Google Distributed Cloud エアギャップ 1.15.1 リリースノート

2025 年 12 月 5 日

お知らせ
Google Distributed Cloud（GDC）エアギャップ 1.15.1 が利用可能になりました。
Distributed Cloud の機能については、プロダクトの概要をご覧ください。
機能
次の新機能をご利用いただけるようになります。

クラスタ管理:

  • 新しい標準クラスタ構成を追加しました。標準クラスタは単一のプロジェクトにスコープ設定されるため、プロジェクト内に限定されたアプリケーション デベロッパーは、その機能方法を直接制御できます。詳細については、Kubernetes クラスタの構成をご覧ください。

gdcloud CLI:

  • macOS と Windows オペレーティング システムから gdcloud CLI を実行するためのサポートを追加しました。詳細については、利用可能な gdcloud CLI バンドルをご覧ください。

  • Linux 用の gdcloud CLI バンドルの lite バージョンを追加しました。このバージョンでは、gdcloud CLI コマンドのサブセットを含む小さなバイナリが提供されます。詳細については、利用可能な gdcloud CLI バンドルをご覧ください。

ネットワーキング

  • 新しい下り（外向き）NAT 機能である Cloud NAT が追加されました。これにより、ワークロードが組織外に到達する方法を構成するためのオプションが大幅に増えました。詳細については、Cloud NAT をご覧ください。以前に使用可能だった nat メカニズム（プロジェクトのデフォルトの下り（外向き）NAT）は非推奨になりました。ユーザーは Cloud NAT へのmigrateをおすすめします。

    1.15.1 リリースでは、Cloud NAT ロール cloud-nat-manager が非推奨になりました。代わりに cloud-nat-developer を使用してください。

  • IP アドレスの割り当てを簡素化するために、サブネット グループを追加しました。この新しいメカニズムを使用すると、同じエンティティまたは同じ目的のサブネットをグループとして管理できるため、大規模なマネージド サブネットのセットからの IP アドレスの割り当てが簡素化されます。詳細については、サブネット グループをご覧ください。

  • Interconnect サブスクリプション SKU は、パブリック プレビュー版として提供されています。この機能を使用すると、組織は相互接続で物理容量を予約し、その予約を課金プロジェクトに関連付けることができます。現時点では、予約は自己申告制であり、システムによって厳密に適用されることはありません。相互接続の詳細については、相互接続で接続を確立するをご覧ください。

  • HTTP/HTTPS プロトコルを使用するヘルスチェックが利用可能になりました。ヘルスチェックは、エンドポイントが新しいリクエストや接続を受け取れるかどうかを決定します。ヘルスチェックで異常と判断されたエンドポイントは、ロードバランサを介してトラフィックを受信しません。詳細については、ヘルスチェックを構成するをご覧ください。

  • プレビュー機能として、IP リソース統計情報のモニタリングのサポートを追加しました。インフラストラクチャ オペレータ（IO）とプラットフォーム管理者（PA）は、ルートレベルからリーフレベルまでのサブネットとサブネット グループの合計、割り当て済み、使用可能、割合の指標を表示できます。ダッシュボードにアクセスする方法については、指標のクエリと表示をご覧ください。

  • 新しく作成された組織では、デフォルトで顧客トラフィックの侵入検知防止システム（IDPS）サービスがバイパスされるようになりました。既存の組織はこの変更の影響を受けず、既存の構成に基づいて IDPS を引き続き使用します。

プラットフォーム認証:

  • Certificate Authority Service（CAS）は事前定義された証明書テンプレートをサポートしており、一般的なユースケースの証明書を発行するための既製のテンプレートを提供しています。
  • CAS は、クライアント アプリケーションが確認できる証明書失効リスト（CRL）を公開することで、証明書の取り消しをサポートしています。

Resource Manager:

  • プロジェクト タグをプレビュー機能として追加しました。タグを使用すると、ビジネス属性に基づいてプロジェクトを整理できます。詳細については、タグの概要をご覧ください。

セキュリティ サービス:

  • 新しく作成された組織との間の顧客トラフィックは、デフォルトで IDPS 検査をバイパスするようになりました。

システム:

  • GDC コンポーネントに適用される公開済みのシステム上限。システムの上限は固定値で、変更できません。詳細については、システムの上限をご覧ください。

仮想マシン:

  • VM インスタンスの NVIDIA GPU サポートが追加されました。これにより、人工知能（AI）など、さまざまな GPU アクセラレーション ワークロードを実行できます。詳細については、NVIDIA GPU を使用して VM インスタンスを作成して起動するをご覧ください。
  • a3-ultragpu 仮想マシン ファミリーで H200 GPU のサポートが追加されました。
  • VM の Tier 1 ネットワーキングを構成するを追加しました。Tier 1 ネットワーキング構成の VM は、ハイ パフォーマンス コンピューティング（HPC）、ML、ディープ ラーニング（DL）など、ノード間通信の負荷が大きい大規模な分散コンピューティング ワークロードに役立ちます。
  • 高性能 VM を作成する機能を追加しました。
  • VM のステータスに関する分析情報を提供する VM 可用性チェックを追加しました。
  • パッケージ リポジトリを管理する機能を追加しました。
セキュリティ
最新のセキュリティ パッチと重要なアップデートを適用するため、Rocky OS イメージのバージョンを 20250924 に更新しました。

以下のセキュリティの脆弱性が修正されました。

問題
次の問題が特定されています。

Resource Manager:

  • フェイルオーバー レジストリの配布がないため、組織が不明な状態になっています。

Anthos Service Mesh

  • ノードが異常なため CNI のインストールが妨げられ、ASM メッシュのインストールがブロックされます。

バックアップと復元

  • アップグレード後に back-lancer-agent-user-cp サブコンポーネントが ReconciliationError ステータスになっているため、バックアップ オペレーションと復元オペレーションが失敗します。

  • ボリュームを含む復元は、データ転送速度が遅いため、完了に時間がかかることがあります。

  • データベースのクローン作成やユーザー ワークロードの復元などのリソースの復元プロセスが、保留中の永続ボリューム クレームのために停止し、最終的にタイムアウトします。

  • ユーザーは、GDC コンソールを使用して VM バックアップ プランを作成したり、エンドツーエンドのバックアップと復元タスクを実行したりすることはできません。

  • クラスタ バックアップの復元オペレーションが失敗します。

ブロック ストレージ

  • ボリュームのアンマウント リクエスト中にユーザー Pod がフリーズします。

  • CloneVolume 中の Volume already exists エラーは、Trident API では処理されません。

  • 非アクティブな LUN が存在するため、ボリュームをアタッチできない。

  • アップグレード中に csi.trident.netapp.io ドライバが見つからないため、FailedMount エラーが発生します。

  • ストレージのアップグレードやストレージ コントローラの停止などのイベントの後、ファイル/ブロック ストレージ セッションが自動的に復元されない。

  • ギブバックが完了しないため、ONTAP クラスタのアップグレードが完了しない。

クラスタ管理

  • クラスタが削除状態で停止します。

  • 削除後に Kubernetes クラスタが削除されない。

データベース サービス

  • gdcloud stop database コマンドが完了するまでに時間がかかります。

  • 高可用性（HA）が有効になっているときに PostgreSQL または AlloyDB Omni データベース クラスタが停止すると、正常に再起動しないことがあります。

ファイアウォール

  • アップグレード後、従来のファイアウォール ルールによって組織からルート管理者へのトラフィックがブロックされることがあります。

  • AttachmentGroup のデプロイ後、その AttachmentGroup オブジェクトの identifier フィールドが orgName と同じ場合、ファイアウォールはこのオブジェクトの解析に失敗し、ファイアウォール構成の更新が停止します。

  • IDPS ファイアウォールは、複数の組織を同時に作成すると、競合状態が原因で無効な構成を生成します。

Harbor:

  • データベースのパスワードのローテーションが停止しています。

  • Harbor データベース ディスクが満杯になると、サービスが利用できなくなります。

ハードウェア セキュリティ モジュール:

  • 無効になったトライアル ライセンスは CipherTrust Manager で検出可能であり、誤った有効期限切れの警告がトリガーされます。

  • ファイル記述子のリークにより、ServicesNotStarted エラーが発生します。

ID とアクセスの管理

  • zonalRules セクションを含む CustomRole リソースは、権限を確実に付与しない可能性があります。

  • ルート CA のローテーション後に OPA Gatekeeper の信頼の問題が発生し、新しいプロジェクトで IAM ロールを作成できない。

Infrastructure as Code

  • Firefox を使用して GitLab にログインしようとすると、エラー 422 が発生します。

在庫

  • system assets create がファイアウォール デバイスの正しいポートを受け入れません。

鍵管理システム:

  • KMS サーバーで、パフォーマンスの問題や OOMKilling が発生することがあります。

  • CTM ルート鍵を使用するように構成された KMS は、HSM が使用できない場合、フェイルオーバーしません。

モニタリング

  • 新しい KubeStateMetric カスタム リソースが作成された場合、その指標が表示されないことがあります。

  • Cortex の圧縮の失敗は、ブロックの破損が原因で発生することがあります。これにより、Grafana 指標クエリのエラー、記録ルールのギャップ、Cortex Pod にエラーログが表示されるなど、さまざまな問題が発生します。

  • ボリューム ノード アフィニティの競合により、Pod が Pending 状態のままになる。

  • Grafana でダッシュボードを表示すると、「Too many outstanding requests」というエラー メッセージが表示される。

  • カーディナリティのしきい値を超える指標の時系列はドロップされるため、一部の指標のデータが不完全になります。

ネットワーキング

  • 既存の組織で実行時にノード間 IP アドレス セキュリティ（IPsec）暗号化を有効にすると、ネットワーク パケットのドロップや接続タイムアウトが発生する可能性があります。

  • リソースが NotReady 状態の場合、ForwardingRule リソースの削除が Deleting 状態でハングします。

オブジェクト ストレージ

  • デュアルゾーン バケット内のゾーン全体でデータが利用できない。

  • 1.15.x にアップグレードした後、ObjectStorageSite の準備ができていません。

  • StorageGrid のバージョンが 11.9 以降の場合、新しい組織で Object Storage バケットを作成できません。

  • StorageGRID ロードバランサ エンドポイント サーバー証明書は自動的にローテーションされません。

  • gdcloud CLI が、プロジェクト レベルのユーザーのデュアルゾーン バケットの作成または削除に失敗します。

  • OBJ-A0003 アラート（監査ロギングの失敗）が頻繁に発生し、発生から 1 時間以内に自動的に解決されます。このアラートによるノイズを減らすには、アラートをミュートします。

  • バンドルに、StorageGRID のインストール バージョン 11.9.0 ではなく 11.8.0 が含まれています。バージョン 11.8.0 で StorageGRID をブートストラップした後、バージョン 11.9.0.6 に手動でアップグレードする必要があります。

OS:

  • プロビジョニングされたサーバーの数が多い場合、OS ポリシー リソースの調整に時間がかかることがあります。

  • OIC ワークステーションからの gdcloud storage cp オペレーションまたは gdcloud system container-registry load-oci オペレーション中に、org-infra へのアクセスが失われ、org-mgmt の kube-api がダウンする可能性があります。

  • OS のローテーション可能なシークレットのローテーションの失敗が原因で、PLATAUTH アラートがトリガーされることがあります。

プラットフォーム認証:

  • BYO 証明書モードでインフラストラクチャ ウェブ PKI にワイルドカード証明書を使用すると、エラーが発生することがあります。

  • 過剰な数の証明書リクエストを作成すると、API サーバーの安定性に影響する可能性があります。

Resource Manager:

  • ポストフライト チェックが失敗します。
  • フェイルオーバー レジストリの配布がないため、組織が不明な状態になっています。

チケット発行システム:

  • お客様のネットワークからの RBAC エラーにより、ServiceNow へのアクセスが拒否されることがあります。

  • ServiceNow がお客様の OIDC IDP にアクセスできません。

  • 以前に解決されたインシデントが ServiceNow で再度開かれます。

  • ts-app-server-1 Pod が定期的に再起動します。

アップグレード:

  • 1.14.7 以前のリリースから 1.15.x にアップグレードする場合は、最良の結果を得るために次の手順をおすすめします。

    • バージョン 1.14.7 にアップグレードします。
    • hotfix2 を適用します。
    • 1.15.1 へのアップグレードに進みます。

  • ノードがメンテナンス モードに移行できないため、クラスタのアップグレードがブロックされます。

  • siem-cluster サブコンポーネントが応答しない。

Vertex AI:

  • Translation API を無効にしようとすると、次のエラー Failed to disable translation API: VAI3002: Failed to patch subresource: failed to patch ODSPostgresDBCluster resource が発生して失敗することがあります。

  • Jupyter サーバーとの接続を確立できません。

  • エンドポイント CR の削除で「オンライン予測」エンドポイントを削除できません。

仮想マシン:

  • VMM コントローラが既存のシークレットを見つけられないため、VM ディスクのプロビジョニングが停止します。VirtualMachineDisk が pending 状態のままになる。

  • gdcloud CLI CLI gdcloud compute instances create を使用して Windows VM を作成すると、デフォルトの BIOS ブートタイプ bios とセキュアブート フラグの欠落により、VM が起動しません。

    • 修正済み
    次の問題が修正されました。

    Anthos Service Mesh:

    • controlplane_latency_slo はメッシュサイズを考慮しないため、重大度とエラーの重大度が高い誤解を招くアラートが大規模なメッシュで発生する可能性があります。

    バックアップと復元:

    • メモリ不足のため、バックアップ コントロール プレーン Pod がクラッシュします。

    ストレージ:

    • HA グループ名が長すぎます。

    • gdcloud storage コマンドの --location フラグと --location-type フラグがゾーン バケットに誤って適用される問題を修正しました。これらのフラグは、デュアルゾーン バケットに正しく制限されるようになりました。

    鍵管理システム:

    • kms-rootkey-controller メモリ使用量が 1100Mi 上限を超えると、コントローラは OOMKilled ステータスにより CrashLoopBackOff に入ります。

    • 監査ログによってエフェメラル ストレージがいっぱいになり、ルート組織の KMS Pod がクラッシュすることがあります。

    変更
    次の変更が特定されます。

    バージョンの更新:

    非推奨
    次の機能は非推奨になりました。

    仮想マシン:

    • マシンタイプを指定せずに VM インスタンスを作成する機能は非推奨になりました。インスタンスを作成するときは、マシンタイプを指定する必要があります。詳しくは、VM インスタンスの作成と開始をご覧ください。