Note di rilascio di Google Distributed Cloud con air gap 1.15.1

5 dicembre 2025

Annuncio
Google Distributed Cloud (GDC) con air gap 1.15.1 è disponibile.
Consulta la panoramica del prodotto per scoprire le caratteristiche di Distributed Cloud.
Funzionalità
Sono disponibili le seguenti nuove funzionalità:

Gestione dei cluster:

  • È stata aggiunta la nuova configurazione del cluster standard. I cluster Standard hanno come ambito un singolo progetto, il che offre agli sviluppatori di applicazioni confinati all'interno di un progetto il controllo diretto sul suo funzionamento. Per saperne di più, consulta Configurazioni dei cluster Kubernetes.

CLI gdcloud:

  • Aggiunto il supporto per l'esecuzione della CLI gdcloud dai sistemi operativi macOS e Windows. Per saperne di più, consulta Bundle CLI gdcloud disponibili.

  • È stata aggiunta una versione lite del bundle della CLI gdcloud per Linux, che fornisce un file binario più piccolo con un sottoinsieme di comandi della CLI gdcloud. Per saperne di più, consulta Bundle CLI gdcloud disponibili.

Networking

  • È stata aggiunta una nuova funzionalità NAT in uscita, Cloud NAT, che offre molte più opzioni per configurare il modo in cui i workload raggiungono l'esterno dell'organizzazione. Per saperne di più, consulta Cloud NAT. Il meccanismo NAT precedentemente disponibile, noto come NAT in uscita predefinito del progetto, è stato ritirato; gli utenti sono invitati a migrate a Cloud NAT.

    Nella release 1.15.1, il ruolo Cloud NAT cloud-nat-manager è stato ritirato. Utilizza invece cloud-nat-developer.

  • Sono stati aggiunti gruppi di subnet per semplificare l'allocazione degli indirizzi IP. Questo nuovo meccanismo ti consente di gestire le subnet della stessa entità o dello stesso scopo come un gruppo, semplificando l'allocazione degli indirizzi IP da grandi insiemi di subnet gestite. Per saperne di più, consulta Gruppi di subnet.

  • Gli SKU degli abbonamenti Interconnect sono disponibili in Anteprima pubblica. Questa funzionalità consente alle organizzazioni di prenotare la capacità fisica sulle interconnessioni e di associare la prenotazione a un progetto di fatturazione. Al momento, la prenotazione è solo basata sull'onore e non viene applicata rigorosamente dal sistema. Per saperne di più sulle interconnessioni, consulta Stabilisci la connettività con le interconnessioni.

  • I controlli di integrità che utilizzano i protocolli HTTP/HTTPS sono ora disponibili. Un controllo di integrità determina se un endpoint è idoneo a ricevere nuove richieste o connessioni. Un endpoint non integro, identificato dal controllo di integrità, non riceverà traffico tramite il bilanciatore del carico. Per saperne di più, consulta Configura i controlli di integrità.

  • Aggiunto il supporto per il monitoraggio delle statistiche delle risorse IP come funzionalità in anteprima. Gli operatori di infrastruttura (IO) e gli amministratori della piattaforma (PA) possono visualizzare le metriche relative a totale, allocazione, disponibilità e percentuale per le subnet dal livello root a quello foglia, nonché per i gruppi di subnet. Consulta Esegui query e visualizza le metriche per indicazioni su come accedere alle dashboard.

  • Per impostazione predefinita, le organizzazioni appena create ora ignorano il servizio Intrusion Detection and Prevention System (IDPS) per il traffico dei clienti. Le organizzazioni esistenti non sono interessate da questa modifica e continuano a utilizzare IDPS in base alla configurazione esistente.

Autenticazione della piattaforma:

  • Certificate Authority Service (CAS) supporta i template di certificati predefiniti, offrendo template pronti all'uso per emettere certificati per casi d'uso comuni.
  • CAS supporta la revoca dei certificati pubblicando elenchi di revoche di certificati (CRL) che le applicazioni client possono controllare.

Resource Manager:

  • Aggiunta dei tag di progetto come funzionalità in anteprima. I tag ti consentono di organizzare i progetti in base agli attributi aziendali. Per saperne di più, consulta Panoramica dei tag.

Servizio di sicurezza:

  • Per impostazione predefinita, il traffico dei clienti da e verso le organizzazioni appena create ora bypassa l'ispezione IDPS.

Sistema:

  • Limiti di sistema pubblicati che si applicano ai componenti GDC. I limiti di sistema sono valori fissi che non possono essere modificati. Per saperne di più, consulta Limiti di sistema.

Macchine virtuali:

  • È stato aggiunto il supporto delle GPU NVIDIA per le istanze VM, che consente di eseguire vari workload con accelerazione GPU, ad esempio l'intelligenza artificiale (AI). Per ulteriori informazioni, consulta Crea e avvia un'istanza VM con GPU NVIDIA.
  • Aggiunto il supporto della GPU H200 con la famiglia di macchine virtuali a3-ultragpu.
  • Aggiunta la sezione Configura il networking Tier 1 per le VM. Le VM con configurazioni di networking Tier 1 sono utili per workload di computing distribuito di grandi dimensioni con intense comunicazioni tra nodi, ad esempio computing ad alte prestazioni (HPC, High Performance Computing), machine learning (ML) e deep learning (DL).
  • Aggiunta della possibilità di creare VM ad alte prestazioni.
  • Sono stati aggiunti i controlli di disponibilità delle VM che offrono insight sullo stato delle VM.
  • È stata aggiunta la possibilità di gestire i Package Repository.
Sicurezza
Aggiornata la versione dell'immagine sistema operativo Rocky alla 20250924 per applicare le ultime patch di sicurezza e gli aggiornamenti importanti.

Sono state corrette le seguenti vulnerabilità di sicurezza:

Problema
Sono stati identificati i seguenti problemi:

Resource Manager:

  • Organizzazione in stato Sconosciuto a causa di distribuzioni del registry di failover mancanti.

Anthos Service Mesh

  • L'installazione del mesh ASM è bloccata perché un nodo non integro impedisce l'installazione di CNI.

Backup e ripristino

  • Le operazioni di backup e ripristino non riescono perché il sottocomponente back-lancer-agent-user-cp è in stato ReconciliationError dopo un upgrade.

  • I ripristini che coinvolgono volumi potrebbero richiedere più tempo a causa di velocità di trasferimento dei dati lente.

  • Il processo di ripristino di una risorsa, ad esempio un clone del database o il ripristino del workload utente, si blocca e alla fine scade a causa di una richiesta di volume permanente in attesa.

  • Gli utenti non possono creare piani di backup delle VM o eseguire attività di backup e ripristino end-to-end con la console GDC.

  • L'operazione di ripristino non riesce per i backup dei cluster.

Archiviazione a blocchi

  • Il pod utente si blocca durante la richiesta di smontaggio del volume.

  • Un errore Volume already exists durante CloneVolume non viene gestito dall'API Trident.

  • Il collegamento dei volumi non riesce a causa della presenza di LUN inattivi.

  • Durante gli upgrade si verifica un errore FailedMount a causa dell'impossibilità di trovare il driver csi.trident.netapp.io.

  • Le sessioni di archiviazione di file/blocchi non vengono ripristinate automaticamente dopo eventi come un upgrade dello spazio di archiviazione o un'interruzione del controller di archiviazione.

  • L'upgrade del cluster ONTAP non viene mai completato perché il giveback non è stato completato.

Gestione dei cluster

  • Il cluster si blocca in uno stato di eliminazione.

  • Il cluster Kubernetes non viene rimosso dopo l'eliminazione.

Servizio di database

  • Il completamento del comando gdcloud stop database richiede molto tempo.

  • Se un cluster di database PostgreSQL o AlloyDB Omni viene arrestato mentre è abilitata l'alta affidabilità (HA), potrebbe non riavviarsi correttamente.

Firewall

  • Le regole firewall legacy potrebbero bloccare il traffico dall'organizzazione all'amministratore root dopo l'upgrade.

  • Dopo il deployment di un AttachmentGroup, se il campo identifier nell'oggetto AttachmentGroup è uguale a orgName, il firewall non riesce ad analizzare l'oggetto e l'aggiornamento della configurazione del firewall si blocca.

  • Il firewall IDPS genera una configurazione non valida a causa di una race condition quando vengono create più organizzazioni contemporaneamente.

Harbor:

  • La rotazione della password del database è bloccata.

  • Un disco del database Harbor pieno causa l'indisponibilità del servizio.

Modulo di sicurezza hardware:

  • Le licenze di prova disattivate sono ancora rilevabili in CipherTrust Manager, attivando falsi avvisi di scadenza.

  • Una perdita del descrittore del file causa un errore ServicesNotStarted.

Salute:

  • Durante il deployment, la riconciliazione del sottocomponente health-slo-reports-infra potrebbe non riuscire a causa di uno spazio dei nomi telex-system mancante.

Gestione di identità e accessi

  • Una risorsa CustomRole che include una sezione zonalRules potrebbe non concedere le autorizzazioni in modo affidabile.

  • Un problema di attendibilità di OPA Gatekeeper dopo una rotazione della CA radice impedisce la creazione di ruoli IAM nei nuovi progetti.

Infrastructure as Code

  • I tentativi di accesso a GitLab utilizzando Firefox non vanno a buon fine e viene visualizzato un errore 422.

Inventario

  • system assets create non accetta le porte corrette per i dispositivi firewall.

Sistema di gestione delle chiavi:

  • I server KMS potrebbero riscontrare problemi di prestazioni e OOMKilling in caso di workload elevati.

  • KMS configurato per l'utilizzo di una chiave root CTM non esegue il failover quando un HSM non è disponibile.

Monitoraggio

  • Se vengono create nuove risorse personalizzate KubeStateMetric, le relative metriche potrebbero non essere visualizzate.

  • Gli errori di compattazione di Cortex possono essere causati da blocchi danneggiati, che generano vari problemi, tra cui errori nelle query delle metriche di Grafana, lacune nelle regole di registrazione e log degli errori visualizzati nei pod Cortex.

  • Pod bloccati nello stato In attesa a causa di un conflitto di affinità dei nodi del volume.

  • Viene visualizzato il messaggio di errore "Troppe richieste in sospeso" quando si visualizzano le dashboard in Grafana.

  • Le serie temporali delle metriche che superano la soglia di cardinalità vengono eliminate, il che comporta dati incompleti per alcune metriche.

Networking

  • L'attivazione della crittografia di sicurezza degli indirizzi IP (IPsec) da nodo a nodo in fase di runtime per un'organizzazione esistente potrebbe causare l'eliminazione di pacchetti di rete e timeout della connessione.

  • L'eliminazione della risorsa ForwardingRule si blocca nello stato Deleting quando la risorsa è nello stato NotReady.

Archiviazione di oggetti

  • Indisponibilità dei dati tra le zone nei bucket a due regioni.

  • ObjectStorageSite non è pronto dopo l'upgrade alla versione 1.15.x.

  • Impossibile creare il bucket di archiviazione di oggetti nella nuova organizzazione se la versione di StorageGrid è 11.9 o successiva.

  • I certificati del server degli endpoint del bilanciatore del carico StorageGRID non vengono ruotati automaticamente.

  • La CLI gdcloud non riesce a creare o eliminare bucket a due zone per gli utenti a livello di progetto.

  • L'avviso OBJ-A0003 (errore di audit logging) viene attivato di frequente e si risolve autonomamente entro un'ora dall'attivazione. Per ridurre il rumore causato da questo avviso, disattivalo.

  • Il bundle contiene una versione di installazione di StorageGRID non corretta, 11.8.0 anziché 11.9.0. Dopo aver eseguito il bootstrap di StorageGRID con la versione 11.8.0, devi eseguire manualmente l'upgrade alla versione 11.9.0.6.

OS:

  • La riconciliazione delle risorse delle policy del sistema operativo può essere lenta quando viene eseguito il provisioning di un numero elevato di server.

  • Durante un'operazione gdcloud storage cp o gdcloud system container-registry load-oci da una workstation OIC, esiste una leggera possibilità che l'accesso a org-infra venga perso, seguito dall'interruzione di kube-api di org-mgmt.

  • Un avviso PLATAUTH potrebbe attivarsi a causa di un errore di rotazione dei secret ruotabili del sistema operativo.

Autenticazione della piattaforma:

  • Possono verificarsi errori quando si utilizza un certificato con carattere jolly per la PKI web infra in modalità BYO Cert.

  • La creazione di un numero eccessivo di richieste di certificati potrebbe influire sulla stabilità del server API.

Resource Manager:

  • Il controllo postflight non va a buon fine.
  • Organizzazione in stato sconosciuto a causa di distribuzioni del registry di failover mancanti.

Sistema di gestione dei ticket:

  • Un errore RBAC dalle reti dei clienti potrebbe negare l'accesso a ServiceNow.

  • ServiceNow non riesce a raggiungere l'IdP OIDC del cliente.

  • Gli incidenti risolti in precedenza vengono riaperti in ServiceNow.

  • Il pod ts-app-server-1 si riavvia periodicamente.

Upgrade:

  • Per ottenere risultati ottimali durante l'upgrade dalla versione 1.14.7 o precedente alla versione 1.15.x, ti consigliamo di seguire questi passaggi:

    • Esegui l'upgrade alla versione 1.14.7.
    • Applica hotfix2.
    • Procedi con l'upgrade alla versione 1.15.1.

  • L'upgrade del cluster è bloccato perché un nodo non riesce ad attivare la modalità di manutenzione.

  • Il componente secondario siem-cluster non risponde.

Vertex AI:

  • La disattivazione dell'API Translation potrebbe non riuscire con il seguente errore: Failed to disable translation API: VAI3002: Failed to patch subresource: failed to patch ODSPostgresDBCluster resource.

  • Impossibile stabilire la connessione con il server Jupyter.

  • L'eliminazione della CR dell'endpoint non riesce a rimuovere l'endpoint "Previsione online".

Macchine virtuali:

  • Il provisioning del disco della VM si blocca perché il controller VMM non riesce a trovare i secret esistenti. VirtualMachineDisk rimane in uno stato pending.

  • Quando crei una VM Windows utilizzando la CLI gdcloud CLI gdcloud compute instances create, la VM non si avvia a causa del tipo di avvio BIOS predefinito bios e dei flag di Avvio protetto mancanti.

  • Quando importi un'immagine disco VM utilizzando il comando gdcloud compute images import o la risorsa personalizzata VirtualMachineImageImport, l'operazione di importazione si blocca nella fase JobImport se il nome della risorsa VirtualMachineImageImport supera i 33 caratteri (o 28 caratteri per il nome dell'immagine passato alla CLI gdcloud).

    • Gestione delle vulnerabilità:

    • La generazione di chiavi SSH UserAccount del sistema e dei sottocomponenti di gestione delle vulnerabilità potrebbe bloccarsi a causa di un deadlock del runtime del container e di un poisoning della cache dei parametri Helm.
    Risolto
    I seguenti problemi sono stati risolti:

    Anthos Service Mesh:

    • In mesh di grandi dimensioni potrebbero essere attivati avvisi fuorvianti con gravità critica e di errore, poiché controlplane_latency_slo non tiene conto delle dimensioni del mesh.

    Backup e ripristino:

    • Il pod del control plane di backup si arresta in modo anomalo a causa di memoria insufficiente.

    Spazio di archiviazione:

    • Il nome del gruppo HA è troppo lungo.

    • Risolto un problema per cui i flag --location e --location-type per i comandi gdcloud storage venivano applicati erroneamente ai bucket di zona; questi flag sono ora correttamente limitati ai bucket di due zone.

    Sistema di gestione delle chiavi:

    • Quando la memoria utilizzata da kms-rootkey-controller supera il limite di 1100Mi, il controller entra in uno stato CrashLoopBackOff a causa di un evento OOMKilled.

    • I pod KMS nell'organizzazione principale potrebbero arrestarsi in modo anomalo a causa degli audit log che riempiono lo spazio di archiviazione temporaneo.

    Modifica
    Vengono identificate le seguenti modifiche:

    Aggiornamenti delle versioni:

    Deprecato
    Le seguenti funzionalità sono deprecate:

    Macchine virtuali:

    • La possibilità di creare un'istanza VM senza specificare un tipo di macchina è deprecata. Quando crei un'istanza, devi specificare un tipo di macchina. Per saperne di più, consulta Crea e avvia un'istanza VM.