Google Distributed Cloud エアギャップ 1.14.3 リリースノート

2025 年 2 月 28 日

Google Distributed Cloud（GDC）エアギャップ 1.14.3 が利用可能になりました。
Distributed Cloud の機能については、プロダクトの概要をご覧ください。
次の新機能が利用可能です。

バックアップと復元:

  • 特定の VM ワークロードをターゲットとするスコープ付き VM のバックアップと復元を作成する機能を追加しました。これらの VM バックアップを手動で作成するか、定義したスケジュールでバックアップを自動的に実行するバックアップ プランを作成します。詳細については、概要をご覧ください。
  • VM のきめ細かい復元機能が追加され、特定の VM と VM ディスク リソースを復元できるようになりました。詳細については、きめ細かい復元を作成するをご覧ください。
  • クラスタのきめ細かい復元を追加しました。これにより、クラスタ バックアップからリソースのサブセットを復元できます。この機能を使用すると、復元プランで定義された復元スコープを調整できます。詳細については、きめ細かい復元を作成するをご覧ください。

請求:

  • 毎月の請求額を Argentum コンソールにアップロードする機能を追加しました。

DNS:

  • アプリケーションとサービスのニーズに合わせて、独自の一般公開 DNS ゾーンと限定公開 DNS ゾーンを作成して管理できるようになりました。DNS ゾーン内に DNS レコードを作成できます。DNS レコードの種類によって、トラフィックの転送、メールサーバーの定義、所有権の確認など、目的が異なります。詳細については、DNS ゾーンとレコードについてをご覧ください。

ファイアウォール:

  • 対称鍵を使用して GDC ファイアウォールで NTP PANW 認証を構成する機能を追加しました。

IAM:

  • ID プロバイダ、サービス アカウント、ロール バインディングを制御する IAM API は、デフォルトでグローバルであり、GDC ユニバースのすべてのゾーンにまたがっています。詳細については、マルチゾーン ユニバースの権限管理をご覧ください。

Marketplace:

  • Neo4j は GDC エアギャップ マーケットプレイスで入手できます。Neo4j は、オープンソースの NoSQL 組み込みグラフ データベースであり、アプリケーションに ACID 準拠のトランザクション バックエンドを提供します。
  • MariaDB Operator は、GDC エアギャップ マーケットプレイスで入手できます。MariaDB Operator は、サポートされている Docker イメージを使用して、MariaDB Enterprise Server と MaxScale のフリート管理と HA/DR ソリューションを提供します。
  • HashiCorp Vault（BYOL）は、Google Distributed Cloud エアギャップ マーケットプレイスで入手できます。HashiCorp Vault は、ID ベースの Secret と暗号化の管理システムです。
  • Confluent Platform（BYOL）上の Apache Kafka は、GDC エアギャップ マーケットプレイスで入手できます。Confluent Platform は、継続的なデータ ストリームへのリアルタイム アクセス、保存、管理を可能にするソリューションです。
  • Redis Software for Kubernetes（BYOL）は、GDC エアギャップ マーケットプレイスで入手できます。Redis は、高速なアプリケーションの構築とスケーリングを可能にする、世界最速のインメモリ データベースです。

MHS:

  • Managed Harbor Service（MHS）に Harbor のバックアップと復元が含まれるようになりました。Harbor インスタンスのバックアップを構成し、復元を作成します。詳細については、概要をご覧ください。
  • GDC ID を使用して Docker または Helm CLI にログインできるようにする MHS 認証情報ヘルパーを追加しました。詳細については、Docker と Helm にログインするをご覧ください。
  • Harbor インスタンス内のすべてのアーティファクトをスキャンする機能を追加しました。詳細については、脆弱性をスキャンするをご覧ください。

ロギング:

  • WAL の再生中に Loki Pod がクラッシュするか、OOMKilled が発生する。

  • log-collector と oplogs-forwarder のスクレイピングに失敗しました。

モニタリング:

  • 可視化ダッシュボードで、ゾーン間のクエリとモニタリングのサポートを追加しました。詳細については、指標のクエリと表示とログのクエリと表示をご覧ください。

  • OCLCM のノイズアラートは無視できます。

  • システム指標パイプラインが停止しています。

  • MON-A0001_fast アラートと MON-A0001_slow アラートが組織クラスタで発生している

ネットワーキング:

Resource Manager:

  • プロジェクトは、デフォルトでは GDC ユニバース内のすべてのゾーンにまたがるグローバル リソースです。詳細については、マルチゾーンの概要をご覧ください。

仮想マシン:

Rocky OS イメージのバージョンを 20250124 に更新し、最新のセキュリティ パッチと重要なアップデートを適用しました。

次のセキュリティの脆弱性が修正されました。

次の問題が確認されています。

バックアップと復元

  • GDC コンソールから RestorePlan を編集できません。

  • エージェントとコントロール プレーンの Pod がメモリ不足になると再起動し、システムの安定性に影響する可能性があります。

  • カスタム リソース定義がないため、バックアップと復元の GDC サービスレベル目標（SLO）の指標とアラートはデフォルトで有効になっていません。

  • 保持ポリシーは、インポートされたバックアップには適用されません。

  • VM の部分バックアップが失敗します。

  • ユーザー クラスタまたはサービス クラスタの削除後に、孤立したバックアップ リソースをクリーンアップします。

  • VirtualMachineRestore の削除は、CLI または UI ではサポートされていません。

  • データベース クローンやユーザー ワークロードの復元などのリソースの復元プロセスが、永続ボリューム クレームが保留中であるために停止し、最終的にタイムアウトします。

クラスタ管理

  • コントロール プレーン ノードの再作成後、ユーザー クラスタが調整中または異常な状態のままになる。

  • kub-gpu-controller サブコンポーネントは gdchservices 組織に対して調整されません。

  • Standard クラスタから古いノードプールを削除できない。標準クラスタは限定公開プレビュー版であり、すべてのお客様が利用できるわけではありません。

データベース サービス

  • 削除（復元可能）されたデータベース クラスタが、作成直後に削除されると、DBClusterReconciling 状態で停止します。

  • gdcloud stop database コマンドが完了するまでに時間がかかります。

DNS

  • GlobalCustomerRootDNSServerNotReachable を示唆する誤った DNS アラートが生成されます。

ファイアウォール

  • アップグレード後に、以前のファイアウォール ルールによって組織からルート管理者へのトラフィックがブロックされることがあります。

  • 組織は、グローバル UI コンソールの DNS を介してアクセスできません。

  • OCITTopology カスタム リソースがデプロイされると、OIR と GDC の管理プレーンとデータプレーン間の接続が切断されます。

  • クロスゾーンの組織間トラフィックは、GDC ファイアウォールによってデフォルトでブロックされます。

  • AttachmentGroup がデプロイされた後、その AttachmentGroup オブジェクトの identifier フィールドが orgName と同じ場合、ファイアウォールはこのオブジェクトを解析できず、ファイアウォール構成の更新が停止します。

在庫

  • 在庫監査で不一致が検出されました。

ハードウェア セキュリティ モジュール:

  • 無効になったトライアル ライセンスは CipherTrust Manager で引き続き検出され、誤った有効期限警告がトリガーされます。

  • 起動後に HSM が ValidateNetworkConfig エラーで失敗する問題が発生します。このエラーにより、HSM カスタム リソースが Ready 状態になりません。

  • ファイル記述子のリークにより、ServicesNotStarted エラーが発生します。

健康:

  • SLO API のラベル付けの問題により、複数のコンポーネントで SLO アラートに関する 30 件以上の誤ったアラームがトリガーされる可能性があります。

Identity and Access Management:

  • zonalRules セクションを含む CustomRole リソースでは、権限が確実に付与されない場合があります。

  • ルート CA のローテーション後に OPA Gatekeeper の信頼の問題が発生すると、新しいプロジェクトで IAM ロールを作成できなくなります。

  • 生成された IAM ロール バインディング名が 63 文字を超えると、ロール バインディングは失敗します。

  • プロジェクト サービス アカウント（PSA）は、organization-iam-admin ロールを持つ自身または他の PSA に IAM ロール バインディングを割り当てることができません。

  • 新しいプロジェクトで、事前定義ロールの作成に遅延が発生します。

  • アプリケーション オペレーターは、インフラストラクチャ クラスタのロールへのアクセス権を自分自身に付与できません。

  • 既存のサービス アカウント トークンが無効になります。

Infrastructure as Code（IaC）

  • 名前空間がないため、サブコンポーネントの調整に失敗します。
  • IAC ConfigSync の指標の収集が失敗します。
  • IAC ルート同期が失敗します。

鍵管理システム:

  • KMS サーバーでパフォーマンスの問題が発生し、ワークロードが重い場合に OOMKilling が発生することがあります。

  • kms-rootkey-controller のメモリ使用量が 1100Mi の上限を超えると、OOMKilled ステータスにより、コントローラは CrashLoopBackOff に入ります。

  • CTM ルート鍵を使用するように構成された KMS は、HSM が使用できない場合にフェイルオーバーしません。

  • 監査ログがエフェメラル ストレージをいっぱいにしているため、ルート組織の KMS Pod がクラッシュする可能性があります。

ロードバランサ:

  • グローバル サブネットの IP アドレスが不足しているため、グローバル ロードバランサの作成に失敗します。
  • ロードバランサ オブジェクトが Ready 状態にならない。

  • 構成済みのロードバランサの変更はまだサポートされていません。

  • グローバル BackendService リソースは、正しくないゾーン名を拒否しません。

  • Webhook エラーは、ゾーン ロードバランサとグローバル ロードバランサの両方で発生する可能性があります。

MHS:

  • Managed Harbor Service（MHS）のバックアップと復元オペレーションの後、CLI シークレットは復元された Harbor インスタンスで無効になり、再度作成する必要があります。
  • 複数の Harbor インスタンスが異なるユーザー プロジェクトに存在する場合、バックアップと復元のオペレーションがロールベース アクセス制御と競合し、失敗率が高くなります。
  • Harbor のバックアップと復元では、バックアップ サイズは実装されていません。GDC コンソールでは、[SizeBytes] フィールドに 0 の値が表示され、[サイズ] 列に 0 MB の値が表示されます。
  • GDC コンソールで [Harbor Container Registry] ページを表示するときに、必要な Harbor インスタンス管理者権限がないユーザーは、バックアップ リソースを取得するときにエラー メッセージが表示されます。
  • データベースのパスワード ローテーションが停止しています。

モニタリング:

  • AlertManager Webhook が、一部のクラスタのアラートとインシデント通知を送信できない。
  • インシデントが作成時に重複することがあります。
  • ルート管理者クラスタで 2 つのモニタリング誤アラートが開いています。
  • 調整エラーのアラートは無視してかまいません。
  • ルート管理者コントローラ マネージャーのエラー率が高い。
  • KUB モニタリング ダッシュボードにデータが表示されない。
  • オブザーバビリティ デバッガのロールの権限が正しく構成されていません。
  • Grafana デバッガロールがありません。
  • ダッシュボードとデータソースのファイナライザが保留中のため、プロジェクトの削除が停止しています。
  • KSM の指標は PA に表示されません。
  • MON-A0001_fast アラートと MON-A0001_slow アラートが組織クラスタで発生している

マルチゾーン:

  • ゾーンにアクセスできない場合、GDC コンソールに認証エラーが表示されます。

  • gdcloud CLI を使用したゾーンの一覧表示は、デフォルトでは使用できません。

  • グローバル GDC コンソール URL にアクセスすると、断続的にログインエラーが発生することがあります。

オブジェクト ストレージ:

  • StorageGRID ロードバランサのエンドポイント証明書の有効期限が切れています。

ネットワーキング:

  • ネットワーク スイッチで 4 バイトの自律システム番号（ASN）を使用して Border Gateway Protocol（BGP）を構成すると、構成エラーが発生します。

  • 既存の組織のランタイムでノード間 IP アドレス セキュリティ（IPsec）暗号化を有効にすると、ネットワーク パケットのドロップや接続タイムアウトが発生する可能性があります。

  • データ ネットワークでノードにアクセスできません。

  • ネットワークでは、ノード間のゾーン間トラフィックが約 50% 減少します。

  • StatefulSet Pod のロールアウトにより、接続の問題が発生する可能性があります。

  • グローバル エニーキャスト トラフィックが、過度に制限されたアクセス制御リスト（ACL）によってブロックされている。

  • allow-all-egress プロジェクト ネットワーク ポリシー（PNP）では、システム エンドポイントへのトラフィックが許可されていません。

  • pnet-cross-zone-availability SLO ダッシュボードに Grafana の指標が表示されない。

  • データプレーンと管理 Ingress ゲートウェイの調整に失敗します。

  • GDC コンソールのプロジェクト ネットワーク ポリシー ページは、ProjectNetworkPolicy API の projectSelector フィールドをサポートしていません。

  • ネットワーク スイッチの構成変更が commit されていない。

Operations Suite Infrastructure Core Services（OIC）:

  • 踏み台ホストのパフォーマンスが低い。

オペレーティング システム:

  • OS NodeUpgrade が NodeOSInPlaceUpgradePostProcessingCompleted ステップで停止することがあります。

  • OS NodeUpgrade がパッケージ サーバーの作成で停止することがあります。

  • OIC ワークステーションから gdcloud storage cp または gdcloud system container-registry load-oci オペレーションを実行すると、org-infra へのアクセスが失われ、org-mgmt の kube-api が停止する可能性があります。

Resource Manager:

  • プロジェクトは GDC コンソールから削除できません。

  • 顧客組織を作成するときに、必要な Ansible ハンドブックを作成するジョブ create-ansible-playbooks が失敗します。

  • 組織を無効にしても、組織にプロビジョニングされたすべてのリソースが廃止されるわけではありません。

ストレージ:

  • デュアルゾーン バケットのゾーン間でデータが利用できない。

  • Trident mkfs.ext4 エラーが原因で Pod をマウントできない。

  • ノードのアップグレードがブロックされます。

  • file_block_zombie_luns_present アラートが常に発生します。

  • StorageGRID 管理コンソールにノイズの多いアラートが表示される。

システム Artifact Registry:

  • Harbor アーティファクト レプリケーション ジョブが停止する。

  • HarborRobotAccount リソースの調整中に一時的なエラーが発生すると、誤ったアラームがトリガーされることがあります。

  • SAR-R0003 アラートの誤検知があります。

チケット発行システム:

  • ServiceNow MID サーバーが正常に起動しない。

  • お客様のネットワークからの RBAC エラーにより、ServiceNow へのアクセスが拒否されることがあります。

アップグレード:

  • サポート レポートが失敗します。

  • Ingester が異常な状態のままで、アップグレード後に自動的に削除されない

Vertex AI:

  • Vertex AI の事前トレーニング済みモデルとワークブックは、バージョン 1.14.3 では有効になっていませんが、1.14.4 で利用可能になります。

Virtual Machines

  • VMDisk では、基盤となるディスク オペレーションが完了し、ディスクを使用できる状態であっても、Phase: InProgress のステータスが正しく表示されないことがあります。

  • gdcloud CLI CLI gdcloud compute instances create を使用して Windows VM を作成すると、デフォルトの BIOS ブートタイプ bios とセキュアブート フラグがないため、VM の起動に失敗します。

次の問題が修正されました。

Harbor:

  • ノードプールが Provisioning の状態で停止する問題を修正しました。詳細については、既知の問題をご覧ください。
次の変更が特定されます。

コア:

  • 複数のサービス ワークフローで組織管理クラスタとシステム クラスタを操作するための要件が削除されました。Management API サーバーは、コンテナ以外のすべてのワークロードとサービスを管理するために使用でき、影響を受けるすべてのサービス ワークフローの代替として機能します。

  • グローバル API サーバーは、GDC ユニバース全体にグローバルにデプロイされるように設計された、お客様管理のリソースにデフォルトで提供されます。詳細については、グローバル API サーバーとゾーン API サーバーをご覧ください。

Marketplace:

  • Marketplace 閲覧者のロール権限は、利用可能なサービスの表示のみに制限されており、インストールされたインスタンスやその構成にはアクセスできません。実行中のインスタンスの構成を表示するには、ユーザーに Marketplace 編集者（marketplace-editor）ロールが必要です。

  • Marketplace サービス イメージのリストが用意されています。

Resource Manager:

  • GDC コンソールでプロジェクトを作成するときに Kubernetes クラスタを接続する機能を削除しました。Kubernetes クラスタをプロジェクトに接続するには、[Kubernetes Engine] > [クラスタ] ページから行う必要があります。詳細については、プロジェクトを作成するをご覧ください。

バージョンの更新:

仮想マシン:

  • Performance Test as a Service（PTaaS）のドキュメントを更新し、PTaaS で使用可能なベンチマークの新しい名前と説明を追加しました。