הערות לגבי הגרסה Google Distributed Cloud במודל Air-gapped 1.14.3

‫28 בפברואר 2025

‫Google Distributed Cloud‏ (GDC) במודל Air-gapped 1.14.3 זמין.
בסקירה הכללית על המוצר אפשר לקרוא על התכונות של Distributed Cloud.
התכונות החדשות הבאות זמינות:

גיבוי ושחזור:

  • נוספה האפשרות ליצור גיבויים של מכונות וירטואליות בהיקף מוגבל ולשחזר אותם למכונות וירטואליות ספציפיות. אפשר ליצור את הגיבויים האלה של מכונות וירטואליות באופן ידני, או ליצור תוכניות גיבוי שמבצעות גיבויים באופן אוטומטי לפי לוח זמנים שאתם מגדירים. מידע נוסף זמין במאמר סקירה כללית.
  • נוספו שחזורים של מכונות וירטואליות ברמת גרנולריות גבוהה, שמאפשרים לשחזר משאבים ספציפיים של מכונות וירטואליות ודיסקים של מכונות וירטואליות. מידע נוסף זמין במאמר בנושא יצירת שחזור ברמת גרנולריות גבוהה.
  • נוספו שחזורים מפורטים של אשכולות, שמאפשרים לשחזר קבוצת משנה של משאבים מגיבוי של אשכול. התכונה הזו מאפשרת לשנות את היקף השחזור שהוגדר בתוכנית השחזור. מידע נוסף זמין במאמר בנושא יצירת שחזור ברמת גרנולריות גבוהה.

חיוב:

  • הוספנו את האפשרות להעלות עלויות חיוב חודשיות למסוף Argentum.

‫DNS:

  • מעכשיו אפשר ליצור ולנהל אזורי DNS ציבוריים ופרטיים משלכם כדי להתאים אותם לצרכים של האפליקציות והשירותים שלכם. בתחום DNS, אפשר ליצור רשומות DNS. לסוגים שונים של רשומות DNS יש מטרות שונות, כמו ניהול תנועה, הגדרת שרתי דואר ואימות בעלות. מידע נוסף זמין במאמר מידע על אזורי DNS ורשומות.

Firewall:

  • הוספנו את האפשרות להגדיר אימות NTP PANW בחומות אש של GDC באמצעות מפתחות סימטריים.

‫IAM:

  • ממשקי IAM API ששולטים בספקי זהויות, בחשבונות שירות ובקישורי תפקידים הם גלובליים כברירת מחדל, ופועלים בכל האזורים ביקום GDC. מידע נוסף זמין במאמר בנושא שליטה בהרשאות ביקום מרובה אזורים.

Marketplace:

  • ‫Neo4j זמין ב-GDC Marketplace עם air gap. ‫Neo4j הוא מסד נתונים גרפי מובנה, בקוד פתוח, NoSQL, שמספק קצה עורפי טרנזקציוני שתואם ל-ACID עבור האפליקציות שלכם.
  • ‫MariaDB Operator זמין ב-GDC Marketplace עם air gap. ‫MariaDB Operator משתמש בקובצי אימג' נתמכים של Docker כדי לספק פתרון לניהול צי ו-HA/DR ל-MariaDB Enterprise Server ול-MaxScale.
  • ‫HashiCorp Vault (BYOL) זמין ב-Google Distributed Cloud במודל Air-gapped Marketplace. ‫HashiCorp Vault היא מערכת לניהול סודות והצפנה שמבוססת על זהויות.
  • ‫Apache Kafka ב-Confluent Platform (BYOL) זמין ב-GDC Marketplace עם פער אוויר. Confluent Platform הוא פתרון שמאפשר גישה בזמן אמת לזרמי נתונים רציפים, אחסון שלהם וניהול שלהם.
  • תוכנת Redis ל-Kubernetes (BYOL) זמינה ב-GDC Marketplace עם פערים באבטחה. ‫Redis הוא מסד הנתונים בזיכרון המהיר ביותר בעולם, שמאפשר לבנות ולהרחיב אפליקציות מהירות.

‫MHS:

  • שירות Managed Harbor Service‏ (MHS) כולל עכשיו גיבוי ושחזור של Harbor. הגדרת גיבויים ויצירת שחזורים למופעי Harbor. מידע נוסף זמין במאמר סקירה כללית.
  • נוסף כלי עזר לפרטי כניסה של MHS שמאפשר להשתמש בזהות GDC כדי להיכנס אל Docker או Helm CLI. מידע נוסף זמין במאמר בנושא כניסה ל-Docker ול-Helm.
  • נוספה האפשרות לסרוק את כל הארטיפקטים במופע של Harbor. מידע נוסף מופיע במאמר בנושא סריקה לאיתור פגיעויות.

רישום ביומן:

  • ה-pod של Loki קורס או נהרג על ידי OOM במהלך הפעלה חוזרת של WAL.

  • הגירוד נכשל עבור log-collector ו-oplogs-forwarder.

מעקב:

רשת:

‫מנהל המשאבים:

מכונות וירטואליות:

עדכנו את גרסת תמונת מערכת ההפעלה Rocky ל-20250124 כדי להחיל את תיקוני האבטחה האחרונים ואת העדכונים החשובים.

תוקנו נקודות החולשה הבאות באבטחה:

הבעיות הבאות זוהו:

גיבוי ושחזור

  • העריכה של RestorePlan ממסוף GDC לא תקינה.

  • יכול להיות שפודים של סוכנים ושל מישור הבקרה יופעלו מחדש אם ייגמר להם הזיכרון, מה שישפיע על היציבות של המערכת.

  • מדדים והתראות של יעדים למדידת רמת השירות (SLO) ב-GDC לגיבוי ולשחזור לא מופעלים כברירת מחדל בגלל הגדרות חסרות של משאבים בהתאמה אישית.

  • כללי מדיניות שמירת הנתונים לא חלים על גיבויים מיובאים.

  • גיבויים חלקיים של מכונות וירטואליות נכשלים.

  • ניקוי משאבי גיבוי יתומים אחרי מחיקה של משתמש או של אשכול שירות.

  • אי אפשר למחוק את VirtualMachineRestore דרך CLI או ממשק משתמש.

  • תהליך השחזור של משאב, כמו שיבוט של מסד נתונים או שחזור של עומס עבודה של משתמש, נתקע ובסופו של דבר מגיע לזמן קצוב לתפוגה בגלל בקשה ממתינה של נפח אחסון קבוע.

ניהול אשכולות

  • רכיב המשנה kub-gpu-controller לא מסתנכרן עם הארגון gdchservices.

  • הסרה של מאגרי צמתים שיצאו משימוש מאשכולות רגילים נכשלת. אשכולות רגילים נמצאים בשלב של תצוגה מקדימה פרטית, ויכול להיות שהם לא יהיו זמינים לכל הלקוחות.

שירותי מסדי נתונים

  • אשכולות של מסדי נתונים שנמחקים מיד אחרי שהם נוצרים נתקעים במצב DBClusterReconciling.

  • הפקודה gdcloud stop database נמשכת זמן רב מדי.

DNS

  • מופעלת התראת DNS שגויה עם ההצעה GlobalCustomerRootDNSServerNotReachable.

חומת אש

  • יכול להיות שכללים קודמים של חומת אש יחסמו תעבורת נתונים מהארגון לאדמין הראשי אחרי השדרוג.

  • אי אפשר להגיע לארגון דרך ה-DNS של מסוף ממשק המשתמש הגלובלי.

  • אחרי פריסת המשאב המותאם אישית OCITTopology, הקישוריות בין OIR לבין מישור הניהול ומישור הנתונים של GDC נקטעת.

  • חומות האש של GDC חוסמות כברירת מחדל תעבורה בין אזורים ובין ארגונים.

  • אחרי פריסת AttachmentGroup, אם השדה identifier באובייקט AttachmentGroup זה זהה ל-orgName, חומת האש לא מצליחה לנתח את האובייקט הזה והעדכון של הגדרות חומת האש נתקע.

מלאי

  • הביקורת על מלאי שטחי הפרסום לא מצליחה להתבצע.

מודול אבטחה בחומרה:

  • רישיונות ניסיון שהושבתו עדיין ניתנים לזיהוי ב-CipherTrust Manager, מה שגורם להפעלת אזהרות שגויות על תפוגה.

  • יש בעיה שבה מודולי HSM נכשלים עם שגיאת ValidateNetworkConfig אחרי הפעלה. השגיאה הזו מונעת את המעבר של משאבי ה-HSM המותאמים אישית למצב Ready.

  • דליפת מתאר קובץ גורמת לשגיאה ServicesNotStarted.

בריאות:

  • יכול להיות שהמערכת תפעיל יותר מ-30 אזעקות שווא לגבי התראות על SLO בכמה רכיבים בגלל בעיה בתוויות של SLO API.

ניהול זהויות והרשאות גישה:

  • יכול להיות שמשאב CustomRole שכולל קטע zonalRules לא ייתן הרשאות באופן מהימן.

  • בעיה ב-OPA Gatekeeper שקשורה למהימנות אחרי רוטציה של רשות אישורים (CA) בסיסית מונעת יצירה של תפקיד IAM בפרויקטים חדשים.

  • קישורי תפקידים נכשלים אם השמות של קישורי תפקידי IAM שנוצרו חורגים מ-63 תווים.

  • חשבונות שירות של פרויקטים (PSA) לא יכולים להקצות לעצמם או לחשבונות PSA אחרים את תפקיד ה-IAM‏ organization-iam-admin.

  • בפרויקטים חדשים יש עיכובים ביצירת תפקידים מוגדרים מראש.

  • מפעילים של אפליקציות לא יכולים להעניק לעצמם גישה לתפקידים בתשתית של האשכול.

  • הטוקנים הקיימים של חשבונות השירות הופכים ללא תקפים.

תשתית כקוד (IaC)

  • רכיב משנה נכשל בהתאמה בגלל מרחב שמות חסר.
  • איסוף המדדים של IAC ConfigSync נכשל.
  • הסנכרון של שורש ה-IAC נכשל.

מערכת לניהול מפתחות:

  • יכול להיות שיהיו בעיות בביצועים של שרתי KMS ושהם יחוו OOMKilling בעומסי עבודה כבדים.

  • כשהשימוש בזיכרון kms-rootkey-controller חורג מהמגבלה 1100Mi, הבקר עובר למצב CrashLoopBackOff בגלל סטטוס OOMKilled.

  • מערכת KMS שמגדירים בה שימוש במפתח Root של CTM לא עוברת לגיבוי אם HSM לא זמין.

  • יכול להיות שפודים של KMS בארגון הבסיס יקרסו בגלל שיומני הביקורת ממלאים את האחסון הזמני.

מאזני עומסים:

  • יצירת מאזן עומסים גלובלי נכשלת בגלל שלא קיימות מספיק כתובות IP ברשתות משנה גלובליות.
  • אובייקטים של איזון עומסים לא נכנסים למצב Ready.

  • עדיין אין תמיכה בשינוי של מאזני עומסים אחרי שהם מוגדרים.

  • המשאב הגלובלי BackendService לא דוחה שמות אזורים שגויים.

  • שגיאת webhook יכולה להתרחש גם במאזני עומסים אזוריים וגם במאזני עומסים גלובליים.

‫MHS:

  • אחרי פעולת גיבוי ושחזור של Managed Harbor Service‏ (MHS), הסודות של ה-CLI הופכים ללא תקפים עבור מופע Harbor ששוחזר, וצריך ליצור אותם מחדש.
  • אם יש כמה מופעים של Harbor בפרויקטים שונים של משתמשים, פעולות הגיבוי והשחזור מתחרות על אמצעי בקרת גישה מבוססי-תפקידים, ושיעור הכשלים גבוה.
  • הגודל של הגיבוי לא מיושם בגיבוי ובשחזור של Harbor. במסוף GDC, בשדה SizeBytes מוצג הערך 0 ובעמודה Size מוצג הערך 0 MB.
  • כשמשתמשים שאין להם את ההרשאה הדרושה של אדמין במופע Harbor מנסים לאחזר משאבי גיבוי בדף Harbor Container Registry במסוף GDC, מוצגת להם הודעת שגיאה.
  • החלפת הסיסמה של מסד הנתונים נתקעה.

מעקב:

  • ה-webhook של AlertManager לא מצליח לשלוח התראות והודעות על אירועים עבור חלק מהאשכולות.
  • לפעמים, אירועים משוכפלים כשהם נוצרים.
  • שתי התראות שווא על מעקב פתוחות באשכול האדמין הראשי.
  • אפשר להתעלם מהתראת שגיאה בהתאמה.
  • במנהל בקרים של אדמין העל מוצג שיעור שגיאות גבוה.
  • בלוחות הבקרה של KUB Monitoring לא מוצגים נתונים.
  • ההרשאות לא מוגדרות נכון לתפקיד של מאתר באגים של יכולת התבוננות.
  • חסר תפקיד של מאתר באגים ב-Grafana.
  • המחיקה של הפרויקט נתקעת בגלל לוחות בקרה ומקורות נתונים שממתינים לסיום הפעולות.
  • המדדים מ-KSM לא גלויים למנהלי חשבונות.
  • התראות MON-A0001_fast ו-MON-A0001_slow מופעלות באשכולות של הארגון

בכמה אזורים:

  • כשאי אפשר לגשת לאזור, מוצגת במסוף GDC שגיאת אימות.

  • האפשרות להציג רשימה של אזורים באמצעות ה-CLI של gdcloud לא זמינה כברירת מחדל.

  • יכול להיות שיהיו שגיאות לסירוגין בכניסה כשניגשים לכתובת ה-URL של מסוף GDC הגלובלי.

אחסון אובייקטים:

  • פג התוקף של אישור נקודת הקצה של מאזן העומסים של StorageGRID.

רשת:

  • הגדרת פרוטוקול Border Gateway ‏ (BGP) עם מספר מערכת אוטונומית (ASN) של 4 בייט במתגי רשת מובילה לכשלים בהגדרה.

  • הפעלת הצפנה של כתובות IP (IPsec) בזמן הריצה של צומת לצומת בארגון קיים עלולה לגרום להפסקות של חבילות ברשת ולפסק זמן בחיבור.

  • אין אפשרות להגיע לצומת ברשת הנתונים.

  • תנועת הנתונים ברשת יורדת בכ-50% בין צמתים באזורים שונים.

  • השקות של StatefulSet pods עלולות לגרום לבעיות בקישוריות.

  • התנועה הגלובלית של שיטת ה-Anycast נחסמת על ידי רשימות של בקרת גישה (ACL) שמגבילות מדי.

  • מדיניות הרשת של הפרויקט (PNP) ‏allow-all-egress לא מאפשרת תעבורה לנקודות קצה של המערכת.

  • pnet-cross-zone-availability במרכז הבקרה של SLO לא מוצגים מדדים ב-Grafana.

  • שערי הכניסה של מישור הנתונים ומישור הניהול לא מסתנכרנים.

  • הדף של מדיניות הרשת של הפרויקט במסוף GDC לא תומך בשדה projectSelector ב-ProjectNetworkPolicy API.

  • שינויים בהגדרות של מתג הרשת לא מתבצעים.

שירותי ליבה של תשתית Operations Suite (OIC):

  • ביצועי ה-jumphost נמוכים.

מערכת הפעלה:

  • יכול להיות שהשדרוג של הצומת במערכת ההפעלה ייעצר בשלב NodeOSInPlaceUpgradePostProcessingCompleted.

  • יכול להיות שהשדרוג של הצומת במערכת ההפעלה ייתקע בשלב של יצירת שרת החבילות.

  • במהלך פעולה של gdcloud storage cp או gdcloud system container-registry load-oci מתחנת עבודה של OIC, יש סיכוי קל שהגישה אל org-infra תאבד ואחריה kube-api של org-mgmt יושבת.

‫מנהל המשאבים:

  • אי אפשר למחוק פרויקטים במסוף GDC.

  • כשיוצרים ארגון לקוחות, המשימה create-ansible-playbooks שיוצרת את קובצי ה-playbook הנדרשים של Ansible נכשלת.

  • השבתה של ארגון לא גורמת להוצאה משימוש של כל המשאבים שהוקצו לארגון.

אחסון:

  • הנתונים לא זמינים באזורים שונים בקטגוריות עם שני אזורים.

  • התקנת ה-Pods נכשלת בגלל שגיאת Trident‏ mkfs.ext4.

  • שדרוג הצומת נחסם.

  • file_block_zombie_luns_present ההתראה מופעלת כל הזמן.

‫System Artifact Registry:

  • משימות השכפול של פריטי מידע שנוצרו בתהליך פיתוח (Artifact) ב-Harbor נתקעות.

  • אזעקת שווא יכולה להיות מופעלת בתגובה לשגיאות זמניות במהלך תהליך ההתאמה של משאב HarborRobotAccount.

  • התקבלה התראת שווא לגבי התראה מספר SAR-R0003.

מערכת כרטיסים:

  • השרת ServiceNow MID לא מופעל כראוי.

  • שגיאת RBAC מרשתות של לקוחות עלולה למנוע גישה ל-ServiceNow.

שדרוג:

  • דוח התמיכה נכשל.

  • הכלי להעברת נתונים נשאר במצב לא תקין ולא נשכח אוטומטית אחרי השדרוג

‫Vertex AI:

  • מודלים שעברו אימון מראש וחוברות עבודה של Vertex AI לא מופעלים בגרסה 1.14.3, אבל יהיו זמינים בגרסה 1.14.4.

‫Virtual Machines

  • יכול להיות ש-VMDisk יציג סטטוס שגוי של שלב: InProgress גם כשפעולות הדיסק הבסיסיות מסתיימות והדיסק מוכן לשימוש.
הבעיות הבאות תוקנו:

Harbor:

  • נפתרה הבעיה שגרמה לכך שמאגר הצמתים נתקע במצב Provisioning. מידע נוסף זמין במאמר בעיות מוכרות.
השינויים הבאים זוהו:

Core:

  • הדרישות לאינטראקציה עם אשכול מנהל החשבון הארגוני ואשכול המערכת הוסרו מכמה תהליכי עבודה של שירותים. שרת Management API, שזמין לניהול כל עומסי העבודה והשירותים שאינם קונטיינרים, משמש כתחליף לכל תהליכי העבודה של השירותים המושפעים.

  • שרת ה-API הגלובלי מסופק כברירת מחדל למשאבים שמנוהלים על ידי הלקוח ומיועדים לפריסה גלובלית ביקום GDC. מידע נוסף זמין במאמר בנושא שרתי API גלובליים ואזוריים.

Marketplace:

  • ההרשאות של התפקיד Marketplace Viewer מוגבלות לצפייה בשירותים הזמינים בלבד, ללא גישה למופעים המותקנים או להגדרות שלהם. כדי לראות את ההגדרות של מופעים פעילים, המשתמשים צריכים לקבל את תפקיד העריכה ב-Marketplace ‏ (marketplace-editor).

  • רשימה של תמונות שירות מ-Marketplace

‫מנהל המשאבים:

  • הוסרה האפשרות לצרף אשכול Kubernetes כשיוצרים פרויקט במסוף GDC. צריך לצרף אשכולות Kubernetes לפרויקט מהדף Kubernetes Engine > Clusters. מידע נוסף זמין במאמר יצירת פרויקט.

עדכוני גרסה:

מכונות וירטואליות:

  • עדכנו את התיעוד של בדיקת הביצועים כשירות (PTaaS) כדי לכלול שמות ותיאורים חדשים של נקודות ההשוואה שזמינות ב-PTaaS.