הערות מוצר לגרסה 1.16.1 של Google Distributed Cloud במודל Air-gapped

‫5 ביוני 2026

הודעה
‫Google Distributed Cloud‏ (GDC) במודל Air-gapped 1.16.1 זמין.
בסקירה הכללית על המוצר מוסבר על התכונות של Distributed Cloud.
חשוב
דרישות לשדרוג לגרסה 1.16.1

כדי לשדרג בבטחה ל-Distributed Cloud 1.16.1, צריך להשלים את כל הבדיקות המקדימות הנדרשות לשדרוג ולבצע את רצף השדרוג הנדרש לפי הסדר. שדרוגים ישירים מכל גרסה שקודמת ל-1.15.1 ייכשלו.

אם אתם משתמשים בגרסה 1.14.7 או בגרסה ישנה יותר:

  1. החלת תיקונים חמים: מתקינים את כל התיקונים החמים הנדרשים לגרסה הנוכחית.
  2. שדרוג לגרסה 1.15.3: מתחילים ומשלימים את השדרוג לגרסה 1.15.3.
  3. שדרוג לגרסה 1.16.1: מתחילים את השדרוג הסופי לגרסה 1.16.1 ומשלימים אותו.

אם אתם משתמשים בגרסה 1.15.1 או 1.15.3: אתם יכולים לשדרג ישירות לגרסה 1.16.1.

אם אתם משתמשים בגרסה 1.15.2: קודם צריך לשדרג לגרסה 1.15.3, ואז לשדרג לגרסה 1.16.1.

התכונה
התכונות החדשות הבאות זמינות:

ניהול אשכולות

תשתית

  • הוספנו תמיכה במכונות Bare Metal מסוג B300 בארגון.

Managed Harbor Services

  • הוספנו תמיכה בחשבונות שירות של פרויקטים. כך תוכלו להשתמש בזהות של חשבון השירות כדי לקיים אינטראקציה מאובטחת עם מופעי Harbor ולנהל מאגרי תמונות של קונטיינרים. מידע נוסף זמין במאמר סקירה כללית על Managed Harbor Service.

Networking

  • שירות Cloud DNS זמין עכשיו לכלל המשתמשים. השירות הזה מספק דרך אמינה וניתנת להרחבה לניהול רשומות של שירות שמות דומיין (DNS), באמצעות Kubernetes API או שורת הפקודה. מידע נוסף זמין במאמר מידע כללי על Cloud DNS.

  • מערכת ה-DNS תומכת עכשיו בהצפנה מבוססת TLS של כל תעבורת ה-DNS עבור שירותי מערכת ושירותים של צד ראשון, גם באופן פנימי ב-Distributed Cloud וגם בין Distributed Cloud לבין רשתות של לקוחות.

ניראות (observability)

  • הוספנו מעקב אחר יכולת התצפית (observability) של עומסי עבודה. התכונה הזו מספקת יכולות של מעקב ורישום ביומן, שנועדו לייעל את המעקב אחר עומסי עבודה ואת פתרון הבעיות שקשורות אליהם. מידע נוסף זמין במאמר בנושא מעקב אחר יכולת התצפית של עומסי עבודה.

אחסון

  • הוספנו תמיכה ב-buckets אוטומטיים סינכרוניים בשני אזורים. במהלך פעולות רגילות, מדיניות ההעברה כותבת באופן סינכרוני עותקים של אובייקטים לשני האזורים המיועדים, עם מעבר לגיבוי אוטומטי לשכפול אסינכרוני במהלך הפסקות שירות.

  • הוספנו תמיכה באספקת סיכומי ביקורת (checksum) בכותרות HTTP נגררות בהעלאות של אובייקטים. כך אפשר לשפר את תקינות הנתונים ואת זיהוי השגיאות. מידע נוסף מופיע במאמר העלאה והורדה של אובייקטים באחסון.

  • נוסף שיפור שמבטיח שמחיקת חשבון שירות תגרום למחיקה אוטומטית של פרטי הכניסה לאחסון אובייקטים שמשויכים אליו. כך נמנעים סודות יתומים במרחב שמות של פרויקט. מידע נוסף זמין במאמר מחיקת קטגוריות אחסון.

  • הוספנו תמיכה ב-SLO של זמן פעולה תקינה בחלון לזמינות של S3 אזורי. השינוי הזה מבטיח שמדדי הבריאות לא יהיו מוטים בגלל ניסיונות חוזרים רבים מפרויקטים בודדים עם נפח גדול, וכך משקפים בצורה מדויקת יותר את חוויית המשתמש בפועל בארגון.

מכונות וירטואליות

אבטחה
עדכנו את גרסת תמונת Rocky OS ל-20260318 כדי להחיל את תיקוני האבטחה העדכניים והעדכונים החשובים.

תוקנו נקודות החולשה הבאות באבטחה:

בעיה
הבעיות הבאות זוהו:

Cloud DNS

  • אם שלב ה-Feature Gate של DNS OIRv2 לא מספיק, מוחזרות הודעות שגיאה כלליות.

  • ההתאמה של רכיב המשנה dns-core-mz-cp נכשלת.

  • פענוח ה-DNS נכשל מנקודות הקצה.

  • נדרש CLI גלובלי של gcloud להגדרות של Cloud DNS.

ניהול אשכולות

  • אשכול Kubernetes לא מוסר אחרי המחיקה.

  • פודים סטטיים תקועים בגלל מבוי סתום ב-kubelet.

מסמכי תיעוד

  • מסמכים מיושנים שנשלחו עם גרסת המוצר.

  • אי אפשר לראות את ההוראות במסמכי התיעוד בפורמט של כרטיסיות.

זיהוי ותגובה בנקודות קצה

  • האפשרות Isolate Host מוצגת בממשק המשתמש של Kibana, אבל היא לא פועלת.

חומת אש

  • יצירת הגדרת תא דורשת בטעות רישיון vsys לחומות אש של תשתית.

מסוף GDC

  • במסמכי התיעוד שמתארחים במסוף GDC מוצגת שגיאה 404.

gdcloud CLI

  • כשמריצים פקודה כלשהי ב-CLI של gcloud, מוצגת אזהרה על דגל תכונה שלא אותחל.

Harbor

  • מרשמי יתירות כשל מדווחים על שגיאת 404 Not Found.

מודול אבטחת חומרה

  • דליפת מתאר קובץ גורמת לשגיאה ServicesNotStarted.

ניהול זהויות והרשאות גישה

  • IAMRoleBinding של k8s-networkpolicy-admin או k8s-networkpolicy-viewer גורם לשגיאות ZonalRoleBindingReplica.

  • יכול להיות שמשאב CustomRole שכולל קטע zonalRules לא ייתן הרשאות באופן מהימן.

  • הפריסה של Keycloak נכשלת בארגון opsservices.

  • שינויים במאפייני משתמש ב-Keycloak עבור Tenable לא משתקפים.

  • צריך להגדיר ידנית את ספק הזהויות של Keycloak באשכול ברמת אדמין בסיסית (root) של OIRv2.

  • ‫RotatableSecret ais-encryption-key-secret מדווח על ערך שגוי עם IAM-0100 timed out.

תשתית כקוד (IaC)

  • שדרוגים מ-GDC גרסה 1.15 לגרסה 1.16 עם IAC עלולים להיכשל.

  • יכול להיות שמשימת GitLab תיכשל בלי להציג הודעה ותמנע את ההפעלה של GitLab.

  • ההתראה IAC-3211 מופעלת בטעות בגלל תפוגת סוד של iac-creds-replica.

מלאי

thought b/534561687 #}

  • האתחול או הפריסה נכשלים בגלל תווים מיוחדים בסיסמאות שנוצרו אוטומטית.

  • פריסת אשכול ברמת אדמין בסיסית (root) נכשלת בגלל שגיאה באימות של דגם המכשיר ודגם המשדר/מקלט.

  • במהלך אימות המלאי, מוצגת אזהרה אם כבל מסוים הוא של ספק משדרים FS.

  • אי אפשר להשתמש בשמות של תאים או מדפים עם יותר משתי אותיות.

  • אימות לפני ההפעלה (2-mgmtsw-connection) מדווח על כשלים שגויים בחיבור למתג הניהול (VAL-E1001) ביציאות LOM1 של שרת Bare Metal או ביציאות mgmt0 של מתג האחסון במהלך ההתקנה הראשונית או הפעלה מחדש של תהליך האתחול.

  • האימות של הגדרת התא נכשל עבור מכשיר ה-NTP היחיד במתלה OIRv2, כי בדיקת ההתאמה של מתג ה-TOR דורשת חיבור בשני מתגי ה-TOR.

IO shell

  • משאבים שפג התוקף שלהם ב-IOShell חוסמים את היצירה או העדכון של המשאבים.

  • שמות משתמשים שלא תואמים ל-RFC 1123 גורמים לכשל ביצירת IO Shell.

  • מקפים בשמות של ארגונים או אזורים גורמים להתנגשויות בשמות.

  • חיבורי SSH לצמתים של bare metal באמצעות כתובות IP פנימיות לניהול נכשלים.

ניהול כתובות IP‏ (IPAM)

  • אחרי השדרוג לגרסה 1.16.1 ואילך, חשבונות שירות שמנהלים רשתות משנה שמפנות להורה במרחב השמות platform צריכים את התפקיד shared-subnet-user במרחב השמות platform.

מערכת לניהול מפתחות

  • מערכת KMS שמגדירים בה שימוש במפתח Root של CTM לא מבצעת יתירות כשל אם HSM לא זמין.

  • שדרוג רכיב המשנה kms-mz-global-cm נכשל בארגון אשכולות.

  • אי אפשר להשתמש בפרוטוקול SSH במכשירי Thales HSM מ-IO Shell.

מעקב

  • ‫mon-system השדרוג של StatefulSet Helm נכשל עם מפרט Pod אסור.

  • אדמינים של הפלטפורמה לא יכולים לראות את הדף Alerting במסוף GDC עבור פרויקט platform-obs.

Network Time Protocol‏ (NTP)

  • יכול להיות שה-Pod של ntp-relay-controller ייכנס למצב של לולאת קריסה בגלל שגיאות של מחסור בזיכרון.

  • סקריפט manage_syncserver_time.py קורס במהלך הפריסה כשבודקים את השעה.

  • כשפורסים מתגי ניהול של OIRv2, יכול להיות שההצפנה וההגדרה של NTP לא יחולו על ההגדרה הפעילה.

מערכת הפעלה

  • אשכולות משתמשים תקועים במצב Reconciling בגלל שגודל המחיצה /var/log לא מספיק.

  • שדרוגי הצמתים נכשלים או שהמערכת ננעלת בגלל זליגות של סשנים ב-pam_tty_audit.so.

אימות הפלטפורמה

  • פג התוקף של *-cert סודות שדלפו אחרי המחיקה של אשכול Kubernetes.

מנהל המשאבים

  • יכול להיות שבקר הפרויקט של Resource Manager ייכנס למצב של לולאת קריסה בגלל שגיאות שקשורות לחוסר זיכרון.

ניהול מידע ואירועים בתחום האבטחה (SIEM)

  • דיסקים של אחסון גמיש יכולים להגיע לקיבולת מלאה תוך כ-30 יום.

  • ההשקה של SIEM v2 נכשלת באשכולות שאינם OIRv2.

  • נפחי אינדקס של Splunk מפעילים התראות חיוביות כוזבות על ערכי סף של אחסון.

שרתים

  • ההתקנה של Bootstrapper נכשלת במהלך הגדרת מערכת הקבצים עם השגיאה matched no disk.

  • האתחול של השרת נכשל עם שגיאת iDRAC.

  • הקצאת השרת נכשלת עם שגיאה במצב הסטטוס BMCConfigPreinstallLicenseInstallCompleted בשרתי Dell.

  • משאב בהתאמה אישית של BareMetalHostNetwork יכול להכיל כמה נתיבים של שער ניהול.

אחסון

  • רישום ביומן הביקורת של אירועי ONTAP S3 מושבת.

  • השדרוג של ONTAP נכשל בגלל חוסר בנתיבי רשת.

  • האימות של StorageCluster נכשל במהלך האתחול.

  • כשמבצעים בקשות לרשימת אובייקטים בקטגוריות שמכילות העלאות מרובות חלקים, יכול להיות שהבקשות ייכשלו והמדד obj-s3-availability ירד.

  • יכול להיות שהעברת יומן הביקורת של מאגר האובייקטים תיכשל במהלך שדרוג רציף בגלל שחסרים משאבים בהתאמה אישית של Bucket.

  • העברת יומן הביקורת של מאגר האובייקטים נכשלה בגלל כשל בחיפוש DNS.

  • שדרוגים של StorageGRID עלולים להיתקע עם שגיאה של "לא הועלה שדרוג".

  • יצירה ועדכון של קטגוריות נמשכים יותר זמן מהצפוי.

מערכת אירועים

  • ה-pod של ts-app-server-1 מופעל מחדש מדי פעם.

מכונות וירטואליות

  • כשיוצרים מכונה וירטואלית של Windows באמצעות ה-gdcloud CLI‏ gdcloud compute instances create, המכונה הווירטואלית לא מצליחה לבצע אתחול בגלל סוג ברירת המחדל של אתחול ה-BIOS‏ bios ודגלי אתחול מאובטח חסרים.

  • gpu-controller-controller-manager pod עובר למצב ImagePullBackOff במהלך השדרוג לגרסה 1.16.1.

  • יכול להיות שיחלפו יותר מ-25 דקות עד שמכונות וירטואליות מסוג סדרה A a4-ultragpu-8g שמשתמשות במערכת הפעלה אורחת עם ליבת 4.x יתחילו לפעול.

  • יצירת VM עם הסוגים a3-ultragpu-8g ו-a4-ultragpu-8g בשרת שהוקצה מחדש נכשלת ומופיעות שגיאות.

ניהול נקודות חולשה

  • יכול להיות שסריקות של נקודות חולשה באמצעות Tenable Enclave לא יושלמו.

  • אין גישה ל-Tenable Enclave.

תוקן
הבעיות הבאות תוקנו:

חומת אש

  • יכול להיות שכללים קודמים של חומת אש יחסמו את התעבורה מהארגון לאדמין הראשי אחרי השדרוג.

ניהול זהויות והרשאות גישה

  • בעיה ב-OPA Gatekeeper שקשורה למהימנות אחרי רוטציה של רשות אישורים (CA) בסיסית מונעת יצירה של תפקיד IAM בפרויקטים חדשים.

Networking

  • באימות לפני ההפעלה לא מדווחות יותר שגיאות חיבור שגויות בין מתגי הניהול לבין יציאות הניהול של חומת האש.

אחסון

  • התראות OBJ-A0003 תכופות ממשיכות להופיע למרות ניסיונות השתקה רגילים.

  • אחרי השבתה של צומת אדמין ראשי ב-StorageGRID, ניסיונות לשדרוג אחסון אובייקטים שמתבצעים באמצעות ObjectStorageUpgradeRequest CR עלולים להיכשל בגלל שבקשות מופנות לצומת אדמין ב-StorageGRID שאינו ראשי.

שינוי
השינויים הבאים זוהו:

עדכוני גרסה:

הוצא משימוש
התכונות הבאות יוצאו משימוש:

שירותי מסדי נתונים

  • שירות מסד הנתונים מוציא משימוש את ההטמעה הקודמת של זמינות גבוהה (HA) בגרסאות 1.14.12 ומטה. אשכולות של מסדי נתונים מדור קודם עם זמינות גבוהה ייתמכו עד לתאריך ההשבתה, שיוכרז בהמשך. אין שינוי שגלוי למשתמשים בתכונת הזמינות הגבוהה החדשה, כי ה-API להפעלה ולהשבתה של זמינות גבוהה נשאר זהה. כדי לוודא שאשכול מסד הנתונים של HA משתמש בהטמעה החדשה, בודקים אם ההערה dbcluster.dbadmin.goog/raasEnabled קיימת ב-CR של אשכול מסד הנתונים של HA. ההערה הזו תופיע רק באשכולות של מסדי נתונים עם זמינות גבוהה שמשתמשים בהטמעה החדשה. אם ההערה הזו לא מופיעה, אפשר לעבור להטמעה העדכנית של HA.