הערות מוצר לגרסה 1.15.1 של Google Distributed Cloud במודל Air-gapped

‫5 בדצמבר 2025

הודעה
גרסה 1.15.1 של Google Distributed Cloud (GDC) air-gapped זמינה.
בסקירה הכללית על המוצר מפורטות התכונות של Distributed Cloud.
התכונה
התכונות החדשות הבאות זמינות:

ניהול אשכולות:

  • נוספה הגדרת אשכול רגילה חדשה. אשכולות רגילים מוגבלים לפרויקט אחד, וכך למפתחי אפליקציות שמוגבלים לפרויקט יש שליטה ישירה על אופן הפעולה שלו. מידע נוסף מופיע במאמר הגדרות של אשכול Kubernetes.

gdcloud CLI:

  • הוספנו תמיכה בהפעלת gdcloud CLI ממערכות ההפעלה macOS ו-Windows. מידע נוסף זמין במאמר חבילות זמינות של gdcloud CLI.

  • הוספנו גרסת lite של חבילת gdcloud CLI ל-Linux, שמספקת קובץ בינארי קטן יותר עם קבוצת משנה של פקודות gdcloud CLI. מידע נוסף זמין במאמר חבילות זמינות של gdcloud CLI.

רשתות

  • הוספנו פונקציונליות חדשה של NAT לתעבורת נתונים יוצאת, Cloud NAT, שמספקת הרבה יותר אפשרויות להגדרת האופן שבו עומסי העבודה מגיעים אל מחוץ לארגון. מידע נוסף זמין במאמר Cloud NAT. מנגנון ה-NAT שהיה זמין בעבר, שנקרא "ברירת המחדל של הפרויקט ל-egress NAT", הוצא משימוש. אנחנו ממליצים למשתמשים migrate ל-Cloud NAT.

    בגרסה 1.15.1, התפקיד cloud-nat-manager של Cloud NAT הוצא משימוש. במקומו צריך להשתמש ב-cloud-nat-developer.

  • הוספנו קבוצות של רשתות משנה כדי לפשט את ההקצאה של כתובות IP. המנגנון החדש מאפשר לנהל רשתות משנה של אותה ישות או אותה מטרה כקבוצה, וכך לפשט את ההקצאה של כתובות IP מקבוצות גדולות של רשתות משנה מנוהלות. מידע נוסף זמין במאמר קבוצות של רשתות משנה.

  • מק"טים של מינויים ל-Interconnect זמינים בגרסת טרום-השקה ציבורית. התכונה הזו מאפשרת לארגונים לשריין קיבולת פיזית בחיבורים, ולשייך את המקום השמור לפרויקט לחיוב. בשלב הזה, ההקצאה היא על בסיס אמון בלבד, והמערכת לא אוכפת אותה באופן קפדני. מידע נוסף על חיבורים זמין במאמר יצירת קישוריות באמצעות חיבורים.

  • עכשיו אפשר לבצע בדיקות תקינות באמצעות פרוטוקולים של HTTP/HTTPS. בדיקת תקינות קובעת אם נקודת קצה (endpoint) יכולה לקבל בקשות או חיבורים חדשים. נקודת קצה לא תקינה, כפי שזוהתה על ידי בדיקת התקינות, לא תקבל תנועה דרך מאזן העומסים. מידע נוסף זמין במאמר הגדרת בדיקות תקינות.

  • נוספה תמיכה במעקב אחרי נתונים סטטיסטיים של משאבי IP כתכונה בגרסת טרום-השקה (Preview). מפעילי תשתיות (IO) ומנהלי פלטפורמות (PA) יכולים לראות את המדדים הכוללים, המוקצים, הזמינים והאחוזים של רשתות משנה מרמת הבסיס ועד לרמת העלה, וגם של קבוצות של רשתות משנה. במאמר שאילתות והצגת מדדים מוסבר איך לגשת ללוחות הבקרה.

  • כברירת מחדל, ארגונים חדשים שנוצרים עוקפים עכשיו את שירות המערכת לזיהוי ומניעת פריצות (IDPS) לתנועת לקוחות. השינוי הזה לא משפיע על ארגונים קיימים, והם ממשיכים להשתמש ב-IDPS על סמך ההגדרות הקיימות שלהם.

אימות הפלטפורמה:

  • שירות Certificate Authority Service ‏ (CAS) תומך בתבניות אישורים מוגדרות מראש, ומציע תבניות מוכנות להנפקת אישורים לתרחישים נפוצים.
  • שירות CAS תומך בביטול אישורים על ידי פרסום רשימות של אישורים שבוטלו (CRL), שאפליקציות לקוח יכולות לבדוק.

מנהל המשאבים:

  • הוספת תגי פרויקטים כתכונה בגרסת טרום-השקה (Preview). תגים מאפשרים לארגן פרויקטים על סמך מאפיינים עסקיים. לסקירה כללית על התגים

שירות אבטחה:

  • תנועת הלקוחות אל ארגונים חדשים שנוצרו וממנה עוקפת עכשיו את בדיקת ה-IDPS כברירת מחדל.

מערכת:

  • מגבלות המערכת שפורסמו שחלות על רכיבי GDC. מגבלות המערכת הן ערכים קבועים שאי אפשר לשנות. מידע נוסף זמין במאמר מגבלות המערכת.

מכונות וירטואליות:

אבטחה
גרסת קובץ האימג' של מערכת ההפעלה Rocky עודכנה ל-20250924 כדי להחיל את תיקוני האבטחה האחרונים ועדכונים חשובים.

תוקנו נקודות החולשה הבאות באבטחה:

הבעיה
הבעיות הבאות זוהו:

מנהל המשאבים:

  • הארגון במצב לא ידוע כי חסרות הפצות של רישום יתירות כשל.

Anthos Service Mesh

  • ההתקנה של רשת ASM חסומה כי צומת לא תקין מונע את ההתקנה של CNI.

גיבוי ושחזור

  • פעולות הגיבוי והשחזור נכשלות כי רכיב המשנה back-lancer-agent-user-cp נמצא בסטטוס ReconciliationError אחרי שדרוג.

  • שחזורים שכוללים אמצעי אחסון עשויים להימשך זמן רב יותר בגלל קצב העברת נתונים איטי.

  • תהליך השחזור של משאב, כמו שכפול של מסד נתונים או שחזור של עומס עבודה של משתמש, נתקע ובסופו של דבר נכשל בגלל בקשה ממתינה לנפח אחסון קבוע.

  • המשתמשים לא יכולים ליצור תוכניות גיבוי למכונות וירטואליות או לבצע משימות גיבוי ושחזור מקצה לקצה באמצעות מסוף GDC.

  • פעולת השחזור נכשלת בגיבויים של אשכולות.

אחסון בלוקים

  • ה-Pod של המשתמש קופא במהלך בקשה לביטול טעינה של אמצעי אחסון.

  • שגיאת Volume already exists במהלך CloneVolume לא מטופלת על ידי Trident API.

  • אי אפשר לצרף אמצעי אחסון בגלל שיש מספרי LUN לא פעילים.

  • שגיאת FailedMount מתרחשת במהלך שדרוגים בגלל שלא ניתן למצוא את מנהל ההתקן של csi.trident.netapp.io.

  • סשנים של אחסון קבצים או בלוקים לא מתאוששים באופן אוטומטי אחרי אירועים כמו שדרוג של האחסון או הפסקה בפעילות של בקר האחסון.

  • שדרוג אשכול ONTAP לא מסתיים אף פעם כי ההחזרה לא הושלמה.

ניהול אשכולות

  • האשכול נתקע במצב מחיקה.

  • אשכול Kubernetes לא מוסר אחרי המחיקה.

שירות מסד נתונים

  • לוקח הרבה זמן להשלים את הפקודה gdcloud stop database.

  • אם אשכול מסדי נתונים של PostgreSQL או AlloyDB Omni נעצר בזמן שזמינות גבוהה (HA) מופעלת, יכול להיות שהוא לא יופעל מחדש כמו שצריך.

חומת אש

  • כללים קודמים של חומת אש עלולים לחסום את תעבורת הנתונים מהארגון לאדמין ברמה הבסיסית (root) אחרי השדרוג.

  • אחרי פריסת AttachmentGroup, אם השדה identifier באובייקט AttachmentGroup זהה ל-orgName, חומת האש לא מצליחה לנתח את האובייקט הזה והעדכון של הגדרת חומת האש נתקע.

  • חומת האש של IDPS יוצרת הגדרה לא תקינה בגלל מרוץ תהליכים כשיוצרים כמה ארגונים בו-זמנית.

Harbor:

  • רוטציית הסיסמאות של מסד הנתונים תקועה.

  • אם הדיסק של מסד הנתונים של Harbor מלא, השירות לא יהיה זמין.

מודול אבטחת חומרה:

  • רישיונות ניסיון שהושבתו עדיין ניתנים לזיהוי ב-CipherTrust Manager, וגורמים להצגת אזהרות שווא על תפוגה.

  • זליגה של תיאור קובץ גורמת לשגיאת ServicesNotStarted.

בריאות:

  • במהלך הפריסה, יכול להיות שרכיב המשנה health-slo-reports-infra לא יתאים בגלל שחסר מרחב שמות של telex-system.

ניהול זהויות והרשאות גישה

  • יכול להיות שמשאב CustomRole שכולל קטע zonalRules לא יעניק הרשאות באופן מהימן.

  • בעיית אמון ב-OPA Gatekeeper אחרי רוטציה של רשות אישורים בסיסית (root CA) מונעת יצירת תפקידי IAM בפרויקטים חדשים.

תשתית כקוד

  • ניסיונות להיכנס ל-GitLab באמצעות Firefox נכשלים עם שגיאה 422.

מלאי

  • ה-system assets create לא מקבל יציאות נכונות למכשירי חומת אש.

מערכת לניהול מפתחות:

  • יכול להיות שיהיו בעיות בביצועים של שרתי KMS ו-OOMKilling בעומסי עבודה כבדים.

  • אם KMS מוגדר לשימוש במפתח הבסיס של CTM, הוא לא עובר למצב של יתירות כשל כש-HSM לא זמין.

מעקב

  • אם נוצרים משאבים חדשים בהתאמה אישית ב-KubeStateMetric, יכול להיות שהמדדים שלהם לא יופיעו.

  • כשלים בדחיסה של Cortex יכולים להיגרם על ידי בלוקים פגומים, מה שמוביל לבעיות שונות, כולל שגיאות בשאילתות של מדדי Grafana, פערים בכללי השמירה ויומני שגיאות שמופיעים בפודים של Cortex.

  • פודים תקועים במצב Pending בגלל התנגשות ב-volume node affinity.

  • הודעת השגיאה "Too many outstanding requests" מוצגת כשצופים בלוחות הבקרה ב-Grafana.

  • סדרות זמנים של מדדים שחורגות מסף העוצמה נמחקות, וכתוצאה מכך הנתונים של חלק מהמדדים לא מלאים.

רשתות

  • הפעלת הצפנת אבטחה (IPsec) של כתובת IP מצומת לצומת בזמן הריצה בארגון קיים עלולה לגרום לאובדן מנות ברשת ולזמן קצוב לתפוגה של החיבור.

  • מחיקת המשאב ForwardingRule נתקעת במצב Deleting כשהמשאב נמצא במצב NotReady.

Object Storage

  • חוסר זמינות של נתונים באזורים בקטגוריות של שני אזורים.

  • ה-ObjectStorageSite לא מוכן אחרי השדרוג לגרסה 1.15.x.

  • אם גרסת StorageGrid היא 11.9 ואילך, אי אפשר ליצור קטגוריית מאגר אובייקטים בארגון חדש.

  • אישורי השרת של נקודת הקצה של מאזן העומסים ב-StorageGRID לא מתחלפים באופן אוטומטי.

  • ‫gdcloud CLI לא מצליח ליצור או למחוק קטגוריות בשני אזורים למשתמשים ברמת הפרויקט.

  • ההתראה OBJ-A0003 (כשל ברישום ביומן הביקורת) מופעלת לעיתים קרובות ונפתרת מעצמה תוך שעה מההפעלה. כדי להפחית את הרעש שנגרם מההתראה הזו, אפשר להשתיק אותה.

  • החבילה מכילה גרסת התקנה שגויה של StorageGRID, ‏ 11.8.0 במקום 11.9.0. אחרי אתחול של StorageGRID עם גרסה 11.8.0, צריך לשדרג ידנית לגרסה 11.9.0.6.

מערכת הפעלה:

  • יכול להיות שמשאבי מדיניות מערכת ההפעלה יתואמו לאט כשיש מספר גדול של שרתים שהוקצו.

  • במהלך פעולת gdcloud storage cp או gdcloud system container-registry load-oci מתחנת עבודה של OIC, יש סיכוי קטן שהגישה אל org-infra תאבד, ואחרי זה ה-kube-api של org-mgmt יושבת.

  • התראת PLATAUTH עשויה להופיע בגלל כשל ברוטציה של סוד שניתן לרוטציה במערכת ההפעלה.

אימות הפלטפורמה:

  • יכול להיות שיהיו שגיאות כשמשתמשים בתעודת wildcard ל-infra web PKI במצב BYO Cert.

  • יצירת מספר מוגזם של בקשות לאישורים עלולה להשפיע על היציבות של שרת ה-API.

מנהל המשאבים:

  • הבדיקה שלפני השליחה נכשלת.
  • הארגון במצב לא ידוע כי חסרות הפצות של רישום יתירות כשל.

מערכת אירועים:

  • שגיאת RBAC מרשתות של לקוחות עלולה למנוע גישה ל-ServiceNow.

  • ל-ServiceNow אין גישה ל-IDP של OIDC של הלקוח.

  • אירועים שטופלו בעבר נפתחים מחדש ב-ServiceNow.

  • ה-pod של ts-app-server-1 מופעל מחדש מדי פעם.

שדרוגים:

  • כשמשדרגים מגרסה 1.14.7 או מגרסה קודמת לגרסה 1.15.x, מומלץ לבצע את השלבים הבאים כדי לקבל את התוצאות הטובות ביותר:

    • צריך לשדרג לגרסה 1.14.7.
    • החלת hotfix2.
    • ממשיכים בשדרוג לגרסה 1.15.1.

  • שדרוג האשכול נחסם כי אחד מהצמתים לא נכנס למצב תחזוקה.

  • רכיב המשנה siem-cluster לא מגיב.

Vertex AI:

  • יכול להיות שהשבתת Translation API תיכשל ותופיע השגיאה הבאה: Failed to disable translation API: VAI3002: Failed to patch subresource: failed to patch ODSPostgresDBCluster resource.

  • לא ניתן ליצור חיבור לשרת Jupyter.

  • מחיקת נקודת הקצה של CR לא מסירה את נקודת הקצה של "חיזוי אונליין".

מכונות וירטואליות:

  • הקצאת הדיסק של המכונה הווירטואלית נתקעת כי בקר ה-VMM לא מוצא את הסודות הקיימים. ‫VirtualMachineDisk נשאר במצב pending.

  • כשיוצרים מכונה וירטואלית של Windows באמצעות ה-CLI של gdcloud‏ gdcloud compute instances create, המכונה הווירטואלית לא מצליחה לבצע אתחול בגלל סוג ברירת המחדל של אתחול ה-BIOS‏ bios ודגלי אתחול מאובטח חסרים.

  • כשמייבאים קובץ אימג' של דיסק של מכונה וירטואלית באמצעות הפקודה gdcloud compute images import או המשאב בהתאמה אישית VirtualMachineImageImport, פעולת הייבוא נתקעת בשלב JobImport אם השם של המשאב VirtualMachineImageImport ארוך מ-33 תווים (או 28 תווים לשם של קובץ האימג' שמועבר ל-gdcloud CLI).

    • ניהול נקודות חולשה:

    • רכיבי המשנה של ניהול נקודות החולשה ויצירת מפתח SSH של מערכת UserAccount עלולים להיתקע בגלל מבוי סתום בזמן הריצה של הקונטיינר והרעלת מטמון של פרמטר Helm.
    תוקן
    הבעיות הבאות תוקנו:

    Anthos Service Mesh:

    • יכול להיות שברשתות גדולות יופעלו התראות מטעות ברמת חומרה קריטית וברמת שגיאה, כי controlplane_latency_slo לא מתחשב בגודל הרשת.

    גיבוי ושחזור:

    • ה-Pod של מישור הבקרה של הגיבוי קורס בגלל שאין מספיק זיכרון.

    אחסון:

    • שם קבוצת ה-HA ארוך מדי.

    • תוקנה בעיה שבה הדגלים --location ו---location-type לפקודות gdcloud storage הוחלו באופן שגוי על קטגוריות אזוריות. עכשיו הדגלים האלה מוגבלים באופן תקין לקטגוריות עם שני אזורים.

    מערכת לניהול מפתחות:

    • כשהשימוש בזיכרון של kms-rootkey-controller חורג מהמגבלה של 1100Mi, הבקר נכנס לסטטוס CrashLoopBackOff בגלל OOMKilled.

    • פודים של KMS בארגון ברמה הבסיסית (root) עלולים לקרוס בגלל שיומני הביקורת ממלאים את האחסון הזמני.

    שינוי
    השינויים הבאים זוהו:

    עדכוני גרסאות:

    הוצא משימוש
    התכונות הבאות הוצאו משימוש:

    מכונות וירטואליות:

    • האפשרות ליצור מכונה וירטואלית בלי לציין את סוג המכונה הוצאה משימוש. כשיוצרים מכונה, צריך לציין את סוג המכונה. מידע נוסף זמין במאמר יצירה והפעלה של מכונה וירטואלית.