Notas da versão do Google Distributed Cloud com isolamento físico

16 de fevereiro de 2024 [GDC 1.12.0]

Anúncio
  • O Google Distributed Cloud com isolamento físico 1.12.0 já está disponível.
    Consulte a visão geral do produto para saber mais sobre os recursos do Google Distributed Cloud com isolamento físico.
  • O Google Distributed Cloud com isolamento físico 1.12.0 é compatível com dois sistemas operacionais:
    • Ubuntu 20231205
    • Rocky Linux 20231208
Segurança

Atualizamos a versão da imagem do SO Canonical Ubuntu para 20231208 para aplicar os patches de segurança mais recentes e atualizações importantes. Para aproveitar as correções de bugs e vulnerabilidades de segurança, faça upgrade de todos os nós em cada versão. As seguintes vulnerabilidades de segurança foram corrigidas:

Segurança

As seguintes vulnerabilidades de segurança da imagem do contêiner foram corrigidas:

Segurança

Atualizamos a imagem de base gcr.io/distroless/base para o resumo sha256:eda29d6da91216123f1c1841b7c7a7abe1eece155cfe8d20d2a29e5daf9ad497 para aplicar os patches de segurança mais recentes e atualizações importantes.

Alterar

Gerenciador de complementos:

Criar e empacotar:

  • A versão do Golang foi atualizada para 1.20.

  • O Google Distributed Cloud com isolamento físico 1.12.0 adiciona mais listas de materiais de software (SBOMs, na sigla em inglês) à saída e atualiza a lógica para garantir que essas SBOMs sejam publicadas no futuro.

  • O Google Distributed Cloud com isolamento físico 1.12.0 adiciona arquivos tar gdch_notice_license_files para fazer upload de manifestos.

Gerenciamento de inventário:

  • O Google Distributed Cloud com isolamento físico 1.12.0 adiciona validações para listagens de conexão da versão 3.0 do hardware.
  • O Google Distributed Cloud com isolamento físico 1.12.0 atualiza o padrão de porta de gerenciamento do servidor do console para permitir LAN1A e LAN2A.
  • O Google Distributed Cloud com isolamento físico 1.12.0 adiciona uma mensagem para mitigar a confusão dos modos ativo e passivo do PA850.
  • O Google Distributed Cloud com isolamento físico 1.12.0 é compatível com um cassete de breakout na validação.
  • O Google Distributed Cloud com isolamento físico 1.12.0 adiciona a validação da conexão do firewall permanente ao firewall de gerenciamento.
  • O Google Distributed Cloud com isolamento físico 1.12.0 adiciona um prompt de roteamento entre domínios sem classe (CIDR) de OI ao gerador do Questionário de entrada do cliente.
  • O Google Distributed Cloud com isolamento físico 1.12.0 melhora uma mensagem de erro sobre a ausência de endereço MAC para reduzir a instabilidade da verificação de simulação ao validar a conexão de HSM e MGMT_SW.

Organização de TI do centro de operações:

  • A organização de TI do Operations Center tem as seguintes atualizações de nome:

    • O Centro de Operações (OC) foi renomeado para Instalação do Pacote de Operações (OIF).

    • O OC Core foi renomeado para Rack de infraestrutura principal do pacote de operações (OIR, na sigla em inglês).

    • A TI do Centro de Operações (OCIT, na sigla em inglês) foi renomeada para Infraestrutura do Pacote de Operações (OI, na sigla em inglês).

    • O OCIT foi renomeado como OI.

    Para mais informações, consulte Terminologia.

  • O Google Distributed Cloud com isolamento físico 1.12.0 atualiza o script de configuração do Userlock para permitir o uso de um servidor de failover.

  • O Google Distributed Cloud com isolamento físico 1.12.0 pré-cria grupos de segurança adicionais da infraestrutura do pacote de operações (OI, na sigla em inglês) para permitir acesso granular em todos os sistemas de OI.

Artifact Registry:

  • O Google Distributed Cloud com isolamento físico 1.12.0 remove a flag curta -f (--force) dos recursos da CLI.

Atualização de versão:

  • A versão de imagem baseada no Debian foi atualizada para bookworm-v1.0.0-gke.3.

Recurso

Certificate Manager:

  • Introdução da configuração do tamanho da chave em um certificado web-tls para organizações.

Serviço de banco de dados:

  • Suporte para recuperação pontual (PITR) nos bancos de dados Oracle.
  • Suporte para migração avançada do Postgres para migrar bancos de dados locais para bancos de dados gerenciados pelo serviço de gerenciamento de bancos de dados do GDC.

Geração de registros:

Marketplace:

  • O MongoDB Enterprise Advanced (BYOL) já está disponível no Marketplace do Google Distributed Cloud com isolamento físico 1.12.0.
    É uma coleção de produtos e serviços que promovem a segurança e a eficiência, além de colocar você no controle dos seus bancos de dados do MongoDB.

Repositório de objetos:

  • Adicionamos uma nova imagem necessária para hospedar arquivos de upgrade no software de repositório de objetos.
  • Adicionamos um rótulo de versão de criptografia aos webhooks de bucket.
  • Adicionamos um reconciliador para a rotação de credenciais de objeto.

Serviços principais de infraestrutura do pacote de operações (OIC)

  • O Google Distributed Cloud com isolamento físico 1.12.0 coleta registros do OIC no Grafana.
  • O Google Distributed Cloud com isolamento físico 1.12.0 move o script Copy-BareMetalFiles.ps1 da documentação de instalação para scripts em private-cloud/operations/dsc/.
Segurança da plataforma

  • Um certificado TLS da Web para um cluster de admin raiz é emitido pela infraestrutura de chave pública interna do Google Distributed Cloud com isolamento físico.

Conformidade de segurança:

  • O Google Distributed Cloud com isolamento físico 1.12.0 apresenta a segurança de porta necessária para passar em uma avaliação de segurança.

Sistema de emissão de tíquetes

  • Atualização dos jobs programados no ServiceNow para escalonar quando eles são executados e evitar picos no banco de dados.
  • O operador de infraestrutura recebe um alerta quando um incidente de monitoramento de metadados no ServiceNow está desatualizado.

Fazer upgrade

  • Adição do painel Status do upgrade para operadores de infraestrutura e administradores de plataforma.
  • Adicionamos um comando para acionar o upgrade do cluster de usuário.

Vertex AI:

  • Adicionamos a prévia de previsões on-line para disponibilizar solicitações usando seus próprios modelos preditivos em um conjunto de contêineres compatíveis.
  • Adicionamos a prévia do Document Translate para traduzir diretamente documentos PDF formatados e preservar a formatação e o layout originais nas traduções.
  • Inclusão de suporte para fazer backup e restaurar dados de notebook no diretório inicial das instâncias do JupyterLab do Vertex AI Workbench.

Gerenciamento de máquinas virtuais

  • Adicionamos suporte ao SO Windows para máquinas virtuais criarem, importarem e se conectarem a uma VM do Windows.
Corrigido

Faturamento:

  • Correção do problema em que o job onetimeusage sempre falhava ao atualizar rótulos no objeto onetimeusage, causando alertas de falha.
  • Corrigimos o problema que fazia com que o custo agregado de um recurso personalizado (CR) fosse duplicado quando o job era reiniciado depois que o custo do CR era gravado no banco de dados, antes que o rótulo fosse atualizado para processado.

Módulo de segurança de hardware:

  • Corrigimos o problema que fazia o módulo de segurança de hardware alternar com frequência entre os estados ServicesNotStarted e ready.

Identidade híbrida:

  • Corrigimos o problema com a configuração de rede em pods de identidade.

Gerenciamento de inventário:

  • Corrigimos o problema em que o analisador de licenças não analisava arquivos de repositório de objetos cujo texto JSON de licença se estende por várias linhas.
  • Correção do problema com a expressão regular de validação do CableType do CellCfg do hardware 3.0.
  • Correção do problema com a inclusão do nó de inicialização na validação de hardware.
  • Correção do problema em que o nó do cluster de admin raiz tinha o SecureBootEnable desativado após a inicialização do servidor.

Serviços principais de infraestrutura do pacote de operações (OIC)

  • Correção do problema em que o Initialize-BareMetalHost.ps1 não detectava que uma reinicialização era necessária.
  • Correção do problema com uma raiz de CA corporativa e não emissão de um arquivo .req para envio a uma raiz de CA off-line.
  • Corrigimos o problema em que o processo de criação da VM do OIC deixava a sincronização de horário do Hyper-V ativada.

Sistema de emissão de tíquetes

  • Correção de um problema de auditoria do MariaDB.

Fazer upgrade

  • Correção do problema com os alertas do Identity and Access Management (IAM) adicionando verificações de upgrade pós-voo do IAM.

Gerenciamento de máquinas virtuais

  • Correção do problema com o status da VM que mostrava PendingIPAllocation se a VM não pudesse ser programada. Após a correção, o status da VM mostra ErrorUnscheduable.
  • Correção do problema com o secret de repositório de objetos incorreto usado em operações de importação de imagens de VM.
Problema

Backup e restauração:

  • Os alertas de um repositório de backup podem ser acionados mesmo quando o repositório está íntegro.

Gerenciamento de clusters:

  • O job machine-init falha durante o provisionamento do cluster.

Servidores físicos:

  • O progresso da atualização do cluster de admin raiz está travado no upgrade do nó, especificamente em NodeBIOSFirmwareUpgradeCompleted.

Serviço de banco de dados:

  • As cargas de trabalho do serviço de banco de dados operam no cluster do sistema, o que pode fazer com que as cargas de trabalho do banco de dados compartilhem a infraestrutura de computação com outras instâncias de banco de dados e vários sistemas do plano de controle.

Harbor como serviço (HAAS):

  • Como é um recurso em fase de pré-lançamento do Google Distributed Cloud com isolamento físico 1.12.0, o HaaS não deve ser usado em ambientes de produção.
    O job de pré-instalação falha por design para impedir que os subcomponentes sejam reconciliados corretamente, o que impede que os usuários usem o HaaS.
    É esperado encontrar subcomponentes de HaaS no estado de reconciliação, o que não afeta a funcionalidade de outros componentes.

Firewall:

  • Durante a implantação do cliente, o nome de usuário do administrador do arquivo secret.yaml precisa ser admin, mas contém TO-BE-FILLED após a primeira criação. O nome de usuário admin precisa ser usado para inicializar a primeira configuração no firewall.

Módulo de segurança de hardware:

  • As licenças de teste desativadas ainda são detectáveis no CipherTrust Manager, acionando avisos de expiração falsos.
  • Ao excluir um KMS CTMKey, o PA pode encontrar comportamentos inesperados, incluindo o serviço do KMS não iniciar para a organização.
  • Um secret rotativo para módulos de segurança de hardware está em um estado desconhecido.
  • As rotações da autoridade certificadora interna do HSM ficam travadas e não são concluídas.

Geração de registros:

Monitoramento:

  • Os certificados do Node Exporter podem não ficar prontos ao criar uma organização.
  • Algumas métricas dos clusters de usuários não são coletadas. Esse problema afeta os clusters de VM do usuário, mas não o cluster do sistema.
  • A classe de armazenamento de métricas está definida incorretamente na configuração.
  • O ConfigMap mon-prober-backend-prometheus-config é redefinido para não incluir jobs de sondagem, e o alerta MON-A0001 é acionado.

Plataforma de nós:

  • O upgrade do nó falha devido a um arquivo lvm.conf desatualizado.

Servidores físicos:

  • O progresso da atualização do cluster de admin raiz está travado no upgrade do nó, especificamente em NodeBIOSFirmwareUpgradeCompleted.
  • Ao instalar um servidor manualmente, a instalação pode ficar travada.

Fazer upgrade:

  • Falha no upgrade do nó para NodeOSInPlaceUpgradeCompleted.
  • O upgrade do switch não executa o comando install add bootflash://..
  • Vários pods em um cluster do sistema podem ficar travados no estado TaintToleration.

Rede superior:

  • Um cluster de VM de usuário fica preso no estado ContainerCreating com o aviso FailedCreatePodSandBox.

Vertex AI:

  • O MonitoringTarget mostra um status Not Ready quando os clusters de usuário estão sendo criados, fazendo com que as APIs pré-treinadas mostrem continuamente um estado Enabling na interface do usuário.

Backup e restauração de VMs:

  • O controle de acesso baseado em função (RBAC) e as configurações de esquema no VM Manager estão impedindo que os usuários iniciem processos de backup e restauração de VMs.
  • A importação da imagem de VM falha na etapa de tradução da imagem devido ao tamanho insuficiente do disco e ao tempo limite na resposta do proxy de armazenamento de objetos.

SIEM:

  • Os jobs de pré-instalação do OCLCM falham repetidamente na verificação do feature gate.
Descontinuado

Performance:

  • O Google Distributed Cloud com isolamento físico 1.12.0 descontinua a capacidade de executar comparativos de mercado provision key.