Google Distributed Cloud 网闸隔离配置 1.16.2 热修复

热修复 5

1.16.2-gdch.1353-5 热修复可用。

功能
此热修复引入了以下功能：

存储

  • 在 System Artifact Registry 中推出了适用于客户管理的基于虚拟机 (VM) 的 Kubernetes 集群的 CSI 驱动程序的非公开预览版，供平台管理员和应用运维人员集成。
已修复
此热修复修复了以下问题：

集群管理

  • 修复了以下问题：在 Kubernetes 集群上，containerd 在从 harbor.org.internal 拉取容器映像时，无法验证内部 TLS 证书链。解决方法是：使用 PrivateRegistries 中的 trust-store-root-ext CA 证书 Secret 配置 harbor.org.internal，并为平台管理员和应用运维人员删除重复的系统私有注册表条目。

热修复 4

1.16.2-gdch.1353-4 热修复可用。

功能
此热修复提供了以下新功能和能力：

CLI

  • 在 GDC 控制台 CLI 软件包下载对话框中添加了 SHA-256 校验和，并使用固定下载网址 (?uncompressed=false) 从 Harbor 层摘要中填充了 CLIBundleMetadata.Checksum，使平台管理员和应用操作员能够在安装前验证二进制文件的真实性和完整性。

身份和访问权限管理

  • 向网络钩子和授权错误载荷以及登录 Web 模板添加了唯一请求 ID，以简化平台管理员排查身份验证失败问题的过程。

  • 在 webhook 身份验证 TokenReview 调试日志中添加了 API 服务器审核 ID 日志记录，以便为基础架构运营商改进请求关联和诊断。

  • 为身份验证 webhook 服务器添加了对最大突发速率限制的配置支持，以便在平台管理员身份验证高峰期保持服务响应能力。

安全性

  • 添加了对双 Splunk 9.x 和 10.x 部署的支持，以确保在 Splunk 9.4 达到基础架构运营商服务终止之前，持续进行安全性事件转发和供应商支持。

  • 向 Harbor 网关添加了 harbor.org.internal，并将其 TLS 证书解耦到由 internal-tls-ca-issuer 签名的专用服务器名称指示 (SNI) 服务器块，从而在全托管式、自动证书管理环境 (ACME)、自带证书 (BYO Cert) 和自带从属 CA (BYO Sub-CA) 公钥基础架构 (PKI) 模式下为基础设施运营商保留组织默认证书颁发机构。

存储

  • 添加了对存储桶级存储空间配额的 Alpha 版支持，包括 API 架构、验证和 Runbook 过程，使基础设施运营商能够对每个存储桶强制执行容量限制并防止存储空间耗尽。

  • 在存储桶生命周期政策中添加了对过期对象删除标记 (ExpiredObjectDeleteMarker) 的支持，以便自动移除过期的删除标记，从而为应用操作员优化对象存储区利用率。

  • 除了 library 之外，还在专用的 kvcsi Harbor 项目中发布了 KubeVirt CSI 容器映像，使在虚拟机和 Kubernetes 集群上运行的工作负载能够为平台管理员和应用操作员拉取所需的存储驱动程序。

已修复
此热修复修复了以下问题：

数据库服务

  • 将数据库服务升级到 0.16.8 版，以应用以下修复：

    • 修复了以下问题：在升级期间，由于 gRPC 连接超时，本地数据库运算符无法与旧版 dbdaemon 实例通信。
    • 修复了删除 DBCluster 后孤立证书密钥仍保留在 dbs-certificates 密钥中的问题，从而防止密钥大小膨胀。
    • 修复了备份存储桶删除操作卡住导致 DBCluster 自定义资源删除操作无法执行的问题。
    • 通过增加默认资源分配和启用资源可配置性，修复了数据库服务服务等级目标 (SLO) 探测器中的假正例超时和内存不足 (OOM) 故障。

身份和访问权限管理

  • 修复了以下问题：用户在租户组织升级期间遇到暂时性 500 内部服务器错误，方法是向身份验证平台服务添加就绪情况和启动探测，并正常连接排空。

  • 修复了以下问题：如果用户与不存在的领域相关联，则身份验证平台中的用户删除操作会失败。

  • 修复了在 OIDC 或 SAML 前缀中指定尾随连字符 (-) 或冒号 (:) 分隔符时，在 GDC 控制台中创建身份提供方 (IDP) 失败的问题，方法是更新 IDP 前缀验证，以接受平台管理员的尾随分隔符。

  • 修复了以下问题：在 GDC 控制台中创建组织级 IAM 角色绑定时，如果角色位于 platform 命名空间之外，则无法使用角色的实际命名空间进行传播；在列出全局 IAM 角色时，保留了部分结果，以防止平台管理员遇到控制台界面错误。

  • 修复了 GDC 控制台中的 user-cluster-applications-admin 角色名称，以确保为平台管理员正确分配角色和强制执行权限。

资产清单

  • 修复了以下问题：使用 gdcloud system assets 命令为 B300 (d4-highgpu2-256-gdc-metal) 服务器生成硬件资产时，为主要数据平面网络绑定选择了错误的网络端口，导致基础设施运营商无法预配服务器。

  • 修复了未为 B300 (d4-highgpu2-256-gdc-metal) 服务器配置数据磁盘数量的问题，将默认数据磁盘数量设置为 8，以便在 Server 自定义资源上填充 spec.serverHardware.DataDiskInfo，并为基础设施运营商正确预配本地数据存储卷。

  • 修复了 YAML 线缆验证中的一个问题，该问题会将等效的线缆类型类（例如 MMF 4x 和 MMF）视为不匹配，从而防止在为基础设施运营商生成资产清单期间出现误报的线缆路径验证警告。

  • 修复了媒体转换器端口验证正则表达式中的一个问题，以同时支持小写 (p) 和大写 (P) 端口名称，从而防止基础设施运营商在动态扩展期间出现单元配置和预检验证失败。

  • 修复了以下问题：当对等交换机端口在有意未连接的电子配线架处结束时，gdcloud system assets generate 会针对通过电子配线架的机架间机架顶 (ToR) 交换机连接报告假正例配对警告。

  • 修复了以下问题：在基础设施运营商进行可用区扩容期间，gdcloud system assets add 未能在生成的交换机密钥模板中填充交换机用户名。

安全性

  • 修复了以下问题：由于缺少特性门控 API 资源，siem-aas-global 子组件无法在跨组织的 Management API 服务器上进行协调。

  • 修复了 Harbor 审核日志清除时间表配置不具有幂等性的问题，从而防止基础架构运营商在容器注册表中出现配置协调错误。

存储

  • 修复了以下问题：如果 KMS 数据加密密钥 (DEK) 缓存初始化失败，对象存储区代理会在启动时发生崩溃循环，从而使代理能够优雅降级到未缓存的 KMS 解密并保持服务可用性。

  • 修复了以下问题：非空存储桶删除错误导致存储桶控制器工作队列资源耗尽。为此，我们在存储桶协调器中引入了指数重试退避算法。

  • 修复了以下问题：由于 nearline-stamping Helm 作业钩子中存在循环预安装依赖项，租户组织引导无限期挂起。

  • 修复了 VerifyReplicationFilter 中的一个问题：在 DeleteObjects 请求期间，S3 响应正文会被消耗，从而恢复响应正文以供后续过滤处理和客户端读取。

  • 修复了 X-Amz-SignedHeaders 参数解析问题，现在会按英文分号拆分值，从而防止在请求包含多个签名标头时出现 S3 授权失败。

升级

  • 修复了特性门控评估和代码生成逻辑，以确保运行时特性门控在升级期间正确传播特性类型并评估动态运行时状态，而不是静态构建时阶段。

漏洞管理

  • 修复了漏洞管理安全隔离区初始化中的一个问题，该问题在 OPA Gatekeeper 限制条件阻止在部分升级的多可用区环境中创建命名空间时，尝试创建 tenable-nessus-system 命名空间。
更改
此热修复提供了以下变更：

文档

  • 更新了服务手册 Runbook，以标准化客户服务上报流程，引导用户向 Google Cloud Care 提交支持请求。

监控

  • 更新了服务等级目标 (SLO) 导出工具，以便在为基础架构运营商导出数据之前，将组织和可用区标识符匿名化，并提示用户进行确认。

安全性

  • 更新了 SIEM 数据保留配置，将默认保留时间恢复为 89 天，并配置了最大文档阈值，以防止基础架构运营商的 Elasticsearch 磁盘可用空间耗尽。

热修复 3

1.16.2-gdch.1353-3 热修复可用。

功能
此热修复提供了以下新功能和能力：

存储空间：

  • 通过引入以下内容，增强了内部存储监控和诊断功能：

    • 端到端文件存储用户体验历程探测器。
    • 孤立 ONTAP 卷检测。
    • 新增了 CSI 和用户体验历程健康状况信息中心。
    • 安全地抓取 CSI 和 Trident 指标。
已修复
此热修复修复了以下问题：

存储

  • 提供了以下更新，以修复 bug 并提高控制平面稳定性：

    • 升级了 NetApp Trident 和 CSI 边车组件。
    • 提高了 CSI 工作器并发性。
    • 添加了可配置的 ONTAP API 超时。
    • 将 Trident 控制器调度限制为控制平面节点，以提高存储控制平面吞吐量，并防止工作器和 GPU 节点上出现连接问题。

热修复 2

已修复
1.16.2-gdch.1353-2 热修复可用。此热修复修复了以下问题：

备份

  • 为虚拟机备份方案添加了停用选项。

  • 在非 root-admin 集群上，为备份集群和虚拟机控制器有条件地启用了活跃度探测。

CLI

  • 将 --auto-diff 设置为 gdcloud system assets add 命令的默认运行模式。

集群管理

  • 修复了使用正确的集群命名空间填充子网状态的问题。

文档

  • 更新了 GDC 控制台中托管的 GDC 离线文档，以修复导致标签页内容无法呈现的问题。

身份和访问权限管理

  • 为 Identity and Access Management 添加了缺失的 rotatableSecret 资源。

  • 通过在角色名称未更改时跳过 zonalRoleRef 更新来优化协调。

  • 更新了 ZonalRoleBindingReplica 协调器，以正确处理用户和管理员角色组合。

资产清单

  • 更新了 B300 服务器的资产提取验证。

  • 添加了对中继线缆、统一管理端口和任意数量的数据端口的资产清单支持。

  • 添加了对将配电单元 (PDU) 放置在任何机架单元 (U) 插槽中的支持，而不是将其限制为 U02。

  • 移除了悬空电子配线架检查，并为悬空电子配线架添加了架顶式 (ToR) 交换机配对异常。

  • 从资产切换配置对象中移除了用户名和密码字段。

Logging

  • 修复了日志路由，以将标准 Kubernetes 集群系统日志定向到应用运营商 (AO) 租户。

监控

  • 向节点导出器指标添加了 node_name 标签。

网络时间协议 (NTP)

  • 提高了内存上限，并为 NTP 服务添加了缓存，以提高稳定性。

网络

  • 添加了对主机网络 (HNETUpgrade) 数据平面 RPM 热补丁升级的支持，包括 onetd、libgdc-ipsec-offload 和 libstrongswan-doca 的 OCI 工件打包、基于 Kubernetes 作业的 Ansible 执行以及升级失败提醒。

  • 跳过了对从全局 API 服务器传播的子网上的 use 动词的检查。

  • 在生产环境中启用了子网使用方跟踪，并为正在使用的子网添加了集群监视协调。

  • 修复了 SwapEndFrontBacks 中的一个问题，即在端口验证期间，字符串替换会损坏设备名称。

  • 在管理交换机配置中添加了对三字母机架名称的支持。

  • 向 apiserver-proxy-lancer-mgmt 证书清单添加了 commonName 字段。

平台身份验证

  • 在生产环境中启用了 Certificate Authority Service 数据平面功能标志，并添加了 CAS-Proxy 服务等级目标 (SLO)。

服务器

  • 更新了服务器预配，以便在将服务器标记为就绪之前安装主机网络可交付成果并完成 ConnectX-7 (CX7) 固件预配作业。

  • 在生产环境中启用了 SERVAllowDellIDRACDowngrade 功能标志，以允许 d4-highgpu2 机器类别的 Dell iDRAC 和 BIOS 固件降级。

  • 添加了 SERV-R0051 Runbook，以记录降级 Dell 服务器固件的过程。

存储

  • 添加了按需范围读取辅助程序 (RRH) 重建、自动恢复、孤立清理和指标，以提高范围读取和分段上传的可靠性。

  • 通过在配置未更改时跳过 CORS、生命周期和锁定政策的冗余 StorageGRID 更新，优化了存储桶协调。

  • 提高了预签名网址生命周期安全性，并从错误日志中隐去了 S3 签名和凭据。

  • 修复了对象存储代理处理程序中的请求指针竞态条件，改进了响应过滤器错误日志记录，并添加了载荷传输插桩。

  • 将 StorageGRID 热修复版本更新为 11.9.0.14，并跳过了在非锚定可用区中创建 ObjectStorageUpgradeRequest 自定义资源。

虚拟机

  • 更新了虚拟机 Package Repository 网关，以使用 STRIP_LEADING_DIRECTORY_PATH 进行操作系统 (OS) 软件包路由。

热修复 1

已修复
1.16.2-gdch.1353-1 热修复可用。此热修复修复了以下问题：

CLI

  • 在 gdcloud system container-registry load-oci 命令中添加了对基于差异的 OCI 软件包加载的支持，以减少热修复版本的下载和上传大小。差异始终与基础版本进行比较，而不是与之前的热修复版本进行比较。加载差异软件包时，该命令会跳过基础版本中已存在的重复映像层和 blob。由于热修复是累积性的，因此每个热修复发布软件包都包含自基础版本以来引入的所有修复，但不包括基础版本中的重复工件。

数据库服务

  • 将 Database Service 更新到 0.16.6 版，并将 Database Service 控制台界面更新到 2.16.0-beta.31 版，以应用最新的 bug 修复和稳定性改进。

文档

  • 使用最新内容更新了 GDC 控制台帮助菜单中托管的 GDC 离线文档。如需了解详情，请参阅 GDC 控制台访问权限。

防火墙

  • 为防火墙节点添加了 ZoneProtectionProfile 自定义资源数据模型、自定义配置文件生成和声明、验证 webhook 以及侦察保护支持。使用 ZoneProtectionProfile 自定义资源 (zoneprotectionprofiles.firewall.private.gdc.goog/v1alpha2)，操作员可以在组织级层（包括根组织）配置保护，以阻止恶意流量和端口扫描。操作员还可以自定义扫描阈值、定义 IP 地址许可清单 (exclusionIPs)、更改保护操作（alert、allow、block、block-ip）或选择性停用扫描保护 (enabled: false)。

Gemini

  • 更新了 Gemini Inference Stack 运算符和模型服务器模板，以移除不受支持的服务器配置并应用稳定性修复。

身份和访问权限管理

  • 修复了 Anthos Identity Service (AIS) 中 rotatableSecret 的超时问题，该问题导致身份服务协调延迟。

  • 在 AIS 中启用了 Cookie 拆分支持，以解决身份验证令牌过大的问题，并更新了身份服务容器映像。

资产清单

  • 添加了对 B300 机架扩展的支持。

  • 修复了以下问题：自动生成的密码包含不受支持的特殊字符，导致交换机预配和对象存储区引导失败。

  • 更新了机架和实例 ID，以支持 GPU Pod 的四字符标识符，并移除了预检期间不必要的线缆、适配器和收发器验证。

  • 添加了对在停用中间机架（在机架 A 和 B 之后但在机架 X 和 Y 之前部署的机架）后管理 IP 地址和 CIDR 扩展的支持。以前，如果此中间机架已停用，则稍后部署或扩展到新机架会触发 IP 地址分配问题。此修复解决了这些冲突，确保机架扩容顺利进行。

  • 在资产清单网络钩子验证中添加了对 iDRAC 和 OCP 端口名称的支持。

Logging

  • 优化了 LoggingRule 过滤表达式，以防止对象存储区出现高查询率 (QPS)。

监控

  • 修复了 EZ 基础架构控制器上的指标端口配置不正确导致高频 EZ-E1001、EZ-E1003 和 EZ-E1004 提醒错误触发的问题。

  • 通过在证书检索失败后自动将目标重新加入队列，并防止对永久性卷声明 (PVC) 进行不必要的修补，提高了 MonitoringTarget 协调器的弹性。

  • 修复了在 Prometheus StatefulSet 比较期间 restartedAt 注解导致不必要的重启的问题。

  • 移除了监控命名空间中旧版 Google 构建的 OpenTelemetry 收集器 (GBOC) 网络政策。

网络

  • 修复了当服务器与其管理交换机位于不同的机架中时，subnetClaimRef 未填充的问题。

  • 修复了在垂直扩展期间，现有管理交换机缺少设备类别 CIDR 的问题。

  • 添加了对 B300 服务器管理和数据端口命名格式（例如 fe-s6p1 和 ocp-s1p1）的支持和通用正则表达式验证。

  • 修复了当接口列表换行时 VLAN 接口表中的 JSON 解析错误。

  • 在发布政策中添加了主机网络阶段，以确保在组件更新期间进行可靠的网络暂存。

  • 停用了 ABM Gateway 资源安装，以避免在不受支持的环境中出现协调错误。

  • 修复了 Connectivity Tests，以便在验证期间将媒体转换器视为被动设备。

  • 改进了交换机端口连接验证期间无效端口格式的错误处理。

操作系统

  • 通过增加缓存大小和优化信任数据库规则，提高了节点上的文件访问政策守护程序 (fapolicyd) 的性能和稳定性。

安全性

  • 在软件包验证预检期间添加了对多个根证书的支持。

服务器

  • 添加了对 d4-highgpu2 机器类的 Dell iDRAC 和 BIOS 固件降级的支持。

升级

  • 添加了安全措施，以防止重新评估已完成的升级，并改进了升级编排期间的客户端验证错误处理。

  • 新增了对热修复的新差异下载模式的支持，该模式仅下载与基础版本相比发生更改的工件，从而大幅缩减下载大小。

Vertex AI

  • 更新了 Vertex AI Search 容器映像和 prediction_proxy，以应用最新的安全性和稳定性更新。

虚拟机

  • 新增了对在标准 Kubernetes 集群上运行需要 GPU 的工作负载的支持。

  • 在 AuditlogInventory 中将共享虚拟机和虚拟机映像资源标记为与审核相关，以确保全面的审核日志记录。

  • 修复了 image-controller 中的一个问题：缺少缓存检查导致在并发创建映像期间出现过多的 HTTP 409 冲突错误。

  • 修复了影响虚拟机映像导入稳定性的问题。

漏洞管理

  • 修复了漏洞报告导入工作流，使其在继续之前等待完成。

  • 跳过了为 Windows OIC 节点生成不必要的安全合规框架 Google Cloud (SCFGM) 的步骤。

  • 使数据库 CPU 和内存资源分配可配置，并增加了漏洞扫描数据库的默认数据库资源限制。