Notas de la versión 1.14.3 de Google Distributed Cloud aislado

28 de febrero de 2025

Google Distributed Cloud (GDC) aislado 1.14.3 ya está disponible.
Consulta la descripción general del producto para conocer las funciones de Distributed Cloud.
Están disponibles las siguientes funciones nuevas:

Copia de seguridad y restablecimiento:

  • Se agregó la capacidad de crear copias de seguridad y restablecimientos de VM con alcance para orientar cargas de trabajo de VM específicas. Crea estas copias de seguridad de VM de forma manual o crea planes de copia de seguridad que realicen copias de seguridad de forma automática según un programa que definas. Para obtener más información, consulta Descripción general.
  • Se agregaron restablecimientos detallados de VMs que te permiten restablecer recursos específicos de VM y discos de VM. Para obtener más información, consulta Crea un restablecimiento detallado.
  • Se agregaron restablecimientos detallados de clústeres que te permiten restablecer un subconjunto de recursos desde una copia de seguridad del clúster. Esta función proporciona la flexibilidad para definir mejor el alcance del restablecimiento definido en el plan de restablecimiento. Para obtener más información, consulta Crea un restablecimiento detallado.

Facturación:

  • Se agregó la capacidad de subir los costos facturados mensuales a la consola de Argentum.

DNS:

  • Ahora puedes crear y administrar tus propias zonas del DNS públicas y privadas para que se adapten a las necesidades de tus aplicaciones y servicios. Dentro de una zona del DNS, puedes crear registros DNS. Los diferentes tipos de registros DNS tienen distintos propósitos, como dirigir el tráfico, definir servidores de correo electrónico y verificar la propiedad. Para obtener más información, consulta Acerca de las zonas y los registros del DNS.

Firewall:

  • Se agregó la capacidad de configurar la autenticación de NTP PANW en los firewalls de GDC con claves simétricas.

IAM:

  • Las APIs de IAM que controlan los proveedores de identidad, las cuentas de servicio y las vinculaciones de roles son globales de forma predeterminada y abarcan todas las zonas de un universo de GDC. Para obtener más información, consulta Control de permisos para un universo de varias zonas.

Marketplace:

  • Neo4j está disponible en el mercado de GDC aislado. Neo4j es una base de datos de grafos integrada, NoSQL y de código abierto que proporciona un backend transaccional compatible con ACID para tus aplicaciones.
  • MariaDB Operator está disponible en el mercado de GDC aislado. MariaDB Operator usa imágenes de Docker compatibles para proporcionar una solución de administración de flotas y HA/DR para MariaDB Enterprise Server y MaxScale.
  • HashiCorp Vault (BYOL) está disponible en el mercado de Google Distributed Cloud aislado. HashiCorp Vault es un sistema de administración de encriptación y secretos basado en la identidad.
  • Apache Kafka en Confluent Platform (BYOL) está disponible en el Marketplace de GDC aislado. Confluent Platform es una solución que permite el acceso, el almacenamiento y la administración en tiempo real de flujos de datos continuos.
  • El software de Redis para Kubernetes (BYOL) está disponible en el Marketplace de GDC aislado. Redis es la base de datos en memoria más rápida del mundo para compilar y escalar aplicaciones con rapidez.

MHS:

  • El servicio de Harbor administrado (MHS) ahora incluye la copia de seguridad y el restablecimiento de Harbor. Configura copias de seguridad y crea restablecimientos para las instancias de Harbor. Para obtener más información, consulta Descripción general.
  • Se agregó el auxiliar de credenciales de MHS que te permite usar tu identidad de GDC para acceder a la CLI de Docker o Helm. Para obtener más información, consulta Accede a Docker y Helm.
  • Se agregó la capacidad de analizar todos los artefactos en una instancia de Harbor. Para obtener más información, consulta Analiza en busca de vulnerabilidades.

Registro:

  • El Pod de Loki falla o se produce un error OOMKilled durante la reproducción de WAL.

  • Se produjo un error de extracción de log-collector y oplogs-forwarder.

Supervisión:

  • Se agregó compatibilidad con las consultas y la supervisión entre zonas en los paneles de visualización. Para obtener más información, consulta Consulta y visualiza métricas y Consulta y visualiza registros.

  • Se puede ignorar una alerta ruidosa de OCLCM.

  • La canalización de métricas del sistema no funciona.

  • Se activaron las alertas MON-A0001_fast y MON-A0001_slow en los clústeres de la organización

Herramientas de redes:

  • Usa balanceadores de cargas internos y externos multizona para distribuir el tráfico de las cargas de trabajo de VM y Pods. Para obtener más información, consulta Descripción general.

  • Configurar recursos de interconexión para establecer una conectividad físicamente dedicada a redes privadas externas Para obtener más información, consulta la descripción general de la interconexión.

  • Configura un balanceador de cargas interno o externo para las cargas de trabajo de Pods y VM con la API de KRM de herramientas de redes o la CLI de gdcloud. Para obtener más información, consulta Administra balanceadores de cargas.

  • Usa políticas de red de proyectos zonales y globales para establecer la conectividad entre proyectos y organizaciones.

  • Crea políticas de red a nivel de carga de trabajo y entre proyectos para definir reglas de acceso específicas para VMs y Pods individuales dentro de un proyecto y entre proyectos.

Resource Manager:

  • Los proyectos son recursos globales de forma predeterminada que abarcan todas las zonas de un universo de GDC. Para obtener más información, consulta la descripción general de las multizonas.

Máquinas virtuales:

Se actualizó la versión de la imagen de SO Rocky a 20250124 para aplicar los parches de seguridad más recientes y las actualizaciones importantes.

Se corrigieron las siguientes vulnerabilidades de seguridad:

Se identificaron los siguientes problemas:

Copia de seguridad y restablecimiento

  • No se puede editar un RestorePlan desde la consola de GDC.

  • Los Pods del agente y del plano de control podrían reiniciarse si se quedan sin memoria insuficiente, lo que afectaría la estabilidad del sistema.

  • Las métricas y alertas de objetivos de nivel de servicio (SLO) de GDC para la copia de seguridad y el restablecimiento no están habilitadas de forma predeterminada debido a que faltan definiciones de recursos personalizados.

  • Las políticas de retención no se aplican a las copias de seguridad importadas.

  • Las copias de seguridad parciales de las VMs fallan.

  • Limpia los recursos de copia de seguridad huérfanos después de borrar el clúster de usuario o de servicio.

  • No se admite la eliminación de VirtualMachineRestore a través de la CLI o la IU.

  • El proceso de restablecimiento de un recurso, como una clonación de base de datos o el restablecimiento de una carga de trabajo del usuario, se detiene y, con el tiempo, se agota el tiempo de espera debido a una reclamación de volumen persistente pendiente.

Administración de clústeres

  • El clúster de usuario se queda atascado en un estado de conciliación o en mal estado después de que se vuelve a crear el nodo del plano de control.

  • El subcomponente kub-gpu-controller no se concilia para la organización gdchservices.

  • No se pueden quitar los grupos de nodos obsoletos de los clústeres estándar. Los clústeres estándar están en versión preliminar privada y es posible que no estén disponibles para todos los clientes.

Servicios de base de datos

  • Los clústeres de bases de datos con eliminación no definitiva se quedan atascados en un estado DBClusterReconciling cuando se borran inmediatamente después de su creación.

  • El comando gdcloud stop database tarda mucho tiempo en completarse.

DNS

  • Se activa una alerta de DNS falsa que sugiere GlobalCustomerRootDNSServerNotReachable.

Firewall

  • Las reglas de firewall heredadas podrían bloquear el tráfico de la organización al administrador raíz después de la actualización.

  • No se puede acceder a la organización a través del DNS de la consola de la IU global.

  • Después de que se implementa el recurso personalizado OCITTopology, se interrumpe la conectividad entre el OIR y el plano de administración y el plano de datos de GDC.

  • Los firewalls de GDC bloquean de forma predeterminada el tráfico entre zonas y organizaciones.

  • Después de implementar un AttachmentGroup, si el campo identifier de ese objeto AttachmentGroup es el mismo que orgName, el firewall no puede analizar este objeto y la actualización de la configuración del firewall se detiene.

Inventario

  • La auditoría de inventario no se concilia.

Módulo de seguridad de hardware:

  • Las licencias de prueba desactivadas se siguen detectando en CipherTrust Manager, lo que activa advertencias de vencimiento falsas.

  • Se produce un problema en el que los HSM fallan con un error ValidateNetworkConfig después del inicio. Este error impide que los recursos personalizados de HSM entren en un estado Ready.

  • Una fuga de descriptor de archivo provoca un error ServicesNotStarted.

Salud:

  • Es posible que el sistema active más de 30 alarmas falsas sobre alertas de SLO en varios componentes debido a un problema con el etiquetado de la API de SLO.

Administración de identidades y accesos:

  • Es posible que un recurso CustomRole que incluya una sección zonalRules no otorgue permisos de manera confiable.

  • Un problema de confianza de OPA Gatekeeper después de una rotación de la CA raíz impide la creación de roles de IAM en proyectos nuevos.

  • Las vinculaciones de roles fallan si los nombres de las vinculaciones de roles de IAM generados superan los 63 caracteres.

  • Las cuentas de servicio del proyecto (PSA) no pueden asignar vinculaciones de roles de IAM a sí mismas ni a otras PSA con el rol organization-iam-admin.

  • Los proyectos nuevos experimentan demoras con la creación de roles predefinidos.

  • Los operadores de aplicaciones no pueden otorgarse acceso a los roles en el clúster de infraestructura.

  • Los tokens de las cuentas de servicio existentes dejan de ser válidos.

Infraestructura como código (IaC)

  • Un subcomponente no se puede conciliar debido a que falta un espacio de nombres.
  • La recopilación de métricas de IAC ConfigSync falla.
  • La sincronización raíz de IAC falla.

Sistema de administración de claves:

  • Los servidores de KMS pueden experimentar problemas de rendimiento y OOMKilling con cargas de trabajo pesadas.

  • Cuando el uso de memoria de kms-rootkey-controller supera el límite de 1100Mi, el controlador entra en un estado CrashLoopBackOff debido a un estado OOMKilled.

  • KMS configurado para usar una clave raíz de CTM no conmuta por error cuando un HSM no está disponible.

  • Los Pods de KMS en la organización raíz pueden fallar debido a que los registros de auditoría llenan el almacenamiento efímero.

Balanceadores de cargas:

  • La creación del balanceador de cargas global falla debido a que no hay suficientes direcciones IP en las subredes globales.
  • Los objetos del balanceador de cargas no entran en un estado Ready.

  • Aún no se admite la modificación de los balanceadores de cargas una vez que se configuraron.

  • El recurso global BackendService no rechaza los nombres de zona incorrectos.

  • Puede producirse un error de webhook en los balanceadores de cargas zonales y globales.

MHS:

  • Después de una operación de copia de seguridad y restablecimiento del servicio de Harbor administrado (MHS), los secretos de la CLI dejan de ser válidos para la instancia de Harbor restablecida y se deben volver a crear.
  • Cuando existen varias instancias de Harbor en diferentes proyectos de usuario, las operaciones de copia de seguridad y restablecimiento compiten por los controles de acceso basado en roles y experimentan una alta tasa de fallas.
  • El tamaño de la copia de seguridad no se implementa para la copia de seguridad y el restablecimiento de Harbor. En la consola de GDC, el campo SizeBytes muestra un valor de 0 y la columna Size muestra un valor de 0 MB.
  • Cuando se visualiza la página Harbor Container Registry en la consola de GDC, los usuarios que no tienen el permiso de administrador de instancias de Harbor necesario ven un mensaje de error cuando recuperan recursos de copia de seguridad.
  • La rotación de la contraseña de la base de datos está detenida.

Supervisión:

  • El webhook de AlertManager no puede enviar alertas ni notificaciones de incidentes para algunos clústeres.
  • En ocasiones, los incidentes se duplican cuando se crean.
  • Se abrieron dos alertas falsas de supervisión en el clúster de administrador raíz.
  • Se puede ignorar una alerta de error de conciliación.
  • El administrador de controladores raíz muestra una tasa de errores alta.
  • Los paneles de supervisión de KUB no muestran datos.
  • Los permisos están mal configurados para un rol de depurador de observabilidad.
  • Falta un rol de depurador de Grafana.
  • La eliminación del proyecto se detuvo debido a los finalizadores pendientes del panel y de la fuente de datos.
  • Las métricas de KSM no son visibles para los PA.
  • Se activaron las alertas MON-A0001_fast y MON-A0001_slow en los clústeres de la organización

Multizona:

  • Cuando no se puede acceder a una zona, la consola de GDC muestra un error de autenticación.

  • La generación de listas de zonas con la CLI de gdcloud no está disponible de forma predeterminada.

  • Puede haber errores de acceso intermitentes cuando se accede a la URL de la consola de GDC global.

Almacenamiento de objetos:

  • Venció el certificado del extremo del balanceador de cargas de StorageGRID.

Herramientas de redes:

  • Configurar el protocolo de puerta de enlace de frontera (BGP) con un número de sistema autónomo (ASN) de 4 bytes en los switches de red genera fallas de configuración.

  • Habilitar la encriptación de seguridad de direcciones IP (IPsec) de nodo a nodo en el entorno de ejecución para una organización existente puede causar pérdidas de paquetes de red y tiempos de espera de conexión.

  • No se puede acceder al nodo en la red de datos.

  • La red experimenta una caída de alrededor del 50% en el tráfico entre zonas entre los nodos.

  • Los lanzamientos de Pods de StatefulSet pueden causar problemas de conectividad.

  • El tráfico de anycast global está bloqueado por listas de control de acceso (ACL) demasiado restrictivas.

  • La política de red del proyecto (PNP) de allow-all-egress no permite el tráfico a los extremos del sistema.

  • El panel de SLO de pnet-cross-zone-availability no muestra ninguna métrica en Grafana.

  • Las puertas de enlace de entrada del plano de datos y de administración no se concilian.

  • La página de la política de red del proyecto en la consola de GDC no admite el campo projectSelector en la API de ProjectNetworkPolicy.

  • No se confirman los cambios en la configuración del switch de red.

Servicios principales de infraestructura de Operations Suite (OIC):

  • El host de salto tiene un rendimiento deficiente.

Sistema operativo:

  • Es posible que la actualización de nodos del SO se detenga en el paso NodeOSInPlaceUpgradePostProcessingCompleted.

  • Es posible que la actualización de nodos del SO se detenga durante la creación del servidor de paquetes.

  • Durante una operación gdcloud storage cp o gdcloud system container-registry load-oci desde una estación de trabajo de OIC, existe una pequeña posibilidad de que se pierda el acceso a org-infra y, luego, se desactive el kube-api de org-mgmt.

Resource Manager:

  • Los proyectos no se pueden borrar desde la consola de GDC.

  • Cuando se crea una organización de clientes, el trabajo create-ansible-playbooks que crea los playbooks de Ansible requeridos falla.

  • La desactivación de la organización no retira todos los recursos aprovisionados para la organización.

Almacenamiento:

  • Falta de disponibilidad de datos en todas las zonas de los buckets de zona doble.

  • Los Pods no se activan debido a un error de Trident mkfs.ext4.

  • La actualización del nodo está bloqueada.

  • La alerta file_block_zombie_luns_present se activa constantemente.

  • Alertas ruidosas en la consola de administración de StorageGRID

System Artifact Registry:

  • Los trabajos de replicación de artefactos de Harbor se detienen.

  • Se puede activar una falsa alarma en respuesta a errores transitorios cuando se concilia el recurso HarborRobotAccount.

  • Hay una falsa alarma para la alerta SAR-R0003.

Sistema de tickets:

  • El servidor MID de ServiceNow no se inicia correctamente.

  • Un error de RBAC de las redes de los clientes podría denegar el acceso a ServiceNow.

Actualización:

  • Se produce un error en el informe de asistencia.

  • El Ingester sigue en mal estado y no se olvida automáticamente después de la actualización

Vertex AI:

  • Los modelos y los libros de trabajo entrenados previamente de Vertex AI no están habilitados en la versión 1.14.3, pero estarán disponibles en la versión 1.14.4.

Máquinas virtuales

  • Es posible que VMDisk muestre un estado incorrecto de Phase: InProgress incluso cuando las operaciones de disco subyacentes finalicen y el disco esté listo para usarse.

  • Cuando creas una VM de Windows con la CLI de gdcloud CLI gdcloud compute instances create, la VM no se inicia debido al tipo de inicio de BIOS predeterminado bios y a la falta de marcas de inicio seguro.

Se corrigieron los siguientes problemas:

Harbor:

  • Se solucionó el problema por el que el grupo de nodos se quedaba atascado en un estado de Provisioning. Para obtener más información, consulta Problemas conocidos.
Se identificaron los siguientes cambios:

Core:

  • Se quitaron los requisitos para interactuar con el clúster de administrador de la organización y el clúster del sistema en varios flujos de trabajo de servicios. El servidor de la API de Management, que está disponible para administrar todas las cargas de trabajo y los servicios que no son de contenedores, reemplaza todos los flujos de trabajo de servicios afectados.

  • El servidor de la API global se proporciona de forma predeterminada para los recursos administrados por el cliente que están diseñados para la implementación global en un universo de GDC. Para obtener más información, consulta Servidores de la API globales y zonales.

Marketplace:

  • Los permisos del rol de Visualizador de Marketplace se restringen solo para ver los servicios disponibles, sin acceso a las instancias instaladas ni a sus parámetros de configuración. Para ver la configuración de las instancias en ejecución, los usuarios necesitan el rol de editor de Marketplace (marketplace-editor).

  • Hay una lista de imágenes de servicio de Marketplace disponible.

Resource Manager:

  • Se quitó la capacidad de adjuntar un clúster de Kubernetes cuando se crea un proyecto en la consola de GDC. Debes conectar los clústeres de Kubernetes a un proyecto desde la página Kubernetes Engine > Clústeres. Para obtener más información, consulta Crea un proyecto.

Actualizaciones de versiones:

Máquinas virtuales:

  • Se actualizó la documentación de la prueba de rendimiento como servicio (PTaaS) para incluir nuevos nombres y descripciones de las comparativas disponibles en PTaaS.