Google Distributed Cloud 网闸隔离配置版本说明

2024 年 2 月 16 日 [GDC 1.12.0]

通知
  • Google Distributed Cloud 网闸隔离配置 1.12.0 现已推出。
    请参阅产品概览，了解 Google Distributed Cloud 网闸隔离配置的功能。
  • Google Distributed Cloud 网闸隔离配置 1.12.0 支持两种操作系统：
    • Ubuntu 20231205
    • Rocky Linux 20231208
安全性

将 Canonical Ubuntu 操作系统映像版本更新为 20231208，以应用最新的安全补丁和重要更新。如需利用 bug 和安全漏洞修复，您必须在每个版本中升级所有节点。修复了以下安全漏洞：

安全性

修复了以下容器映像安全漏洞：

安全性

将 gcr.io/distroless/base 基础映像更新为摘要 sha256:eda29d6da91216123f1c1841b7c7a7abe1eece155cfe8d20d2a29e5daf9ad497，以应用最新的安全补丁和重要更新。

更改

插件管理器：

构建和打包：

  • Golang 版本已升级到 1.20。

  • Google Distributed Cloud 网闸隔离配置 1.12.0 在输出中添加了额外的软件物料清单 (SBOM)，并更新了逻辑，以确保将来发布此类 SBOM。

  • Google Distributed Cloud 网闸隔离配置 1.12.0 添加了 gdch_notice_license_files tar 文件，用于上传清单。

产品目录管理系统：

  • Google Distributed Cloud 网闸隔离配置 1.12.0 添加了对硬件版本 3.0 连接列表的验证。
  • Google Distributed Cloud 网闸隔离配置 1.12.0 更新了控制台服务器管理端口模式，以允许 LAN1A 和 LAN2A。
  • Google Distributed Cloud 网闸隔离配置 1.12.0 添加了一条消息，以缓解 PA850 主动和被动模式的混淆。
  • Google Distributed Cloud 网闸隔离配置 1.12.0 支持在验证中使用分支盒。
  • Google Distributed Cloud 网闸隔离配置 1.12.0 增加了对永久防火墙到管理防火墙连接的验证。
  • Google Distributed Cloud 网闸隔离配置 1.12.0 向客户信息收集问卷生成器添加了 OI 无类别域间路由 (CIDR) 提示。
  • Google Distributed Cloud 网闸隔离配置 1.12.0 改进了 MAC 地址缺失故障的出错提示，以缓解验证 HSM 和 mgmtsw 连接时预检不稳定的问题。

运营中心 IT 组织：

  • Operations Center IT 组织进行了以下名称更新：

    • Operations Center (OC) 已更名为 Operations Suite Facility (OIF)。

    • OC Core 已重命名为 Operations Suite Infrastructure Core Rack (OIR)。

    • Operations Center IT (OCIT) 已更名为 Operations Suite Infrastructure (OI)。

    • OCIT 已更名为 OI。

    如需了解详情，请参阅术语。

  • Google Distributed Cloud 网闸隔离配置 1.12.0 更新了 Userlock 配置脚本，以允许使用故障切换服务器。

  • Google Distributed Cloud 网闸隔离配置 1.12.0 会预先创建额外的 Operations Suite Infrastructure (OI) 安全群组，以便在 OI 系统中实现精细访问权限。

Artifact Registry：

  • Google Distributed Cloud 网闸隔离配置 1.12.0 从 CLI 资源中移除了 -f (--force) 短标志。

版本更新：

  • 基于 Debian 的映像版本已更新为 bookworm-v1.0.0-gke.3。

功能

Certificate Manager：

  • 引入了为组织在 web-tls 证书中配置密钥大小的功能。

数据库服务：

  • 支持对其 Oracle 数据库进行时间点恢复 (PITR)。
  • 支持 Postgres 高级迁移，可将本地数据库迁移到由 GDC 数据库服务管理的数据库。

日志记录：

Marketplace：

  • MongoDB Enterprise Advanced (BYOL) 现已在 Google Distributed Cloud 网闸隔离配置 1.12.0 Marketplace 中推出。
    它是一系列产品和服务的集合，可提高安全性、效率，并让您掌控 MongoDB 数据库。

对象存储：

  • 添加了在对象存储区软件中托管升级文件所需的新映像。
  • 为存储桶 webhook 添加了加密版本标签。
  • 添加了用于对象凭证变换的协调器。

Operations Suite Infrastructure Core Services (OIC)

  • Google Distributed Cloud 网闸隔离配置 1.12.0 会在 Grafana 中收集 OIC 日志。
  • Google Distributed Cloud 网闸隔离配置 1.12.0 将 Copy-BareMetalFiles.ps1 脚本从安装文档移至 private-cloud/operations/dsc/ 中的脚本。
平台安全

  • root-admin 集群的 Web TLS 证书由 Google Distributed Cloud 网闸隔离配置内部公钥基础架构颁发。

安全合规性：

  • Google Distributed Cloud 网闸隔离配置 1.12.0 引入了通过安全评估所需的端口安全。

工单系统

  • 更新了 ServiceNow 中的计划作业，以错开其运行时间，从而防止数据库出现峰值。
  • 当 ServiceNow 中的元监控突发事件过时，基础设施运维人员会收到提醒。

升级

  • 为基础架构运维者和平台管理员添加了升级状态信息中心。
  • 添加了用于触发用户集群升级的命令。

Vertex AI：

  • 添加了在线预测预览版，以便在一组受支持的容器上使用您自己的预测模型来处理请求。
  • 添加了文档翻译预览版，可直接翻译带格式的 PDF 文档，并在翻译中保留原始格式和布局。
  • 在 Vertex AI Workbench JupyterLab 实例的主目录中添加了对备份和恢复笔记本数据的支持。

虚拟机管理

已修复

结算：

  • 修复了 onetimeusage 作业在更新 onetimeusage 对象上的标签时始终失败并导致失败提醒的问题。
  • 修复了以下问题：在自定义资源 (CR) 的费用写入数据库后，在标签更新为“已处理”之前，如果作业重启，会导致 CR 的总费用重复。

硬件安全模块：

  • 修复了导致硬件安全模块在 ServicesNotStarted 和 ready 状态之间频繁切换的问题。

混合身份：

  • 修复了身份 Pod 中的网络配置问题。

产品目录管理系统：

  • 修复了许可解析器无法解析许可 JSON 文本跨多行的对象存储区文件的问题。
  • 修复了硬件 3.0 CellCfg CableType 验证正则表达式的问题。
  • 修复了在硬件验证中包含引导程序节点的问题。
  • 修复了服务器引导后 root-admin 集群节点的 SecureBootEnable 处于关闭状态的问题。

Operations Suite Infrastructure Core Services (OIC)

  • 修复了 Initialize-BareMetalHost.ps1 无法检测到需要重启的问题。
  • 修复了以下问题：企业 CA 根证书无法颁发 req 文件以提交给离线 CA 根证书。
  • 修复了 OIC 虚拟机创建过程导致 Hyper-V 时间同步保持启用状态的问题。

工单系统

  • 修复了 MariaDB 审核问题。

升级

  • 通过添加 IAM 升级后检查，修复了 Identity and Access Management (IAM) 提醒问题。

虚拟机管理

  • 修复了以下问题：如果虚拟机无法调度，虚拟机状态之前会显示 PendingIPAllocation。修复后，虚拟机状态会显示为 ErrorUnscheduable。
  • 修复了在虚拟机映像导入操作中使用错误的对象存储区密钥的问题。
问题

备份和恢复：

  • 即使备份仓库运行状况良好，也可能会触发备份仓库提醒。

集群管理：

  • machine-init 作业在集群预配期间失败。

物理服务器：

  • root-admin 集群更新进度卡在节点升级阶段，具体来说是 NodeBIOSFirmwareUpgradeCompleted。

数据库服务：

  • 数据库服务工作负载在系统集群中运行，这可能会导致数据库工作负载与其他数据库实例和各种控制平面系统共享计算基础设施。

Harbor as a Service (HAAS)：

  • 作为 Google Distributed Cloud 网闸隔离配置 1.12.0 的预览版功能，HaaS 不应在生产环境中运行。
    预安装作业会故意失败，以防止子组件正确协调，从而阻止用户使用 HaaS。
    HaaS 子组件预计会处于协调状态，这不会影响其他组件的功能。

防火墙：

  • 在客户部署期间，secret.yaml 文件管理员用户名必须为 admin，但在首次创建后包含 TO-BE-FILLED。必须使用 admin 用户名在防火墙上初始化第一个配置。

硬件安全模块：

  • CipherTrust Manager 仍可检测到已停用的试用许可，从而触发虚假的到期警告。
  • 删除 KMS CTMKey 时，PA 可能会遇到意外行为，包括 KMS 服务无法为组织启动。
  • 硬件安全模块的可轮替 Secret 处于未知状态。
  • HSM 内部证书授权机构轮替会卡住，无法完成。

Logging：

监控：

  • 创建组织时，Node Exporter 证书可能尚未准备就绪。
  • 系统不会收集用户集群中的某些指标。此问题会影响用户虚拟机集群，但不会影响系统集群。
  • 配置中定义的指标存储类别不正确。
  • mon-prober-backend-prometheus-config ConfigMap 会重置为不包含任何探测作业，并触发提醒 MON-A0001。

节点平台：

  • 由于 lvm.conf 文件过时，节点升级失败。

物理服务器：

  • root-admin 集群更新进度卡在节点升级阶段，具体来说是 NodeBIOSFirmwareUpgradeCompleted。
  • 手动安装服务器时，服务器安装可能会卡住。

升级：

  • NodeOSInPlaceUpgradeCompleted 的节点升级失败。
  • 交换机升级未能运行命令 install add bootflash://..
  • 系统集群中的多个 Pod 可能会卡在 TaintToleration 状态。

上层网络：

  • 用户虚拟机集群卡在 ContainerCreating 状态，并显示 FailedCreatePodSandBox 警告。

Vertex AI：

  • 在创建用户集群时，MonitoringTarget 会显示 Not Ready 状态，导致预训练 API 在界面中持续显示 Enabling 状态。

虚拟机备份和恢复：

  • 虚拟机管理器中的基于角色的访问权限控制 (RBAC) 和架构设置导致用户无法启动虚拟机备份和恢复流程。
  • 由于磁盘大小不足以及对象存储代理响应超时，虚拟机映像导入在映像转换步骤失败。

SIEM：

  • OCLCM 预安装作业在特性门控检查中反复失败。
已弃用

性能：

  • Google Distributed Cloud 网闸隔离配置 1.12.0 弃用了执行 provision key 基准测试的功能。