הערות מוצר לגרסה 1.16.1 של Google Distributed Cloud במודל Air-gapped

‫5 ביוני 2026

הודעה
גרסה 1.16.1 של Google Distributed Cloud (GDC) air-gapped זמינה.
בסקירה הכללית של המוצר מפורטות התכונות של Distributed Cloud.
חשוב
דרישות לרצף השדרוג של גרסה 1.16.1

כדי לשדרג בבטחה לגרסה 1.16.1 של Distributed Cloud, צריך להשלים את כל הבדיקות הנדרשות לפני השדרוג ולבצע את רצף השדרוג הנדרש לפי הסדר. שדרוגים ישירים מכל גרסה שקודמת ל-1.15.1 ייכשלו.

אם אתם משתמשים בגרסה 1.14.7 או בגרסה ישנה יותר:

  1. החלת תיקונים מהירים (hotfix): מתקינים את כל התיקונים המהירים הנדרשים לגרסה הנוכחית.
  2. שדרוג לגרסה 1.15.3: מתחילים ומשלימים את השדרוג לגרסה 1.15.3.
  3. שדרוג לגרסה 1.16.1: מתחילים ומשלימים את השדרוג הסופי לגרסה 1.16.1.

אם אתם משתמשים בגרסה 1.15.1 או 1.15.3: שדרגו ישירות לגרסה 1.16.1.

אם אתם משתמשים בגרסה 1.15.2: קודם צריך לשדרג לגרסה 1.15.3, ואז לשדרג לגרסה 1.16.1.

התכונה
התכונות החדשות הבאות זמינות:

ניהול אשכולות

תשתית

  • הוספנו תמיכה במכונות Bare Metal מסוג B300 בארגון.

Managed Harbor Services

  • הוספנו תמיכה בחשבונות שירות של פרויקטים. כך תוכלו להשתמש בזהות של חשבון השירות כדי לקיים אינטראקציה מאובטחת עם המכונות של Harbor ולנהל מאגרי קונטיינרים. מידע נוסף מופיע במאמר סקירה כללית על Managed Harbor Service.

רשתות

  • ‫Cloud DNS זמין עכשיו לכלל המשתמשים. השירות הזה מספק דרך אמינה וניתנת להתאמה לניהול רשומות של שירות שמות דומיין, באמצעות Kubernetes API או שורת הפקודה. מידע נוסף זמין במאמר מידע על Cloud DNS.

  • עכשיו DNS תומך בהצפנה מבוססת-TLS של כל תעבורת הנתונים ב-DNS לשירותים של המערכת ולשירותים של צד ראשון, גם בתוך Distributed Cloud וגם בין Distributed Cloud לבין רשתות של לקוחות.

ניראות (observability)

  • הוספנו מעקב אחרי ניראות של עומסי עבודה. התכונה הזו מספקת יכולות מעקב ורישום ביומן שנועדו לייעל את המעקב אחרי עומסי העבודה ואת פתרון הבעיות בהם. מידע נוסף זמין במאמר מעקב אחרי ניראות של עומסי עבודה.

אחסון

  • הוספנו תמיכה בקטגוריות דו-אזוריות בסנכרון אוטומטי. במהלך פעולות רגילות, מדיניות ההטמעה כותבת באופן סינכרוני עותקים של אובייקטים לשני האזורים הייעודיים, עם חזרה לרפליקציה אסינכרונית במהלך הפסקות.

  • הוספנו תמיכה באספקת סיכומי ביקורת (checksum) בכותרות HTTP נגררות בהעלאות של אובייקטים. כך אפשר לשפר את תקינות הנתונים ואת זיהוי השגיאות. מידע נוסף מופיע במאמר העלאה והורדה של אובייקטים באחסון.

  • נוסף שיפור שמוודא שפרטי הכניסה למאגר האובייקטים נמחקים באופן אוטומטי כשחשבון השירות שמשויך אליהם מוסר. כך אפשר למנוע סודות מיותמים במרחב השמות של הפרויקט. מידע נוסף זמין במאמר מחיקת קטגוריות אחסון.

  • הוספנו תמיכה ב-SLO של זמן פעולה תקינה בחלון לזמינות של S3 אזורי. השינוי הזה מבטיח שמדדי התקינות לא יושפעו מכמה ניסיונות חוזרים מפרויקטים בודדים בנפח גבוה, וכך משקף בצורה מדויקת יותר את חוויית המשתמש בפועל בארגון.

מכונות וירטואליות

  • הוספנו מכונות מסוג סדרה A A4 B300 לרשימת סוגי המכונות הווירטואליות הנתמכות. מידע נוסף זמין במאמר הצגת סוג המכונה של ה-VM.

  • נוספה תמיכה בתמונות של Windows 2022 לתמונות בהתאמה אישית מסוג bring-your-own‏ (BYO). מידע נוסף זמין במאמר תמונות של מכונות וירטואליות שנתמכות ב-GDC.

  • הוספנו תמיכה בחידוש אישורי אתחול מאובטח למכונות וירטואליות עם אישורים שתוקפם עומד לפוג. מידע נוסף זמין במאמר עדכון אישורים של אתחול מאובטח.

  • הגדלנו את מגבלת רוחב הפס המקסימלית של תעבורת הנתונים היוצאת ברשתות ברמה 1 מ-25Gbps ל-32Gbps לכל מכונה וירטואלית, בהתאם לסוג המכונה ולמספר ה-vCPU, כדי לטפל בעומסי עבודה תובעניים.

אבטחה
גרסת קובץ האימג' של מערכת ההפעלה Rocky עודכנה ל-20260318 כדי להחיל את תיקוני האבטחה האחרונים ועדכונים חשובים.

נקודות החולשה הבאות באבטחה תוקנו:

הבעיה
הבעיות הבאות זוהו:

Cloud DNS

  • הודעות שגיאה כלליות מוחזרות כששלב ה-Feature Gate של DNS OIRv2 לא מספיק.

  • ההתאמה של רכיב המשנה dns-core-mz-cp נכשלה.

  • פענוח ה-DNS נכשל מנקודות הקצה.

  • צריך להתקין את gdcloud CLI הגלובלי כדי להגדיר את Cloud DNS.

  • ‫oclcm-configrunner מדווח על שגיאת trustStoreGlobalRootExtResourceVersion חסר ברכיב המשנה dns-customer-resolver במהלך התאמה במרחבי השמות של מישור ניהול הארגון.

Cloud Service Mesh

  • סודות מרוחקים של Cloud Service Mesh של אשכול משתמש שנמחק יכולים להישאר באשכול התשתית של הארגון, ו-istiod ממשיך לנסות להתחבר לאשכול שנמחק.

ניהול אשכולות

  • אשכול Kubernetes לא הוסר אחרי המחיקה.

  • פודים סטטיים תקועים בגלל מבוי סתום ב-kubelet.

  • בסביבת accredited, אם מחילים משאב בהתאמה אישית של SubcomponentOverride כדי לשנות את ה-Feature Gate של רכיב שניתן להפעלה, הבקר יופעל מחדש באופן רציף.

  • הצטברות של אובייקטים מקומיים של Available יתומים של PersistentVolume אחרי החלפות של צמתים או תחלופה של pod יכולה לגרום להפעלות מחדש של kube-apiserver בגלל מחסור בזיכרון באשכולות משותפים ובאשכולות רגילים.

מסמכי תיעוד

  • מסמכים מיושנים שנשלחו עם גרסת המוצר.

  • אי אפשר לראות הוראות תיעוד בפורמט של כרטיסיות.

זיהוי ותגובה בנקודות קצה (EDR)

  • האפשרות Isolate Host מוצגת אבל לא פועלת בממשק המשתמש של Kibana.

חומת אש

  • יצירת הגדרת תא דורשת בטעות רישיון vsys לחומות אש של תשתית.

מסוף GDC

  • התיעוד שמתארח במסוף GDC מציג שגיאה 404.

gdcloud CLI

  • כשמריצים פקודה כלשהי ב-gdcloud CLI, מופיעה אזהרה על feature flag שלא אותחל.

Harbor

  • מרשמי יתירות כשל מדווחים על שגיאת 404 Not Found.

מודול אבטחת חומרה

  • זליגה של תיאור קובץ גורמת לשגיאה ServicesNotStarted.

ניהול זהויות והרשאות גישה

  • אם מריצים פקודות של gdcloud CLI או kubectl כש-core/organization_console_url מוגדר לכתובת ה-URL של המסוף הגלובלי, יכול להיות שתופיע מדי פעם שגיאה 401 Unauthorized.

  • אם יש IAMRoleBinding ב-k8s-networkpolicy-admin או ב-k8s-networkpolicy-viewer, זה גורם לשגיאות ZonalRoleBindingReplica.

  • יכול להיות שמשאב CustomRole שכולל קטע zonalRules לא יעניק הרשאות באופן מהימן.

  • הפריסה של Keycloak נכשלה בארגון opsservices.

  • שינויים במאפייני המשתמשים ב-Keycloak עבור Tenable לא משתקפים.

  • צריך להגדיר ידנית את ספק הזהויות Keycloak באשכול ברמת אדמין בסיסית (root) של OIRv2.

  • הסוד RotatableSecret‏ ais-encryption-key-secret מדווח על ערך False עם IAM-0100 timed out.

תשתית כקוד (IAC)

  • יכול להיות ששדרוגים מגרסה 1.15 לגרסה 1.16 של GDC עם IAC ייכשלו.

  • יכול להיות שהמשימה של GitLab תיכשל בלי הודעה ותמנע את ההפעלה של GitLab.

  • ההתראה IAC-3211 מופעלת בטעות בגלל תפוגת תוקף של סוד ב-iac-creds-replica.

  • מכונות של IOShell יכולות להגיע לרשת הניהול מחוץ לתחום (OOB) גם כשהגישה ל-OOB מושבתת.

מלאי

thought b/534561687 #}

  • האתחול או הפריסה נכשלים בגלל תווים מיוחדים בסיסמאות שנוצרות אוטומטית.

  • הפריסה של אשכול ברמת אדמין בסיסית (root) נכשלת בגלל שגיאה באימות של דגם המכשיר ודגם המשדר-מקלט.

  • במהלך אימות המלאי, מוצגת אזהרה אם לכבל יש את FS כספק משדר-מקלט.

  • אי אפשר להשתמש בשמות של תאים או מדפים עם יותר משתי אותיות.

  • אימות לפני ההפעלה (2-mgmtsw-connection) מדווח על כשלים שגויים בחיבור למתג הניהול (VAL-E1001) ביציאות LOM1 של שרת Bare Metal או ביציאות mgmt0 של מתג האחסון במהלך ההתקנה הראשונית או האתחול מחדש.

  • אימות הגדרת התא נכשל במכשיר NTP יחיד במארז OIRv2 כי בדיקת ההתאמה של מתג ה-TOR דורשת חיבור בשני מתגי ה-TOR.

  • הרחבה דינמית נכשלת עם שגיאות הרשאה של RBAC כשמריצים את gdcloud system assets add, מחילים מניפסטים של הרחבה שנוצרו או מאמתים רכיבי הרחבה כמשתמשים שמקושרים רק לתפקיד inv-hardware-manager שהוגדר מראש.

IO shell

  • IOShell משאבים שפג תוקפם חוסמים יצירה או עדכון של משאבים.

  • שמות משתמשים שלא תואמים ל-RFC 1123 משבשים את היצירה של IO Shell.

  • מקפים בשמות של ארגונים או אזורים גורמים להתנגשויות בשמות.

  • חיבורי SSH לצמתים ללא מערכת הפעלה באמצעות כתובות IP פנימיות לניהול נכשלים.

  • השדרוגים באזורי OIRv2 נתקעים ב-Cloud Service Mesh כי פודים של IO Shell נושאים את התווית istio.io/rev: default בלי שרת proxy של Istio.

ניהול כתובות IP‏ (IPAM)

  • אחרי השדרוג לגרסה 1.16.1 ואילך, חשבונות שירות שמנהלים רשתות משנה שמפנות להורה במרחב השמות platform צריכים את התפקיד shared-subnet-user במרחב השמות platform.

מערכת לניהול מפתחות

  • אם KMS מוגדר לשימוש במפתח הבסיס של CTM, הוא לא עובר למצב של יתירות כשל כש-HSM לא זמין.

  • רכיב המשנה kms-mz-global-cm לא משתדרג באשכולות של הארגון.

  • אי אפשר להשתמש בפרוטוקול SSH במכשירי Thales HSM מ-IO Shell.

רישום ביומן

  • ההתראה AL-E0935 (log_query_api_list_logs_error_rate_high) מופעלת באופן שגוי כששאילתות ביומן חורגות ממגבלת טווח התאריכים של 30 יום ב-Loki.

מעקב

  • הפודים health-ui-metrics ו-alertmanager-metrics נכשלים לסירוגין באיסוף מדדים מנקודות הקצה של Cortex Prometheus ו-Alertmanager, עם שגיאות HTTP מסוג 401 Unauthorized.

  • השדרוג של mon-system StatefulSet Helm נכשל עם מפרט Pod אסור.

  • אדמינים של הפלטפורמה לא יכולים לראות את הדף Alerting במסוף GDC בפרויקט platform-obs.

רשתות

  • בקשות kubectl חיצוניות לשרתי API של אשכולות סטנדרטיים נכשלות עם שגיאת RBAC: access denied כשמוגדר רק matchTypes: ["api-server"] ב-OrganizationNetworkPolicy.

Network Time Protocol (NTP)

  • יכול להיות שה-Pod של ntp-relay-controller ייכנס למצב של לולאת קריסה בגלל שגיאות של מחסור בזיכרון.

  • הסקריפט manage_syncserver_time.py קורס כשבודקים את הזמן במהלך הפריסה.

  • כשפורסים מתגי ניהול של OIRv2, יכול להיות שההצפנה וההגדרה של NTP לא יחולו על ההגדרה שפועלת.

  • שרתי NTP מפעילים התראות שווא על סנכרון שעון ייחוס של חומרה.

מערכת הפעלה

  • אשכולות משתמשים תקועים במצב Reconciling בגלל גודל מחיצה לא מספיק של /var/log.

  • שדרוגי הצמתים נכשלים או שהמערכת ננעלת בגלל זליגות של סשנים ב-pam_tty_audit.so.

אימות הפלטפורמה

  • פג התוקף של דליפת סודות של *-cert אחרי מחיקת אשכול Kubernetes.

מנהל המשאבים

  • יכול להיות שהבקר של פרויקט Resource Manager ייכנס למצב של לולאת קריסה בגלל שגיאות של חוסר בזיכרון.

ניהול אבטחת מידע ואירועים (SIEM)

  • דיסקים של אחסון גמיש יכולים להגיע לקיבולת מלאה תוך כ-30 יום.

  • ההשקה של SIEM v2 לא הושלמה באשכולות שאינם OIRv2.

  • נפחי האינדקס של Splunk מפעילים התראות חיוביות כוזבות על סף האחסון.

שרתים

  • ההתקנה של Bootstrapper נכשלת במהלך הגדרת מערכת הקבצים עם השגיאה matched no disk.

  • האתחול של השרת נכשל עם שגיאת iDRAC.

  • הקצאת השרת נכשלת עם שגיאת סטטוס BMCConfigPreinstallLicenseInstallCompleted בשרתי Dell.

  • משאב מותאם אישית של BareMetalHostNetwork יכול להכיל כמה נתיבים של שער ניהול.

אחסון

  • אתחול של ארגון דייר חדש נתקע במהלך השלב VMImageDistributing כשמופעל אחסון Nearline.

  • רישום ביומן הביקורת של אירועי ONTAP S3 מושבת.

  • השדרוג של ONTAP נכשל בגלל שחסרים נתיבי רשת.

  • האימות של StorageCluster נכשל במהלך תהליך האתחול.

  • כשמבצעים בקשות של רשימת אובייקטים בקטגוריות שמכילות העלאות מרובות חלקים, יכול להיות שהבקשות ייכשלו והמדד obj-s3-availability ירד.

  • יכול להיות שהעברת יומן הביקורת של מאגר האובייקטים תיכשל במהלך שדרוג רציף בגלל שחסרים משאבים בהתאמה אישית של Bucket.

  • העברת יומן הביקורת של מאגר האובייקטים נכשלה בגלל כשל בחיפוש DNS.

  • שדרוגים של StorageGRID עלולים להיתקע עם שגיאה של "לא הועלה שדרוג".

  • יצירה ועדכון של קטגוריות נמשכים יותר זמן מהצפוי.

מערכת כרטיסי מידע

  • ה-pod של ts-app-server-1 מופעל מחדש מדי פעם.

מכונות וירטואליות

  • יכול להיות שהמכונות הווירטואליות של אשכול ההיקף ייכשלו במהלך היצירה בגלל מכשירים חסרים מסוג macvtap (/dev/tap*) כש-onetd יוצר מחדש את ממשקי ה-VLAN של adminvrf0 ו-datavrf0.

  • כשיוצרים מכונה וירטואלית של Windows באמצעות ה-CLI של gdcloud‏ gdcloud compute instances create, המכונה הווירטואלית לא מצליחה לבצע אתחול בגלל סוג ברירת המחדל של אתחול ה-BIOS‏ bios ודגלים חסרים של אתחול מאובטח.

  • gpu-controller-controller-manager pod נכנס למצב ImagePullBackOff במהלך השדרוג לגרסה 1.16.1.

  • יכול להיות שייקח יותר מ-25 דקות להפעיל מכונות וירטואליות מסוג סדרה A a4-ultragpu-8g שמשתמשות במערכת הפעלה של אורח עם ליבה בגרסה 4.x.

  • יצירת VM עם הסוגים a3-ultragpu-8g ו-a4-ultragpu-8g בשרת שהוקצה מחדש נכשלת עם שגיאות.

  • החלפת הסיסמה החודשית של dbsadmin במסד הנתונים של שרת המטא-נתונים של המכונה הווירטואלית נכשלת כי שירות מסד הנתונים לא מוחק יותר את הסוד db-pw-metadata-dbcluster אחרי החלת הסיסמה. אחרי ההפעלה מחדש הבאה של הפודים של metadata-server-controller-manager או של מסד הנתונים, שרת המטא-נתונים לא יכול להתחבר למסד הנתונים שלו.

  • מכונות וירטואליות עם GPU לא מופעלות ומוצגת השגיאה Unknown PCI header type '127' אם ה-GPU לא מצליח לשחזר את הקישור ומתנתק מאפיק ה-PCIe כשהוא מתעורר ממצב צריכת החשמל הנמוכה D3hot.

ניהול נקודות חולשה

  • יכול להיות שסריקות לאיתור נקודות חולשה באמצעות Tenable Enclave לא יושלמו.

  • אין גישה ל-Tenable Enclave.

תוקן
הבעיות הבאות תוקנו:

חומת אש

  • יכול להיות שכללים קודמים של חומת האש יחסמו את תעבורת הנתונים מהארגון לאדמין הראשי אחרי השדרוג.

ניהול זהויות והרשאות גישה

  • בעיית אמון ב-OPA Gatekeeper אחרי רוטציה של רשות אישורים בסיסית (root CA) מונעת יצירת תפקידי IAM בפרויקטים חדשים.

רשתות

  • באימות לפני ההפעלה לא מדווחות יותר שגיאות חיבור כוזבות בין מתגי הניהול לבין יציאות הניהול של חומת האש.

אחסון

  • התראות OBJ-A0003 תכופות ממשיכות להופיע למרות ניסיונות ההשתקה הרגילים.

  • אחרי זמן השבתה של צומת האדמין הראשי של StorageGRID, יכול להיות שייכשלו ניסיונות לשדרוג של מאגר אובייקטים באמצעות ObjectStorageUpgradeRequest CR, כי הבקשות מופנות לצומת האדמין של StorageGRID שהוא לא ראשי.

מכונות וירטואליות

  • כשמייבאים קובץ אימג' של דיסק של מכונה וירטואלית באמצעות הפקודה gdcloud compute images import או המשאב המותאם אישית VirtualMachineImageImport, פעולת הייבוא נתקעת בשלב JobImport אם השם של המשאב VirtualMachineImageImport ארוך מ-33 תווים (או 28 תווים לשם של קובץ האימג' שמועבר ל-gdcloud CLI).
שינוי
השינויים הבאים זוהו:

עדכוני גרסאות:

הוצא משימוש
התכונות הבאות הוצאו משימוש:

שירותי מסדי נתונים

  • הטמעת הזמינות הגבוהה (HA) הקודמת של שירות מסד הנתונים הוצאה משימוש בגרסאות 1.14.12 וגרסאות קודמות. אשכולות מסדי נתונים מדור קודם עם זמינות גבוהה ייתמכו עד לתאריך ההשבתה, שיוכרז בהמשך. אין שינוי שגלוי למשתמשים בתכונה החדשה של זמינות גבוהה, כי ה-API להפעלה ולהשבתה של זמינות גבוהה נשאר ללא שינוי. כדי לוודא שאשכול מסד הנתונים של HA משתמש בהטמעה החדשה, בודקים אם ההערה dbcluster.dbadmin.goog/raasEnabled קיימת ב-CR של אשכול מסד הנתונים של HA. ההערה הזו תופיע רק באשכולות של מסדי נתונים מסוג HA שמשתמשים בהטמעה החדשה. אם אין לכם את ההערה הזו, אתם יכולים לעבור להטמעה העדכנית של זמינות גבוהה.