Google Distributed Cloud エアギャップ リリースノート

2024 年 2 月 16 日 [GDC 1.12.0]

お知らせ
  • Google Distributed Cloud エアギャップ 1.12.0 が利用可能になりました。
    Google Distributed Cloud エアギャップの機能については、プロダクトの概要をご覧ください。
  • Google Distributed Cloud エアギャップ 1.12.0 は、次の 2 つのオペレーティング システムをサポートしています。
    • Ubuntu 20231205
    • Rocky Linux 20231208
セキュリティ

Canonical Ubuntu OS イメージのバージョンを 20231208 に更新し、最新のセキュリティ パッチと重要なアップデートを適用しました。バグとセキュリティの脆弱性の修正プログラムを利用するには、各リリースですべてのノードをアップグレードする必要があります。次のセキュリティの脆弱性が修正されました。

セキュリティ

次のコンテナ イメージのセキュリティ脆弱性が修正されました。

セキュリティ

gcr.io/distroless/base ベースイメージをダイジェスト sha256:eda29d6da91216123f1c1841b7c7a7abe1eece155cfe8d20d2a29e5daf9ad497 に更新し、最新のセキュリティ パッチと重要なアップデートを適用しました。

変更

アドオン マネージャー:

ビルドとパッケージ:

  • Golang のバージョンが 1.20 にアップグレードされました。

  • Google Distributed Cloud エアギャップ 1.12.0 では、出力にソフトウェア部品構成表（SBOM）が追加され、今後このような SBOM が公開されるようにロジックが更新されています。

  • Google Distributed Cloud エアギャップ 1.12.0 では、マニフェストをアップロードするための gdch_notice_license_files tar ファイルが追加されています。

広告在庫管理:

  • Google Distributed Cloud エアギャップ 1.12.0 では、ハードウェア バージョン 3.0 の接続リスティングの検証が追加されています。
  • Google Distributed Cloud エアギャップ 1.12.0 では、コンソール サーバー管理ポートのパターンが更新され、LAN1A と LAN2A が許可されるようになりました。
  • Google Distributed Cloud エアギャップ 1.12.0 では、PA850 のアクティブ モードとパッシブ モードの混同を軽減するメッセージが追加されました。
  • Google Distributed Cloud エアギャップ 1.12.0 は、検証でブレークアウト カセットをサポートしています。
  • Google Distributed Cloud エアギャップ 1.12.0 では、永続ファイアウォールから管理ファイアウォールへの接続の検証が追加されています。
  • Google Distributed Cloud エアギャップ 1.12.0 では、お客様のインテーク アンケート ジェネレータに OI クラスレス ドメイン間ルーティング（CIDR）プロンプトが追加されています。
  • Google Distributed Cloud エアギャップ 1.12.0 では、MAC アドレスが見つからないエラーに関するエラー メッセージが改善され、hsm と mgmtsw の接続を検証する際のプリフライト チェックの不安定さが軽減されました。

オペレーション センターの IT 組織:

  • オペレーション センターの IT 組織の名前が次のように更新されました。

    • オペレーション センター（OC）は、オペレーション スイート施設（OIF）に名称が変更されました。

    • OC Core は、Operations Suite Infrastructure Core Rack（OIR）に名称が変更されました。

    • Operations Center IT（OCIT）は、Operations Suite Infrastructure（OI）に名称が変更されました。

    • OCIT の名称が OI に変更されました。

    詳細については、用語をご覧ください。

  • Google Distributed Cloud エアギャップ 1.12.0 では、フェイルオーバー サーバーの使用を許可するように Userlock 構成スクリプトが更新されています。

  • Google Distributed Cloud エアギャップ 1.12.0 では、追加の Operations Suite Infrastructure（OI）セキュリティ グループが事前に作成され、OI システム全体できめ細かいアクセスが可能になります。

Artifact Registry:

  • Google Distributed Cloud エアギャップ 1.12.0 では、CLI アセットから -f（--force）ショートフラグが削除されています。

バージョンを更新:

  • Debian ベースのイメージ バージョンが bookworm-v1.0.0-gke.3 に更新されました。

機能

Certificate Manager:

  • 組織の web-tls 証明書で鍵サイズを構成できるようになりました。

データベース サービス:

  • Oracle データベースのポイントインタイム リカバリ（PITR）のサポート。
  • オンプレミス データベースを GDC データベース サービスで管理されるデータベースに移行するための Postgres の高度な移行のサポート。

ロギング:

Marketplace:

  • MongoDB Enterprise Advanced（BYOL）が、Google Distributed Cloud エアギャップ 1.12.0 Marketplace で利用可能になりました。
    これは、セキュリティと効率性を高め、MongoDB データベースを管理できるようにするプロダクトとサービスのコレクションです。

オブジェクト ストレージ:

  • オブジェクト ストレージ ソフトウェアでアップグレード ファイルをホストするために必要な新しいイメージを追加しました。
  • バケット Webhook に暗号化バージョンのラベルを追加しました。
  • オブジェクト認証情報のローテーション用の Reconciler を追加しました。

Operations Suite Infrastructure Core Services（OIC）

  • Google Distributed Cloud エアギャップ 1.12.0 は、Grafana で OIC ログを収集します。
  • Google Distributed Cloud エアギャップ 1.12.0 では、Copy-BareMetalFiles.ps1 スクリプトがインストール ドキュメントから private-cloud/operations/dsc/ のスクリプトに移動されています。
プラットフォームのセキュリティ

  • ルート管理者クラスタのウェブ TLS 証明書は、Google Distributed Cloud エアギャップの内部公開鍵基盤によって発行されます。

セキュリティ コンプライアンス:

  • Google Distributed Cloud エアギャップ 1.12.0 では、セキュリティ評価に合格するために必要なポート セキュリティが導入されています。

チケット発行システム

  • ServiceNow のスケジュール設定されたジョブを更新し、データベースの急増を防ぐために実行時間をずらしました。
  • ServiceNow のメタ モニタリング インシデントが古くなると、インフラストラクチャ オペレーターにアラートが届きます。

アップグレード

  • インフラストラクチャ オペレーターとプラットフォーム管理者向けに、[アップグレード ステータス] ダッシュボードを追加しました。
  • ユーザー クラスタのアップグレードをトリガーするコマンドを追加しました。

Vertex AI:

  • サポートされているコンテナのセットで独自の予測モデルを使用してリクエストを処理するオンライン予測のプレビューを追加しました。
  • ドキュメント翻訳のプレビューを追加しました。これにより、書式設定された PDF ドキュメントを直接翻訳し、翻訳で元の書式とレイアウトを維持できます。
  • Vertex AI Workbench JupyterLab インスタンスのホーム ディレクトリでのノートブック データのバックアップと復元のサポートを追加しました。

仮想マシン管理

  • 仮想マシンの Windows OS のサポートを追加し、Windows VM の作成、インポート、接続を可能にしました。
修正済み

請求:

  • onetimeusage ジョブが onetimeusage オブジェクトのラベルの更新に常に失敗し、障害アラートが発生する問題を修正しました。
  • CR の費用がデータベースに書き込まれた後、ラベルが処理済みに更新される前にジョブが再開されると、カスタム リソース（CR）の合計費用が重複する問題を修正しました。

ハードウェア セキュリティ モジュール:

  • ハードウェア セキュリティ モジュールが ServicesNotStarted 状態と ready 状態の間で頻繁に切り替わる問題を修正しました。

ハイブリッド ID:

  • ID Pod のネットワーク構成に関する問題を修正しました。

広告在庫管理:

  • ライセンス JSON テキストが複数行にわたるオブジェクト ストレージ ファイルをライセンス パーサーが解析しない問題を修正しました。
  • ハードウェア 3.0 の CellCfg CableType 検証の正規表現に関する問題を修正しました。
  • ハードウェア検証にブートストラップ ノードが含まれる問題を修正しました。
  • サーバーのブートストラップ後にルート管理者クラスタノードで SecureBootEnable がオフになる問題を修正しました。

Operations Suite Infrastructure Core Services（OIC）

  • Initialize-BareMetalHost.ps1 が再起動が必要であることを検出しない問題を修正しました。
  • エンタープライズ CA ルートの問題を修正し、オフライン CA ルートに送信する req ファイルを発行しないようにしました。
  • OIC VM の作成プロセスで Hyper-V の時刻同期が有効のままになる問題を修正しました。

チケット発行システム

  • MariaDB 監査の問題を修正しました。

アップグレード

  • IAM のポストフライト アップグレード チェックを追加することで、Identity and Access Management（IAM）アラートの問題を修正しました。

仮想マシンの管理

  • VM をスケジュールできない場合に、VM のステータスが PendingIPAllocation と表示される問題を修正しました。修正後、VM のステータスは ErrorUnscheduable になります。
  • VM イメージのインポート オペレーションで、誤ったオブジェクト ストレージ シークレットが使用される問題を修正しました。
問題

バックアップと復元:

  • バックアップ リポジトリのアラートは、リポジトリが正常な場合でも発生することがあります。

クラスタ管理:

  • クラスタのプロビジョニング中に machine-init ジョブが失敗する。

物理サーバー:

  • ルート管理者クラスタの更新の進行状況がノードのアップグレード（具体的には NodeBIOSFirmwareUpgradeCompleted）で停止しています。

データベース サービス:

  • データベース サービス ワークロードはシステム クラスタ内で動作します。これにより、データベース ワークロードが他のデータベース インスタンスやさまざまなコントロール プレーン システムとコンピューティング インフラストラクチャを共有する可能性があります。

Harbor as a Service（HAAS）:

  • HaaS は Google Distributed Cloud エアギャップ 1.12.0 のプレビュー機能であるため、本番環境での運用は想定されていません。
    プリインストール ジョブは、サブコンポーネントが適切に調整されないように設計されているため、ユーザーは HaaS を使用できません。
    HaaS サブコンポーネントが調整状態になることが想定されますが、他のコンポーネントの機能には影響しません。

ファイアウォール:

  • お客様のデプロイ中、secret.yaml ファイルの管理者ユーザー名は admin である必要がありますが、最初の作成後に TO-BE-FILLED が含まれます。ファイアウォールで最初の構成を初期化するには、admin ユーザー名を使用する必要があります。

ハードウェア セキュリティ モジュール:

  • 無効になったトライアル ライセンスが CipherTrust Manager で引き続き検出され、誤った有効期限警告がトリガーされます。
  • KMS CTMKey を削除すると、PA で予期しない動作が発生することがあります。たとえば、組織で KMS サービスが開始されないことがあります。
  • ハードウェア セキュリティ モジュールのローテーション可能なシークレットが不明な状態です。
  • HSM 内部認証局のローテーションが停止し、完了しません。

ロギング:

モニタリング:

  • 組織の作成時に Node Exporter 証明書の準備が完了しないことがあります。
  • ユーザー クラスタの一部の指標が収集されません。この問題は、ユーザー VM クラスタに影響しますが、システム クラスタには影響しません。
  • 構成で指標ストレージ クラスが正しく定義されていません。
  • mon-prober-backend-prometheus-config ConfigMap がリセットされ、プローブジョブが含まれなくなり、アラート MON-A0001 がトリガーされます。

ノード プラットフォーム:

  • lvm.conf ファイルが古いため、ノードのアップグレードが失敗する。

物理サーバー:

  • ルート管理者クラスタの更新の進行状況がノードのアップグレード（具体的には NodeBIOSFirmwareUpgradeCompleted）で停止しています。
  • サーバーを手動でインストールすると、サーバーのインストールが停止することがあります。

アップグレード:

  • NodeOSInPlaceUpgradeCompleted のノードのアップグレードに失敗する。
  • スイッチのアップグレードでコマンド install add bootflash://.. を実行できない
  • システム クラスタ内の複数の Pod が TaintToleration 状態で停止することがあります。

上部ネットワーキング:

  • ユーザー VM クラスタが FailedCreatePodSandBox 警告とともに ContainerCreating 状態のままになる。

Vertex AI:

  • ユーザー クラスタの作成中に MonitoringTarget に Not Ready ステータスが表示され、事前トレーニング済み API がユーザー インターフェースに Enabling 状態を継続的に表示します。

VM のバックアップと復元:

  • VM Manager のロールベース アクセス制御（RBAC）とスキーマ設定により、ユーザーが VM のバックアップと復元のプロセスを開始できない。
  • ディスクサイズが不足しているため、また obj ストレージ プロキシのレスポンスがタイムアウトしたため、イメージ変換ステップで VM イメージのインポートが失敗します。

SIEM:

  • OCLCM のプリインストール ジョブがフィーチャー ゲート チェックで繰り返し失敗する。
非推奨

パフォーマンス:

  • Google Distributed Cloud エアギャップ 1.12.0 では、provision key ベンチマークを実行する機能が非推奨になりました。