Notes de version de Google Distributed Cloud sous air gap 1.14.3

28 février 2025

La version 1.14.3 de Google Distributed Cloud (GDC) sous air gap est disponible.
Consultez la présentation du produit pour en savoir plus sur les fonctionnalités de Distributed Cloud.
Les nouvelles fonctionnalités suivantes sont disponibles :

Sauvegarde et restauration :

  • Ajout de la possibilité de créer des sauvegardes et des restaurations de VM limitées pour cibler des charges de travail de VM spécifiques. Créez ces sauvegardes de VM manuellement ou créez des plans de sauvegarde qui effectuent automatiquement des sauvegardes selon une planification que vous définissez. Pour en savoir plus, consultez la présentation.
  • Ajout de restaurations précises de VM qui vous permettent de restaurer des ressources de VM et de disques de VM spécifiques. Pour en savoir plus, consultez Créer une restauration précise.
  • Ajout de restaurations précises de cluster, qui vous permettent de restaurer un sous-ensemble de ressources à partir d'une sauvegarde de cluster. Cette fonctionnalité vous permet d'affiner le champ d'application de la restauration défini dans le plan de restauration. Pour en savoir plus, consultez Créer une restauration ultraprécise.

Facturation :

  • Ajout de la possibilité d'importer les coûts facturés mensuels dans la console Argentum.

DNS :

  • Vous pouvez désormais créer et gérer vos propres zones DNS publiques et privées en fonction des besoins de vos applications et services. Vous pouvez créer des enregistrements DNS dans une zone DNS. Les différents types d'enregistrements DNS ont des objectifs différents, tels que la direction du trafic, la définition des serveurs de messagerie et la validation de la propriété. Pour en savoir plus, consultez À propos des zones et des enregistrements DNS.

Pare-feu :

  • Ajout de la possibilité de configurer l'authentification NTP PANW sur les pare-feu GDC à l'aide de clés symétriques.

IAM :

  • Les API IAM qui contrôlent les fournisseurs d'identité, les comptes de service et les liaisons de rôles sont globales par défaut et couvrent toutes les zones d'un univers GDC. Pour en savoir plus, consultez Contrôle des autorisations pour un univers multizone.

Marketplace :

  • Neo4j est disponible sur la place de marché GDC sous air gap. Neo4j est une base de données de graphes intégrée NoSQL Open Source qui fournit un backend transactionnel conforme à la norme ACID pour vos applications.
  • MariaDB Operator est disponible sur la place de marché GDC sous air gap. MariaDB Operator utilise des images Docker compatibles pour fournir une solution de gestion de parc et de HA/DR pour MariaDB Enterprise Server et MaxScale.
  • HashiCorp Vault (BYOL) est disponible sur la place de marché Google Distributed Cloud sous air gap. HashiCorp Vault est un système de gestion du chiffrement et des secrets basé sur l'identité.
  • Apache Kafka sur Confluent Platform (BYOL) est disponible sur la place de marché GDC sous air gap. Confluent Platform est une solution qui permet d'accéder, de stocker et de gérer des flux de données continus en temps réel.
  • Redis Software pour Kubernetes (BYOL) est disponible sur la place de marché GDC sous air gap. Redis est la base de données en mémoire la plus rapide au monde pour créer et faire évoluer des applications rapides.

MHS :

  • Managed Harbor Service (MHS) inclut désormais la sauvegarde et la restauration Harbor. Configurez des sauvegardes et créez des restaurations pour les instances Harbor. Pour en savoir plus, consultez la présentation.
  • Ajout de l'assistant d'identification MHS qui vous permet d'utiliser votre identité GDC pour vous connecter à la CLI Docker ou Helm. Pour en savoir plus, consultez Se connecter à Docker et Helm.
  • Ajout de la possibilité d'analyser tous les artefacts d'une instance Harbor. Pour en savoir plus, consultez Rechercher des failles.

Journalisation :

  • Le pod Loki plante ou est arrêté par OOMKilled lors de la relecture du WAL.

  • Échec du scraping pour log-collector et oplogs-forwarder.

Surveillance :

  • Ajout de la compatibilité avec les requêtes et la surveillance interzones dans les tableaux de bord de visualisation. Pour en savoir plus, consultez Interroger et afficher des métriques et Interroger et afficher des journaux.

  • Vous pouvez ignorer une alerte OCLCM bruyante.

  • Le pipeline des métriques système est en panne.

  • Les alertes MON-A0001_fast et MON-A0001_slow se déclenchent dans les clusters de l'organisation

Mise en réseau :

  • Utilisez des équilibreurs de charge internes et externes multizones pour répartir le trafic des charges de travail des VM et des pods. Pour en savoir plus, consultez la présentation.

  • Configurez des ressources d'interconnexion pour établir une connectivité physiquement dédiée aux réseaux privés externes. Pour en savoir plus, consultez la présentation d'Interconnect.

  • Configurez un équilibreur de charge interne ou externe pour les charges de travail de pods et de VM à l'aide de l'API KRM Networking ou de la CLI gdcloud. Pour en savoir plus, consultez Gérer les équilibreurs de charge.

  • Utilisez des règles de réseau de projet zonales et globales pour établir une connectivité entre les projets et les organisations.

  • Créez des règles de réseau au niveau de la charge de travail intra-projet et inter-projets pour définir des règles d'accès spécifiques pour les VM et les pods individuels au sein d'un projet et entre les projets.

Resource Manager :

Machines virtuelles :

Mise à jour de la version de l'image de l'OS Rocky vers la version 20250124 pour appliquer les derniers correctifs de sécurité et les mises à jour importantes.

Les failles de sécurité suivantes ont été corrigées :

Les problèmes suivants ont été identifiés :

Sauvegarder et restaurer

  • La modification d'un RestorePlan à partir de la console GDC ne fonctionne pas.

  • Les pods de l'agent et du plan de contrôle peuvent redémarrer en cas de mémoire insuffisante, ce qui affecte la stabilité du système.

  • Les métriques et les alertes d'objectif de niveau de service (SLO) de GDC pour la sauvegarde et la restauration ne sont pas activées par défaut, car il manque des définitions de ressources personnalisées.

  • Les règles de conservation ne sont pas appliquées aux sauvegardes importées.

  • Échec des sauvegardes partielles de VM.

  • Nettoyez les ressources de sauvegarde orphelines après la suppression d'un cluster d'utilisateur ou de service.

  • La suppression de VirtualMachineRestore n'est pas possible via la CLI ou l'interface utilisateur.

  • Le processus de restauration d'une ressource, telle qu'un clone de base de données ou une restauration de charge de travail utilisateur, se bloque et finit par expirer en raison d'une demande de volume persistant en attente.

Gestion des clusters

  • Le cluster d'utilisateur est bloqué dans un état de rapprochement ou non opérationnel après la recréation du nœud du plan de contrôle.

  • Le sous-composant kub-gpu-controller n'est pas rapproché pour l'organisation gdchservices.

  • La suppression des pools de nœuds obsolètes des clusters standards échoue. Les clusters standards sont en version preview privée et peuvent ne pas être disponibles pour tous les clients.

Services de base de données

  • Les clusters de bases de données supprimés de façon réversible restent bloqués à l'état DBClusterReconciling lorsqu'ils sont supprimés immédiatement après leur création.

  • L'exécution de la commande gdcloud stop database prend beaucoup de temps.

DNS

  • Une fausse alerte DNS est déclenchée, suggérant GlobalCustomerRootDNSServerNotReachable.

Pare-feu

  • Les anciennes règles de pare-feu peuvent bloquer le trafic de l'organisation vers l'administrateur racine après la mise à niveau.

  • L'organisation n'est pas accessible via le DNS de la console de l'UI globale.

  • Une fois la ressource personnalisée OCITTopology déployée, la connectivité entre l'OIR et le plan de gestion et le plan de données GDC est interrompue.

  • Le trafic interzone et interorganisation est bloqué par défaut par les pare-feu GDC.

  • Après le déploiement d'un AttachmentGroup, si le champ identifier de cet objet AttachmentGroup est identique à orgName, le pare-feu ne parvient pas à analyser cet objet et la mise à jour de la configuration du pare-feu est bloquée.

Inventaire

  • L'audit d'inventaire ne parvient pas à effectuer le rapprochement.

Module matériel de sécurité :

  • Les licences d'essai désactivées sont toujours détectables dans CipherTrust Manager, ce qui déclenche de fausses alertes d'expiration.

  • Un problème se produit lorsque les HSM échouent avec une erreur ValidateNetworkConfig après le démarrage. Cette erreur empêche les ressources personnalisées HSM de passer à l'état Ready.

  • Une fuite de descripteur de fichier entraîne une erreur ServicesNotStarted.

Santé :

  • Le système peut déclencher plus de 30 fausses alertes concernant les SLO sur plusieurs composants en raison d'un problème d'étiquetage de l'API SLO.

Gestion de l'authentification et des accès :

  • Une ressource CustomRole qui inclut une section zonalRules peut ne pas accorder d'autorisations de manière fiable.

  • Un problème de confiance OPA Gatekeeper après une rotation de l'autorité de certification racine empêche la création de rôles IAM dans les nouveaux projets.

  • Les liaisons de rôle échouent si les noms de liaison de rôle IAM générés dépassent 63 caractères.

  • Les comptes de service de projet (PSA) ne peuvent pas s'attribuer de liaisons de rôles IAM ni en attribuer à d'autres PSA avec le rôle organization-iam-admin.

  • Les nouveaux projets subissent des retards lors de la création de rôles prédéfinis.

  • Les opérateurs d'application ne peuvent pas s'accorder l'accès aux rôles du cluster d'infrastructure.

  • Les jetons de compte de service existants deviennent non valides.

Infrastructure as Code (IaC)

  • Échec du rapprochement d'un sous-composant en raison d'un espace de noms manquant.
  • La collecte des métriques IAC ConfigSync échoue.
  • La synchronisation racine IAC échoue.

Système de gestion des clés :

  • Les serveurs KMS peuvent rencontrer des problèmes de performances et des erreurs OOMKilling en cas de charges de travail importantes.

  • Lorsque l'utilisation de la mémoire kms-rootkey-controller dépasse la limite 1100Mi, le contrôleur passe à l'état CrashLoopBackOff en raison d'un état OOMKilled.

  • KMS configuré pour utiliser une clé racine CTM ne bascule pas lorsqu'un HSM n'est pas disponible.

  • Les pods KMS de l'organisation racine peuvent planter, car les journaux d'audit remplissent l'espace de stockage éphémère.

Équilibreurs de charge :

  • La création de l'équilibreur de charge mondial échoue en raison d'un nombre insuffisant d'adresses IP dans les sous-réseaux mondiaux.
  • Les objets de l'équilibreur de charge ne passent pas à l'état Ready.

  • Il n'est pas encore possible de modifier les équilibreurs de charge une fois qu'ils ont été configurés.

  • La ressource BackendService globale ne rejette pas les noms de zone incorrects.

  • Une erreur de webhook peut se produire pour les équilibreurs de charge zonaux et mondiaux.

MHS :

  • Après une opération de sauvegarde et de restauration de Managed Harbor Service (MHS), les secrets de la CLI deviennent non valides pour l'instance Harbor restaurée et doivent être recréés.
  • Lorsque plusieurs instances Harbor existent dans différents projets utilisateur, les opérations de sauvegarde et de restauration entrent en concurrence pour les contrôles d'accès basés sur les rôles et connaissent un taux d'échec élevé.
  • La taille de sauvegarde n'est pas implémentée pour la sauvegarde et la restauration Harbor. Dans la console GDC, le champ SizeBytes affiche la valeur 0 et la colonne Size affiche la valeur 0 Mo.
  • Lorsqu'ils consultent la page Container Registry Harbor dans la console GDC, les utilisateurs qui ne disposent pas de l'autorisation d'administrateur d'instance Harbor nécessaire voient un message d'erreur lorsqu'ils récupèrent des ressources de sauvegarde.
  • La rotation du mot de passe de la base de données est bloquée.

Surveillance :

  • Le webhook AlertManager ne parvient pas à envoyer des alertes et des notifications d'incident pour certains clusters.
  • Les incidents sont parfois dupliqués lors de leur création.
  • Deux fausses alertes de surveillance sont ouvertes dans le cluster root-admin.
  • Vous pouvez ignorer une alerte d'erreur de rapprochement.
  • Le gestionnaire de contrôleurs d'administration racine affiche un taux d'erreur élevé.
  • Les tableaux de bord de surveillance KUB n'affichent aucune donnée.
  • Les autorisations sont mal configurées pour un rôle de débogueur d'observabilité.
  • Il manque un rôle de débogueur Grafana.
  • La suppression du projet est bloquée en raison de finaliseurs en attente pour le tableau de bord et la source de données.
  • Les métriques de KSM ne sont pas visibles par les administrateurs de projet.
  • Les alertes MON-A0001_fast et MON-A0001_slow se déclenchent dans les clusters de l'organisation

Multizone :

  • Lorsqu'une zone est inaccessible, la console GDC affiche une erreur d'authentification.

  • La liste des zones à l'aide de la CLI gdcloud n'est pas disponible par défaut.

  • Des erreurs de connexion intermittentes peuvent se produire lors de l'accès à l'URL de la console GDC globale.

Stockage d'objets :

  • Le certificat du point de terminaison de l'équilibreur de charge StorageGRID a expiré.

Mise en réseau :

  • La configuration du protocole BGP (Border Gateway Protocol) avec un numéro de système autonome (ASN) de 4 octets sur les commutateurs réseau entraîne des échecs de configuration.

  • L'activation du chiffrement de sécurité des adresses IP (IPsec) de nœud à nœud au moment de l'exécution pour une organisation existante peut entraîner des pertes de paquets réseau et des délais d'expiration de connexion.

  • Le nœud n'est pas accessible sur le réseau de données.

  • Le réseau enregistre une baisse d'environ 50% du trafic interzone entre les nœuds.

  • Les déploiements de pods StatefulSet peuvent entraîner des problèmes de connectivité.

  • Le trafic anycast mondial est bloqué par des listes de contrôle d'accès (LCA) trop restrictives.

  • La règle de réseau de projet (PNP) allow-all-egress n'autorise pas le trafic vers les points de terminaison du système.

  • Le tableau de bord des SLO pnet-cross-zone-availability n'affiche aucune métrique dans Grafana.

  • Échec du rapprochement des passerelles d'entrée du plan de données et de gestion.

  • La page des règles de réseau de projet de la console GDC n'est pas compatible avec le champ projectSelector de l'API ProjectNetworkPolicy.

  • Les modifications de configuration du commutateur réseau ne sont pas validées.

Services principaux de l'infrastructure de la suite Operations (OIC) :

  • Le jumphost n'est pas performant.

Système d'exploitation :

  • La mise à niveau de l'OS du nœud peut se bloquer à l'étape NodeOSInPlaceUpgradePostProcessingCompleted.

  • La mise à niveau du nœud de l'OS peut se bloquer lors de la création du serveur de packages.

  • Lors d'une opération gdcloud storage cp ou gdcloud system container-registry load-oci à partir d'un poste de travail OIC, il existe un faible risque de perte d'accès à org-infra, suivi de l'arrêt de kube-api de org-mgmt.

Resource Manager :

  • Les projets ne peuvent pas être supprimés de la console GDC.

  • Lors de la création d'une organisation client, le job create-ansible-playbooks qui crée les playbooks Ansible requis échoue.

  • La désactivation de l'organisation ne met pas hors service toutes les ressources provisionnées pour l'organisation.

Stockage :

  • Indisponibilité des données dans les zones des buckets birégionaux.

  • Échec de l'installation des pods en raison d'une erreur Trident mkfs.ext4.

  • La mise à niveau du nœud est bloquée.

  • L'alerte file_block_zombie_luns_present se déclenche constamment.

  • Alertes bruyantes dans la console de gestion StorageGRID.

Artifact Registry du système :

  • Les jobs de réplication d'artefacts Harbor sont bloqués.

  • Une fausse alarme peut être déclenchée en réponse à des erreurs temporaires lors du rapprochement de la ressource HarborRobotAccount.

  • Il s'agit d'une fausse alerte pour l'alerte SAR-R0003.

Système de gestion des demandes d'assistance :

  • Le serveur MID ServiceNow ne démarre pas correctement.

  • Une erreur RBAC provenant des réseaux du client peut refuser l'accès à ServiceNow.

Mise à niveau :

  • Le rapport d'assistance échoue.

  • L'ingesteur reste défectueux et n'est pas automatiquement oublié après la mise à niveau

Vertex AI :

  • Les modèles et classeurs pré-entraînés Vertex AI ne sont pas activés dans la version 1.14.3, mais seront disponibles dans la version 1.14.4.

Machines virtuelles

  • VMDisk peut afficher un état incorrect de la phase : InProgress même lorsque les opérations de disque sous-jacentes sont terminées et que le disque est prêt à être utilisé.

  • Lorsque vous créez une VM Windows à l'aide de la CLI gdcloud gdcloud compute instances create, la VM ne démarre pas en raison du type de démarrage BIOS par défaut bios et de l'absence d'options de démarrage sécurisé.

Les problèmes suivants ont été résolus :

Harbor :

  • Correction du problème de blocage du pool de nœuds à l'état Provisioning. Pour en savoir plus, consultez la section Problèmes connus.
Les modifications suivantes sont identifiées :

Core :

  • Les exigences d'interaction avec le cluster d'administrateur de l'organisation et le cluster système dans plusieurs workflows de service ont été supprimées. Le serveur d'API Management, qui est disponible pour gérer toutes les charges de travail et tous les services non conteneurisés, remplace tous les workflows de service concernés.

  • Le serveur d'API global est fourni par défaut pour les ressources gérées par le client qui sont conçues pour un déploiement mondial dans un univers GDC. Pour en savoir plus, consultez Serveurs d'API globaux et zonaux.

Marketplace :

  • Les autorisations du rôle Lecteur Marketplace sont limitées à l'affichage des services disponibles, sans accès aux instances installées ni à leurs configurations. Pour afficher la configuration des instances en cours d'exécution, les utilisateurs doivent disposer du rôle Éditeur Marketplace (marketplace-editor).

  • Une liste d'images de service Marketplace est disponible.

Resource Manager :

  • Suppression de la possibilité d'associer un cluster Kubernetes lors de la création d'un projet dans la console GDC. Vous devez associer des clusters Kubernetes à un projet depuis la page Kubernetes Engine > Clusters. Pour en savoir plus, consultez Créer un projet.

Mises à jour de version :

Machines virtuelles :

  • Mise à jour de la documentation sur les tests de performances en tant que service (PTaaS) pour inclure de nouveaux noms et descriptions des benchmarks disponibles dans PTaaS.