에어 갭이 적용된 Google Distributed Cloud 출시 노트

2024년 2월 16일 [GDC 1.12.0]

공지사항
  • 에어 갭이 적용된 Google Distributed Cloud 1.12.0을 이제 사용할 수 있습니다.
    제품 개요를 참조하여 Google Distributed Cloud(에어 갭 적용형)의 기능을 알아보세요.
  • Google Distributed Cloud(에어 갭 적용형) 1.12.0은 두 가지 운영체제를 지원합니다.
    • Ubuntu 20231205
    • Rocky Linux 20231208
보안

최신 보안 패치와 중요 업데이트를 적용하기 위해 Canonical Ubuntu OS 이미지 버전을 20231208로 업데이트했습니다. 버그 및 보안 취약점 수정사항을 활용하려면 출시 버전마다 모든 노드를 업그레이드해야 합니다. 다음 보안 취약점이 수정되었습니다.

보안

다음 컨테이너 이미지 보안 취약점이 수정되었습니다.

보안

최신 보안 패치와 중요한 업데이트를 적용하기 위해 gcr.io/distroless/base 기본 이미지를 다이제스트 sha256:eda29d6da91216123f1c1841b7c7a7abe1eece155cfe8d20d2a29e5daf9ad497로 업데이트했습니다.

변경

부가기능 관리자:

빌드 및 패키징:

  • Golang 버전이 1.20으로 업그레이드됩니다.

  • Google Distributed Cloud 에어 갭 1.12.0은 출력에 소프트웨어 자재명세서(SBOM)를 추가하고 향후 이러한 SBOM이 게시되도록 로직을 업데이트합니다.

  • Google Distributed Cloud(에어 갭 적용형) 1.12.0은 매니페스트를 업로드하기 위해 gdch_notice_license_files tar 파일을 추가합니다.

인벤토리 관리:

  • Google Distributed Cloud Air-Gapped 1.12.0에는 하드웨어 버전 3.0 연결 목록에 대한 검증이 추가되었습니다.
  • Google Distributed Cloud(에어 갭 적용형) 1.12.0은 LAN1A 및 LAN2A를 허용하도록 콘솔 서버 관리 포트 패턴을 업데이트합니다.
  • Google Distributed Cloud(에어 갭 적용형) 1.12.0에서는 PA850 활성 및 수동 모드의 혼동을 완화하는 메시지가 추가되었습니다.
  • Google Distributed Cloud(에어 갭 적용형) 1.12.0은 검증에서 브레이크아웃 카세트를 지원합니다.
  • Google Distributed Cloud Air-Gap 1.12.0에서는 영구 방화벽과 관리 방화벽 간의 연결에 대한 검증이 추가되었습니다.
  • Google Distributed Cloud Air-Gapped 1.12.0은 고객 접수 설문지 생성기에 OI 클래스 없는 도메인 간 라우팅(CIDR) 프롬프트를 추가합니다.
  • Google Distributed Cloud 에어 갭 1.12.0은 hsm 및 mgmtsw 연결을 검증할 때 실행 전 검사 불안정성을 완화하기 위해 누락된 MAC 주소 오류에 대한 오류 메시지를 개선합니다.

운영 센터 IT 조직:

  • 운영 센터 IT 조직의 이름이 다음과 같이 업데이트되었습니다.

    • 운영 센터(OC)의 이름이 운영 제품군 시설(OIF)로 변경되었습니다.

    • OC Core의 이름이 운영 제품군 인프라 핵심 랙 (OIR)으로 변경되었습니다.

    • 운영 센터 IT (OCIT)의 이름이 운영 제품군 인프라 (OI)로 변경되었습니다.

    • OCIT의 이름이 OI로 변경되었습니다.

    자세한 내용은 용어를 참고하세요.

  • Google Distributed Cloud Air-Gap 1.12.0은 장애 조치 서버를 사용할 수 있도록 Userlock 구성 스크립트를 업데이트합니다.

  • Google Distributed Cloud(에어 갭 적용형) 1.12.0은 OI 시스템 전반에서 세분화된 액세스를 허용하기 위해 추가 Operations Suite 인프라(OI) 보안 그룹을 미리 만듭니다.

Artifact Registry:

  • 에어 갭이 적용된 Google Distributed Cloud 1.12.0은 CLI 애셋에서 -f (--force) 짧은 플래그를 삭제합니다.

버전 업데이트:

  • Debian 기반 이미지 버전이 bookworm-v1.0.0-gke.3으로 업데이트되었습니다.

기능

인증서 관리자:

  • 조직의 web-tls 인증서에 키 크기 구성이 도입되었습니다.

데이터베이스 서비스:

  • Oracle 데이터베이스의 PITR(point-in-time recovery) 지원
  • 온프레미스 데이터베이스를 GDC 데이터베이스 서비스에서 관리하는 데이터베이스로 마이그레이션하기 위한 Postgres 고급 마이그레이션 지원

로깅:

Marketplace:

  • 이제 Google Distributed Cloud(에어 갭 적용형) 1.12.0 Marketplace에서 MongoDB Enterprise Advanced(BYOL)를 사용할 수 있습니다.
    보안과 효율성을 높이고 MongoDB 데이터베이스를 제어할 수 있는 제품 및 서비스 모음입니다.

객체 스토리지:

  • 객체 스토리지 소프트웨어에서 업그레이드 파일을 호스팅하는 데 필요한 새 이미지가 추가되었습니다.
  • 버킷 웹훅에 암호화 버전 라벨이 추가되었습니다.
  • 객체 사용자 인증 정보 순환을 위한 조정자가 추가되었습니다.

운영 제품군 인프라 핵심 서비스 (OIC)

  • Google Distributed Cloud(에어 갭 적용형) 1.12.0은 Grafana에서 OIC 로그를 수집합니다.
  • Google Distributed Cloud Air-Gap 1.12.0은 Copy-BareMetalFiles.ps1 스크립트를 설치 문서에서 private-cloud/operations/dsc/의 스크립트로 이동합니다.
플랫폼 보안

  • 루트 관리자 클러스터의 웹 TLS 인증서는 Google Distributed Cloud 에어 갭 내부 공개 키 인프라에서 발급됩니다.

보안 규정 준수:

  • Google Distributed Cloud(에어 갭 적용형) 1.12.0에는 보안 평가를 통과하는 데 필요한 포트 보안이 도입되었습니다.

티켓팅 시스템

  • 데이터베이스 급증을 방지하기 위해 ServiceNow에서 예약된 작업을 업데이트하여 실행 시점을 분산했습니다.
  • ServiceNow의 메타 모니터링 이슈가 오래되면 인프라 운영자가 알림을 받습니다.

업그레이드

  • 인프라 운영자 및 플랫폼 관리자를 위한 업그레이드 상태 대시보드가 추가되었습니다.
  • 사용자 클러스터 업그레이드를 트리거하는 명령어가 추가되었습니다.

Vertex AI:

  • 지원되는 컨테이너 집합에서 자체 예측 모델을 사용하여 요청을 처리하는 온라인 예측 프리뷰가 추가되었습니다.
  • 형식이 지정된 PDF 문서를 직접 번역하고 번역에서 원본 형식과 레이아웃을 유지하는 문서 번역 미리보기가 추가되었습니다.
  • Vertex AI Workbench JupyterLab 인스턴스의 홈 디렉터리에 노트북 데이터 백업 및 복원 지원이 포함되었습니다.

가상 머신 관리

  • 가상 머신이 Windows VM을 만들고 가져오고 연결할 수 있도록 Windows OS 지원이 추가되었습니다.
해결됨

결제:

  • onetimeusage 작업이 onetimeusage 객체의 라벨을 업데이트할 때 항상 실패하여 실패 알림이 발생하는 문제가 해결되었습니다.
  • CR 비용이 데이터베이스에 기록된 후 라벨이 처리됨으로 업데이트되기 전에 작업이 다시 시작될 때 커스텀 리소스 (CR)의 집계 비용이 중복되는 문제가 해결되었습니다.

하드웨어 보안 모듈:

  • 하드웨어 보안 모듈이 ServicesNotStarted 상태와 ready 상태 간에 자주 전환되는 문제를 수정했습니다.

하이브리드 ID:

  • ID 포드의 네트워크 구성 문제가 해결되었습니다.

인벤토리 관리:

  • 라이선스 JSON 텍스트가 여러 줄에 걸쳐 있는 객체 스토리지 파일을 라이선스 파서가 파싱하지 않는 문제가 해결되었습니다.
  • 하드웨어 3.0 CellCfg CableType 검증 정규 표현식 문제가 해결되었습니다.
  • 하드웨어 검증에 부트스트래퍼 노드를 포함하는 문제가 해결되었습니다.
  • 서버 부트스트랩 후 루트 관리자 클러스터 노드에서 SecureBootEnable가 사용 중지되는 문제가 해결되었습니다.

운영 제품군 인프라 핵심 서비스 (OIC)

  • Initialize-BareMetalHost.ps1에서 재부팅이 필요함을 감지하지 못하는 문제가 해결되었습니다.
  • 엔터프라이즈 CA 루트 및 오프라인 CA 루트에 제출할 req 파일을 발급하지 않는 문제가 해결되었습니다.
  • OIC VM 생성 프로세스에서 Hyper-V 시간 동기화가 사용 설정된 상태로 유지되는 문제가 해결되었습니다.

티켓팅 시스템

  • MariaDB 감사 문제가 해결되었습니다.

업그레이드

  • IAM 업그레이드 후 검사를 추가하여 Identity and Access Management (IAM) 알림 문제를 해결했습니다.

가상 머신 관리

  • VM을 예약할 수 없는 경우 VM 상태가 이전에 PendingIPAllocation로 표시되는 문제가 해결되었습니다. 수정 후 VM 상태가 ErrorUnscheduable로 표시됩니다.
  • VM 이미지 가져오기 작업에서 잘못된 객체 스토리지 보안 비밀이 사용되는 문제가 해결되었습니다.
문제

백업 및 복원:

  • 저장소가 정상 상태인 경우에도 백업 저장소에 대한 알림이 실행될 수 있습니다.

클러스터 관리:

  • 클러스터 프로비저닝 중에 machine-init 작업이 실패합니다.

물리적 서버:

  • 루트 관리자 클러스터 업데이트 진행률이 노드 업그레이드(특히 NodeBIOSFirmwareUpgradeCompleted)에서 멈춥니다.

데이터베이스 서비스:

  • 데이터베이스 서비스 워크로드는 시스템 클러스터 내에서 작동하므로 데이터베이스 워크로드가 다른 데이터베이스 인스턴스 및 다양한 컨트롤 플레인 시스템과 컴퓨팅 인프라를 공유할 수 있습니다.

Harbor as a Service (HAAS):

  • HaaS는 Google Distributed Cloud(에어 갭 적용형) 1.12.0의 프리뷰 기능이므로 프로덕션 환경에서 작동하지 않을 것으로 예상됩니다.
    사전 설치 작업은 하위 구성요소가 올바르게 조정되지 않도록 설계되어 사용자가 HaaS를 사용할 수 없습니다.
    HaaS 하위 구성요소가 조정 상태에 있을 것으로 예상되며, 이는 다른 구성요소의 기능에 영향을 미치지 않습니다.

방화벽:

  • 고객 배포 중에 secret.yaml 파일 관리자 사용자 이름은 admin여야 하지만 처음 생성한 후에는 TO-BE-FILLED가 포함됩니다. 방화벽에서 첫 번째 구성을 초기화하려면 admin 사용자 이름을 사용해야 합니다.

하드웨어 보안 모듈:

  • 비활성화된 무료 체험판 라이선스는 CipherTrust Manager에서 계속 감지되어 잘못된 만료 경고를 트리거합니다.
  • KMS CTMKey를 삭제할 때 PA는 조직에서 KMS 서비스가 시작되지 않는 등 예기치 않은 동작이 발생할 수 있습니다.
  • 하드웨어 보안 모듈의 순환 가능한 보안 비밀이 알 수 없는 상태입니다.
  • HSM 내부 인증 기관 순환이 중단되고 완료되지 않습니다.

로깅:

모니터링:

  • 조직을 만들 때 Node Exporter 인증서가 준비되지 않을 수 있습니다.
  • 사용자 클러스터의 일부 측정항목이 수집되지 않습니다. 이 문제는 사용자 VM 클러스터에 영향을 주지만 시스템 클러스터에는 영향을 주지 않습니다.
  • 측정항목 스토리지 클래스가 구성에서 잘못 정의되었습니다.
  • mon-prober-backend-prometheus-config ConfigMap이 프로브 작업을 포함하지 않도록 재설정되고 MON-A0001 알림이 트리거됩니다.

노드 플랫폼:

  • 오래된 lvm.conf 파일로 인해 노드 업그레이드가 실패합니다.

물리적 서버:

  • 루트 관리자 클러스터 업데이트 진행률이 노드 업그레이드(특히 NodeBIOSFirmwareUpgradeCompleted)에서 멈춥니다.
  • 서버를 수동으로 설치할 때 서버 설치가 중단될 수 있습니다.

업그레이드:

  • NodeOSInPlaceUpgradeCompleted의 노드 업그레이드가 실패합니다.
  • 스위치 업그레이드에서 install add bootflash://.. 명령어를 실행할 수 없음
  • 시스템 클러스터의 여러 포드가 TaintToleration 상태로 멈출 수 있습니다.

상위 네트워킹:

  • 사용자 VM 클러스터가 FailedCreatePodSandBox 경고와 함께 ContainerCreating 상태로 중단됩니다.

Vertex AI:

  • 사용자 클러스터가 생성될 때 MonitoringTarget가 Not Ready 상태를 표시하므로 사전 학습된 API가 사용자 인터페이스에 Enabling 상태를 계속 표시합니다.

VM 백업 및 복원:

  • VM Manager의 역할 기반 액세스 제어 (RBAC) 및 스키마 설정으로 인해 사용자가 VM 백업 및 복원 프로세스를 시작할 수 없습니다.
  • 디스크 크기가 부족하고 객체 스토리지 프록시 응답의 제한 시간 초과로 인해 이미지 변환 단계에서 VM 이미지 가져오기가 실패합니다.

SIEM:

  • OCLCM 사전 설치 작업이 기능 게이트 확인에서 반복적으로 실패합니다.
지원 중단됨

성능:

  • 에어 갭이 적용된 Google Distributed Cloud 1.12.0에서는 provision key 벤치마크를 실행하는 기능이 지원 중단됩니다.