Google Distributed Cloud 實體隔離方案 1.15.1 版版本資訊

2025 年 12 月 5 日

公告
Google Distributed Cloud (GDC) 實體隔離方案 1.15.1 版已推出。
如要瞭解 Distributed Cloud 的功能，請參閱產品總覽。
功能
以下是可用的新功能：

叢集管理：

  • 新增標準叢集設定。標準叢集的範圍限於單一專案，因此受限於專案的應用程式開發人員，可以直接控管叢集的運作方式。詳情請參閱「Kubernetes 叢集設定」。

gdcloud CLI：

  • 新增在 macOS 和 Windows 作業系統執行 gdcloud CLI 的支援。詳情請參閱「可用的 gdcloud CLI 套件」。

  • 新增 Linux 適用的 gdcloud CLI 套件精簡版本，提供較小的二進位檔，內含 gdcloud CLI 指令子集。詳情請參閱「可用的 gdcloud CLI 套件」。

網路

  • 我們新增了 Cloud NAT 這項輸出 NAT 功能，提供更多選項，可設定工作負載如何連至組織外部。詳情請參閱「Cloud NAT」。先前提供的 NAT 機制 (稱為專案預設輸出 NAT) 已淘汰，建議使用者migrate至 Cloud NAT。

    在 1.15.1 版本中，Cloud NAT 角色 cloud-nat-manager 已淘汰，請改用 cloud-nat-developer。

  • 新增子網路群組，簡化 IP 位址分配作業。這項新機制可讓您將相同實體或用途的子網路視為群組管理，簡化從大量受管理子網路分配 IP 位址的作業。詳情請參閱「子網路群組」。

  • 互連網路訂閱 SKU 目前為公開預先發布版。這項功能可讓組織預留互連網路的實體容量，並將預留項目與計費專案建立關聯。目前預留功能僅採榮譽制，系統不會嚴格強制執行。如要進一步瞭解互連網路，請參閱「透過互連網路建立連線能力」。

  • 現在可以使用 HTTP/HTTPS 通訊協定進行健康狀態檢查。健康狀態檢查會決定端點是否能接收新的要求或連線。如果健康狀態檢查判定端點不健康，該端點就不會透過負載平衡器接收流量。詳情請參閱「設定健康狀態檢查」。

  • 新增 IP 資源統計資料監控功能 (預先發布版功能)。基礎架構操作人員 (IO) 和平台管理員 (PA) 可以查看從根層級到葉層級的子網路，以及子網路群組的總計、已分配、可用和百分比指標。如要瞭解如何存取資訊主頁，請參閱「查詢及查看指標」。

  • 根據預設，新建立的組織現在會略過入侵偵測與防範系統 (IDPS) 服務，直接處理客戶流量。現有組織不受這項異動影響，並會繼續根據現有設定使用 IDPS。

平台驗證：

  • 憑證授權單位服務 (CAS) 支援預先定義的憑證範本，提供現成範本，可為常見用途核發憑證。
  • CAS 支援憑證撤銷，方法是發布用戶端應用程式可檢查的憑證撤銷清單 (CRL)。

Resource Manager：

  • 新增專案標記做為預先發布版功能。標記可讓您根據業務屬性整理專案。詳情請參閱「標記總覽」。

安全性服務：

  • 根據預設，新建立組織的客戶流量現在會略過 IDPS 檢查。

系統：

  • 適用於 GDC 元件的已發布系統限制。「系統限制」是固定值，無法變更。詳情請參閱「系統限制」。

虛擬機器：

  • 新增 VM 執行個體的 NVIDIA GPU 支援，可讓您執行各種 GPU 加速工作負載，例如人工智慧 (AI)。詳情請參閱「建立並啟動搭載 NVIDIA GPU 的 VM 執行個體」。
  • 新增 H200 GPU 支援，並搭配 a3-ultragpu 虛擬機器系列。
  • 新增為 VM 設定第 1 級網路。如果分散式大型運算工作負載具有龐大的節點間通訊，例如高效能運算 (HPC)、機器學習 (ML) 和深度學習 (DL)，則適合使用具備第 1 級網路設定的 VM。
  • 新增建立高效能 VM 的功能。
  • 新增 VM 可用性檢查，可深入瞭解 VM 狀態。
  • 新增管理 Package Repository 的功能。
安全性
將 Rocky OS 映像檔版本更新至 20250924，以套用最新的安全性修補程式和重要更新。

修正下列安全漏洞：

問題
系統發現下列問題：

Resource Manager：

  • 缺少容錯移轉登錄檔發行版本，因此組織處於不明狀態。

Anthos 服務網格

  • 節點健康狀態不佳，導致 CNI 無法安裝，因此 ASM 網格安裝作業遭到封鎖。

備份與還原

  • 升級後，back-lancer-agent-user-cp 子元件處於 ReconciliationError 狀態，導致備份和還原作業失敗。

  • 如果還原作業涉及磁碟區，資料移轉速度可能會較慢，因此需要較長時間才能完成。

  • 資源的還原程序 (例如資料庫複製或使用者工作負載還原) 卡住，最後因待處理的永久磁碟區要求而逾時。

  • 使用者無法透過 GDC 控制台建立 VM 備份方案，或執行端對端備份和還原工作。

  • 叢集備份的還原作業失敗。

區塊儲存空間

  • 使用者 Pod 在磁碟區卸載要求期間凍結。

  • Trident API 不會處理 CloneVolume 期間發生的 Volume already exists 錯誤。

  • 磁碟區因 LUN 處於非使用中狀態而無法附加。

  • 升級期間，系統因找不到 csi.trident.netapp.io 驅動程式而發生 FailedMount 錯誤。

  • 在儲存空間升級或儲存空間控制器中斷等事件發生後，檔案/區塊儲存空間工作階段不會自動復原。

  • ONTAP 叢集升級作業無法完成，因為歸還作業未完成。

叢集管理

  • 叢集卡在刪除狀態。

  • 刪除後，Kubernetes 叢集不會移除。

資料庫服務

  • gdcloud stop database 指令需要很長時間才能完成。

  • 如果 PostgreSQL 或 AlloyDB Omni 資料庫叢集在啟用高可用性 (HA) 時停止，可能無法成功重新啟動。

防火牆

  • 升級後，舊版防火牆規則可能會封鎖組織到根管理員的流量。

  • 部署 AttachmentGroup 後，如果該 AttachmentGroup 物件中的 identifier 欄位與 orgName 相同，防火牆就無法剖析這個物件，防火牆設定更新也會卡住。

  • 同時建立多個組織時，IDPS 防火牆會因競爭狀況而產生無效設定。

Harbor：

  • 資料庫密碼輪替作業停滯。

  • Harbor 資料庫磁碟已滿，導致服務無法使用。

硬體安全性模組：

  • CipherTrust Manager 仍可偵測到已停用的試用授權，並觸發錯誤的到期警告。

  • 檔案描述元外洩會導致 ServicesNotStarted 錯誤。

健康：

  • 部署期間，health-slo-reports-infra 子元件可能會因缺少 telex-system 命名空間而無法協調。

身分與存取權管理

  • 如果 CustomRole 資源包含 zonalRules 區段，可能無法確實授予權限。

  • 根 CA 輪替後，OPA Gatekeeper 信任問題會導致無法在新專案中建立 IAM 角色。

基礎架構即程式碼

  • 嘗試使用 Firefox 登入 GitLab 時失敗，並顯示錯誤 422。

庫存清單

  • system assets create 不接受防火牆裝置的正確通訊埠。

金鑰管理系統：

  • KMS 伺服器在工作負載過重時，可能會發生效能問題和OOMKilling。

  • 如果 KMS 設定為使用 CTM 根金鑰，則在 HSM 無法使用時不會進行容錯移轉。

Monitoring

  • 如果建立新的 KubeStateMetric 自訂資源，系統可能不會顯示相關指標。

  • Cortex 壓縮失敗可能是由損毀的區塊造成，會導致各種問題，包括 Grafana 指標查詢錯誤、記錄規則出現落差，以及 Cortex Pod 中出現錯誤記錄。

  • 磁碟區節點親和性衝突，導致 Pod 卡在「待處理」狀態。

  • 在 Grafana 中查看資訊主頁時，系統顯示「Too many outstanding requests」(未處理的要求過多) 錯誤訊息。

  • 超過基數門檻的指標時間序列會遭到捨棄，導致部分指標的資料不完整。

網路

  • 如果現有組織在執行階段啟用節點對節點 IP 位址安全性 (IPsec) 加密功能，可能會導致網路封包遺失和連線逾時。

  • 當資源處於 NotReady 狀態時，ForwardingRule 資源刪除作業會停滯在 Deleting 狀態。

物件儲存庫

  • 雙可用區 bucket 中各可用區的資料無法使用。

  • 升級至 1.15.x 後，ObjectStorageSite 尚未準備就緒。

  • 如果 StorageGrid 版本為 11.9 以上，則無法在新組織中建立物件儲存空間 bucket。

  • StorageGRID 負載平衡器端點伺服器憑證不會自動輪換。

  • gdcloud CLI 無法為專案層級使用者建立或刪除雙可用區 bucket。

  • OBJ-A0003 警告 (稽核記錄失敗) 經常觸發，並在觸發後一小時內自動關閉。如要減少這類快訊造成的干擾，請忽略快訊。

  • 套件包含錯誤的 StorageGRID 安裝版本，即 11.8.0，而非 11.9.0。使用 11.8.0 版啟動 StorageGRID 後，必須手動升級至 11.9.0.6 版。

OS：

  • 如果佈建大量伺服器，OS 政策資源的協調速度可能會變慢。

  • 從 OIC 工作站執行 gdcloud storage cp 或 gdcloud system container-registry load-oci 作業時，有極低機率會失去 org-infra 的存取權，接著 org-mgmt 的 kube-api 會停止運作。

  • 如果 OS 可輪替密鑰輪替失敗，可能會觸發 PLATAUTH 警告。

平台驗證：

  • 在 BYO 憑證模式下，如果使用萬用字元憑證做為基礎架構網路 PKI，可能會發生錯誤。

  • 建立過多憑證要求可能會影響 API 伺服器穩定性。

Resource Manager：

  • 後續檢查失敗。
  • 缺少容錯移轉登錄檔發行版本，因此組織處於不明狀態。

支援單處理系統：

  • 客戶網路的 RBAC 錯誤可能會導致無法存取 ServiceNow。

  • ServiceNow 無法連線至客戶的 OIDC IDP。

  • 先前已解決的事件會在 ServiceNow 中重新開啟。

  • ts-app-server-1 Pod 會定期重新啟動。

升級：

  • 從 1.14.7 或更早版本升級至 1.15.x 時，建議採取下列步驟，以獲得最佳效果：

    • 升級至 1.14.7 版。
    • 套用 hotfix2。
    • 繼續升級至 1.15.1。

  • 節點無法進入維護模式，因此叢集升級作業遭到封鎖。

  • siem-cluster 子元件沒有回應。

Vertex AI：

  • 停用 Translation API 時，可能會發生下列錯誤：Failed to disable translation API: VAI3002: Failed to patch subresource: failed to patch ODSPostgresDBCluster resource。

  • 無法與 Jupyter 伺服器建立連線。

  • 刪除端點 CR 時，無法移除「線上預測」端點。

虛擬機器：

  • VMM 控制器找不到現有機密，因此 VM 磁碟佈建作業卡住。VirtualMachineDisk 保持在 pending 狀態。

  • 使用 gdcloud CLI gdcloud compute instances create 建立 Windows VM 時，VM 會因預設 BIOS 啟動類型 bios 和缺少安全啟動旗標而無法啟動。

  • 使用 gdcloud compute images import 指令或 VirtualMachineImageImport 自訂資源匯入 VM 磁碟映像檔時，如果 VirtualMachineImageImport 資源名稱超過 33 個字元 (或傳遞至 gdcloud CLI 的映像檔名稱超過 28 個字元)，匯入作業會卡在 JobImport 階段。

    • 安全漏洞管理：

    • 安全漏洞管理子元件和系統 UserAccount 安全殼層金鑰產生作業，可能會因容器執行階段死結和 Helm 參數快取中毒而卡住。
    修正項目
    以下問題已解決：

    Anthos 服務網格：

    • controlplane_latency_slo 不會考量網格大小，因此大型網格可能會觸發嚴重性和錯誤嚴重性等級的誤導性快訊。

    備份與還原：

    • 備份控制層 Pod 因記憶體不足而停止運作。

    儲存空間：

    • 高可用性群組名稱過長。

    • 修正問題：gdcloud storage 指令的 --location 和 --location-type 旗標錯誤套用至可用區 bucket；現在這些旗標已正確限制為雙可用區 bucket。

    金鑰管理系統：

    • 當 kms-rootkey-controller 記憶體用量超過 1100Mi 限制時，控制器會因 OOMKilled 狀態而進入 CrashLoopBackOff。

    • 根組織中的 KMS Pod 可能會因稽核記錄填滿臨時儲存空間而停止運作。

    變更
    系統偵測到下列變更：

    版本更新：

    已淘汰
    下列功能已淘汰：

    虛擬機器：

    • 建立 VM 執行個體時，不指定機型的功能已淘汰。建立執行個體時，必須指定機型。詳情請參閱「建立並啟動 VM 執行個體」。