הערות לגבי הגרסה Google Distributed Cloud במודל Air-gapped 1.14.3

‫28 בפברואר 2025

גרסה 1.14.3 של Google Distributed Cloud (GDC) air-gapped זמינה.
בסקירה הכללית של המוצר מפורטות התכונות של Distributed Cloud.
התכונות החדשות הבאות זמינות:

גיבוי ושחזור:

  • הוספנו את האפשרות ליצור גיבויים ושחזורים של VM ברמת היקף כדי לטרגט עומסי עבודה ספציפיים של VM. אפשר ליצור את הגיבויים האלה של המכונות הווירטואליות באופן ידני, או ליצור תוכניות גיבוי שמבצעות גיבויים באופן אוטומטי לפי לוח זמנים שאתם מגדירים. מידע נוסף זמין במאמר סקירה כללית.
  • הוספנו שחזורים ברמת פירוט גבוהה של מכונות וירטואליות, שמאפשרים לשחזר משאבים ספציפיים של מכונות וירטואליות ודיסקים של מכונות וירטואליות. מידע נוסף זמין במאמר יצירת שחזור פרטני.
  • הוספנו שחזורים מפורטים של אשכולות, שמאפשרים לשחזר קבוצת משנה של משאבים מגיבוי של אשכול. התכונה הזו מאפשרת לשנות את היקף השחזור שהוגדר בתוכנית השחזור. מידע נוסף זמין במאמר יצירת שחזור פרטני.

חיוב:

  • הוספנו את האפשרות להעלות עלויות חיוב חודשיות למסוף Argentum.

DNS:

  • עכשיו אתם יכולים ליצור ולנהל תחומים ציבוריים ופרטיים ב-DNS בהתאם לצרכים של האפליקציות והשירותים שלכם. בתוך תחום DNS, אתם יכולים ליצור רשומות DNS. לסוגים שונים של רשומות DNS יש מטרות שונות, כמו הפניית תנועה, הגדרת שרתי אימייל ואימות בעלות. מידע נוסף זמין במאמר מידע על רשומות ותחומי DNS.

חומת אש:

  • הוספנו את האפשרות להגדיר אימות NTP PANW בחומות האש של GDC באמצעות מפתחות סימטריים.

IAM:

  • ממשקי IAM API ששולטים בספקי זהויות, בחשבונות שירות ובקישורי תפקידים הם גלובליים כברירת מחדל, וכוללים את כל האזורים ביקום של GDC. למידע נוסף, קראו את המאמר בקרת הרשאות ליקום עם כמה אזורים.

Marketplace:

  • ‫Neo4j זמין ב-Marketplace של GDC עם air gap. ‫Neo4j הוא מסד נתונים מובנה של גרפים, בקוד פתוח וב-NoSQL, שמספק קצה עורפי טרנזקציונלי שתואם ל-ACID לאפליקציות שלכם.
  • ‫MariaDB Operator זמין ב-Marketplace של GDC עם air gap. ‫MariaDB Operator משתמש בקובצי אימג' נתמכים של Docker כדי לספק פתרון לניהול צי ול-HA/DR ל-MariaDB Enterprise Server ול-MaxScale.
  • ‫HashiCorp Vault (BYOL) זמין ב-Google Distributed Cloud במודל Air-gapped marketplace. ‫HashiCorp Vault היא מערכת לניהול סודות והצפנה שמבוססת על זהויות.
  • ‫Apache Kafka on Confluent Platform (BYOL)‎ זמין ב-GDC Marketplace עם Air Gap. ‫Confluent Platform הוא פתרון שמאפשר גישה, אחסון וניהול בזמן אמת של זרמי נתונים רציפים.
  • ‫Redis Software for Kubernetes (BYOL)‎ זמין ב-Marketplace של GDC עם air gap. ‫Redis הוא מסד הנתונים בזיכרון המהיר ביותר בעולם, שמאפשר לבנות אפליקציות מהירות ולהרחיב אותן.

MHS:

  • ‫Managed Harbor Service ‏ (MHS) כולל עכשיו גיבוי ושחזור של Harbor. להגדיר גיבויים וליצור שחזורים למכונות Harbor. מידע נוסף זמין במאמר סקירה כללית.
  • הוספנו את כלי העזר לאימות של MHS, שמאפשר לכם להשתמש בזהות שלכם ב-GDC כדי להיכנס ל-Docker או ל-Helm CLI. מידע נוסף זמין במאמר כניסה ל-Docker ול-Helm.
  • הוספנו את היכולת לסרוק את כל פריטי המידע שנוצר בתהליך הפיתוח (Artifact) במופע של Harbor. למידע נוסף, קראו את המאמר סריקה לאיתור נקודות חולשה.

רישום ביומן:

  • ה-Pod של Loki קורס או נסגר בגלל מחסור בזיכרון (OOMKilled) במהלך הפעלה מחדש של WAL.

  • הגירוד נכשל ב-log-collector וב-oplogs-forwarder.

מעקב:

רשתות:

מנהל המשאבים:

מכונות וירטואליות:

גרסת קובץ האימג' של מערכת ההפעלה Rocky עודכנה ל-20250124 כדי להחיל את תיקוני האבטחה האחרונים ועדכונים חשובים.

נקודות החולשה הבאות באבטחה תוקנו:

הבעיות הבאות זוהו:

גיבוי ושחזור

  • אי אפשר לערוך RestorePlan ממסוף GDC.

  • אם הזיכרון הפנוי (OOM) של פודים של סוכנים ושל מישור הבקרה נגמר, יכול להיות שהם יופעלו מחדש, מה שישפיע על יציבות המערכת.

  • המדדים וההתראות של יעדים למדידת רמת השירות (SLO) ב-GDC לגיבוי ולשחזור לא מופעלים כברירת מחדל, כי חסרות הגדרות של משאבים בהתאמה אישית.

  • כללי מדיניות שמירת הנתונים לא חלים על גיבויים מיובאים.

  • גיבויים חלקיים של מכונות וירטואליות נכשלים.

  • ניקוי משאבי גיבוי מיותרים אחרי מחיקת משתמש או אשכול שירות.

  • אי אפשר למחוק את VirtualMachineRestore דרך CLI או ממשק המשתמש.

  • תהליך השחזור של משאב, כמו שכפול של מסד נתונים או שחזור של עומס עבודה של משתמש, נתקע ובסופו של דבר נכשל בגלל בקשה ממתינה לנפח אחסון קבוע.

ניהול אשכולות

  • אשכול המשתמש תקוע במצב של התאמה או במצב לא תקין אחרי יצירה מחדש של צומת במישור הבקרה.

  • רכיב המשנה kub-gpu-controller לא תואם לארגון gdchservices.

  • הסרת מאגרי צמתים מיושנים מאשכולות רגילים נכשלת. אשכולות רגילים נמצאים בגרסת טרום-השקה (Preview) פרטית, ויכול להיות שהם לא זמינים לכל הלקוחות.

שירותי מסדי נתונים

  • אשכולות של מסדי נתונים שנמחקו באופן זמני נתקעים במצב DBClusterReconciling כשהם נמחקים מיד אחרי היצירה.

  • לוקח הרבה זמן להשלים את הפקודה gdcloud stop database.

DNS

  • מופעלת התראת DNS שגויה שמציעה את GlobalCustomerRootDNSServerNotReachable.

חומת אש

  • כללים קודמים של חומת אש עלולים לחסום את תעבורת הנתונים מהארגון לאדמין ברמה הבסיסית (root) אחרי השדרוג.

  • אי אפשר להגיע לארגון דרך ה-DNS של מסוף ממשק המשתמש הגלובלי.

  • אחרי פריסת המשאב בהתאמה אישית של OCITTopology, הקישוריות בין OIR לבין מישור הניהול ומישור הנתונים של GDC נקטעת.

  • תנועה בין אזורים ובין ארגונים נחסמת כברירת מחדל על ידי חומות האש של GDC.

  • אחרי פריסת AttachmentGroup, אם השדה identifier באובייקט AttachmentGroup זהה ל-orgName, חומת האש לא מצליחה לנתח את האובייקט הזה והעדכון של הגדרת חומת האש נתקע.

מלאי

  • בדיקת המלאי לא תואמת לנתונים.

מודול אבטחת חומרה:

  • רישיונות ניסיון שהושבתו עדיין ניתנים לזיהוי ב-CipherTrust Manager, וגורמים להצגת אזהרות שווא על תפוגה.

  • בעיה שבה מודולי HSM נכשלים עם השגיאה ValidateNetworkConfig אחרי ההפעלה. השגיאה הזו מונעת מהמשאבים המותאמים אישית של HSM להיכנס למצב Ready.

  • זליגה של תיאור קובץ גורמת לשגיאת ServicesNotStarted.

בריאות:

  • המערכת עלולה להפעיל יותר מ-30 התראות שווא לגבי התראות SLO בכמה רכיבים, בגלל בעיה בתוויות של SLO API.

ניהול זהויות והרשאות גישה:

  • יכול להיות שמשאב CustomRole שכולל קטע zonalRules לא יעניק הרשאות באופן מהימן.

  • בעיית אמון ב-OPA Gatekeeper אחרי רוטציה של רשות אישורים בסיסית (root CA) מונעת יצירת תפקידי IAM בפרויקטים חדשים.

  • קישורי תפקידים נכשלים אם השמות שנוצרו לקישורי תפקידי IAM חורגים מ-63 תווים.

  • חשבונות שירות של פרויקטים (PSA) לא יכולים להקצות קישורי תפקידים ב-IAM לעצמם או לחשבונות PSA אחרים עם התפקיד organization-iam-admin.

  • בפרויקטים חדשים יש עיכובים ביצירת תפקידים מוגדרים מראש.

  • מפעילי אפליקציות לא יכולים להעניק לעצמם גישה לתפקידים באשכול התשתית.

  • האסימונים הקיימים של חשבונות השירות לא יהיו תקפים יותר.

תשתית כקוד (IAC)

  • רכיב משנה לא מצליח לבצע התאמה בגלל שחסר מרחב שמות.
  • איסוף המדדים של IAC ConfigSync נכשל.
  • הסנכרון של שורש ה-IAC נכשל.

מערכת לניהול מפתחות:

  • יכול להיות שיהיו בעיות בביצועים של שרתי KMS ו-OOMKilling בעומסי עבודה כבדים.

  • כשהשימוש בזיכרון של kms-rootkey-controller חורג מהמגבלה של 1100Mi, הבקר נכנס לסטטוס CrashLoopBackOff בגלל OOMKilled.

  • אם KMS מוגדר לשימוש במפתח הבסיס של CTM, הוא לא עובר למצב של יתירות כשל כש-HSM לא זמין.

  • פודים של KMS בארגון ברמה הבסיסית (root) עלולים לקרוס בגלל שיומני הביקורת ממלאים את האחסון הזמני.

מאזני עומסים:

  • יצירת מאזן עומסים גלובלי נכשלת כי אין מספיק כתובות IP ברשתות המשנה הגלובליות.
  • האובייקטים של מאזן העומסים לא נכנסים למצב Ready.

  • עדיין אין תמיכה בשינוי של מאזני עומסים אחרי שהם הוגדרו.

  • המשאב הגלובלי BackendService לא דוחה שמות שגויים של אזורים.

  • שגיאת webhook יכולה להתרחש גם במאזני עומסים אזוריים וגם במאזני עומסים גלובליים.

MHS:

  • אחרי פעולת גיבוי ושחזור של Managed Harbor Service ‏ (MHS), הסודות של ה-CLI לא תקפים למכונה המשוחזרת של Harbor וצריך ליצור אותם מחדש.
  • כשיש כמה מכונות של Harbor בפרויקטים שונים של משתמשים, פעולות הגיבוי והשחזור מתחרות על אמצעי הבקרה של הגישה שמבוססת על תפקידים, ושיעור הכשלונות גבוה.
  • גודל הגיבוי לא מוטמע בגיבוי ובשחזור של Harbor. במסוף GDC, בשדה SizeBytes מוצג הערך 0 ובעמודה Size מוצג הערך 0MB.
  • כשמשתמשים בלי הרשאת האדמין הנדרשת למכונה של Harbor פותחים את הדף Harbor Container Registry במסוף GDC, מופיעה הודעת שגיאה כשהם מנסים לאחזר משאבי גיבוי.
  • רוטציית הסיסמאות של מסד הנתונים תקועה.

מעקב:

  • ה-webhook של AlertManager לא מצליח לשלוח התראות והודעות על אירועים בחלק מהאשכולות.
  • לפעמים נוצרות תקריות כפולות.
  • שתי התראות שווא של מעקב פתוחות באשכול ברמת אדמין בסיסית (root).
  • אפשר להתעלם מהתראת שגיאה בהתאמה.
  • מנהל הבקר של מנהל המערכת ברמה הבסיסית (root) מציג שיעור שגיאות גבוה.
  • בלוחות הבקרה של KUB למעקב לא מוצגים נתונים.
  • ההרשאות לא מוגדרות נכון לתפקיד של מנפה באגים של ניראות.
  • חסר תפקיד של מנפה באגים ב-Grafana.
  • מחיקת הפרויקט תקועה כי יש פיינלייזרים בהמתנה של מרכז הבקרה ומקור הנתונים.
  • מדדים מ-KSM לא גלויים ל-PA.
  • התראות MON-A0001_fast ו-MON-A0001_slow מופעלות באשכולות של הארגון

בכמה אזורים:

  • אם אין גישה לאזור, במסוף GDC מוצגת שגיאת אימות.

  • כברירת מחדל, אי אפשר להציג רשימה של אזורים באמצעות ה-gdcloud CLI.

  • יכול להיות שיהיו שגיאות כניסה לסירוגין כשניגשים לכתובת ה-URL הגלובלית של מסוף GDC.

מאגר אובייקטים:

  • פג התוקף של אישור נקודת הקצה של מאזן העומסים של StorageGRID.

רשתות:

  • הגדרת Border Gateway Protocol ‏ (BGP) עם מספר מערכת אוטונומית (ASN) של 4 בייטים במתגי רשת מובילה לכשלים בהגדרה.

  • הפעלת הצפנת אבטחה (IPsec) של כתובת IP מצומת לצומת בזמן הריצה בארגון קיים עלולה לגרום לאובדן מנות ברשת ולזמן קצוב לתפוגה של החיבור.

  • אי אפשר להגיע לצומת ברשת הנתונים.

  • ברשת יש ירידה של כ-50% בתנועה בין אזורים שונים בין צמתים.

  • השקות של Pod ב-StatefulSet עלולות לגרום לבעיות בקישוריות.

  • תנועת anycast גלובלית נחסמת על ידי רשימות של בקרת גישה (ACL) מגבילות מדי.

  • מדיניות הרשת של הפרויקט (PNP) ב-allow-all-egress לא מאפשרת תנועה לנקודות קצה של המערכת.

  • בלוח הבקרה של pnet-cross-zone-availability SLO לא מוצגים מדדים ב-Grafana.

  • שערי הכניסה של מישור הנתונים ושל הניהול לא מצליחים להתאים.

  • בדף מדיניות הרשת של הפרויקט במסוף GDC אין תמיכה בשדה projectSelector ב-ProjectNetworkPolicy API.

  • שינויים בהגדרות של מתג הרשת לא נשמרים.

שירותי ליבה של תשתית Operations Suite‏ (OIC):

  • הביצועים של ה-jumphost לא טובים.

מערכת הפעלה:

  • יכול להיות ש-OS NodeUpgrade ייתקע בשלב NodeOSInPlaceUpgradePostProcessingCompleted.

  • יכול להיות ששדרוג הצומת של מערכת ההפעלה ייתקע במהלך יצירת שרת החבילות.

  • במהלך פעולת gdcloud storage cp או gdcloud system container-registry load-oci מתחנת עבודה של OIC, יש סיכוי קטן שהגישה אל org-infra תאבד, ואז kube-api של org-mgmt יושבת.

מנהל המשאבים:

  • אי אפשר למחוק פרויקטים ממסוף GDC.

  • כשיוצרים ארגון של לקוח, המשימה create-ansible-playbooks שיוצרת את ספרי ההדרכה הנדרשים של Ansible נכשלת.

  • השבתת הארגון לא משביתה את כל המשאבים שהוקצו לארגון.

אחסון:

  • חוסר זמינות של נתונים באזורים בקטגוריות של שני אזורים.

  • הפודים לא נטענים בגלל שגיאת Trident mkfs.ext4.

  • שדרוג הצומת חסום.

  • ההתראה file_block_zombie_luns_present מופעלת כל הזמן.

  • התראות רועשות במסוף הניהול של StorageGRID.

System Artifact Registry:

  • משימות שכפול של פריטי מידע שנוצרו בעזרת Harbor נתקעות.

  • התראת שווא יכולה להופיע בתגובה לשגיאות זמניות במהלך ההתאמה של המשאב HarborRobotAccount.

  • התקבלה התראת שווא לגבי ההתראה SAR-R0003.

מערכת אירועים:

  • שרת ה-MID של ServiceNow לא מתחיל לפעול כמו שצריך.

  • שגיאת RBAC מרשתות של לקוחות עלולה למנוע גישה ל-ServiceNow.

שדרוג:

  • דוח התמיכה נכשל.

  • ‫Ingester נשאר לא תקין ולא נשכח באופן אוטומטי אחרי השדרוג

Vertex AI:

  • המודלים שעברו אימון מראש וחוברות העבודה של Vertex AI לא מופעלים בגרסה 1.14.3, אבל יהיו זמינים בגרסה 1.14.4.

מכונות וירטואליות

  • יכול להיות שיוצג ב-VMDisk סטטוס שגוי של Phase: InProgress, גם כשהפעולות הבסיסיות בדיסק הסתיימו והדיסק מוכן לשימוש.

  • כשיוצרים מכונה וירטואלית של Windows באמצעות ה-CLI של gdcloud‏ gdcloud compute instances create, המכונה הווירטואלית לא מצליחה לבצע אתחול בגלל סוג ברירת המחדל של אתחול ה-BIOS‏ bios ודגלי אתחול מאובטח חסרים.

הבעיות הבאות תוקנו:

Harbor:

  • תוקנה הבעיה שבה מאגר הצמתים נתקע במצב Provisioning. מידע נוסף זמין במאמר בעיות מוכרות.
השינויים הבאים זוהו:

Core:

  • הסרנו את הדרישות לאינטראקציה עם אשכול מנהל החשבון הארגוני ואשכול המערכת בכמה תהליכי עבודה של שירותים. שרת Management API, שזמין לניהול כל עומסי העבודה והשירותים שלא מבוססים על קונטיינרים, מחליף את כל תהליכי העבודה של השירותים שהושפעו.

  • שרת ה-API הגלובלי מסופק כברירת מחדל למשאבים בניהול הלקוח, שמיועדים לפריסה גלובלית בכל סביבת GDC. מידע נוסף זמין במאמר שרתי API גלובליים ואזוריים.

Marketplace:

  • ההרשאות של התפקיד צפייה ב-Marketplace מוגבלות לצפייה בשירותים הזמינים בלבד, ללא גישה למכונות המותקנות או להגדרות שלהן. כדי לראות את ההגדרות של מכונות פועלות, המשתמשים צריכים את התפקיד "עריכה ב-Marketplace" (marketplace-editor).

  • רשימה של קובצי אימג' של שירותי Marketplace זמינה.

מנהל המשאבים:

  • הסרנו את האפשרות לצרף אשכול Kubernetes כשיוצרים פרויקט במסוף GDC. צריך לצרף אשכולות של Kubernetes לפרויקט מהדף Kubernetes Engine > Clusters. איך יוצרים פרויקט?

עדכוני גרסאות:

מכונות וירטואליות:

  • עדכנו את המאמר "בדיקת ביצועים כשירות (PTaaS)" כך שיכלול שמות ותיאורים חדשים של נקודות ההשוואה שזמינות ב-PTaaS.