Versionshinweise zu Google Distributed Cloud mit Air Gap 1.15.1

5. Dezember 2025

Ankündigung
Google Distributed Cloud (GDC) mit Air Gap 1.15.1 ist verfügbar.
In der Produktübersicht finden Sie Informationen zu den Features von Distributed Cloud.
Feature
Die folgenden neuen Funktionen sind verfügbar:

Clusterverwaltung:

  • Die neue Standardclusterkonfiguration wurde hinzugefügt. Standardcluster sind auf ein einzelnes Projekt beschränkt. Dadurch haben Anwendungsentwickler, die auf ein Projekt beschränkt sind, direkte Kontrolle über die Funktionsweise. Weitere Informationen finden Sie unter Kubernetes-Clusterkonfigurationen.

gdcloud CLI:

  • Unterstützung für die Ausführung der gdcloud CLI unter macOS- und Windows-Betriebssystemen hinzugefügt. Weitere Informationen finden Sie unter Verfügbare gdcloud CLI-Bundles.

  • Es wurde eine Lite-Version des gdcloud CLI-Bundles für Linux hinzugefügt, die eine kleinere Binärdatei mit einer Teilmenge von gdcloud CLI-Befehlen enthält. Weitere Informationen finden Sie unter Verfügbare gdcloud CLI-Bundles.

Netzwerk

  • Mit Cloud NAT wurde eine neue NAT-Funktion für ausgehenden Traffic hinzugefügt, die viele weitere Optionen für die Konfiguration des Zugriffs von Arbeitslasten auf Ressourcen außerhalb der Organisation bietet. Weitere Informationen finden Sie unter Cloud NAT. Der zuvor verfügbare NAT-Mechanismus, der als Standard-NAT für ausgehenden Traffic des Projekts bezeichnet wird, wurde eingestellt. Nutzer werden aufgefordert, zu Cloud NAT zu migrate.

    In der Version 1.15.1 wurde die Cloud NAT-Rolle cloud-nat-manager eingestellt. Verwenden Sie stattdessen cloud-nat-developer.

  • Subnetzgruppen wurden hinzugefügt, um die Zuweisung von IP-Adressen zu vereinfachen. Mit diesem neuen Mechanismus können Sie Subnetze derselben Entität oder desselben Zwecks als Gruppe verwalten und so die Zuweisung von IP-Adressen aus großen Sätzen verwalteter Subnetze vereinfachen. Weitere Informationen finden Sie unter Subnetzgruppen.

  • Interconnect-Abo-SKUs sind als öffentliche Vorschau verfügbar. Mit diesem Feature können Organisationen physische Kapazität für Interconnect-Verbindungen reservieren und die Reservierung einem Abrechnungsprojekt zuweisen. Die Reservierung ist derzeit nur auf Vertrauensbasis und wird vom System nicht strikt erzwungen. Weitere Informationen zu Interconnect-Verbindungen finden Sie unter Verbindung mit Interconnect-Verbindungen herstellen.

  • Systemdiagnosen mit HTTP-/HTTPS-Protokollen sind jetzt verfügbar. Eine Systemdiagnose bestimmt, ob ein Endpunkt neue Anfragen oder Verbindungen empfangen kann. Ein fehlerhafter Endpunkt, der bei der Systemdiagnose erkannt wird, empfängt keinen Traffic über den Load Balancer. Weitere Informationen finden Sie unter Systemdiagnosen konfigurieren.

  • Unterstützung für das Monitoring von IP-Ressourcenstatistiken als Funktion in der Vorabversion hinzugefügt. Infrastrukturbetreiber (IO) und Plattformadministratoren (PA) können Messwerte für die Gesamtzahl, die zugewiesene Anzahl, die verfügbare Anzahl und den Prozentsatz für Subnetze von der Stamm- bis zur Blattebene sowie für Subnetzgruppen aufrufen. Informationen zum Zugriff auf Dashboards finden Sie unter Messwerte abfragen und ansehen.

  • Neu erstellte Organisationen umgehen jetzt standardmäßig den IDPS-Dienst (Intrusion Detection and Prevention System) für Kundentraffic. Bestehende Organisationen sind von dieser Änderung nicht betroffen und verwenden IDPS weiterhin gemäß ihrer bestehenden Konfiguration.

Plattformauthentifizierung:

  • Der Certificate Authority Service (CAS) unterstützt vordefinierte Zertifikatsvorlagen und bietet vorgefertigte Vorlagen zum Ausstellen von Zertifikaten für gängige Anwendungsfälle.
  • CAS unterstützt den Zertifikatswiderruf durch Veröffentlichung von Zertifikatssperrlisten (Certificate Revocation Lists, CRLs), die von Clientanwendungen geprüft werden können.

Resource Manager:

  • Projekt-Tags als Vorschaufunktion hinzugefügt. Mit Tags können Sie Projekte nach Geschäftsattributen organisieren. Weitere Informationen finden Sie unter Tags – Übersicht.

Sicherheitsdienst:

  • Der Kundentraffic zu und von neu erstellten Organisationen umgeht jetzt standardmäßig die IDPS-Prüfung.

System:

  • Veröffentlichte Systemlimits, die für GDC-Komponenten gelten. Systemlimits sind feste Werte, die nicht geändert werden können. Weitere Informationen finden Sie unter Systemlimits.

Virtuelle Maschinen:

  • NVIDIA-GPU-Unterstützung für VM-Instanzen hinzugefügt, mit der Sie verschiedene GPU-beschleunigte Arbeitslasten ausführen können, z. B. künstliche Intelligenz (KI). Weitere Informationen finden Sie unter VM-Instanz mit NVIDIA-GPUs erstellen und starten.
  • Unterstützung für H200-GPUs mit der VM-Familie a3-ultragpu hinzugefügt.
  • Tier_1-Netzwerk für VMs konfigurieren hinzugefügt. VMs mit Tier_1-Netzwerkkonfigurationen sind nützlich für große, verteilte Computing-Arbeitslasten mit einer massiven Kommunikation zwischen Knoten, wie Hochleistungs-Computing (HPC, High Performance Computing), maschinelles Lernen (ML) und Deep Learning (DL).
  • Es wurde die Möglichkeit hinzugefügt, Hochleistungs-VMs zu erstellen.
  • VM-Verfügbarkeitsprüfungen hinzugefügt, die Informationen zum VM-Status liefern.
  • Möglichkeit zum Verwalten von Paket-Repositories hinzugefügt.
Sicherheit
Die Rocky OS-Image-Version wurde auf 20250924 aktualisiert, um die neuesten Sicherheitspatches und wichtigen Updates anzuwenden.

Die folgenden Sicherheitslücken wurden behoben:

Vorgang
Die folgenden Probleme wurden erkannt:

Resource Manager:

  • Organisation befindet sich aufgrund fehlender Failover-Registry-Verteilungen im Status „Unbekannt“.

Anthos Service Mesh

  • Die Installation des ASM-Mesh-Netzwerks wird blockiert, da ein fehlerhafter Knoten die CNI-Installation verhindert.

Sichern und wiederherstellen

  • Sicherungs- und Wiederherstellungsvorgänge schlagen fehl, weil sich die Unterkomponente back-lancer-agent-user-cp nach einem Upgrade im Status ReconciliationError befindet.

  • Wiederherstellungen mit Volumes können aufgrund langsamer Datenübertragungsraten länger dauern.

  • Der Wiederherstellungsprozess für eine Ressource, z. B. einen Datenbankklon oder eine Nutzerarbeitslast, bleibt hängen und wird schließlich aufgrund einer ausstehenden PersistentVolumeClaim-Anfrage abgebrochen.

  • Nutzer können mit der GDC-Konsole keine VM-Sicherungspläne erstellen oder End-to-End-Sicherungs- und Wiederherstellungsaufgaben ausführen.

  • Der Wiederherstellungsvorgang für Clustersicherungen schlägt fehl.

Blockspeicher

  • Der Nutzer-Pod friert während der Anfrage zum Aufheben der Volume-Bereitstellung ein.

  • Ein Volume already exists-Fehler während CloneVolume wird von der Trident API nicht behoben.

  • Volumes können aufgrund inaktiver LUNs nicht angehängt werden.

  • Während des Upgrades tritt ein FailedMount-Fehler auf, da der csi.trident.netapp.io-Treiber nicht gefunden werden kann.

  • Datei-/Blockspeichersitzungen werden nach Ereignissen wie einem Speicherupgrade oder einem Ausfall des Speichercontrollers nicht automatisch wiederhergestellt.

  • Das ONTAP-Clusterupgrade wird nie abgeschlossen, da die Rückgabe nicht abgeschlossen ist.

Clusterverwaltung

  • Der Cluster hängt im Status „Wird gelöscht“ fest.

  • Der Kubernetes-Cluster wird nach dem Löschen nicht entfernt.

Datenbankdienst

  • Die Ausführung des Befehls gdcloud stop database kann einige Zeit in Anspruch nehmen.

  • Wenn ein PostgreSQL- oder AlloyDB Omni-Datenbankcluster beendet wird, während die Hochverfügbarkeit (High Availability, HA) aktiviert ist, kann es sein, dass er nicht erfolgreich neu gestartet wird.

Firewall

  • Legacy-Firewallregeln blockieren möglicherweise nach dem Upgrade den Traffic von der Organisation zum Root-Administrator.

  • Wenn nach der Bereitstellung einer AttachmentGroup das Feld identifier in diesem AttachmentGroup-Objekt mit orgName übereinstimmt, kann die Firewall dieses Objekt nicht parsen und die Aktualisierung der Firewallkonfiguration bleibt hängen.

  • Die IDPS-Firewall generiert eine ungültige Konfiguration aufgrund einer Race-Bedingung, wenn mehrere Organisationen gleichzeitig erstellt werden.

Harbor:

  • Die Rotation des Datenbankpassworts ist hängengeblieben.

  • Ein volles Harbor-Datenbanklaufwerk führt dazu, dass der Dienst nicht verfügbar ist.

Hardware-Sicherheitsmodul:

  • Deaktivierte Testlizenzen sind weiterhin in CipherTrust Manager sichtbar und lösen fälschlicherweise Ablaufwarnungen aus.

  • Ein Dateideskriptor-Leck verursacht einen ServicesNotStarted-Fehler.

Gesundheit:

  • Während der Bereitstellung kann die Unterkomponente health-slo-reports-infra aufgrund eines fehlenden telex-system-Namespace nicht abgeglichen werden.

Identitäts- und Zugriffsverwaltung

  • Eine CustomRole-Ressource, die einen zonalRules-Abschnitt enthält, gewährt möglicherweise nicht zuverlässig Berechtigungen.

  • Ein OPA Gatekeeper-Vertrauensproblem nach einer Root-CA-Rotation verhindert die Erstellung von IAM-Rollen in neuen Projekten.

Infrastruktur als Code

  • Anmeldeversuche bei GitLab mit Firefox schlagen mit dem Fehler 422 fehl.

Inventar

  • system assets create akzeptiert keine korrekten Ports für Firewall-Geräte.

Schlüsselverwaltungssystem:

  • Bei KMS-Servern können bei hoher Arbeitslast Leistungsprobleme und OOMKilling auftreten.

  • KMS, das für die Verwendung eines CTM-Stammschlüssels konfiguriert ist, führt kein Failover durch, wenn ein HSM nicht verfügbar ist.

Monitoring

  • Wenn neue benutzerdefinierte KubeStateMetric-Ressourcen erstellt werden, werden deren Messwerte möglicherweise nicht angezeigt.

  • Fehler bei der Cortex-Kompaktierung können durch beschädigte Blöcke verursacht werden. Dies kann zu verschiedenen Problemen führen, darunter Fehler in Grafana-Messwertabfragen, Lücken in Aufzeichnungsregeln und Fehlerlogs in Cortex-Pods.

  • Pods bleiben aufgrund eines Konflikts mit der Volume-Knotenaffinität im Status „Ausstehend“.

  • Beim Aufrufen von Dashboards in Grafana wird die Fehlermeldung „Too many outstanding requests“ (Zu viele ausstehende Anfragen) angezeigt.

  • Messwert-Zeitreihen, die den Kardinalitätsgrenzwert überschreiten, werden verworfen. Das führt bei einigen Messwerten zu unvollständigen Daten.

Netzwerk

  • Wenn Sie die IPsec-Verschlüsselung (Node-to-Node-IP-Adresssicherheit) zur Laufzeit für eine vorhandene Organisation aktivieren, kann dies zu Netzwerkpaketverlusten und Verbindungszeitüberschreitungen führen.

  • Das Löschen der ForwardingRule-Ressource bleibt im Status Deleting hängen, wenn sich die Ressource im Status NotReady befindet.

Objektspeicher

  • Nichtverfügbarkeit von Daten in allen Zonen in den Dual-Zone-Buckets.

  • ObjectStorageSite ist nach dem Upgrade auf 1.15.x nicht bereit.

  • Der Objektspeicher-Bucket konnte in der neuen Organisation nicht erstellt werden, wenn die StorageGrid-Version 11.9 oder höher ist.

  • Serverzertifikate für StorageGRID-Load-Balancer-Endpunkte werden nicht automatisch rotiert.

  • Die gdcloud CLI kann keine Dual-Region-Buckets für Nutzer auf Projektebene erstellen oder löschen.

  • Die Benachrichtigung OBJ-A0003 (Audit-Logging-Fehler) wird häufig ausgelöst und innerhalb einer Stunde nach dem Auslösen automatisch behoben. Wenn Sie die Anzahl der Benachrichtigungen reduzieren möchten, können Sie die Benachrichtigung stummschalten.

  • Das Bundle enthält eine falsche Installationsversion von StorageGRID, 11.8.0 statt 11.9.0. Nach dem Bootstrapping von StorageGRID mit Version 11.8.0 müssen Sie manuell ein Upgrade auf Version 11.9.0.6 durchführen.

Betriebssystem:

  • Der Abgleich von Betriebssystemrichtlinien-Ressourcen kann langsam sein, wenn eine große Anzahl von Servern bereitgestellt wird.

  • Während eines gdcloud storage cp- oder gdcloud system container-registry load-oci-Vorgangs von einer OIC-Workstation besteht eine geringe Wahrscheinlichkeit, dass der Zugriff auf org-infra verloren geht und anschließend die kube-api von org-mgmt ausfällt.

  • Eine PLATAUTH-Warnung kann aufgrund eines Fehlers bei der Rotation eines rotierbaren Secrets des Betriebssystems ausgelöst werden.

Plattformauthentifizierung:

  • Fehler können auftreten, wenn ein Platzhalterzertifikat für die Infra-Web-PKI im BYO-Zertifikatsmodus verwendet wird.

  • Das Erstellen übermäßiger Zertifikatsanfragen kann die Stabilität des API-Servers beeinträchtigen.

Resource Manager:

  • Die Postflight-Prüfung schlägt fehl.
  • Organisation befindet sich aufgrund fehlender Failover-Registry-Verteilungen in einem unbekannten Zustand.

Ticketsystem:

  • Ein RBAC-Fehler in Kundennetzwerken kann den Zugriff auf ServiceNow verweigern.

  • ServiceNow kann den OIDC-IdP des Kunden nicht erreichen.

  • Zuvor behobene Vorfälle werden in ServiceNow wieder geöffnet.

  • Der Pod ts-app-server-1 wird regelmäßig neu gestartet.

Upgrades:

  • Wenn Sie ein Upgrade von Version 1.14.7 oder einer früheren Version auf 1.15.x durchführen, empfehlen wir die folgenden Schritte, um optimale Ergebnisse zu erzielen:

    • Upgrade auf Version 1.14.7
    • Wenden Sie Hotfix 2 an.
    • Fahren Sie mit dem Upgrade auf 1.15.1 fort.

  • Das Clusterupgrade wird blockiert, weil ein Knoten nicht in den Wartungsmodus wechselt.

  • Die Unterkomponente siem-cluster reagiert nicht.

Vertex AI:

  • Das Deaktivieren der Translation API kann mit dem folgenden Fehler fehlschlagen: Failed to disable translation API: VAI3002: Failed to patch subresource: failed to patch ODSPostgresDBCluster resource.

  • Es konnte keine Verbindung zum Jupyter-Server hergestellt werden.

  • Beim Löschen der Endpunkt-CR wird der Endpunkt „Onlinevorhersage“ nicht entfernt.

Virtuelle Maschinen:

  • Die Bereitstellung von VM-Laufwerken bleibt hängen, weil der VMM-Controller die vorhandenen Secrets nicht finden kann. VirtualMachineDisk bleibt im Status pending.

  • Wenn Sie eine Windows-VM mit der gdcloud CLI gdcloud compute instances create erstellen, kann die VM aufgrund des Standard-BIOS-Boottyps bios und fehlender Secure Boot-Flags nicht gestartet werden.

  • Wenn Sie ein VM-Speicherabbild mit dem Befehl gdcloud compute images import oder der benutzerdefinierten Ressource VirtualMachineImageImport importieren, bleibt der Importvorgang in der Phase JobImport hängen, wenn der Name der Ressource VirtualMachineImageImport mehr als 33 Zeichen umfasst (oder 28 Zeichen für den Image-Namen, der an die gdcloud CLI übergeben wird).

    • Verwaltung von Sicherheitslücken:

    • Unterkomponenten der Verwaltung von Sicherheitslücken und die Generierung von SSH-Schlüsseln für das System UserAccount können aufgrund eines Deadlocks der Containerlaufzeit und einer Cache-Poisoning-Attacke auf Helm-Parameter hängen bleiben.
    Fest
    Folgende Fehler wurden behoben:

    Anthos Service Mesh:

    • In großen Meshes können irreführende Warnungen mit dem Schweregrad „Kritisch“ und „Fehler“ ausgelöst werden, da controlplane_latency_slo die Mesh-Größe nicht berücksichtigt.

    Sichern und wiederherstellen:

    • Der Pod der Sicherungssteuerungsebene stürzt aufgrund von unzureichendem Arbeitsspeicher ab.

    Speicher:

    • Der Name der HA-Gruppe ist zu lang.

    • Es wurde ein Problem behoben, bei dem die Flags --location und --location-type für gdcloud storage-Befehle fälschlicherweise auf zonale Buckets angewendet wurden. Diese Flags sind jetzt korrekt auf dualzonale Buckets beschränkt.

    Schlüsselverwaltungssystem:

    • Wenn die Arbeitsspeichernutzung von kms-rootkey-controller das Limit von 1100Mi überschreitet, wechselt der Controller aufgrund des Status OOMKilled in den Status CrashLoopBackOff.

    • KMS-Pods in der Stammorganisation können abstürzen, weil Audit-Logs den sitzungsspezifischen Speicher füllen.

    Ändern
    Die folgenden Änderungen werden erkannt:

    Versionsupdates:

    Eingestellte Funktionen
    Die folgenden Funktionen wurden eingestellt:

    Virtuelle Maschinen:

    • Die Möglichkeit, eine VM-Instanz ohne Angabe eines Maschinentyps zu erstellen, wurde eingestellt. Sie müssen beim Erstellen einer Instanz einen Maschinentyp angeben. Weitere Informationen finden Sie unter VM-Instanz erstellen und starten.