Notas de la versión 1.15.1 de Google Distributed Cloud aislado

5 de diciembre de 2025

Anuncio
Google Distributed Cloud (GDC) aislado 1.15.1 ya está disponible.
Consulta la descripción general del producto para conocer las funciones de Distributed Cloud.
Función
Están disponibles las siguientes funciones nuevas:

Administración de clústeres:

  • Se agregó la nueva configuración del clúster estándar. Los clústeres estándar se limitan a un solo proyecto, lo que les da a los desarrolladores de aplicaciones que están confinados dentro de un proyecto un control directo sobre cómo funciona. Para obtener más información, consulta Configuraciones de clústeres de Kubernetes.

gdcloud CLI:

  • Se agregó compatibilidad para ejecutar la CLI de gdcloud desde los sistemas operativos macOS y Windows. Para obtener más información, consulta Paquetes de la CLI de gdcloud disponibles.

  • Se agregó una versión lite del paquete de la CLI de gdcloud para Linux, que proporciona un objeto binario más pequeño con un subconjunto de comandos de la CLI de gdcloud. Para obtener más información, consulta Paquetes de la CLI de gdcloud disponibles.

Redes

  • Se agregó una nueva funcionalidad de NAT de salida, Cloud NAT, que proporciona muchas más opciones para configurar cómo las cargas de trabajo llegan fuera de la organización. Para obtener más información, consulta Cloud NAT. El mecanismo de NAT disponible anteriormente, conocido como NAT de salida predeterminada del proyecto, dejó de estar disponible. Se recomienda a los usuarios que migrate a Cloud NAT.

    En la versión 1.15.1, el rol de Cloud NAT cloud-nat-manager dejó de estar disponible. En su lugar, usa cloud-nat-developer.

  • Se agregaron grupos de subredes para simplificar la asignación de direcciones IP. Este nuevo mecanismo te permite administrar subredes de la misma entidad o con el mismo propósito como un grupo, lo que simplifica la asignación de direcciones IP de grandes conjuntos de subredes administradas. Para obtener más información, consulta Grupos de subredes.

  • Los SKU de suscripción de Interconnect están disponibles como versión preliminar pública. Esta función permite que las organizaciones reserven capacidad física en las interconexiones y asocien la reserva a un proyecto de facturación. Por el momento, la reserva se basa solo en el honor y el sistema no la aplica de manera estricta. Para obtener más información sobre las interconexiones, consulta Establece conectividad con interconexiones.

  • Ya están disponibles las verificaciones de estado que usan los protocolos HTTP y HTTPS. Una verificación de estado determina si un extremo es apto para recibir solicitudes o conexiones nuevas. Un extremo en mal estado, según lo identificado por la verificación de estado, no recibirá tráfico a través del balanceador de cargas. Para obtener más información, consulta Configura verificaciones de estado.

  • Se agregó compatibilidad para supervisar las estadísticas de recursos de IP como una función de versión preliminar. Los operadores de infraestructura (IO) y los administradores de plataformas (PA) pueden ver las métricas totales, asignadas, disponibles y de porcentaje de las subredes desde el nivel raíz hasta el nivel de hoja, así como de los grupos de subredes. Consulta Cómo consultar y ver métricas para obtener orientación sobre cómo acceder a los paneles.

  • Las organizaciones recién creadas ahora omiten el servicio del sistema de detección y prevención de intrusiones (IDPS) para el tráfico de clientes de forma predeterminada. Las organizaciones existentes no se ven afectadas por este cambio y siguen usando el IDPS según su configuración existente.

Autenticación de la plataforma:

  • Certificate Authority Service (CAS) admite plantillas de certificados predefinidas, que ofrecen plantillas listas para emitir certificados para casos de uso comunes.
  • CAS admite la revocación de certificados a través de la publicación de listas de revocación de certificados (CRL) que las aplicaciones cliente pueden verificar.

Resource Manager:

  • Se agregaron etiquetas de proyecto como una función de versión preliminar. Las etiquetas te permiten organizar los proyectos en función de los atributos empresariales. Para obtener más información, consulta Descripción general de las etiquetas.

Servicio de seguridad:

  • El tráfico de clientes hacia y desde las organizaciones recién creadas ahora omite la inspección de IDPS de forma predeterminada.

Sistema:

  • Límites publicados del sistema que se aplican a los componentes de GDC Los límites del sistema son valores fijos que no se pueden cambiar. Para obtener más información, consulta Límites del sistema.

Máquinas virtuales:

  • Se agregó compatibilidad con GPU de NVIDIA para instancias de VM, lo que te permite ejecutar varias cargas de trabajo aceleradas por GPU, por ejemplo, inteligencia artificial (IA). Para obtener más información, consulta Crea e inicia una instancia de VM con GPU de NVIDIA.
  • Se agregó compatibilidad con la GPU H200 con la familia de máquina virtual a3-ultragpu.
  • Se agregó Configura las herramientas de redes de nivel 1 para las VMs. Las VMs con opciones de configuración de red de nivel 1 son útiles para cargas de trabajo de procesamiento grandes y distribuidas con mucha comunicación entre nodos, como la computación de alto rendimiento (HPC), el aprendizaje automático (AA) y el aprendizaje profundo (DL).
  • Se agregó la capacidad de crear VMs de alto rendimiento.
  • Se agregaron verificaciones de disponibilidad de VMs que ofrecen información sobre el estado de las VM.
  • Se agregó la capacidad de administrar repositorios de paquetes.
Seguridad
Se actualizó la versión de la imagen de SO Rocky a 20250924 para aplicar los parches de seguridad más recientes y las actualizaciones importantes.

Se corrigieron las siguientes vulnerabilidades de seguridad:

Problema
Se identificaron los siguientes problemas:

Resource Manager:

  • La organización se encuentra en un estado desconocido debido a que faltan distribuciones de registro de conmutación por error.

Anthos Service Mesh

  • La instalación de la malla de ASM está bloqueada debido a un nodo en mal estado que impide la instalación de CNI.

Copia de seguridad y restablecimiento

  • Las operaciones de copia de seguridad y restablecimiento fallan debido a que el subcomponente back-lancer-agent-user-cp se encuentra en el estado ReconciliationError después de una actualización.

  • Los restablecimientos que involucran volúmenes pueden tardar más en completarse debido a las velocidades de transferencia de datos lentas.

  • El proceso de restablecimiento de un recurso, como una clonación de base de datos o el restablecimiento de una carga de trabajo del usuario, se detiene y, con el tiempo, se agota el tiempo de espera debido a una reclamación de volumen persistente pendiente.

  • Los usuarios no pueden crear planes de copia de seguridad de VM ni realizar tareas de copia de seguridad y restablecimiento de extremo a extremo con la consola de GDC.

  • La operación de restablecimiento falla para las copias de seguridad del clúster.

Almacenamiento en bloque

  • El Pod del usuario se congela durante la solicitud de desvinculación del volumen.

  • La API de Trident no aborda un error Volume already exists durante CloneVolume.

  • Los volúmenes no se conectan debido a la presencia de LUN inactivas.

  • Se produce un error FailedMount durante las actualizaciones debido a que no se puede encontrar el controlador csi.trident.netapp.io.

  • Las sesiones de almacenamiento de archivos o almacenamiento en bloque no se recuperan automáticamente después de eventos, como una actualización del almacenamiento o una interrupción del controlador de almacenamiento.

  • La actualización del clúster de ONTAP nunca finaliza porque no se completa la devolución.

Administración de clústeres

  • El clúster se queda atascado en un estado de eliminación.

  • El clúster de Kubernetes no se quita después de borrarlo.

Servicio de base de datos

  • El comando gdcloud stop database tarda mucho tiempo en completarse.

  • Si se detiene un clúster de bases de datos de PostgreSQL o AlloyDB Omni mientras la alta disponibilidad (HA) está habilitada, es posible que no se reinicie correctamente.

Firewall

  • Las reglas de firewall heredadas podrían bloquear el tráfico de la organización al administrador raíz después de la actualización.

  • Después de implementar un AttachmentGroup, si el campo identifier de ese objeto AttachmentGroup es el mismo que orgName, el firewall no puede analizar este objeto y la actualización de la configuración del firewall se detiene.

  • El firewall de IDPS genera una configuración no válida debido a una condición de carrera cuando se crean varias organizaciones al mismo tiempo.

Harbor:

  • La rotación de la contraseña de la base de datos está detenida.

  • Un disco de base de datos de Harbor lleno genera la falta de disponibilidad del servicio.

Módulo de seguridad de hardware:

  • Las licencias de prueba desactivadas se siguen detectando en CipherTrust Manager, lo que activa advertencias de vencimiento falsas.

  • Una fuga de descriptor de archivo provoca un error ServicesNotStarted.

Salud:

  • Durante la implementación, es posible que el subcomponente health-slo-reports-infra no se concilie debido a que falta el espacio de nombres telex-system.

Administración de identidades y accesos

  • Es posible que un recurso CustomRole que incluya una sección zonalRules no otorgue permisos de forma confiable.

  • Un problema de confianza de OPA Gatekeeper después de una rotación de la AC raíz impide la creación de roles de IAM en proyectos nuevos.

Infraestructura como código

  • Los intentos de acceder a GitLab con Firefox fallan con un error 422.

Inventario

  • El system assets create no acepta puertos correctos para dispositivos de firewall.

Sistema de administración de claves:

  • Los servidores de KMS pueden experimentar problemas de rendimiento y OOMKilling con cargas de trabajo pesadas.

  • KMS configurado para usar una clave raíz de CTM no conmuta por error cuando un HSM no está disponible.

Supervisión

  • Si se crean recursos personalizados de KubeStateMetric nuevos, es posible que no se muestren sus métricas.

  • Las fallas de compactación de Cortex pueden deberse a bloques dañados, lo que genera varios problemas, como errores en las consultas de métricas de Grafana, brechas en las reglas de registro y registros de errores que aparecen en los pods de Cortex.

  • Pods atascados en el estado Pendiente debido a un conflicto de afinidad de nodos de volumen.

  • Se muestra el mensaje de error "Demasiadas solicitudes pendientes" cuando se visualizan los paneles en Grafana.

  • Las series temporales de métricas que superan el umbral de cardinalidad se descartan, lo que genera datos incompletos para algunas métricas.

Redes

  • Habilitar la encriptación de seguridad de direcciones IP (IPsec) de nodo a nodo en el entorno de ejecución para una organización existente puede causar pérdidas de paquetes de red y tiempos de espera de conexión.

  • La eliminación del recurso ForwardingRule se detiene en el estado Deleting cuando el recurso está en un estado NotReady.

Almacén de objetos

  • Falta de disponibilidad de datos en todas las zonas de los buckets de zona doble.

  • El ObjectStorageSite no está listo después de la actualización a la versión 1.15.x.

  • No se pudo crear el bucket de almacén de objetos en la organización nueva si la versión de StorageGrid es 11.9 o posterior.

  • Los certificados de servidor de extremos del balanceador de cargas de StorageGRID no se rotan automáticamente.

  • La CLI de gdcloud no puede crear ni borrar buckets de zona doble para los usuarios a nivel del proyecto.

  • La alerta OBJ-A0003 (falla de registro de auditoría) se activa con frecuencia y se resuelve por sí sola en un plazo de una hora desde que se activa. Para reducir el ruido que causa esta alerta, silénciala.

  • El paquete contiene una versión de instalación incorrecta de StorageGRID, 11.8.0 en lugar de 11.9.0. Después de iniciar StorageGRID con la versión 11.8.0, debes actualizar manualmente a la versión 11.9.0.6.

SO:

  • Los recursos de la política del SO pueden tardar en conciliarse cuando hay una gran cantidad de servidores aprovisionados.

  • Durante una operación gdcloud storage cp o gdcloud system container-registry load-oci desde una estación de trabajo de OIC, existe una pequeña posibilidad de que se pierda el acceso a org-infra y, luego, se caiga el kube-api de org-mgmt.

  • Es posible que se active una alerta de PLATAUTH debido a una falla en la rotación de secretos rotables del SO.

Autenticación de la plataforma:

  • Pueden producirse errores cuando se usa un certificado comodín para la PKI web de infraestructura en el modo BYO Cert.

  • Crear solicitudes de certificados excesivas podría afectar la estabilidad del servidor de la API.

Resource Manager:

  • La verificación posterior falla.
  • La organización se encuentra en un estado desconocido debido a que faltan distribuciones de registros de conmutación por error.

Sistema de tickets:

  • Un error de RBAC de las redes de los clientes podría denegar el acceso a ServiceNow.

  • ServiceNow no puede comunicarse con el IdP de OIDC del cliente.

  • Los incidentes resueltos con anterioridad se vuelven a abrir en ServiceNow.

  • El Pod ts-app-server-1 se reinicia periódicamente.

Actualizaciones:

  • Cuando actualices de la versión 1.14.7 o anterior a la 1.15.x, te recomendamos que sigas estos pasos para obtener los mejores resultados:

    • Actualiza a la versión 1.14.7.
    • Aplica hotfix2.
    • Continúa con la actualización a la versión 1.15.1.

  • La actualización del clúster está bloqueada porque un nodo no puede ingresar al modo de mantenimiento.

  • El subcomponente siem-cluster no responde.

Vertex AI:

  • Es posible que la inhabilitación de la API de Translation falle con el siguiente error: Failed to disable translation API: VAI3002: Failed to patch subresource: failed to patch ODSPostgresDBCluster resource.

  • No se puede establecer la conexión con el servidor de Jupyter.

  • La eliminación del CR del extremo no quita el extremo de "Predicción en línea".

Máquinas virtuales:

  • El aprovisionamiento de discos de VM se detiene porque el controlador de VMM no puede encontrar los secretos existentes. VirtualMachineDisk permanece en un estado pending.

  • Cuando creas una VM de Windows con la CLI de gdcloud CLI gdcloud compute instances create, la VM no se inicia debido al tipo de inicio de BIOS predeterminado bios y a la falta de marcas de inicio seguro.

  • Cuando importas una imagen de disco de VM con el comando gdcloud compute images import o el recurso personalizado VirtualMachineImageImport, la operación de importación se detiene en la etapa JobImport si el nombre del recurso VirtualMachineImageImport supera los 33 caracteres (o 28 caracteres para el nombre de la imagen que se pasa a la CLI de gdcloud).

    • Gestión de vulnerabilidades:

    • Los subcomponentes de la gestión de vulnerabilidades y la generación de claves SSH del sistema UserAccount podrían bloquearse debido a un interbloqueo del entorno de ejecución de contenedores y al envenenamiento de la caché de parámetros de Helm.
    Fija
    Se corrigieron los siguientes problemas:

    Anthos Service Mesh:

    • Es posible que se activen alertas engañosas con gravedad crítica y de error en mallas grandes, ya que controlplane_latency_slo no tiene en cuenta el tamaño de la malla.

    Copia de seguridad y restablecimiento:

    • El Pod del plano de control de la copia de seguridad falla debido a que no hay memoria suficiente.

    Almacenamiento:

    • El nombre del grupo de HA es demasiado largo.

    • Se solucionó un problema por el que las marcas --location y --location-type de los comandos gdcloud storage se aplicaban de forma incorrecta a los buckets zonales. Ahora, estas marcas se restringen correctamente a los buckets de dos regiones.

    Sistema de administración de claves:

    • Cuando el uso de memoria de kms-rootkey-controller supera el límite de 1100Mi, el controlador entra en un estado CrashLoopBackOff debido a un estado OOMKilled.

    • Los Pods de KMS en la organización raíz pueden fallar debido a que los registros de auditoría llenan el almacenamiento efímero.

    Cambiar
    Se identificaron los siguientes cambios:

    Actualizaciones de versiones:

    Funciones obsoletas
    Las siguientes funciones dejaron de estar disponibles:

    Máquinas virtuales:

    • La capacidad de crear una instancia de VM sin especificar un tipo de máquina está obsoleta. Debes especificar un tipo de máquina cuando creas una instancia. Para obtener más información, consulta Crea y, luego, inicia una instancia de VM.