interna del HSM se detienen y no se completan.

Registro:

Supervisión:

  • Es posible que los certificados de Node Exporter no estén listos cuando se crea una organización.
  • No se recopilan algunas métricas de los clústeres de usuarios. Este problema afecta a los clústeres de VM de usuario, pero no al clúster del sistema.
  • La clase de almacenamiento de métricas se definió de forma incorrecta en la configuración.
  • El ConfigMap mon-prober-backend-prometheus-config se restablece para no incluir trabajos de sondeo y se activa la alerta MON-A0001.

Plataforma de nodos:

  • La actualización del nodo falla debido a un archivo lvm.conf desactualizado.

Servidores físicos:

  • El progreso de la actualización del clúster de administrador raíz se detiene en la actualización del nodo, específicamente en NodeBIOSFirmwareUpgradeCompleted.
  • Cuando se instala un servidor de forma manual, es posible que la instalación se detenga.

Actualización:

  • No se puede actualizar el nodo de NodeOSInPlaceUpgradeCompleted.
  • No se puede ejecutar el comando install add bootflash://.. para cambiar de actualización
  • Es posible que varios Pods de un clúster del sistema se queden atascados en el estado TaintToleration.

Redes de nivel superior:

  • Un clúster de VM de usuario se queda atascado en el estado ContainerCreating con la advertencia FailedCreatePodSandBox.

Vertex AI:

  • El MonitoringTarget muestra un estado Not Ready cuando se crean clústeres de usuario, lo que hace que las APIs previamente entrenadas muestren continuamente un estado Enabling en la interfaz de usuario.

Copia de seguridad y restablecimiento de VMs:

  • La configuración del esquema y del control de acceso basado en roles (RBAC) en el VM Manager impide que los usuarios inicien los procesos de copia de seguridad y restablecimiento de las VMs.
  • La importación de la imagen de VM falla en el paso de traducción de la imagen debido a un tamaño de disco insuficiente y al tiempo de espera de la respuesta del proxy de almacenamiento de objetos.

SIEM:

  • Los trabajos de preinstalación de OCLCM fallan de forma reiterada en la verificación del interruptor de función.
Funciones obsoletas

Rendimiento:

  • En Google Distributed Cloud aislado 1.12.0, se deja de admitir la capacidad de ejecutar comparativas de provision key.