Notas de la versión 1.16.1 de Google Distributed Cloud aislado

5 de junio de 2026

Anuncio
Google Distributed Cloud (GDC) aislado 1.16.1 ya está disponible.
Consulta la descripción general del producto para conocer las funciones de Distributed Cloud.
Importante
Requisitos de la secuencia de actualización de la versión 1.16.1

Para actualizar de forma segura a Distributed Cloud 1.16.1, debes completar todas las verificaciones previas obligatorias a la actualización y ejecutar la secuencia de actualización requerida en orden. Las actualizaciones directas desde cualquier versión anterior a la 1.15.1 fallarán.

Si usas la versión 1.14.7 o una anterior, haz lo siguiente:

  1. Aplica correcciones de hotfix: Instala todas las correcciones de hotfix necesarias para tu versión actual.
  2. Actualiza a la versión 1.15.3: Inicia y completa la actualización a la versión 1.15.3.
  3. Actualiza a la versión 1.16.1: Inicia y completa la actualización final a la versión 1.16.1.

Si tienes la versión 1.15.1 o 1.15.3: Actualiza directamente a la versión 1.16.1.

Si usas la versión 1.15.2, primero debes actualizar a la versión 1.15.3 y, luego, a la versión 1.16.1.

Función
Están disponibles las siguientes funciones nuevas:

Administración de clústeres

  • Se agregó compatibilidad con las máquinas H200 y B300 de la serie A para los nodos de clústeres de Kubernetes. Para obtener más información, consulta Tipos de máquinas de nodos de clúster.

Infraestructura

  • Se agregó compatibilidad con las máquinas de equipos físicos B300 en una organización.

Servicios de Harbor administrados

  • Se agregó compatibilidad con las cuentas de servicio del proyecto. Esto te permite usar la identidad de tu cuenta de servicio para interactuar de forma segura con tus instancias de Harbor y administrar repositorios de contenedores. Para obtener más información, consulta la descripción general del servicio administrado de Harbor.

Redes

  • Cloud DNS ahora está disponible de forma general. Este servicio proporciona una forma confiable y escalable de administrar los registros del servicio de nombres de dominio con una API de Kubernetes o la línea de comandos. Para obtener más información, consulta Acerca de Cloud DNS.

  • Ahora, DNS admite la encriptación basada en TLS de todo el tráfico de DNS para los servicios del sistema y de origen, tanto de forma interna dentro de Distributed Cloud como entre Distributed Cloud y las redes de los clientes.

Observabilidad

  • Se agregó el seguimiento de observabilidad para las cargas de trabajo. Esta función proporciona capacidades de supervisión y registro diseñadas para optimizar el seguimiento y la solución de problemas de las cargas de trabajo. Para obtener más información, consulta Seguimiento de la observabilidad para cargas de trabajo.

Almacenamiento

  • Se agregó compatibilidad con buckets de zona doble con sincronización automática. Durante las operaciones normales, la política de transferencia escribe de forma síncrona copias de objetos en ambas zonas designadas, con un resguardo a la replicación asíncrona durante las interrupciones.

  • Se agregó compatibilidad para proporcionar sumas de comprobación en los encabezados HTTP finales en las cargas de objetos. Esto mejora la integridad de los datos y la detección de errores. Para obtener más información, consulta Sube y descarga objetos de almacenamiento.

  • Se agregó una mejora que garantiza que las credenciales de almacenamiento de objetos se borren automáticamente cuando se quita su cuenta de servicio asociada. Esto evita que queden Secrets huérfanos en un espacio de nombres del proyecto. Para obtener más información, consulta Borra buckets de almacenamiento.

  • Se agregó compatibilidad con el SLO de tiempo de actividad en ventanas para la disponibilidad de S3 zonal. Este cambio garantiza que las métricas de salud no se vean sesgadas por múltiples reintentos de proyectos únicos de gran volumen, lo que proporciona un reflejo más preciso de la experiencia del usuario real en toda la organización.

Máquinas virtuales

Seguridad
Se actualizó la versión de la imagen de SO Rocky a la 20260318 para aplicar los parches de seguridad más recientes y las actualizaciones importantes.

Se corrigieron las siguientes vulnerabilidades de seguridad:

Problema
Se identificaron los siguientes problemas:

Cloud DNS

  • Se muestran mensajes de error genéricos cuando la etapa de la puerta de la función OIRv2 de DNS es insuficiente.

  • La conciliación del subcomponente dns-core-mz-cp falla.

  • La resolución de DNS falla desde los extremos.

  • Se requiere la CLI de gdcloud global para las configuraciones de Cloud DNS.

Administración de clústeres

  • El clúster de Kubernetes no se quita después de borrarlo.

  • Pods estáticos atascados debido a un interbloqueo de kubelet.

  • En un entorno de accredited, aplicar un recurso personalizado SubcomponentOverride para anular los interruptores de función de un componente operable provoca reinicios continuos del controlador.

Documentación

  • Documentación desactualizada que se envía con la versión de producción del producto.

  • No se pueden ver las instrucciones de documentación en formato de pestañas.

Detección y respuesta de extremos

  • La opción Isolate Host es visible, pero no es efectiva en la IU de Kibana.

Firewall

  • La generación de la configuración de celdas requiere de forma errónea una licencia de vsys para los firewalls de infraestructura.

Consola de GDC

  • La documentación alojada en la consola de GDC muestra un error 404.

CLI de gcloud

  • Cuando se ejecuta cualquier comando de la CLI de gdcloud, se imprime una advertencia de marca de función no inicializada.

Puerto

  • Los registros de conmutación por error informan un error 404 Not Found.

Módulo de seguridad de hardware

  • Una pérdida de descriptores de archivo provoca un error ServicesNotStarted.

Administración de identidades y accesos

  • Un IAMRoleBinding para k8s-networkpolicy-admin o k8s-networkpolicy-viewer causa errores ZonalRoleBindingReplica.

  • Es posible que un recurso CustomRole que incluye una sección zonalRules no otorgue permisos de manera confiable.

  • La implementación de Keycloak falla para la organización opsservices.

  • No se reflejan las modificaciones de los atributos de usuario de Keycloak para Tenable.

  • El proveedor de identidad de Keycloak se debe configurar de forma manual en el clúster de administración raíz de OIRv2.

  • RotatableSecret ais-encryption-key-secret informa que es falso con IAM-0100 agotado.

Infraestructura como código (IaC)

  • Es posible que fallen las actualizaciones de la versión 1.15 a la 1.16 de GDC con IaC.

  • Es posible que el trabajo de GitLab falle de forma silenciosa y evite el inicio de GitLab.

  • La alerta IAC-3211 se activa de forma falsa para el vencimiento de un secreto de iac-creds-replica.

Inventario

b/534561687 #}

  • La inicialización o la implementación fallan debido a caracteres especiales en las contraseñas generadas de forma automática.

  • La implementación del clúster de administrador raíz falla debido a un error de validación del modelo de dispositivo y del modelo de transceptor.

  • Durante la validación del inventario, se muestra una advertencia cuando un cable tiene FS como proveedor de transceptor.

  • No se admiten nombres de celdas o bastidores con más de dos letras.

  • La validación preliminar (2-mgmtsw-connection) informa fallas de conexión falsas del interruptor de administración (VAL-E1001) para los puertos LOM1 del servidor de equipos físicos o los puertos mgmt0 del interruptor de almacenamiento durante la instalación inicial o un reinicio.

  • La validación de la configuración de la celda falla para el único dispositivo NTP en un rack de OIRv2 porque la verificación de vinculación del conmutador TOR requiere una conexión en ambos conmutadores TOR.

IO shell

  • Los recursos IOShell vencidos bloquean la creación o actualización de recursos.

  • Los nombres de usuario que no siguen el RFC 1123 interrumpen la creación de IO Shell.

  • Los guiones en los nombres de organizaciones o zonas causan colisiones de nombres.

  • Las conexiones SSH a nodos de equipos físicos con direcciones IP internas de administración fallan.

Administración de direcciones IP (IPAM)

  • Después de actualizar a la versión 1.16.1 o posterior, las cuentas de servicio que administran subredes que hacen referencia a un elemento superior en el espacio de nombres platform requieren el rol shared-subnet-user en el espacio de nombres platform.

Sistema de administración de claves

  • El KMS configurado para usar una clave raíz de CTM no realiza una conmutación por error cuando un HSM no está disponible.

  • La actualización del subcomponente kms-mz-global-cm falla en los clústeres de la organización.

  • No se puede establecer una conexión SSH a los dispositivos HSM de Thales desde IO Shell.

Supervisión

  • La actualización de Helm del StatefulSet mon-system falla con una especificación de Pod prohibida.

  • Los administradores de la plataforma no pueden ver la página Alertas en la consola de GDC para el proyecto platform-obs.

Network Time Protocol (NTP)

  • Es posible que el Pod ntp-relay-controller entre en un estado de bucle de fallas debido a errores de falta de memoria.

  • La secuencia de comandos manage_syncserver_time.py falla cuando se verifica la hora durante la implementación.

  • Cuando se implementan conmutadores de administración de OIRv2, es posible que la configuración y la encriptación de NTP no se apliquen a la configuración en ejecución.

Sistema operativo

  • Los clústeres de usuario se detienen en el estado Reconciling debido a un tamaño de partición /var/log insuficiente.

  • Las actualizaciones de nodos fallan o el sistema se bloquea debido a fugas de sesiones de pam_tty_audit.so.

Autenticación de la plataforma

  • Los Secrets de *-cert vencidos se filtran después de borrar el clúster de Kubernetes.

Resource Manager

  • El controlador del proyecto de Resource Manager podría entrar en un estado de bucle de fallas debido a errores de falta de memoria.

Administración de información y eventos de seguridad (SIEM)

  • Los discos de almacenamiento elástico pueden alcanzar su capacidad máxima en aproximadamente 30 días.

  • El lanzamiento de SIEM v2 no se completa en los clústeres que no son de OIRv2.

  • Los volúmenes del indexador de Splunk activan alertas de umbral de almacenamiento de falsos positivos.

Servidores

  • La instalación del programa de arranque falla durante la configuración del sistema de archivos con un error matched no disk.

  • El inicio del servidor falla con un error de iDRAC.

  • El aprovisionamiento del servidor falla con un error de condición de estado BMCConfigPreinstallLicenseInstallCompleted para los servidores de Dell.

  • Un recurso personalizado BareMetalHostNetwork puede contener varias rutas de puerta de enlace de administración.

Almacenamiento

  • El registro de auditoría de eventos de ONTAP S3 está inhabilitado.

  • La actualización de ONTAP falla debido a que faltan rutas de red.

  • La validación de StorageCluster falla durante el inicio.

  • Cuando se realizan solicitudes de objetos de lista en buckets que contienen cargas en varias partes, las solicitudes pueden fallar y la métrica obj-s3-availability puede disminuir.

  • Es posible que falle el reenvío del registro de auditoría del almacenamiento de objetos durante una actualización secuencial debido a la falta de recursos personalizados de Bucket.

  • El reenviador de registros de auditoría del almacén de objetos falla debido a un error en la búsqueda de DNS.

  • Las actualizaciones de StorageGRID podrían detenerse con un error que indica que no se subió ninguna actualización.

  • La creación y las actualizaciones de buckets tardan más de lo esperado.

Sistema de tickets

  • El Pod ts-app-server-1 se reinicia periódicamente.

Máquinas virtuales

  • Es posible que las VMs del clúster perimetral fallen durante la creación debido a que faltan dispositivos macvtap (/dev/tap*) cuando onetd vuelve a crear las interfaces de VLAN adminvrf0 y datavrf0.

  • Cuando creas una VM de Windows con la CLI de gdcloud CLI gdcloud compute instances create, la VM no se inicia debido al tipo de inicio de BIOS predeterminado bios y a la falta de marcas de inicio seguro.

  • gpu-controller-controller-manager pod entra en un estado ImagePullBackOff durante la actualización a la versión 1.16.1.

  • Las VMs de la serie A a4-ultragpu-8g que usan un SO invitado con un kernel 4.x pueden tardar más de 25 minutos en iniciarse.

  • La creación de VM con los tipos a3-ultragpu-8g y a4-ultragpu-8g en un servidor reaprovisionado recientemente falla con errores.

Gestión de vulnerabilidades

  • Es posible que no se completen los análisis de vulnerabilidades con Tenable Enclave.

  • No se puede acceder a Tenable Enclave.

Fija
Se corrigieron los siguientes problemas:

Firewall

  • Las reglas de firewall heredadas podrían bloquear el tráfico de la organización al administrador raíz después de la actualización.

Administración de identidades y accesos

  • Un problema de confianza de OPA Gatekeeper después de una rotación de la AC raíz impide la creación de roles de IAM en proyectos nuevos.

Redes

  • La validación preliminar ya no informa fallas de conexión falsas entre los interruptores de administración y los puertos de administración del firewall.

Almacenamiento

  • Las alertas frecuentes de OBJ-A0003 persisten a pesar de los esfuerzos de silenciamiento estándar.

  • Después del tiempo de inactividad del nodo administrador principal de StorageGRID, los intentos de actualización del almacén de objetos realizados con un CR de ObjectStorageUpgradeRequest pueden fallar debido a que las solicitudes se dirigen al nodo administrador de StorageGRID no principal.

Cambiar
Se identificaron los siguientes cambios:

Actualizaciones de versiones:

Funciones obsoletas
Las siguientes funciones dejaron de estar disponibles:

Servicios de base de datos

  • El servicio de base de datos dejará de estar disponible en su implementación heredada de alta disponibilidad (HA) en las versiones 1.14.12 y anteriores. Los clústeres de bases de datos heredadas de HA se admitirán hasta la fecha de baja, que se anunciará próximamente. No hay cambios para el usuario en la nueva función de HA, ya que la API para habilitar e inhabilitar la HA sigue siendo la misma. Para verificar si tu clúster de base de datos de HA usa la nueva implementación, comprueba si la anotación dbcluster.dbadmin.goog/raasEnabled existe en el CR de tu clúster de base de datos de HA. Esta anotación solo aparecerá en los clústeres de bases de datos de alta disponibilidad que usen la nueva implementación. Si no tienes esta anotación, puedes migrar a la implementación de HA más reciente.