Google Distributed Cloud エアギャップ 1.15.1 リリースノート

2025 年 12 月 5 日

お知らせ
Google Distributed Cloud（GDC）エアギャップ 1.15.1 が利用可能になりました。
Distributed Cloud の機能については、プロダクトの概要をご覧ください。
機能
次の新機能が利用可能です。

クラスタ管理:

  • 新しい標準クラスタ構成を追加しました。Standard クラスタは単一のプロジェクトにスコープ設定されます。これにより、プロジェクト内に限定されたアプリケーション デベロッパーは、クラスタの機能を直接制御できます。詳細については、Kubernetes クラスタの構成をご覧ください。

gdcloud CLI:

  • macOS および Windows オペレーティング システムから gdcloud CLI を実行するためのサポートが追加されました。詳細については、利用可能な gdcloud CLI バンドルをご覧ください。

  • Linux 用の gdcloud CLI バンドルのライトバージョンを追加しました。これにより、gdcloud CLI コマンドのサブセットを含む、より小さなバイナリが提供されます。詳細については、利用可能な gdcloud CLI バンドルをご覧ください。

ネットワーキング

  • 新しい下り（外向き）NAT 機能である Cloud NAT が追加されました。これにより、ワークロードが組織外に到達する方法を構成するためのオプションがさらに増えました。詳細については、Cloud NAT をご覧ください。以前に利用可能だった NAT メカニズム（プロジェクトのデフォルトの下り（外向き）NAT）は非推奨になりました。ユーザーは Cloud NAT にmigrateすることをおすすめします。

    1.15.1 リリースでは、Cloud NAT ロール cloud-nat-manager が非推奨になりました。代わりに cloud-nat-developer を使用してください。

  • IP アドレスの割り当てを簡素化するために、サブネット グループを追加しました。この新しいメカニズムにより、同じエンティティまたは同じ目的のサブネットをグループとして管理できるため、管理対象のサブネットの大規模なセットから IP アドレスを簡単に割り当てることができます。詳細については、サブネット グループをご覧ください。

  • Interconnect サブスクリプション SKU は、公開プレビュー版として提供されています。この機能を使用すると、組織は相互接続の物理容量を予約し、その予約を課金プロジェクトに関連付けることができます。現時点では、予約はオナーベースのみであり、システムによって厳密に適用されるわけではありません。相互接続の詳細については、相互接続を使用して接続を確立するをご覧ください。

  • HTTP / HTTPS プロトコルを使用したヘルスチェックが利用可能になりました。ヘルスチェックにより、エンドポイントが新しいリクエストや接続を受信できるかどうかが決まります。ヘルスチェックで異常と識別されたエンドポイントは、ロードバランサを介してトラフィックを受信しません。詳細については、ヘルスチェックを構成するをご覧ください。

  • プレビュー機能として、IP リソース統計情報のモニタリングのサポートを追加しました。インフラストラクチャ オペレーター（IO）とプラットフォーム管理者（PA）は、ルートレベルからリーフレベルまでのサブネットとサブネット グループの合計、割り当て済み、使用可能、割合の指標を表示できます。ダッシュボードにアクセスする方法については、指標のクエリと表示をご覧ください。

  • 新しく作成された組織では、デフォルトで、顧客トラフィックの侵入検知および防止システム（IDPS）サービスがバイパスされるようになりました。既存の組織はこの変更の影響を受けず、既存の構成に基づいて IDPS を引き続き使用します。

プラットフォーム認証:

  • Certificate Authority Service（CAS）は、事前定義された証明書テンプレートをサポートしており、一般的なユースケースの証明書を発行するための既製のテンプレートを提供しています。
  • CAS は、クライアント アプリケーションが確認できる証明書失効リスト（CRL）を公開することで、証明書の失効をサポートします。

Resource Manager:

  • プロジェクト タグをプレビュー機能として追加しました。タグを使用すると、ビジネス属性に基づいてプロジェクトを整理できます。詳細については、タグの概要をご覧ください。

セキュリティ サービス:

  • 新しく作成された組織との間の顧客トラフィックは、デフォルトで IDPS 検査をバイパスするようになりました。

システム:

  • GDC コンポーネントに適用される公開済みのシステム上限。システムの上限は固定値で、変更できません。詳細については、システムの上限をご覧ください。

仮想マシン:

  • VM インスタンスに NVIDIA GPU のサポートを追加しました。これにより、AI などのさまざまな GPU アクセラレーション ワークロードを実行できます。詳細については、NVIDIA GPU を搭載した VM インスタンスを作成して起動するをご覧ください。
  • a3-ultragpu 仮想マシン ファミリーで H200 GPU のサポートを追加しました。
  • VM の Tier 1 ネットワーキングを構成するを追加しました。Tier 1 ネットワーキング構成の VM は、ハイ パフォーマンス コンピューティング（HPC）、機械学習（ML）、ディープ ラーニング（DL）など、ノード間通信が多い大規模な分散コンピューティング ワークロードに役立ちます。
  • 高パフォーマンスの VM を作成する機能を追加しました。
  • VM のステータスに関する分析情報を提供する VM の可用性チェックを追加しました。
  • パッケージ リポジトリを管理する機能を追加しました。
セキュリティ
Rocky OS イメージのバージョンを 20250924 に更新し、最新のセキュリティ パッチと重要なアップデートを適用しました。

次のセキュリティの脆弱性が修正されました。

問題
次の問題が特定されています。

Resource Manager:

  • フェイルオーバー レジストリ ディストリビューションがないため、組織が不明な状態になっています。

Anthos Service Mesh

  • CNI のインストールを妨げる異常なノードが原因で、ASM メッシュのインストールがブロックされています。

バックアップと復元

  • アップグレード後に back-lancer-agent-user-cp サブコンポーネントが ReconciliationError ステータスになっているため、バックアップと復元のオペレーションが失敗します。

  • ボリュームを含む復元は、データ転送速度が遅いため、完了までに時間がかかることがあります。

  • データベース クローンやユーザー ワークロードの復元などのリソースの復元プロセスが、永続ボリューム クレームが保留中であるために停止し、最終的にタイムアウトします。

  • ユーザーは、GDC コンソールで VM バックアップ プランを作成したり、エンドツーエンドのバックアップと復元のタスクを実行したりすることはできません。

  • クラスタ バックアップの復元オペレーションが失敗します。

ブロック ストレージ

  • ボリュームのマウント解除リクエスト中にユーザー Pod がフリーズする。

  • CloneVolume 中の Volume already exists エラーは、Trident API では対処されません。

  • 無効な LUN が存在するため、ボリュームをアタッチできません。

  • csi.trident.netapp.io ドライバが見つからないため、アップグレード中に FailedMount エラーが発生します。

  • ストレージのアップグレードやストレージ コントローラの停止などのイベントの後、ファイル / ブロック ストレージ セッションが自動的に復元されない。

  • ギブバックが完了していないため、ONTAP クラスタのアップグレードが完了しません。

クラスタ管理

  • クラスタが削除中の状態で停止する。

  • 削除後に Kubernetes クラスタが削除されない。

データベース サービス

  • gdcloud stop database コマンドが完了するまでに時間がかかります。

  • 高可用性（HA）が有効になっているときに PostgreSQL または AlloyDB Omni データベース クラスタが停止すると、正常に再起動しないことがあります。

ドキュメント

  • インフラストラクチャ オペレーター（IO）のランブックへのリンクが、GDC コンソールでホストされているドキュメントで機能しません。

ファイアウォール

  • アップグレード後に、以前のファイアウォール ルールによって組織からルート管理者へのトラフィックがブロックされることがあります。

  • AttachmentGroup がデプロイされた後、その AttachmentGroup オブジェクトの identifier フィールドが orgName と同じ場合、ファイアウォールはこのオブジェクトを解析できず、ファイアウォール構成の更新が停止します。

  • 複数の組織を同時に作成すると、競合状態により IDPS ファイアウォールが無効な構成を生成します。

Harbor:

  • データベースのパスワード ローテーションが停止しています。

  • Harbor データベース ディスクがいっぱいになると、サービスが利用できなくなります。

ハードウェア セキュリティ モジュール:

  • 無効になったトライアル ライセンスは CipherTrust Manager で引き続き検出され、誤った有効期限警告がトリガーされます。

  • ファイル記述子のリークにより、ServicesNotStarted エラーが発生します。

健康:

  • デプロイ中に、telex-system Namespace が存在しないため、health-slo-reports-infra サブコンポーネントの調整に失敗することがあります。

Identity and Access Management

  • zonalRules セクションを含む CustomRole リソースでは、権限が確実に付与されない場合があります。

  • ルート CA のローテーション後に OPA Gatekeeper の信頼の問題が発生すると、新しいプロジェクトで IAM ロールを作成できなくなります。

Infrastructure as Code

  • Firefox を使用して GitLab にログインしようとすると、エラー 422 が発生します。

在庫

  • system assets create は、ファイアウォール デバイスの正しいポートを受け入れません。

鍵管理システム:

  • KMS サーバーでは、ワークロードが重い場合にパフォーマンスの問題や OOMKilling が発生することがあります。

  • CTM ルート鍵を使用するように構成された KMS は、HSM が使用できない場合にフェイルオーバーしません。

モニタリング

  • 新しい KubeStateMetric カスタム リソースが作成された場合、その指標が表示されないことがあります。

  • Cortex の圧縮エラーは、ブロックの破損によって発生する可能性があります。これにより、Grafana 指標クエリのエラー、記録ルールのギャップ、Cortex Pod に表示されるエラーログなど、さまざまな問題が発生する可能性があります。

  • ボリューム ノード アフィニティの競合により、Pod が Pending 状態のままになる。

  • Grafana でダッシュボードを表示すると、「未処理のリクエストが多すぎます」というエラー メッセージが表示されます。

  • カーディナリティのしきい値を超えた指標の時系列はドロップされるため、一部の指標のデータが不完全になります。

ネットワーキング

  • 既存の組織のランタイムでノード間 IP アドレス セキュリティ（IPsec）暗号化を有効にすると、ネットワーク パケットのドロップや接続タイムアウトが発生する可能性があります。

  • リソースが NotReady 状態のときに、ForwardingRule リソースの削除が Deleting 状態でハングします。

オブジェクト ストレージ

  • デュアルゾーン バケットのゾーン間でデータが利用できない。

  • 1.15.x へのアップグレード後に ObjectStorageSite の準備ができていません。

  • StorageGrid のバージョンが 11.9 以降の場合、新しい組織でオブジェクト ストレージ バケットを作成できません。

  • StorageGRID ロードバランサ エンドポイントのサーバー証明書は自動的にローテーションされません。

  • gdcloud CLI で、プロジェクト レベルのユーザーのデュアルゾーン バケットを作成または削除できません。

  • OBJ-A0003 アラート（監査ロギングの失敗）が頻繁に発生し、発生から 1 時間以内に自動的に解決します。このアラートによるノイズを減らすには、アラートをミュートします。

  • バンドルに、StorageGRID の誤ったインストール バージョン（11.9.0 ではなく 11.8.0）が含まれています。バージョン 11.8.0 で StorageGRID をブートストラップした後、バージョン 11.9.0.6 に手動でアップグレードする必要があります。

OS:

  • 多数のサーバーがプロビジョニングされている場合、OS ポリシー リソースの調整に時間がかかることがあります。

  • OIC ワークステーションから gdcloud storage cp または gdcloud system container-registry load-oci オペレーションを実行すると、org-infra へのアクセスが失われ、org-mgmt の kube-api が停止する可能性があります。

  • PLATAUTH アラートは、OS のローテーション可能なシークレットのローテーションに失敗したことが原因でトリガーされることがあります。

プラットフォーム認証:

  • BYO Cert モードでインフラウェブ PKI にワイルドカード証明書を使用すると、エラーが発生することがあります。

  • 証明書リクエストを過剰に作成すると、API サーバーの安定性に影響する可能性があります。

Resource Manager:

  • ポストフライト チェックが失敗する。
  • フェイルオーバー レジストリ ディストリビューションがないため、組織が不明な状態になっています。

サーバー

  • ファームウェアで UEFI セキュアブートが有効になっている場合、初期クラスタ ブートストラップの server-install ステップ中に、ベアメタル サーバーが inspecting 状態のままになります。

チケット発行システム:

  • お客様のネットワークからの RBAC エラーにより、ServiceNow へのアクセスが拒否されることがあります。

  • ServiceNow がお客様の OIDC IDP に到達できない。

  • 以前に解決されたインシデントが ServiceNow で再度開かれます。

  • ts-app-server-1 Pod が定期的に再起動します。

アップグレード:

  • 1.14.7 以前のリリースから 1.15.x にアップグレードする場合は、最良の結果を得るために、次の手順をおすすめします。

    • バージョン 1.14.7 にアップグレードします。
    • hotfix2 を適用します。
    • 1.15.1 へのアップグレードを続行します。

  • ノードがメンテナンス モードに移行できないため、クラスタのアップグレードがブロックされています。

  • siem-cluster サブコンポーネントが応答しません。

Vertex AI:

  • Translation API を無効にすると、次のエラーが発生することがあります。Failed to disable translation API: VAI3002: Failed to patch subresource: failed to patch ODSPostgresDBCluster resource

  • Jupyter サーバーとの接続を確立できません。

  • エンドポイント CR の削除で「オンライン予測」エンドポイントが削除されない。

仮想マシン:

  • VMM コントローラが既存のシークレットを見つけられないため、VM ディスクのプロビジョニングが停止します。VirtualMachineDisk が pending 状態のままになる。

  • gdcloud CLI CLI gdcloud compute instances create を使用して Windows VM を作成すると、デフォルトの BIOS ブートタイプ bios とセキュアブート フラグがないため、VM の起動に失敗します。

  • gdcloud compute images import コマンドまたは VirtualMachineImageImport カスタム リソースを使用して VM ディスク イメージをインポートするときに、VirtualMachineImageImport リソース名が 33 文字（または gdcloud CLI に渡されるイメージ名が 28 文字）を超えると、インポート オペレーションが JobImport ステージで停止します。

    • 脆弱性の管理:

    • 脆弱性の管理サブコンポーネントとシステム UserAccount SSH 認証鍵の生成が、コンテナ ランタイムのデッドロックと Helm パラメータ キャッシュ ポイズニングにより停止することがあります。
    修正済み
    次の問題が修正されました。

    Anthos Service Mesh:

    • controlplane_latency_slo はメッシュサイズを考慮しないため、重大度が高いエラーのアラートが大規模なメッシュで誤って発生する可能性があります。

    バックアップと復元:

    • メモリ不足のため、バックアップ コントロール プレーン Pod がクラッシュします。

    ストレージ:

    • HA グループ名が長すぎます。

    • gdcloud storage コマンドの --location フラグと --location-type フラグがゾーンバケットに誤って適用される問題を修正しました。これらのフラグは、デュアルゾーン バケットに正しく制限されるようになりました。

    鍵管理システム:

    • kms-rootkey-controller のメモリ使用量が 1100Mi の上限を超えると、OOMKilled ステータスにより、コントローラは CrashLoopBackOff に入ります。

    • 監査ログがエフェメラル ストレージをいっぱいにすると、ルート組織の KMS Pod がクラッシュする可能性があります。

    変更
    次の変更が特定されます。

    バージョンの更新:

    非推奨
    次の機能は非推奨です。

    仮想マシン:

    • マシンタイプを指定せずに VM インスタンスを作成する機能は非推奨になりました。インスタンスを作成するときに、マシンタイプを指定する必要があります。詳しくは、VM インスタンスの作成と開始をご覧ください。