Notes de version de Google Distributed Cloud sous air gap 1.15.1

5 décembre 2025

Annonce
Google Distributed Cloud (GDC) sous air gap 1.15.1 est disponible.
Consultez la présentation du produit pour en savoir plus sur les fonctionnalités de Distributed Cloud.
Fonctionnalité
Les nouvelles fonctionnalités suivantes sont disponibles :

Gestion des clusters :

  • La nouvelle configuration de cluster standard a été ajoutée. Les clusters standards sont limités à un seul projet, ce qui permet aux développeurs d'applications confinés dans un projet de contrôler directement son fonctionnement. Pour en savoir plus, consultez Configurations de clusters Kubernetes.

gdcloud CLI :

  • Ajout de la compatibilité avec l'exécution de la CLI gdcloud à partir des systèmes d'exploitation macOS et Windows. Pour en savoir plus, consultez Groupes gdcloud CLI disponibles.

  • Ajout d'une version lite du bundle gdcloud CLI pour Linux, qui fournit un binaire plus petit avec un sous-ensemble de commandes gdcloud CLI. Pour en savoir plus, consultez Groupes gdcloud CLI disponibles.

Mise en réseau

  • Une nouvelle fonctionnalité NAT de sortie, Cloud NAT, a été ajoutée. Elle offre de nombreuses options supplémentaires pour configurer la manière dont les charges de travail atteignent l'extérieur de l'organisation. Pour en savoir plus, consultez Cloud NAT. Le mécanisme NAT précédemment disponible, appelé NAT de sortie par défaut du projet, est obsolète. Les utilisateurs sont encouragés à migrate vers Cloud NAT.

    Dans la version 1.15.1, le rôle Cloud NAT cloud-nat-manager est obsolète. Utilisez plutôt cloud-nat-developer.

  • Ajout de groupes de sous-réseaux pour simplifier l'allocation d'adresses IP. Ce nouveau mécanisme vous permet de gérer les sous-réseaux de la même entité ou du même objectif en tant que groupe, ce qui simplifie l'allocation d'adresses IP à partir de grands ensembles de sous-réseaux gérés. Pour en savoir plus, consultez Groupes de sous-réseaux.

  • Les SKU d'abonnement Interconnect sont disponibles en version Preview publique. Cette fonctionnalité permet aux organisations de réserver de la capacité physique sur des interconnexions et d'associer la réservation à un projet de facturation. La réservation est basée sur l'honneur uniquement pour le moment et n'est pas strictement appliquée par le système. Pour en savoir plus sur les interconnexions, consultez Établir la connectivité avec des interconnexions.

  • Les vérifications d'état utilisant les protocoles HTTP/HTTPS sont désormais disponibles. Une vérification de l'état détermine si un point de terminaison est éligible pour recevoir de nouvelles requêtes ou connexions. Un point de terminaison non opérationnel, tel qu'identifié par la vérification de l'état d'état, ne recevra pas de trafic via l'équilibreur de charge. Pour en savoir plus, consultez Configurer des vérifications d'état.

  • Ajout de la prise en charge de la surveillance des statistiques des ressources IP en tant que fonctionnalité en preview. Les opérateurs d'infrastructure (IO) et les administrateurs de plate-forme (PA) peuvent afficher les métriques de total, d'allocation, de disponibilité et de pourcentage pour les sous-réseaux, du niveau racine au niveau feuille, ainsi que pour les groupes de sous-réseaux. Consultez Interroger et afficher des métriques pour savoir comment accéder aux tableaux de bord.

  • Les organisations nouvellement créées contournent désormais par défaut le service de système de détection et de prévention des intrusions (IDPS) pour le trafic client. Les organisations existantes ne sont pas concernées par ce changement et continuent d'utiliser les IDPS en fonction de leur configuration existante.

Authentification de la plate-forme :

  • Certificate Authority Service (CAS) est compatible avec les modèles de certificat prédéfinis, qui proposent des modèles prêts à l'emploi pour émettre des certificats pour les cas d'utilisation courants.
  • CAS est compatible avec la révocation de certificats en publiant des listes de révocation de certificats (CRL) que les applications clientes peuvent vérifier.

Resource Manager :

  • Ajout de tags de projet en tant que fonctionnalité en preview. Les tags vous permettent d'organiser les projets en fonction d'attributs métier. Pour en savoir plus, consultez la présentation des tags.

Service de sécurité :

  • Le trafic client vers et depuis les organisations nouvellement créées contourne désormais l'inspection IDPS par défaut.

Système :

  • Limites système publiées qui s'appliquent aux composants GDC. Les limites système sont des valeurs fixes qui ne peuvent pas être modifiées. Pour en savoir plus, consultez Limites du système.

Machines virtuelles :

  • Ajout de la compatibilité avec les GPU NVIDIA pour les instances de VM, ce qui vous permet d'exécuter diverses charges de travail accélérées par GPU, par exemple l'intelligence artificielle (IA). Pour en savoir plus, consultez Créer et démarrer une instance de VM avec des GPU NVIDIA.
  • Ajout de la compatibilité avec les GPU H200 pour la famille de machines virtuelles a3-ultragpu.
  • Ajout de la section Configurer la mise en réseau Tier_1 pour les VM. Les VM avec configuration réseau Tier 1 sont utiles pour les charges de travail de calcul distribuées et volumineuses qui impliquent des communications intensives entre les nœuds. Cela inclut par exemple le calcul hautes performances (HPC), le machine learning (ML) et le deep learning (DL).
  • Ajout de la possibilité de créer des VM hautes performances.
  • Ajout de vérifications de la disponibilité des VM qui fournissent des informations sur l'état des VM.
  • Ajout de la possibilité de gérer les dépôts de packages.
Sécurité
Mise à jour de la version de l'image de l'OS Rocky vers la version 20250924 pour appliquer les derniers correctifs de sécurité et les mises à jour importantes.

Les failles de sécurité suivantes ont été corrigées :

Problème
Les problèmes suivants ont été identifiés :

Resource Manager :

  • Organisation dans un état inconnu en raison de distributions de registre de basculement manquantes.

Anthos Service Mesh

  • L'installation du maillage ASM est bloquée, car un nœud défaillant empêche l'installation de CNI.

Sauvegarder et restaurer

  • Les opérations de sauvegarde et de restauration échouent, car le sous-composant back-lancer-agent-user-cp est à l'état ReconciliationError après une mise à niveau.

  • Les restaurations impliquant des volumes peuvent prendre plus de temps en raison de taux de transfert de données lents.

  • Le processus de restauration d'une ressource, telle qu'un clone de base de données ou une restauration de charge de travail utilisateur, se bloque et finit par expirer en raison d'une demande de volume persistant en attente.

  • Les utilisateurs ne peuvent pas créer de plans de sauvegarde de VM ni effectuer de tâches de sauvegarde et de restauration de bout en bout avec la console GDC.

  • L'opération de restauration échoue pour les sauvegardes de cluster.

Stockage de blocs

  • Le pod utilisateur se fige lors de la demande de démontage du volume.

  • Une erreur Volume already exists lors de CloneVolume n'est pas traitée par l'API Trident.

  • Impossible d'associer des volumes en raison de la présence de LUN inactifs.

  • Une erreur FailedMount se produit lors des mises à niveau, car le pilote csi.trident.netapp.io est introuvable.

  • Les sessions de stockage de fichiers/blocs ne sont pas récupérées automatiquement après des événements tels qu'une mise à niveau du stockage ou une panne du contrôleur de stockage.

  • La mise à niveau du cluster ONTAP ne se termine jamais, car la restitution n'est pas terminée.

Gestion des clusters

  • Le cluster est bloqué dans un état de suppression.

  • Le cluster Kubernetes n'est pas supprimé après la suppression.

Service de base de données

  • L'exécution de la commande gdcloud stop database prend beaucoup de temps.

  • Si un cluster de base de données PostgreSQL ou AlloyDB Omni est arrêté alors que la haute disponibilité est activée, il se peut qu'il ne redémarre pas correctement.

Pare-feu

  • Les anciennes règles de pare-feu peuvent bloquer le trafic entre l'organisation et l'administrateur racine après la mise à niveau.

  • Après le déploiement d'un AttachmentGroup, si le champ identifier de cet objet AttachmentGroup est identique à orgName, le pare-feu ne parvient pas à analyser cet objet et la mise à jour de la configuration du pare-feu est bloquée.

  • Le pare-feu IDPS génère une configuration non valide en raison d'une condition de concurrence lors de la création de plusieurs organisations en même temps.

Harbor :

  • La rotation du mot de passe de la base de données est bloquée.

  • Un disque de base de données Harbor plein entraîne l'indisponibilité du service.

Module matériel de sécurité :

  • Les licences d'essai désactivées sont toujours détectables dans CipherTrust Manager, ce qui déclenche de fausses alertes d'expiration.

  • Une fuite de descripteur de fichier entraîne une erreur ServicesNotStarted.

Santé :

  • Lors du déploiement, le sous-composant health-slo-reports-infra peut ne pas parvenir à se rapprocher en raison d'un espace de noms telex-system manquant.

Gestion de l'authentification et des accès

  • Une ressource CustomRole qui inclut une section zonalRules peut ne pas accorder d'autorisations de manière fiable.

  • Un problème de confiance avec OPA Gatekeeper après une rotation de l'autorité de certification racine empêche la création de rôles IAM dans les nouveaux projets.

Infrastructure as Code

  • Les tentatives de connexion à GitLab à l'aide de Firefox échouent avec une erreur 422.

Inventaire

  • system assets create n'accepte pas les ports corrects pour les appareils de pare-feu.

Système de gestion des clés :

  • Les serveurs KMS peuvent rencontrer des problèmes de performances et des erreurs OOMKilling en cas de charges de travail importantes.

  • KMS configuré pour utiliser une clé racine CTM ne bascule pas lorsqu'un HSM n'est pas disponible.

Monitoring

  • Si de nouvelles ressources personnalisées KubeStateMetric sont créées, leurs métriques risquent de ne pas s'afficher.

  • Les échecs de compactage Cortex peuvent être causés par des blocs corrompus, ce qui entraîne divers problèmes, y compris des erreurs dans les requêtes de métriques Grafana, des lacunes dans les règles d'enregistrement et des journaux d'erreurs apparaissant dans les pods Cortex.

  • Pods bloqués à l'état "En attente" en raison d'un conflit d'affinité de nœud de volume.

  • Le message d'erreur "Trop de requêtes en attente" s'affiche lors de l'affichage des tableaux de bord dans Grafana.

  • Les séries temporelles de métriques qui dépassent le seuil de cardinalité sont supprimées, ce qui entraîne des données incomplètes pour certaines métriques.

Mise en réseau

  • L'activation du chiffrement de sécurité des adresses IP (IPsec) de nœud à nœud au moment de l'exécution pour une organisation existante peut entraîner des pertes de paquets réseau et des délais d'expiration de connexion.

  • La suppression de la ressource ForwardingRule se bloque à l'état Deleting lorsque la ressource est à l'état NotReady.

Stockage d'objets

  • Indisponibilité des données dans les zones des buckets birégionaux.

  • Le ObjectStorageSite n'est pas prêt après la mise à niveau vers la version 1.15.x.

  • Échec de la création du bucket de stockage d'objets dans une nouvelle organisation si la version de StorageGrid est 11.9 ou ultérieure.

  • Les certificats de serveur de point de terminaison de l'équilibreur de charge StorageGRID ne font pas l'objet d'une rotation automatique.

  • La CLI gdcloud ne parvient pas à créer ni à supprimer des buckets birégionaux pour les utilisateurs au niveau du projet.

  • L'alerte OBJ-A0003 (échec de la journalisation d'audit) se déclenche fréquemment et se résout d'elle-même dans l'heure qui suit son déclenchement. Pour réduire le bruit causé par cette alerte, coupez-en le son.

  • Le bundle contient une version d'installation incorrecte de StorageGRID, 11.8.0 au lieu de 11.9.0. Après avoir amorcé StorageGRID avec la version 11.8.0, vous devez passer manuellement à la version 11.9.0.6.

OS :

  • La rapprochement des ressources de règles d'OS peut être lent lorsqu'un grand nombre de serveurs sont provisionnés.

  • Lors d'une opération gdcloud storage cp ou gdcloud system container-registry load-oci à partir d'un poste de travail OIC, il existe un faible risque de perte d'accès à org-infra, suivie d'une panne de kube-api de org-mgmt.

  • Une alerte PLATAUTH peut se déclencher en raison d'un échec de rotation d'un secret rotatif de l'OS.

Authentification de la plate-forme :

  • Des erreurs peuvent se produire lors de l'utilisation d'un certificat générique pour l'infrastructure PKI Web en mode BYO Cert.

  • La création d'un nombre excessif de demandes de certificat peut avoir un impact sur la stabilité du serveur d'API.

Resource Manager :

  • La vérification post-déploiement échoue.
  • L'organisation est dans un état inconnu, car des distributions de registre de basculement sont manquantes.

Système de gestion des demandes d'assistance :

  • Une erreur RBAC provenant des réseaux du client peut refuser l'accès à ServiceNow.

  • ServiceNow ne peut pas accéder au fournisseur d'identité OIDC du client.

  • Les incidents précédemment résolus sont rouverts dans ServiceNow.

  • Le pod ts-app-server-1 redémarre régulièrement.

Mises à niveau :

  • Lorsque vous passez de la version 1.14.7 ou d'une version antérieure à la version 1.15.x, nous vous recommandons de suivre les étapes suivantes pour obtenir de meilleurs résultats :

    • Mise à niveau vers la version 1.14.7.
    • Appliquez le correctif 2.
    • Procédez à la mise à niveau vers la version 1.15.1.

  • La mise à niveau du cluster est bloquée, car un nœud n'est pas parvenu à passer en mode maintenance.

  • Le sous-composant siem-cluster ne répond pas.

Vertex AI :

  • La désactivation de l'API Translation peut échouer avec l'erreur suivante : Failed to disable translation API: VAI3002: Failed to patch subresource: failed to patch ODSPostgresDBCluster resource.

  • Impossible d'établir la connexion avec le serveur Jupyter.

  • La suppression de la ressource personnalisée Endpoint CR ne supprime pas le point de terminaison "Prédiction en ligne".

Machines virtuelles :

  • Le provisionnement du disque de la VM est bloqué, car le contrôleur VMM ne trouve pas les secrets existants. VirtualMachineDisk reste à l'état pending.

  • Lorsque vous créez une VM Windows à l'aide de la CLI gdcloud gdcloud compute instances create, la VM ne démarre pas en raison du type de démarrage BIOS par défaut bios et de l'absence d'options de démarrage sécurisé.

  • Lorsque vous importez une image disque de VM à l'aide de la commande gdcloud compute images import ou de la ressource personnalisée VirtualMachineImageImport, l'opération d'importation se bloque à l'étape JobImport si le nom de la ressource VirtualMachineImageImport dépasse 33 caractères (ou 28 caractères pour le nom de l'image transmis à la CLI gdcloud).

    • Gestion des failles :

    • Les sous-composants de gestion des failles et la génération de clés SSH du système UserAccount peuvent se bloquer en raison d'un interblocage de l'environnement d'exécution du conteneur et d'un empoisonnement du cache des paramètres Helm.
    Problèmes résolus
    Les problèmes suivants ont été résolus :

    Anthos Service Mesh :

    • Des alertes trompeuses de gravité critique et d'erreur peuvent se déclencher dans les grands maillages, car controlplane_latency_slo ne prend pas en compte la taille du maillage.

    Sauvegarde et restauration :

    • Le pod du plan de contrôle de sauvegarde plante en raison d'une mémoire insuffisante.

    Stockage :

    • Le nom du groupe HA est trop long.

    • Correction d'un problème qui entraînait l'application incorrecte des options --location et --location-type pour les commandes gdcloud storage aux buckets zonaux. Ces options sont désormais correctement limitées aux buckets birégionaux.

    Système de gestion des clés :

    • Lorsque l'utilisation de la mémoire kms-rootkey-controller dépasse la limite 1100Mi, le contrôleur passe à l'état CrashLoopBackOff en raison d'un état OOMKilled.

    • Les pods KMS de l'organisation racine peuvent planter, car les journaux d'audit remplissent l'espace de stockage éphémère.

    Modifier
    Les modifications suivantes sont identifiées :

    Mises à jour de version :

    Obsolète
    Les fonctionnalités suivantes sont obsolètes :

    Machines virtuelles :

    • La possibilité de créer une instance de VM sans spécifier de type de machine est obsolète. Vous devez spécifier un type de machine lorsque vous créez une instance. Pour en savoir plus, consultez la page Créer et démarrer une instance de VM.