נתוני גרסה 1.13.1 של Google Distributed Cloud במודל Air-gapped

‫28 ביוני 2024

הודעה לכיתה
‫Google Distributed Cloud (GDC) במודל Air-gapped 1.13.1 זמין.
בסקירה הכללית על המוצר אפשר לקרוא על התכונות של Distributed Cloud.
אבטחה

עדכנו את גרסת תמונת מערכת ההפעלה Canonical Ubuntu ל-20240515 כדי להחיל את תיקוני האבטחה האחרונים ועדכונים חשובים. כדי ליהנות מתיקוני הבאגים ונקודות החולשה באבטחה, צריך לשדרג את כל הצמתים בכל גרסה. בעיות האבטחה הבאות תוקנו:

אבטחה

עדכנו את גרסת תמונת מערכת ההפעלה Rocky ל-20240506 כדי להחיל את תיקוני האבטחה האחרונים ועדכונים חשובים. תוקנו נקודות החולשה הבאות באבטחה:

אבטחה

תוקנו נקודות החולשה הבאות באבטחת קובץ האימג' של הקונטיינר:

אבטחה

תוקנה נקודת חולשה במסדי נתונים שפועלים כקונטיינרים באשכול המערכת.

התכונה

חיוב:

  • הוספנו את האפשרות להפעיל חיוב שותפים כשיוצרים ארגון, כדי ש-Google תחייב את השותף ישירות.

ניהול אשכולות:

הקצאת כתובות IP בהתאמה אישית:

  • הוספנו אפשרות לעקוף את כתובת ה-IP שמוקצית לארגונים כדי להפעיל תכונות של Direct Connect ‏ (DX) Interconnect.

Database Service:

  • הוספנו שדרוג משמעותי כדי לשפר את האבטחה והאמינות. כל עומסי העבודה של מסד הנתונים פועלים עכשיו באשכול השירות. השדרוג הזה מחייב הסרה של מסדי נתונים קיימים. כדי להגן על הנתונים, חשוב לייצא ולמחוק את כל אשכולות מסדי הנתונים הקיימים לפני השדרוג. במאמרים בנושא שירות מסד הנתונים מוסבר איך לייצא ולייבא נתונים.
  • נוספה תכונה ל-AlloyDB לתמיכה בזמינות גבוהה (HA) באותו אזור.
  • הוספנו ל-AlloyDB תמיכה בתכונות של גיבוי, שחזור ושחזור מערכת מנקודה מסוימת בזמן (PITR).
  • נוספה לאפשרות של AlloyDB תמיכה בייבוא נתונים, בייצוא נתונים ובתכונות מתקדמות של העברה.

הרחבה דינמית:

  • אפשר להוסיף משאבי מחשוב ואחסון נוספים באמצעות הרחבה דינמית בלי להשלים פריסה מחדש. בגרסאות של GDC לפני 1.13.1, אפשר היה להוסיף חומרה רק במהלך פריסה מחדש. סוג ההרחבה הזה נקרא הרחבה סטטית.

Harbor-as-a-Service:

  • נוסף Harbor-as-a-Service ‏ (HaaS), שירות שמנוהל במלואו ומאחסן ומנהל קובצי אימג' בקונטיינר באמצעות Harbor.

סוגי מכונות:

Marketplace:

  • הוספנו אפשרות להתאמה אישית של הגדרות שירותים ב-Marketplace.
  • ‫Starburst Enterprise (BYOL) זמין ב-Marketplace עם פער אבטחה. ‫Starburst Enterprise מספק מנוע SQL מהיר, ניתן להרחבה ומבוזר של MPP עבור אגם הנתונים (data lakehouse) שלכם, עם איחוד שאילתות למקורות נתונים רבים אחרים.

  • מהדורת Prisma Cloud Compute של Palo Alto Networks (BYOL) זמינה ב-Marketplace עם פער אוויר. מהדורת Prisma Cloud Compute של Palo Alto Networks מציעה אמצעי הגנה מודרניים לאפליקציות מבוזרות.

פריסות בכמה אזורים:

  • נוספה פונקציונליות של Multi-zone, שמספקת זמינות גבוהה ויכולות התאוששות מאסון כמו בענן, כשירות לניהול פשוט של משאבים באזורי GDC. היכולות של פריסה בכמה אזורים זמינות בגרסת טרום-השקה (Preview).

תשתית של מפתח ציבורי:

  • כשמנפיקים אישורי אינטרנט, אפשר להגדיר מצבי PKI שונים אחרי יצירת הארגון. המצבים שניתנים להגדרה כוללים Infra PKI Fully Managed,‏ BYO-SubCA,‏ BYO-Cert with ACME ו-BYO-Cert.

אחסון אובייקטים:

  • נוסף שדה Spec.location bucket כדי לציין את האזור שבו נמצאים האובייקטים שלו. במהלך יצירת הקטגוריה, אם לא מציינים ערך, השדה מאוכלס אוטומטית בשם האזור שבו נוצרה הקטגוריה. השדה של קטגוריות קיימות מאוכלס אוטומטית בשם האזור שבו הן נמצאות.

מכונות וירטואליות (VM):

‫Vertex AI:

VPN:

בעיה

‫Artifact Registry:

  • כשיוצרים את אשכול האדמין הבסיסי, יכול להיות שהפעולה תיכשל אם יש רשימה ארוכה של שרתים במהלך האתחול.

גיבוי ושחזור:

  • ניסיון לשחזר גיבוי לאשכול משתמשים עם מכסת נפח מוגבלת נכשל.

חיוב:

  • מדדי החיוב לא מועברים אל Cortex בצורה תקינה בגלל חוסר ב-MetricsProxySidecar.

אחסון בלוקים:

  • המיפוי של אמצעי האחסון נכשל בתרמילים של מכונת וירטואלית.
  • כשלים שקשורים לאחסון עלולים להפוך את המערכת ללא שמישה.
  • נפחים קבועים נוצרים עם גודל שגוי.
  • כשארגון מושבת, יכול להיות שתהיה בעיה במחיקה של StorageVirtualMachine.
  • סודות ואישורים לא מנוקים אחרי השבתה של ארגון.
  • יכול להיות שתיכשל התאמה של מחיקה ב-StorageVirtualMachine.
  • משימות של Ansible נתקעות במהלך שדרוג של שרתים פיזיים.

ניהול אשכולות:

  • המשימה machine-init נכשלת במהלך הקצאת המשאבים של האשכול.
  • החיבור של פוד מסד נתונים שפועל באשכול השירות לקטגוריית אחסון אובייקטים באשכול מנהל חשבון ארגוני נכשל.
  • בדיקת ההתאמה נכשלת.
  • יכול להיות שקבוצות משתמשים שנוצרו מחדש ייתקעו בתהליך של התאמה.

Database Service:

  • במסדי נתונים שפונים למשתמשים, ההקצאה הראשונית, שינוי הגודל או הפעלת הזמינות הגבוהה (HA) באשכול מסד נתונים קיים אורכים עד 40 דקות יותר מאשר בעבר, והביצועים איטיים פי שניים עד שלוש מאשר בעבר.
  • שיבוט של שירות מסד נתונים לא פועל עבור אשכול עם מכסת אחסון מוגבלת בגלל בעיה בגיבוי ובשחזור.
  • אכיפת ה-IOPS עשויה להשפיע על ביצועי האחסון.
  • הפקודה gdcloud stop database נמשכת זמן רב מדי.

‫DNS:

  • צריך להשבית את DNSSEC באופן מפורש ב-resolved.conf.

Harbor:

  • מחיקה של מופעי Harbor לא מוחקת את שיקופי הרישום המשויכים. יכול להיות שמאגר הצמתים תקוע במצב Provisioning.

מודול אבטחה בחומרה:

  • רישיונות ניסיון שהושבתו עדיין ניתנים לזיהוי ב-CipherTrust Manager, מה שגורם להפעלת אזהרות שגויות על תפוגה.
  • דליפת מתאר קובץ גורמת לשגיאה ServicesNotStarted.

תשתית כקוד (IAC):

  • יצירה מוגזמת של טוקנים ב-GitLab עלולה לגרום למילוי של מסדי הנתונים של GitLab.

‫Key Management Service ‏ (KMS):

  • כשהשימוש בזיכרון kms-rootkey-controller חורג מהמגבלה 1100Mi, הבקר עובר למצב CrashLoopBackOff בגלל סטטוס OOMKilled.

רישום ביומן:

  • יומן הביקורת של אחסון האובייקטים לא יכול לפתור את מארח ה-DNS.

מעקב:

  • לוחות הבקרה לא מציגים מדדים של Vertex AI.
  • יש שגיאת התאמה ב-pod‏ mon-cortex.
  • ‫metrics-server-exporter pod באשכול המערכת נמצא בלולאת קריסה.
  • ה-ConfigMap‏ mon-prober-backend-prometheus-config מאופס כך שלא יכלול משימות בדיקה, וההתראה MON-A0001 מופעלת.
  • אחרי שמגדירים את שירות המעקב לשליחת התראות, נוצרות אוטומטית כמה התראות כפולות.
  • אובייקט ObservabilityPipeline מציג יומנים של Reconciler error שצריך להתעלם מהם.

אתחול של כמה אזורים:

  • אין תפקידים ספציפיים להפעלת פריסות מרובות אזורים.
  • המשאב Bootstrap שנוצר לא תואם ללוגיקה שמעבדת אותו.
  • משאב נדרש לא נוצר במהלך האתחול, ולכן רכיבים שמסתמכים על המשאב הזה לא פועלים בצורה תקינה.

רשת:

  • אי אפשר להגיע לצומת.
  • יש בעיות בקישוריות למופעים של שירות מסד הנתונים.
  • תפקיד PodCIDR לא מוקצה לצמתים, גם אם נוצר ClusterCIDRConfig.
  • השעה בצומת של מכונה וירטואלית לא מדויקת או שהיא לא מסונכרנת עם השעה בצומת אחר.
  • כתובות ה-IP של ה-peering בסשן של קישוריות EVPN בין אזורים שנוצרות שגויות.
  • אין אפשרות להגיע לצומת ברשת הנתונים.

אחסון אובייקטים:

  • יכול להיות שמחיקת הארגון לא תצליח.

מערכת הפעלה:

  • במקרים נדירים, פודים נתקעים במצב init בצומת מסוים.
  • משימת bm-system-machine-preflight-check Ansible עבור צומת bare metal או מכונה וירטואלית נכשלת עם Either ip_tables or nf_tables kernel module must be loaded.

תשתית Operations Suite‏ (OI):

  • ב-Hardware 3.0, אין יותר צורך בהפעלת Smart Storage Administration (ניהול אחסון חכם, SSA).

אבטחת היקף:

  • האשכול של מערכת הארגון נתקע במהלך האתחול של הארגון.
  • חומת האש של PANW AddressGroups לא מתעדכנת עם השינויים ב-OCITcidr-claim, ולכן לא ניתן לפתור בעיות בדומיינים של iac.gdch.domain.example.

אבטחת הפלטפורמה:

  • כשמצב PKI BYO SubCA יוצר בקשה חדשה לחתימת אישור (CSR) בזמן שאישור חתום קודם מועלה ל-SubCA, כלי התיאום לא בודק אם ה-CSR החדש תואם לאישור החתום הישן ומסמן את המשאב המותאם אישית (CR) cert-manager CertificateRequest כ-Ready. השגיאה הזו מתרחשת במהלך חידוש של אישור SubCA או במהלך רוטציה ידנית.
  • בעיה מוכרת ב-cert-manager גורמת לכך שלא ניתן להנפיק אישורי PKI בשיטת BYO (הבאת אישורים משלכם) באמצעות סביבה לניהול אוטומטי של אישורים (ACME).

שרתים פיזיים:

  • השרת תקוע במצב provisioning.
  • האתחול של השרת נכשל בגלל בעיות ב-POST בשרת HPE.
  • השרת נתקע במצב הקצאת הרשאות.

‫מנהל המשאבים:

  • הסטטוס של פרויקט לא מוצג במסוף GDC.

שדרוג:

  • העבודה bm-system ועבודות אחרות שמריצות ansible playbook נתקעות ב-gathering facts.
  • במהלך השדרוג, אין גישה לכתובת ה-IP לניהול של השרת.
  • השדרוג נכשל ברכיב המשנה iac-zoneselection-global.

‫Vertex AI:

  • הסמל MonitoringTarget מציג סטטוס Not Ready כשנוצרים אשכולות של משתמשים, ולכן ממשק המשתמש מציג באופן רציף את המצב Enabling של ממשקי ה-API שאומנו מראש.
  • האתחול של שירות ה-pod והקצה הקדמי של התרגום נכשל כי הסוד של אשכול מערכת ה-ODS לא עדכני.

מכונות וירטואליות:

  • ייבוא התמונות בשיטת BYO נכשל עבור תמונות בפורמטים qcow2 ו-raw.
  • הקצאת דיסק מקובץ אימג' בהתאמה אישית נכשלת.
  • מוצגת שגיאה בשדרוג של אחסון האובייקטים במהלך הבדיקה שלפני ההמראה או אחרי ההמראה.
תוקן

חיוב:

  • תוקנה בעיה בתהליך ליצירת חשבוניות שגרמה לכך שלא נוצר משאב מותאם אישית של חשבונית בגלל השם הלא תקין GDCH_INTERNAL.

רשת:

  • תוקנה בעיה שגרמה לכך שהשדרוג נכשל בגלל יצירה לא מוצלחת של המשאב המותאם אישית hairpinlink.
  • שגיאות הסחה אדומות `Got error on getting port speed` מוצגות בהתקנת הרשת
שינוי

המרכז לניהול תוספים:

עדכון גרסה:

  • גרסת התמונה שמבוססת על Debian עודכנה ל-bookworm-v1.0.1-gke.1.

תשתית Operations Suite‏ (OI):

  • תוקף החשבון של OI Marvin, שמשמש לניהול ההגדרות בסביבת התשתית של OI, הוא 60 יום.