Note di rilascio di Google Distributed Cloud con air gap 1.16.1

5 giugno 2026

Annuncio
Google Distributed Cloud (GDC) con air gap 1.16.1 è disponibile.
Consulta la panoramica del prodotto per scoprire le caratteristiche di Distributed Cloud.
Importante
Requisiti della sequenza di upgrade alla versione 1.16.1

Per eseguire l'upgrade in sicurezza a Distributed Cloud 1.16.1, devi completare tutti i controlli pre-upgrade obbligatori ed eseguire la sequenza di upgrade richiesta in ordine. Gli upgrade diretti da qualsiasi versione precedente alla 1.15.1 non riusciranno.

Se utilizzi la versione 1.14.7 o precedenti:

  1. Applica gli hotfix: installa tutti gli hotfix richiesti per la versione corrente.
  2. Esegui l'upgrade alla versione 1.15.3: avvia e completa l'upgrade alla versione 1.15.3.
  3. Esegui l'upgrade alla versione 1.16.1: avvia e completa l'upgrade finale alla versione 1.16.1.

Se utilizzi la versione 1.15.1 o 1.15.3: esegui l'upgrade direttamente alla versione 1.16.1.

Se utilizzi la versione 1.15.2: devi prima eseguire l'upgrade alla versione 1.15.3, quindi eseguire l'upgrade alla versione 1.16.1.

Funzionalità
Sono disponibili le seguenti nuove funzionalità:

Gestione dei cluster

Infrastruttura

  • Aggiunto il supporto per le macchine bare metal B300 in un'organizzazione.

Managed Harbor Services

  • Aggiunto il supporto per i service account del progetto. In questo modo puoi utilizzare l'identità del service account per interagire in modo sicuro con le tue istanze Harbor e gestire i repository di container. Per saperne di più, consulta la panoramica di Managed Harbor Service.

Networking

  • Cloud DNS è ora in disponibilità generale. Questo servizio fornisce un modo affidabile e scalabile per gestire i record del Domain Name Service utilizzando un'API Kubernetes o la riga di comando. Per saperne di più, consulta Informazioni su Cloud DNS.

  • Il DNS ora supporta la crittografia basata su TLS di tutto il traffico DNS per i servizi di sistema e proprietari, sia internamente a Distributed Cloud sia tra Distributed Cloud e le reti dei clienti.

Osservabilità

  • Aggiunto il monitoraggio dell'osservabilità per i workload. Questa funzionalità offre funzionalità di monitoraggio e logging progettate per semplificare il monitoraggio e la risoluzione dei problemi dei workload. Per saperne di più, consulta Monitoraggio dell'osservabilità per i workload.

Spazio di archiviazione

  • È stato aggiunto il supporto per i bucket a due zone con sincronizzazione automatica. Durante le normali operazioni, la policy di importazione scrive in modo sincrono le copie degli oggetti in entrambe le zone designate, con fallback alla replica asincrona durante le interruzioni.

  • Aggiunto il supporto per la fornitura di checksum nelle intestazioni HTTP finali nei caricamenti di oggetti. In questo modo, l'integrità dei dati e il rilevamento degli errori migliorano. Per ulteriori informazioni, consulta Carica e scarica oggetti di archiviazione.

  • È stato aggiunto un miglioramento che garantisce l'eliminazione automatica delle credenziali di archiviazione degli oggetti quando viene rimosso l'account di servizio associato. In questo modo si evitano secret orfani in uno spazio dei nomi del progetto. Per saperne di più, consulta Elimina i bucket di archiviazione.

  • Aggiunto il supporto per lo SLO di uptime con finestra per la disponibilità S3 a livello di zona. Questa modifica garantisce che le metriche di salute non vengano alterate da più tentativi di singoli progetti con volumi elevati, fornendo un riflesso più accurato dell'esperienza utente effettiva in un'organizzazione.

Macchine virtuali

  • Sono state aggiunte le macchine A4 B300 della serie A all'elenco dei tipi di macchine VM supportati. Per saperne di più, consulta Visualizza il tipo di macchina della VM.

  • Aggiunto il supporto delle immagini Windows 2022 per le immagini personalizzate BYO (Bring Your Own). Per ulteriori informazioni, consulta Immagini VM supportate da GDC.

  • Aggiunto il supporto per il rinnovo dei certificati di avvio protetto per le VM con certificati in scadenza. Per saperne di più, consulta Aggiorna i certificati di avvio protetto.

  • Aumento del limite di larghezza di banda in uscita massima per il networking Tier 1 da 25 Gbps a 32 Gbps per VM, a seconda del tipo di macchina e del numero di vCPU, per gestire workload impegnativi.

Sicurezza
Aggiornata la versione dell'immagine sistema operativo Rocky alla 20260318 per applicare le ultime patch di sicurezza e gli aggiornamenti importanti.

Sono state corrette le seguenti vulnerabilità di sicurezza:

Problema
Sono stati identificati i seguenti problemi:

Cloud DNS

  • Vengono restituiti messaggi di errore generici quando la fase del feature gate OIRv2 DNS è insufficiente.

  • La riconciliazione del sottocomponente dns-core-mz-cp non riesce.

  • La risoluzione DNS non riesce dagli endpoint.

  • CLI gdcloud globale richiesta per le configurazioni di Cloud DNS.

Cloud Service Mesh

  • I secret remoti di Cloud Service Mesh per un cluster utente eliminato possono rimanere nel cluster dell'infrastruttura dell'organizzazione e istiod continua a tentare di connettersi al cluster eliminato.

Gestione dei cluster

  • Il cluster Kubernetes non viene rimosso dopo l'eliminazione.

  • Pod statici bloccati a causa di un deadlock di kubelet.

  • In un ambiente accredited, l'applicazione di una risorsa personalizzata SubcomponentOverride per eseguire l'override dei feature gate per un componente operativo causa riavvii continui del controller.

  • L'accumulo di oggetti PersistentVolume locali Available orfani dopo le sostituzioni dei nodi o l'attività dei pod può causare riavvii per memoria esaurita kube-apiserver su cluster condivisi e cluster standard.

Documentazione

  • Documentazione obsoleta fornita con la release del prodotto.

  • Le istruzioni della documentazione in formato a schede non sono visualizzabili.

Rilevamento e risposta degli endpoint

  • L'opzione Isola host è visibile, ma non è attiva nell'interfaccia utente di Kibana.

Firewall

  • La generazione della configurazione della cella richiede erroneamente una licenza vsys per i firewall dell'infrastruttura.

Console GDC

  • La documentazione ospitata nella console GDC mostra un errore 404.

CLI gdcloud

  • L'esecuzione di qualsiasi comando della CLI gdcloud genera un avviso di flag funzionalità non inizializzato.

Harbor

  • I registry di failover segnalano un errore 404 Not Found.

Modulo di sicurezza hardware

  • Una perdita del descrittore del file causa un errore ServicesNotStarted.

Gestione di identità e accessi

  • L'esecuzione dei comandi della CLI gdcloud o kubectl quando core/organization_console_url è impostato sull'URL della console globale potrebbe non riuscire in modo intermittente con un errore 401 Unauthorized.

  • Un IAMRoleBinding per k8s-networkpolicy-admin o k8s-networkpolicy-viewer causa errori ZonalRoleBindingReplica.

  • Una risorsa CustomRole che include una sezione zonalRules potrebbe non concedere le autorizzazioni in modo affidabile.

  • Il deployment di Keycloak non riesce per l'organizzazione opsservices.

  • Le modifiche agli attributi utente di Keycloak per Tenable non vengono applicate.

  • Il provider di identità Keycloak deve essere configurato manualmente nel cluster root-admin OIRv2.

  • RotatableSecret ais-encryption-key-secret is reporting false with IAM-0100 timed out.

Infrastructure as Code (IaC)

  • Gli upgrade dalla versione 1.15 alla 1.16 di GDC con IAC potrebbero non riuscire.

  • Il job GitLab potrebbe non riuscire senza segnalazioni e impedire l'avvio di GitLab.

  • L'avviso IAC-3211 viene attivato erroneamente per la scadenza di un secret iac-creds-replica.

Inventario

b/534561687 #}

  • Il bootstrap o il deployment non riesce a causa di caratteri speciali nelle password generate automaticamente.

  • Il deployment del cluster root-admin non riesce a causa di un errore di convalida del modello di dispositivo e del modello di transceiver.

  • Durante la convalida dell'inventario, viene visualizzato un avviso quando un cavo ha FS come fornitore del transceiver.

  • I nomi di celle o rack con più di due lettere non sono supportati.

  • La convalida preflight (2-mgmtsw-connection) segnala errori di connessione dello switch di gestione falsi (VAL-E1001) per le porte LOM1 del server bare metal o le porte mgmt0 dello switch di archiviazione durante l'installazione iniziale o un nuovo bootstrap.

  • La convalida della configurazione della cella non riesce per la singola appliance NTP in un rack OIRv2 perché il controllo dell'accoppiamento degli switch TOR richiede una connessione su entrambi gli switch TOR.

IO shell

  • Le risorse IOShell scadute bloccano la creazione o gli aggiornamenti delle risorse.

  • I nomi utente che non rispettano lo standard RFC 1123 interrompono la creazione di IO Shell.

  • I trattini nei nomi delle organizzazioni o delle zone causano conflitti di denominazione.

  • Le connessioni SSH ai nodi Bare Metal che utilizzano indirizzi IP interni di gestione non vanno a buon fine.

  • Gli upgrade nelle zone OIRv2 si bloccano su Cloud Service Mesh perché i pod IO Shell hanno l'etichetta istio.io/rev: default senza un sidecar Istio.

Gestione degli indirizzi IP (IPAM)

  • Dopo l'upgrade alla versione 1.16.1 o successive, i service account che gestiscono subnet che fanno riferimento a un elemento principale nello spazio dei nomi platform richiedono il ruolo shared-subnet-user nello spazio dei nomi platform.

Sistema di gestione delle chiavi

  • Il KMS configurato per l'utilizzo di una chiave root CTM non esegue il failover quando un HSM non è disponibile.

  • L'upgrade del sottocomponente kms-mz-global-cm non riesce nei cluster dell'organizzazione.

  • Impossibile connettersi tramite SSH ai dispositivi HSM Thales dalla shell IO. Monitoring

  • L'upgrade di Helm StatefulSet mon-system non va a buon fine con la specifica del pod non consentita.

  • Gli amministratori della piattaforma non possono visualizzare la pagina Avvisi nella console GDC per il progetto platform-obs.

Networking

  • Le richieste kubectl esterne ai server API dei cluster standard non vanno a buon fine con un errore RBAC: access denied quando in un OrganizationNetworkPolicy è configurato solo matchTypes: ["api-server"].

Network Time Protocol (NTP)

  • Il pod ntp-relay-controller potrebbe entrare in uno stato di loop di arresto anomalo a causa di errori di memoria esaurita.

  • Lo script manage_syncserver_time.py si arresta in modo anomalo durante il controllo dell'ora durante il deployment.

  • Quando esegui il deployment degli switch di gestione OIRv2, la configurazione NTP e la crittografia potrebbero non essere applicate alla configurazione in esecuzione.

  • I server NTP attivano falsi avvisi di sincronizzazione del clock di riferimento hardware.

Sistema operativo

  • I cluster utente sono bloccati nello stato Reconciling a causa di una dimensione della partizione /var/log insufficiente.

  • Gli upgrade dei nodi non riescono o il sistema si blocca a causa di leak delle sessioni pam_tty_audit.so.

Autenticazione della piattaforma

  • Fuga di secret *-cert scaduti dopo l'eliminazione del cluster Kubernetes.

Resource Manager

  • Il controller del progetto Resource Manager potrebbe entrare in uno stato di loop di arresto anomalo a causa di errori di memoria esaurita.

Security Information and Event Management (SIEM)

  • I dischi di archiviazione elastica possono raggiungere la capacità massima in circa 30 giorni.

  • L'implementazione di SIEM v2 non viene completata sui cluster non OIRv2.

  • I volumi dell'indicizzatore Splunk attivano avvisi di soglia di archiviazione di falsi positivi.

Server

  • L'installazione del bootstrapper non va a buon fine durante la configurazione del file system con un errore matched no disk.

  • Il bootstrap del server non riesce con un errore iDRAC.

  • Il provisioning del server non riesce con un errore della condizione di stato BMCConfigPreinstallLicenseInstallCompleted per i server Dell.

  • Una risorsa personalizzata BareMetalHostNetwork potrebbe contenere più route del gateway di gestione.

Spazio di archiviazione

  • Il bootstrap di una nuova organizzazione tenant si blocca durante il passaggio VMImageDistributing quando è abilitato Nearline Storage.

  • L'audit logging degli eventi ONTAP S3 è disabilitato.

  • L'upgrade di ONTAP non riesce a causa di route di rete mancanti.

  • La convalida di StorageCluster non va a buon fine durante il bootstrap.

  • Quando esegui richieste di elenco di oggetti su bucket contenenti caricamenti multiparte, le richieste potrebbero non riuscire e la metrica obj-s3-availability potrebbe diminuire.

  • L'inoltro dell'audit log dello spazio di archiviazione degli oggetti potrebbe non riuscire durante un upgrade sequenziale a causa di risorse personalizzate Bucket mancanti.

  • L'inoltro degli audit log di archiviazione di oggetti non riesce a causa di un errore di ricerca DNS.

  • Gli upgrade di StorageGRID potrebbero bloccarsi con un errore di mancato caricamento dell'upgrade.

  • La creazione e gli aggiornamenti dei bucket richiedono più tempo del previsto.

Sistema di ticketing

  • Il pod ts-app-server-1 si riavvia periodicamente.

Macchine virtuali

  • La creazione delle VM del cluster perimetrale potrebbe non riuscire a causa di dispositivi macvtap (/dev/tap*) mancanti quando onetd ricrea le interfacce VLAN adminvrf0 e datavrf0.

  • Quando crei una VM Windows utilizzando la CLI gdcloud CLI gdcloud compute instances create, la VM non si avvia a causa del tipo di avvio BIOS predefinito bios e dei flag di avvio protetto mancanti.

  • gpu-controller-controller-manager pod entra in uno stato ImagePullBackOff durante l'upgrade alla versione 1.16.1.

  • L'avvio delle VM a4-ultragpu-8g della serie A che utilizzano un sistema operativo guest con un kernel 4.x potrebbe richiedere più di 25 minuti.

  • La creazione di VM con i tipi a3-ultragpu-8g e a4-ultragpu-8g su un server di cui è stato eseguito il nuovo provisioning non va a buon fine e genera errori.

  • La rotazione mensile della password dbsadmin del database del server dei metadati della VM non va a buon fine perché il servizio di database non elimina più il secret db-pw-metadata-dbcluster dopo l'applicazione della password. Al successivo riavvio dei pod metadata-server-controller-manager o del database, il server dei metadati non può connettersi al proprio database.

Gestione delle vulnerabilità

  • Le analisi delle vulnerabilità che utilizzano Tenable Enclave potrebbero non essere completate.

  • Impossibile accedere a Tenable Enclave.

Risolto
I seguenti problemi sono stati risolti:

Firewall

  • Le regole firewall legacy potrebbero bloccare il traffico dall'organizzazione all'amministratore root dopo l'upgrade.

Gestione di identità e accessi

  • Un problema di attendibilità di OPA Gatekeeper dopo una rotazione della CA principale impedisce la creazione di ruoli IAM nei nuovi progetti.

Networking

  • La convalida preflight non segnala più falsi errori di connessione tra gli switch di gestione e le porte di gestione del firewall.

Spazio di archiviazione

  • Gli avvisi OBJ-A0003 frequenti persistono nonostante i tentativi di silenziamento standard.

  • Dopo il tempo di inattività del nodo di amministrazione principale di StorageGRID, i tentativi di upgrade dell'archivio di oggetti eseguiti utilizzando una CR ObjectStorageUpgradeRequest potrebbero non riuscire perché le richieste vengono indirizzate al nodo di amministrazione di StorageGRID non principale.

Macchine virtuali

  • Quando importi un'immagine disco VM utilizzando il comando gdcloud compute images import o la risorsa personalizzata VirtualMachineImageImport, l'operazione di importazione si blocca nella fase JobImport se il nome della risorsa VirtualMachineImageImport supera i 33 caratteri (o 28 caratteri per il nome dell'immagine passato alla CLI gdcloud).
Modifica
Vengono identificate le seguenti modifiche:

Aggiornamenti delle versioni:

Deprecato
Le seguenti funzionalità sono deprecate:

Servizi di database

  • Il servizio di database sta ritirando l'implementazione legacy dell'alta affidabilità (HA) nelle versioni 1.14.12 e precedenti. I cluster di database ad alta disponibilità legacy saranno supportati fino alla data di ritiro, che verrà annunciata. Non sono previste modifiche rivolte agli utenti nella nuova funzionalità HA, poiché l'API per l'attivazione e la disattivazione di HA rimane invariata. Per verificare se il cluster di database ad alta disponibilità utilizza la nuova implementazione, controlla se l'annotazione dbcluster.dbadmin.goog/raasEnabled esiste nella CR del cluster di database ad alta disponibilità. Questa annotazione verrà visualizzata solo sui cluster di database ad alta affidabilità che utilizzano la nuova implementazione. Se non hai questa annotazione, puoi eseguire la migrazione all'implementazione HA più recente.