Notas da versão 1.15.1 do Google Distributed Cloud com isolamento físico

5 de dezembro de 2025

Anúncio
O Google Distributed Cloud (GDC) com isolamento físico 1.15.1 está disponível.
Consulte a visão geral do produto para saber mais sobre os recursos do Distributed Cloud.
Recurso
Os seguintes recursos novos estão disponíveis:

Gerenciamento de clusters:

  • Adicionamos a nova configuração de cluster padrão. Os clusters padrão têm escopo em um único projeto, o que dá aos desenvolvedores de aplicativos confinados em um projeto controle direto sobre como ele funciona. Para mais informações, consulte Configurações de cluster do Kubernetes.

CLI gdcloud:

  • Adicionamos suporte para executar a CLI gdcloud nos sistemas operacionais macOS e Windows. Para mais informações, consulte Pacotes disponíveis da CLI gdcloud.

  • Adicionamos uma versão lite do pacote da CLI gdcloud para Linux, que fornece um binário menor com um subconjunto de comandos da CLI gdcloud. Para mais informações, consulte Pacotes disponíveis da CLI gdcloud.

Rede

  • Uma nova funcionalidade de NAT de saída, o Cloud NAT, foi adicionada, oferecendo muito mais opções para configurar como as cargas de trabalho chegam fora da organização. Para mais informações, consulte Cloud NAT. O mecanismo NAT disponível anteriormente, conhecido como NAT de saída padrão do projeto, foi descontinuado. Recomendamos que os usuários migrate para o Cloud NAT.

    Na versão 1.15.1, o papel do Cloud NAT cloud-nat-manager foi descontinuado. Use cloud-nat-developer.

  • Adicionamos grupos de sub-redes para simplificar a alocação de endereços IP. Esse novo mecanismo permite gerenciar sub-redes da mesma entidade ou com o mesmo propósito como um grupo, simplificando a alocação de endereços IP de grandes conjuntos de sub-redes gerenciadas. Para mais informações, consulte Grupos de sub-redes.

  • As SKUs de assinatura do Interconnect estão disponíveis como um pré-lançamento público. Esse recurso permite que as organizações reservem capacidade física em interconexões e associem a reserva a um projeto de faturamento. No momento, a reserva é baseada apenas em honra e não é aplicada de forma estrita pelo sistema. Para mais informações sobre interconexões, consulte Estabelecer conectividade com interconexões.

  • As verificações de integridade que usam protocolos HTTP/HTTPS já estão disponíveis. Uma verificação de integridade determina se um endpoint está qualificado para receber novas solicitações ou conexões. Um endpoint não íntegro, conforme identificado pela verificação de integridade, não receberá tráfego pelo balanceador de carga. Para mais informações, consulte Configurar verificações de integridade.

  • Adicionamos suporte ao monitoramento de estatísticas de recursos de IP como um recurso em fase de pré-lançamento. Os operadores de infraestrutura (IO, na sigla em inglês) e os administradores de plataforma (PA, na sigla em inglês) podem ver as métricas de total, alocação, disponibilidade e porcentagem para sub-redes do nível raiz ao nível folha, bem como para grupos de sub-redes. Consulte Consultar e visualizar métricas para saber como acessar painéis.

  • As organizações recém-criadas agora ignoram o serviço do sistema de detecção e prevenção de intrusões (IDPS) para o tráfego de clientes por padrão. As organizações atuais não são afetadas por essa mudança e continuam usando o IDPS com base na configuração atual.

Autenticação da plataforma:

  • O Certificate Authority Service (CAS) é compatível com modelos de certificado predefinidos, oferecendo modelos prontos para emitir certificados para casos de uso comuns.
  • O CAS é compatível com a revogação de certificados publicando listas de revogação de certificados (CRLs, na sigla em inglês) que os aplicativos cliente podem verificar.

Resource Manager:

  • Adição de tags de projeto como um recurso em fase de pré-lançamento. As tags permitem organizar projetos com base em atributos de negócios. Para mais informações, consulte a Visão geral das tags.

Serviço de segurança:

  • O tráfego de clientes de e para organizações recém-criadas agora ignora a inspeção do IDPS por padrão.

Sistema:

  • Limites de sistema publicados que se aplicam aos componentes do GDC. Os limites do sistema são valores fixos que não podem ser alterados. Para mais informações, consulte Limites do sistema.

Máquinas virtuais:

  • Adicionamos suporte à GPU NVIDIA para instâncias de VM, o que permite executar várias cargas de trabalho aceleradas por GPU, por exemplo, inteligência artificial (IA). Para mais informações, consulte Criar e iniciar uma instância de VM com GPUs NVIDIA.
  • Adicionamos suporte à GPU H200 com a família máquina virtual a3-ultragpu.
  • Adicionamos configurar a rede de nível 1 para VMs. As VMs com configurações de rede de nível 1 são úteis para cargas de trabalho de computação grandes e distribuídas com comunicações intensas entre nós, como computação de alto desempenho (HPC), machine learning (ML) e aprendizado profundo (DL).
  • Adicionamos a capacidade de criar VMs de alto desempenho.
  • Adicionamos verificações de disponibilidade de VM que oferecem insights sobre o status da VM.
  • Adicionamos a capacidade de gerenciar repositórios de pacotes.
Segurança
Atualizamos a versão da imagem do SO Rocky para 20250924 para aplicar os patches de segurança mais recentes e atualizações importantes.

As seguintes vulnerabilidades de segurança foram corrigidas:

Problema
Os seguintes problemas foram identificados:

Resource Manager:

  • Organização em estado desconhecido devido à ausência de distribuições de registro de failover.

Anthos Service Mesh

  • A instalação da malha do ASM está bloqueada porque um nó não íntegro está impedindo a instalação da CNI.

Backup e restauração

  • As operações de backup e restauração falham porque o subcomponente back-lancer-agent-user-cp está no status ReconciliationError após um upgrade.

  • As restaurações que envolvem volumes podem levar mais tempo para serem concluídas devido às taxas lentas de transferência de dados.

  • O processo de restauração de um recurso, como um clone de banco de dados ou uma restauração de carga de trabalho do usuário, fica travado e acaba expirando devido a uma declaração de volume persistente pendente.

  • Os usuários não podem criar planos de backup de VM nem realizar tarefas de backup e restauração completas com o console do GDC.

  • A operação de restauração falha para backups de cluster.

Armazenamento em blocos

  • O pod do usuário congela durante a solicitação de desmontagem do volume.

  • Um erro Volume already exists durante CloneVolume não é resolvido pela API Trident.

  • Os volumes não são anexados devido à presença de LUNs inativos.

  • Ocorre um erro FailedMount durante os upgrades devido à incapacidade de encontrar o driver csi.trident.netapp.io.

  • As sessões de armazenamento de arquivos/blocos não estão se recuperando automaticamente após eventos como um upgrade de armazenamento ou uma interrupção do controlador de armazenamento.

  • O upgrade do cluster do ONTAP nunca é concluído porque a devolução não foi concluída.

Gerenciamento de clusters

  • O cluster fica preso em um estado de exclusão.

  • O cluster do Kubernetes não é removido após a exclusão.

Serviço de banco de dados

  • O comando gdcloud stop database leva muito tempo para ser concluído.

  • Se um cluster de banco de dados do PostgreSQL ou do AlloyDB Omni for interrompido enquanto a alta disponibilidade (HA) estiver ativada, talvez ele não seja reiniciado.

Firewall

  • As regras de firewall legadas podem bloquear o tráfego da organização para o administrador raiz após o upgrade.

  • Depois que um AttachmentGroup é implantado, se o campo identifier nesse objeto AttachmentGroup for igual a orgName, o firewall não vai conseguir analisar esse objeto, e a atualização da configuração do firewall vai ficar travada.

  • O firewall do IDPS gera uma configuração inválida devido à disputa ao criar várias organizações ao mesmo tempo.

Harbor:

  • A rotação de senha do banco de dados está travada.

  • Um disco de banco de dados do Harbor cheio leva à indisponibilidade do serviço.

Módulo de segurança de hardware:

  • As licenças de teste desativadas ainda são detectáveis no CipherTrust Manager, acionando avisos de validade falsos.

  • Um vazamento de descritor do arquivo causa um erro ServicesNotStarted.

Saúde:

  • Durante a implantação, o subcomponente health-slo-reports-infra pode falhar na reconciliação devido à falta de um namespace telex-system.

Gerenciamento de identidade e acesso

  • Um recurso CustomRole que inclui uma seção zonalRules pode não conceder permissões de maneira confiável.

  • Um problema de confiança do OPA Gatekeeper após uma rotação de CA raiz impede a criação de papéis do IAM em novos projetos.

Infraestrutura como código

  • As tentativas de login no GitLab usando o Firefox falham com um erro 422.

Inventário

  • O system assets create não aceita portas corretas para dispositivos de firewall.

Sistema de gerenciamento de chaves:

  • Os servidores KMS podem apresentar problemas de desempenho e OOMKilling em cargas de trabalho pesadas.

  • O KMS configurado para usar uma chave raiz do CTM não faz failover quando um HSM está indisponível.

Monitoring

  • Se novos recursos personalizados do KubeStateMetric forem criados, as métricas deles talvez não apareçam.

  • As falhas de compactação do Cortex podem ser causadas por blocos corrompidos, levando a vários problemas, incluindo erros em consultas de métricas do Grafana, lacunas nas regras de gravação e registros de erros que aparecem nos pods do Cortex.

  • Pods travados no estado pendente devido a um conflito de afinidade de nó de volume.

  • A mensagem de erro "Muitas solicitações pendentes" é mostrada ao visualizar painéis no Grafana.

  • As série temporal de métricas que excedem o limite de cardinalidade são descartadas, o que resulta em dados incompletos para algumas métricas.

Rede

  • Ativar a criptografia de segurança de endereço IP (IPsec) de nó para nó no ambiente de execução de uma organização atual pode causar quedas de pacotes de rede e tempos limite de conexão.

  • A exclusão do recurso ForwardingRule trava no estado Deleting quando o recurso está no estado NotReady.

Repositório de objetos

  • Indisponibilidade de dados entre zonas nos buckets de zona dupla.

  • O ObjectStorageSite não está pronto após o upgrade para a versão 1.15.x.

  • O repositório de objetos do Object Storage não foi criado na nova organização se a versão do StorageGrid for 11.9 ou posterior.

  • Os certificados de servidor de endpoint do balanceador de carga do StorageGRID não são alternados automaticamente.

  • A CLI gdcloud não consegue criar ou excluir buckets de zona dupla para envolvidos no projeto.

  • O alerta OBJ-A0003 (falha no registro de auditoria) é acionado com frequência e resolvido automaticamente em até uma hora após o acionamento. Para reduzir o ruído causado por esse alerta, silencie-o.

  • O pacote contém uma versão de instalação incorreta do StorageGRID, 11.8.0 em vez de 11.9.0. Depois de inicializar o StorageGRID com a versão 11.8.0, faça o upgrade manual para a versão 11.9.0.6.

SO:

  • Os recursos de política do SO podem demorar para serem reconciliados quando há um grande número de servidores provisionados.

  • Durante uma operação gdcloud storage cp ou gdcloud system container-registry load-oci em uma estação de trabalho do OIC, há uma pequena chance de que o acesso a org-infra seja perdido, seguido pela queda de kube-api do org-mgmt.

  • Um alerta PLATAUTH pode ser acionado devido a uma falha na rotação de um secret rotativo do SO.

Autenticação da plataforma:

  • Podem ocorrer erros ao usar um certificado curinga para a infraestrutura de PKI da Web no modo BYO Cert.

  • Criar solicitações de certificado em excesso pode afetar a estabilidade do servidor de API.

Resource Manager:

  • A verificação pós-simulação falha.
  • A organização está em um estado desconhecido devido à falta de distribuições de registro de failover.

Sistema de emissão de tíquetes:

  • Um erro de RBAC das redes do cliente pode negar o acesso ao ServiceNow.

  • O ServiceNow não consegue acessar o IdP do OIDC do cliente.

  • Os incidentes resolvidos anteriormente são reabertos no ServiceNow.

  • O pod ts-app-server-1 é reiniciado periodicamente.

Upgrades:

  • Ao fazer upgrade da versão 1.14.7 ou anterior para a 1.15.x, recomendamos as seguintes etapas para melhores resultados:

    • Faça upgrade para a versão 1.14.7.
    • Aplique o hotfix2.
    • Prossiga com o upgrade para a versão 1.15.1.

  • O upgrade do cluster está bloqueado porque um nó não entrou no modo de manutenção.

  • O subcomponente siem-cluster não está respondendo.

Vertex AI:

  • A desativação da API Translation pode falhar com o seguinte erro: Failed to disable translation API: VAI3002: Failed to patch subresource: failed to patch ODSPostgresDBCluster resource.

  • Não foi possível estabelecer conexão com o servidor do Jupyter.

  • A exclusão da CR do endpoint não remove o endpoint de "Previsão on-line".

Máquinas virtuais:

  • O provisionamento de disco da VM fica travado porque o controlador do VMM não consegue encontrar os secrets existentes. VirtualMachineDisk permanece em um estado pending.

  • Quando você cria uma VM do Windows usando a CLI gdcloud gdcloud compute instances create, a VM não é inicializada devido ao tipo de inicialização padrão do BIOS bios e à falta de flags de inicialização segura.

  • Ao importar uma imagem de disco de VM usando o comando gdcloud compute images import ou o recurso personalizado VirtualMachineImageImport, a operação de importação fica travada no estágio JobImport se o nome do recurso VirtualMachineImageImport exceder 33 caracteres (ou 28 caracteres para o nome da imagem do disco transmitido para a CLI gdcloud).

    • Gestão de vulnerabilidades:

    • Os subcomponentes de gestão de vulnerabilidades e a geração de chaves SSH do sistema UserAccount podem ficar travados devido a um deadlock do ambiente de execução do contêiner e ao envenenamento do cache de parâmetros do Helm.
    Corrigido
    Os seguintes problemas foram corrigidos:

    Anthos Service Mesh:

    • Alertas enganosos com gravidade crítica e de erro podem ser acionados em malhas grandes, já que o controlplane_latency_slo não considera o tamanho da malha.

    Backup e restauração:

    • O pod do plano de controle de backup falha devido à memória insuficiente.

    Armazenamento:

    • O nome do grupo de alta disponibilidade é muito longo.

    • Correção de um problema em que as flags --location e --location-type dos comandos gdcloud storage eram aplicadas incorretamente a buckets zonais. Agora, essas flags estão restritas corretamente a buckets de zona dupla.

    Sistema de gerenciamento de chaves:

    • Quando o uso da memória de kms-rootkey-controller excede o limite de 1100Mi, o controlador entra em um status CrashLoopBackOff devido a um status OOMKilled.

    • Os pods do KMS na organização raiz podem falhar devido aos registros de auditoria que preenchem o armazenamento temporário.

    Alterar
    As seguintes mudanças foram identificadas:

    Atualizações da versão:

    Descontinuado
    Os seguintes recursos foram descontinuados:

    Máquinas virtuais:

    • A capacidade de criar uma instância de VM sem especificar um tipo de máquina foi descontinuada. É preciso especificar um tipo de máquina ao criar uma instância. Para mais informações, consulte Criar e iniciar uma instância de VM.