Notas de la versión 1.16.1 de Google Distributed Cloud aislado

5 de junio de 2026

Anuncio
Google Distributed Cloud (GDC) aislado 1.16.1 ya está disponible.
Consulta la descripción general del producto para conocer las funciones de Distributed Cloud.
Importante
Requisitos de la secuencia de actualización de la versión 1.16.1

Para actualizar de forma segura a Distributed Cloud 1.16.1, debes completar todas las verificaciones previas a la actualización obligatorias y ejecutar la secuencia de actualización requerida en orden. Las actualizaciones directas desde cualquier versión anterior a la 1.15.1 fallarán.

Si usas la versión 1.14.7 o una anterior, haz lo siguiente:

  1. Aplica revisiones: Instala todas las revisiones necesarias para tu versión actual.
  2. Actualiza a la versión 1.15.3: Inicia y completa la actualización a la versión 1.15.3.
  3. Actualiza a la versión 1.16.1: Inicia y completa la actualización final a la versión 1.16.1.

Si usas la versión 1.15.1 o 1.15.3, actualiza directamente a la versión 1.16.1.

Si usas la versión 1.15.2, primero debes actualizar a la versión 1.15.3 y, luego, a la 1.16.1.

Función
Están disponibles las siguientes funciones nuevas:

Administración de clústeres

  • Se agregó compatibilidad con las máquinas H200 y B300 de la serie A para los nodos de clústeres de Kubernetes. Para obtener más información, consulta Tipos de máquinas de nodos de clúster.

Infraestructura

  • Se agregó compatibilidad con las máquinas de equipos físicos B300 en una organización.

Servicios de Harbor administrados

  • Se agregó compatibilidad con las cuentas de servicio del proyecto. Esto te permite usar la identidad de tu cuenta de servicio para interactuar de forma segura con tus instancias de Harbor y administrar repositorios de contenedores. Para obtener más información, consulta Descripción general del Servicio de Harbor administrado.

Redes

  • Cloud DNS ahora está disponible de forma general. Este servicio proporciona una forma confiable y escalable de administrar los registros del servicio de nombres de dominio con una API de Kubernetes o la línea de comandos. Para obtener más información, consulta Acerca de Cloud DNS.

  • Ahora, el DNS admite la encriptación basada en TLS de todo el tráfico de DNS para los servicios del sistema y propios, tanto de forma interna en Distributed Cloud como entre Distributed Cloud y las redes de los clientes.

Observabilidad

  • Se agregó el seguimiento de observabilidad para las cargas de trabajo. Esta función proporciona capacidades de supervisión y registro diseñadas para optimizar el seguimiento y la solución de problemas de las cargas de trabajo. Para obtener más información, consulta Seguimiento de la observabilidad de las cargas de trabajo.

Almacenamiento

  • Se agregó compatibilidad con buckets de zona doble con sincronización automática. Durante las operaciones normales, la política de transferencia escribe de forma síncrona copias de objetos en ambas zonas designadas, con resguardo a la replicación asíncrona durante las interrupciones.

  • Se agregó compatibilidad para proporcionar sumas de comprobación en los encabezados HTTP finales en las cargas de objetos. Esto mejora la integridad de los datos y la detección de errores. Para obtener más información, consulta Sube y descarga objetos de almacenamiento.

  • Se agregó una mejora que garantiza que las credenciales de almacén de objetos se borren automáticamente cuando se quita la cuenta de servicio asociada. Esto evita que haya Secrets huérfanos en un espacio de nombres del proyecto. Para obtener más información, consulta Borra buckets de almacenamiento.

  • Se agregó compatibilidad con el SLO de tiempo de actividad por ventanas para la disponibilidad de S3 zonal. Este cambio garantiza que las métricas de estado no se vean sesgadas por varios reintentos de proyectos individuales de gran volumen, lo que proporciona un reflejo más preciso de la experiencia real del usuario en una organización.

Máquinas virtuales

  • Se agregaron máquinas A4 B300 de la serie A a la lista de tipos de máquinas de VM compatibles. Para obtener más información, consulta Visualiza el tipo de máquina de la VM.

  • Se agregó compatibilidad con imágenes de Windows 2022 para imágenes personalizadas de tipo Bring Your Own (BYO). Para obtener más información, consulta Imágenes de VM compatibles con GDC.

  • Se agregó compatibilidad con la renovación de certificados de arranque seguro para las VMs con certificados que vencen. Para obtener más información, consulta Actualiza los certificados de inicio seguro.

  • Se aumentó el límite máximo de ancho de banda de salida de las redes de nivel 1 de 25 Gbps a 32 Gbps por VM, según el tipo de máquina y la cantidad de CPU virtuales, para controlar las cargas de trabajo exigentes.

Seguridad
Se actualizó la versión de la imagen de SO Rocky a la 20260318 para aplicar los parches de seguridad más recientes y las actualizaciones importantes.

Se corrigieron las siguientes vulnerabilidades de seguridad:

Problema
Se identificaron los siguientes problemas:

Cloud DNS

  • Se devuelven mensajes de error genéricos cuando la etapa del interruptor de función de OIRv2 de DNS es insuficiente.

  • La conciliación del subcomponente dns-core-mz-cp falla.

  • La resolución de DNS falla desde los extremos.

  • Se requiere la CLI de gdcloud global para las configuraciones de Cloud DNS.

Cloud Service Mesh

  • Los secretos remotos de Cloud Service Mesh para un clúster de usuario borrado pueden permanecer en el clúster de infraestructura de la organización, y istiod sigue intentando conectarse al clúster borrado.

Administración de clústeres

  • El clúster de Kubernetes no se quita después de borrarlo.

  • Pods estáticos atascados debido a un interbloqueo de kubelet.

  • En un entorno de accredited, aplicar un recurso personalizado SubcomponentOverride para anular los interruptores de funciones de un componente operable provoca reinicios continuos del controlador.

  • La acumulación de objetos PersistentVolume locales Available huérfanos después de los reemplazos de nodos o la deserción de Pods puede causar reinicios por falta de memoria de kube-apiserver en clústeres compartidos y clústeres estándar.

Documentación

  • Documentación desactualizada que se envía con la versión del producto

  • No se pueden ver las instrucciones de la documentación en formato de pestañas.

Detección y respuesta de extremos

  • La opción Isolate Host es visible, pero no funciona en la IU de Kibana.

Firewall

  • La generación de la configuración de celdas requiere de forma errónea una licencia de vsys para los firewalls de infraestructura.

Consola de GDC

  • La documentación alojada en la consola de GDC muestra un error 404.

gdcloud CLI

  • Cuando se ejecuta cualquier comando de la CLI de gdcloud, se imprime una advertencia de marca de función no inicializada.

Harbor

  • Los registros de conmutación por error informan un error 404 Not Found.

Módulo de seguridad de hardware

  • Una fuga de descriptor de archivo provoca un error ServicesNotStarted.

Administración de identidades y accesos

  • Ejecutar la CLI de gdcloud o los comandos de kubectl cuando core/organization_console_url se establece en la URL de la consola global podría fallar de forma intermitente con un error 401 Unauthorized.

  • Un IAMRoleBinding para k8s-networkpolicy-admin o k8s-networkpolicy-viewer causa errores ZonalRoleBindingReplica.

  • Es posible que un recurso CustomRole que incluya una sección zonalRules no otorgue permisos de forma confiable.

  • La implementación de Keycloak falla para la organización opsservices.

  • No se reflejan las modificaciones de los atributos de usuario de Keycloak para Tenable.

  • El proveedor de identidad de Keycloak se debe configurar de forma manual en el clúster de administración raíz de OIRv2.

  • RotatableSecret ais-encryption-key-secret informa un valor falso con IAM-0100 tiempo de espera agotado.

Infraestructura como código (IaC)

  • Las actualizaciones de la versión 1.15 a la 1.16 de GDC con IAC podrían fallar.

  • El trabajo de GitLab podría fallar de forma silenciosa y evitar que se inicie GitLab.

  • La alerta IAC-3211 se activa de forma falsa para el vencimiento de un secreto de iac-creds-replica.

  • Las instancias de IOShell pueden alcanzar la red de administración fuera de banda (OOB) incluso cuando el acceso OOB está inhabilitado.

Inventario

b/534561687 #}

  • La inicialización o la implementación fallan debido a caracteres especiales en las contraseñas generadas de forma automática.

  • La implementación del clúster de administración raíz falla debido a un error de validación del modelo de dispositivo y del modelo de transceptor.

  • Durante la validación del inventario, se muestra una advertencia cuando un cable tiene FS como proveedor de transceptor.

  • No se admiten nombres de celdas o bastidores con más de dos letras.

  • La validación preliminar (2-mgmtsw-connection) informa fallas de conexión del interruptor de administración falsas (VAL-E1001) para los puertos del servidor de equipos físicos LOM1 o los puertos del interruptor de almacenamiento mgmt0 durante la instalación inicial o un reinicio.

  • La validación de la configuración de la celda falla para el único dispositivo NTP en un bastidor de OIRv2 porque la verificación de vinculación del interruptor TOR requiere una conexión en ambos interruptores TOR.

IO shell

  • Los recursos IOShell vencidos bloquean la creación o actualización de recursos.

  • Los nombres de usuario que no siguen el RFC 1123 interrumpen la creación de IO Shell.

  • Los guiones en los nombres de organizaciones o zonas causan colisiones de nombres.

  • Las conexiones SSH a los nodos de equipos físicos con direcciones IP internas de administración fallan.

  • Las actualizaciones en las zonas de OIRv2 se detienen en Cloud Service Mesh porque los Pods de IO Shell llevan la etiqueta istio.io/rev: default sin un sidecar de Istio.

Administración de direcciones IP (IPAM)

  • Después de actualizar a la versión 1.16.1 o posterior, las cuentas de servicio que administran subredes que hacen referencia a un elemento superior en el espacio de nombres platform requieren el rol shared-subnet-user en el espacio de nombres platform.

Sistema de administración de claves

  • KMS configurado para usar una clave raíz de CTM no conmuta por error cuando un HSM no está disponible.

  • La actualización del subcomponente kms-mz-global-cm falla en los clústeres de la organización.

  • No se puede establecer una conexión SSH a los dispositivos HSM de Thales desde IO Shell.

Logging

  • La alerta AL-E0935 (log_query_api_list_logs_error_rate_high) se activa como falso positivo cuando las consultas de registros superan el límite de período de 30 días de Loki.

Supervisión

  • La actualización de Helm del StatefulSet mon-system falla con una especificación de Pod prohibida.

  • Los administradores de la plataforma no pueden ver la página Alertas en la consola de GDC para el proyecto platform-obs.

Redes

  • Las solicitudes externas de kubectl a los servidores de la API de clústeres de Standard fallan con un error RBAC: access denied cuando solo se configura matchTypes: ["api-server"] en un OrganizationNetworkPolicy.

Network Time Protocol (NTP)

  • El Pod ntp-relay-controller puede entrar en un estado de bucle de fallas debido a errores de memoria insuficiente.

  • La secuencia de comandos manage_syncserver_time.py falla cuando se verifica la hora durante la implementación.

  • Cuando se implementan los switches de administración de OIRv2, es posible que la configuración y la encriptación de NTP no se apliquen a la configuración en ejecución.

  • Los servidores NTP activan alertas falsas de sincronización del reloj de referencia del hardware.

Sistema operativo

  • Los clústeres de usuario se atascan en el estado Reconciling debido a un tamaño de partición /var/log insuficiente.

  • Las actualizaciones de nodos fallan o el sistema se bloquea debido a filtraciones de sesiones de pam_tty_audit.so.

Autenticación de la plataforma

  • Los secretos de *-cert vencidos se filtran después de borrar el clúster de Kubernetes.

Resource Manager

  • El controlador de proyectos de Resource Manager puede entrar en un estado de bucle de fallas debido a errores de falta de memoria.

Administración de información y eventos de seguridad (SIEM)

  • Los discos de almacenamiento elástico pueden alcanzar su capacidad máxima en aproximadamente 30 días.

  • La implementación de SIEM v2 no se completa en los clústeres que no son de OIRv2.

  • Los volúmenes del indexador de Splunk activan alertas de umbral de almacenamiento de falsos positivos.

Servidores

  • La instalación del bootstrapper falla durante la configuración del sistema de archivos con un error matched no disk.

  • El inicio del servidor falla con un error de iDRAC.

  • El aprovisionamiento del servidor falla con un error de condición de estado BMCConfigPreinstallLicenseInstallCompleted para los servidores de Dell.

  • Un recurso personalizado BareMetalHostNetwork puede contener varias rutas de puerta de enlace de administración.

Almacenamiento

  • El inicio de una organización de usuario nueva se detiene durante el paso VMImageDistributing cuando se habilita el almacenamiento Nearline.

  • El registro de auditoría de eventos de ONTAP S3 está inhabilitado.

  • La actualización de ONTAP falla debido a que faltan rutas de red.

  • La validación de StorageCluster falla durante el inicio.

  • Cuando se realizan solicitudes de objetos de lista en buckets que contienen cargas de varias partes, las solicitudes pueden fallar y la métrica obj-s3-availability puede disminuir.

  • Es posible que el reenvío de registros de auditoría del almacén de objetos falle durante una actualización secuencial debido a que faltan recursos personalizados de Bucket.

  • El reenviador de registros de auditoría del almacén de objetos falla debido a un error en la búsqueda de DNS.

  • Las actualizaciones de StorageGRID podrían detenerse con un error que indica que no se subió ninguna actualización.

  • La creación y las actualizaciones de buckets tardan más de lo esperado.

Sistema de tickets

  • El Pod ts-app-server-1 se reinicia de forma periódica.

Máquinas virtuales

  • Es posible que las VMs del clúster perimetral fallen durante la creación debido a que faltan dispositivos macvtap (/dev/tap*) cuando onetd vuelve a crear las interfaces de VLAN adminvrf0 y datavrf0.

  • Cuando creas una VM de Windows con la CLI de gdcloud CLI gdcloud compute instances create, la VM no se inicia debido al tipo de inicio de BIOS predeterminado bios y a la falta de marcas de inicio seguro.

  • gpu-controller-controller-manager pod ingresa a un estado ImagePullBackOff durante la actualización a la versión 1.16.1.

  • Las VMs a4-ultragpu-8g de la serie A que usan un SO invitado con un kernel 4.x pueden tardar más de 25 minutos en iniciarse.

  • La creación de VM con los tipos a3-ultragpu-8g y a4-ultragpu-8g en un servidor reaprovisionado recientemente falla con errores.

  • La rotación mensual de contraseñas de dbsadmin de la base de datos del servidor de metadatos de VM falla porque el servicio de base de datos ya no borra el secreto de db-pw-metadata-dbcluster después de aplicar la contraseña. Después del próximo reinicio de los pods de metadata-server-controller-manager o de la base de datos, el servidor de metadatos no podrá conectarse a su base de datos.

  • Las VMs de GPU no se inician con un error Unknown PCI header type '127' si una GPU no puede recuperar el vínculo y se desconecta del bus PCIe cuando se activa desde el estado de bajo consumo D3hot.

Gestión de vulnerabilidades

  • Es posible que no se completen los análisis de vulnerabilidades con Tenable Enclave.

  • No se puede acceder a Tenable Enclave.

Fija
Se corrigieron los siguientes problemas:

Firewall

  • Las reglas de firewall heredadas podrían bloquear el tráfico de la organización al administrador raíz después de la actualización.

Administración de identidades y accesos

  • Un problema de confianza de OPA Gatekeeper después de una rotación de la CA raíz impide la creación de roles de IAM en proyectos nuevos.

Redes

  • La validación preliminar ya no informa fallas de conexión falsas entre los interruptores de administración y los puertos de administración del firewall.

Almacenamiento

  • Las alertas frecuentes de OBJ-A0003 persisten a pesar de los esfuerzos estándar para silenciarlas.

  • Después del tiempo de inactividad del nodo administrador principal de StorageGRID, los intentos de actualización del almacén de objetos realizados con un CR de ObjectStorageUpgradeRequest pueden fallar debido a que las solicitudes se dirigen al nodo administrador no principal de StorageGRID.

Máquinas virtuales

  • Cuando importas una imagen de disco de VM con el comando gdcloud compute images import o el recurso personalizado VirtualMachineImageImport, la operación de importación se detiene en la etapa JobImport si el nombre del recurso VirtualMachineImageImport supera los 33 caracteres (o 28 caracteres para el nombre de la imagen que se pasa a la CLI de gdcloud).
Cambiar
Se identificaron los siguientes cambios:

Actualizaciones de versiones:

Funciones obsoletas
Las siguientes funciones dejaron de estar disponibles:

Servicios de base de datos

  • El servicio de base de datos dejará de estar disponible en su implementación heredada de alta disponibilidad (HA) en las versiones 1.14.12 y anteriores. Los clústeres de bases de datos de alta disponibilidad heredados se admitirán hasta su fecha de baja, que se anunciará próximamente. No hay cambios para el usuario en la nueva función de HA, ya que la API para habilitar e inhabilitar la HA sigue siendo la misma. Para verificar si tu clúster de base de datos de HA usa la implementación nueva, comprueba si la anotación dbcluster.dbadmin.goog/raasEnabled existe en la CR del clúster de base de datos de HA. Esta anotación solo aparecerá en los clústeres de bases de datos de alta disponibilidad que usen la nueva implementación. Si no tienes esta anotación, puedes migrar a la implementación de HA más reciente.