Google Distributed Cloud エアギャップ 1.16.1 リリースノート

2026 年 6 月 5 日

お知らせ
Google Distributed Cloud（GDC）エアギャップ 1.16.1 が利用可能になりました。
Distributed Cloud の機能については、プロダクトの概要をご覧ください。
重要
1.16.1 アップグレード シーケンスの要件

Distributed Cloud 1.16.1 に安全にアップグレードするには、アップグレード前の必須チェックをすべて完了し、必要なアップグレード シーケンスを順番に実行する必要があります。1.15.1 より前のバージョンからの直接アップグレードは失敗します。

バージョン 1.14.7 以前を使用している場合:

  1. ホットフィックスを適用する: 現在のバージョンに必要なホットフィックスをすべてインストールします。
  2. 1.15.3 へのアップグレード: 1.15.3 へのアップグレードを開始して完了します。
  3. 1.16.1 へのアップグレード: 1.16.1 への最終アップグレードを開始して完了します。

バージョン 1.15.1 または 1.15.3 を使用している場合: 1.16.1 に直接アップグレードします。

バージョン 1.15.2 を使用している場合: まず 1.15.3 にアップグレードしてから、1.16.1 にアップグレードする必要があります。

機能
次の新機能が利用可能です。

クラスタ管理

  • Kubernetes クラスタノードの A シリーズ H200 マシンと B300 マシンのサポートを追加しました。詳細については、クラスタノードのマシンタイプをご覧ください。

インフラストラクチャ

  • 組織内の B300 ベアメタル マシンのサポートを追加しました。

Managed Harbor Service

  • プロジェクト サービス アカウントのサポートを追加しました。これにより、サービス アカウント ID を使用して Harbor インスタンスと安全にやり取りし、コンテナ リポジトリを管理できます。詳細については、Managed Harbor Service の概要をご覧ください。

ネットワーキング

  • Cloud DNS が一般提供になりました。このサービスは、Kubernetes API またはコマンドラインを使用して、ドメイン ネーム サービス レコードを管理するための信頼性とスケーラビリティに優れた方法を提供します。詳細については、Cloud DNS についてをご覧ください。

  • DNS で、システム サービスとファーストパーティ サービスのすべての DNS トラフィックの TLS ベースの暗号化がサポートされるようになりました。これは、Distributed Cloud 内と、Distributed Cloud とお客様のネットワーク間の両方で行われます。

オブザーバビリティ

  • ワークロードのオブザーバビリティ トラッキングを追加しました。この機能は、ワークロードの追跡とトラブルシューティングを効率化するように設計されたモニタリング機能とロギング機能を提供します。詳細については、ワークロードのオブザーバビリティ トラッキングをご覧ください。

ストレージ

  • 自動同期デュアルゾーン バケットのサポートを追加しました。通常のオペレーションでは、取り込みポリシーはオブジェクトのコピーを両方の指定されたゾーンに同期的に書き込み、停止中は非同期レプリケーションにフォールバックします。

  • オブジェクトのアップロードで、末尾の HTTP ヘッダーにチェックサムを指定するサポートを追加しました。これにより、データの完全性とエラー検出が向上します。詳細については、ストレージ オブジェクトをアップロードしてダウンロードするをご覧ください。

  • 関連付けられたサービス アカウントが削除されると、オブジェクト ストレージの認証情報が自動的に削除されるように機能強化されました。これにより、プロジェクトの名前空間に孤立した Secret が発生するのを防ぐことができます。詳細については、ストレージ バケットを削除するをご覧ください。

  • ゾーン S3 の可用性に対するウィンドウ稼働時間 SLO のサポートを追加しました。この変更により、1 つの大規模なプロジェクトからの複数の再試行によって健康指標が歪められることがなくなり、組織全体の実際のユーザー エクスペリエンスをより正確に反映できるようになります。

仮想マシン

  • サポートされている VM マシンタイプのリストに A シリーズ A4 B300 マシンを追加しました。詳細については、VM マシンタイプを表示するをご覧ください。

  • お客様所有（BYO）のカスタム イメージに Windows 2022 イメージのサポートを追加しました。詳細については、GDC でサポートされている VM イメージをご覧ください。

  • 証明書の有効期限が切れる VM のセキュアブート証明書の更新サポートを追加しました。詳細については、セキュアブート証明書を更新するをご覧ください。

  • マシンタイプと vCPU 数に応じて、Tier 1 ネットワーキングの下り（外向き）帯域幅の上限を VM あたり 25 Gbps から 32 Gbps に引き上げ、要求の厳しいワークロードに対応できるようにしました。

セキュリティ
Rocky OS イメージのバージョンを 20260318 に更新し、最新のセキュリティ パッチと重要なアップデートを適用しました。

次のセキュリティの脆弱性が修正されました。

問題
次の問題が確認されています。

Cloud DNS

  • DNS OIRv2 フィーチャー ゲート ステージが不十分な場合、一般的なエラー メッセージが返されます。

  • dns-core-mz-cp サブコンポーネントの調整が失敗します。

  • エンドポイントからの DNS の解決が失敗する。

  • Cloud DNS の構成には、グローバル gdcloud CLI が必要です。

Cloud Service Mesh

  • 削除されたユーザー クラスタの Cloud Service Mesh リモート シークレットが組織インフラストラクチャ クラスタに残っている場合、istiod は削除されたクラスタへの接続を試行し続けます。

クラスタ管理

  • 削除後に Kubernetes クラスタが削除されない。

  • kubelet のデッドロックにより、静的 Pod がスタックする。

  • accredited 環境で、SubcomponentOverride カスタム リソースを適用して、操作可能なコンポーネントのフィーチャー ゲートをオーバーライドすると、コントローラが継続的に再起動します。

  • ノードの交換または Pod のチャーン後に、孤立した Available ローカル PersistentVolume オブジェクトが蓄積されると、共有クラスタと標準クラスタで kube-apiserver のメモリ不足による再起動が発生する可能性があります。

ドキュメント

  • 製品版リリースに付属する古いドキュメント。

  • タブ形式のドキュメントの手順は表示できません。

エンドポイントの検出と対応

  • [Isolate Host] オプションは Kibana UI に表示されますが、有効ではありません。

ファイアウォール

  • セル構成の生成で、インフラストラクチャ ファイアウォールの vsys ライセンスが誤って必要になります。

GDC コンソール

  • GDC コンソールでホストされているドキュメントに 404 エラーが表示されます。

gdcloud CLI

  • gdcloud CLI コマンドを実行すると、初期化されていないフィーチャー トグルの警告が表示されます。

Harbor

  • フェイルオーバー レジストリが 404 Not Found エラーを報告します。

ハードウェア セキュリティ モジュール

  • ファイル記述子のリークにより、ServicesNotStarted エラーが発生します。

Identity and Access Management

  • core/organization_console_url がグローバル コンソール URL に設定されているときに gdcloud CLI または kubectl コマンドを実行すると、401 Unauthorized エラーで断続的に失敗することがあります。

  • k8s-networkpolicy-admin または k8s-networkpolicy-viewer の IAMRoleBinding は、ZonalRoleBindingReplica エラーの原因となります。

  • zonalRules セクションを含む CustomRole リソースでは、権限が確実に付与されない場合があります。

  • opsservices 組織で Keycloak のデプロイが失敗する。

  • Tenable の Keycloak ユーザー属性の変更が反映されない。

  • Keycloak ID プロバイダは、OIRv2 ルート管理者クラスタで手動で構成する必要があります。

  • RotatableSecret ais-encryption-key-secret が IAM-0100 タイムアウトで false を報告しています。

Infrastructure as Code（IaC）

  • IAC を使用して GDC バージョン 1.15 から 1.16 にアップグレードすると、失敗することがあります。

  • GitLab ジョブがサイレントに失敗し、GitLab の起動が妨げられることがあります。

  • iac-creds-replica シークレットの有効期限が切れたときに、IAC-3211 アラートが誤ってトリガーされます。

在庫

b/534561687 #}

  • 自動生成されたパスワードに特殊文字が含まれているため、ブートストラップまたはデプロイが失敗する。

  • デバイスモデルとトランシーバー モデルの検証エラーが原因で、ルート管理者クラスタのデプロイが失敗します。

  • インベントリの検証中に、ケーブルのトランシーバー ベンダーが FS の場合、警告が表示されます。

  • 3 文字以上のセル名またはラック名はサポートされていません。

  • 事前検証（2-mgmtsw-connection）で、初期インストールまたは再ブートストラップ中に、ベアメタル サーバーの LOM1 ポートまたはストレージ スイッチの mgmt0 ポートの管理スイッチ接続エラー（VAL-E1001）が誤って報告されます。

  • TOR スイッチのペア設定チェックでは、両方の TOR スイッチに接続する必要があるため、OIRv2 ラック内の単一の NTP アプライアンスでセル構成の検証が失敗します。

IO シェル

  • 期限切れの IOShell リソースは、リソースの作成または更新をブロックします。

  • RFC 1123 に準拠していないユーザー名を使用すると、IO Shell の作成が中断されます。

  • 組織名またはゾーン名にハイフンを使用すると、名前の競合が発生します。

  • 管理内部 IP アドレスを使用したベアメタル ノードへの SSH 接続が失敗します。

  • IO Shell Pod に Istio サイドカーなしで istio.io/rev: default ラベルが付いているため、OIRv2 ゾーンのアップグレードが Cloud Service Mesh で停止します。

IP アドレス管理（IPAM）

  • 1.16.1 以降にアップグレードした後、platform Namespace の親を参照するサブネットを管理するサービス アカウントには、platform Namespace の shared-subnet-user ロールが必要です。

鍵管理システム

  • CTM ルート鍵を使用するように構成された KMS は、HSM が使用できない場合にフェイルオーバーしません。

  • 組織クラスタで kms-mz-global-cm サブコンポーネントのアップグレードが失敗する。

  • IO Shell から Thales HSM デバイスに SSH 接続できない。 モニタリング

  • mon-system StatefulSet Helm のアップグレードが、禁止された Pod 仕様で失敗します。

  • プラットフォーム管理者は、platform-obs プロジェクトの GDC コンソールで [アラート] ページを表示できません。

ネットワーキング

  • OrganizationNetworkPolicy で matchTypes: ["api-server"] のみが構成されている場合、標準クラスタ API サーバーへの外部 kubectl リクエストが RBAC: access denied エラーで失敗します。

ネットワーク タイム プロトコル（NTP）

  • メモリ不足エラーが原因で、ntp-relay-controller Pod がクラッシュループ状態になることがあります。

  • デプロイ中に時刻を確認すると、manage_syncserver_time.py スクリプトがクラッシュします。

  • OIRv2 管理スイッチをデプロイするときに、NTP 構成と暗号化が実行中の構成に適用されないことがあります。

  • NTP サーバーが、ハードウェア基準クロックの同期に関する誤ったアラートをトリガーします。

オペレーティング システム

  • /var/log パーティション サイズが不足しているため、ユーザー クラスタが Reconciling 状態で停止します。

  • pam_tty_audit.so セッション リークにより、ノードのアップグレードが失敗するか、システムがロックされます。

プラットフォーム認証

  • Kubernetes クラスタの削除後に、期限切れの *-cert シークレットが漏洩します。

Resource Manager

  • メモリ不足エラーが原因で、Resource Manager プロジェクト コントローラがクラッシュ ループ状態になることがあります。

セキュリティ情報およびイベント管理（SIEM）

  • エラスティック ストレージ ディスクは、約 30 日で容量の上限に達する可能性があります。

  • OIRv2 以外のクラスタで SIEM v2 のロールアウトが完了しない。

  • Splunk インデクサのボリュームが、誤検知のストレージしきい値アラートをトリガーします。

サーバー

  • ファイル システムの構成中に、ブートストラッパーのインストールが matched no disk エラーで失敗します。

  • サーバーのブートストラップが iDRAC エラーで失敗します。

  • Dell サーバーで BMCConfigPreinstallLicenseInstallCompleted ステータス条件エラーが発生し、サーバーのプロビジョニングが失敗します。

  • BareMetalHostNetwork カスタム リソースには、複数の管理ゲートウェイ ルートが含まれている場合があります。

ストレージ

  • Nearline Storage が有効になっている場合、VMImageDistributing ステップ中に新しいテナント組織のブートストラップがハングします。

  • ONTAP S3 イベント監査ロギングが無効になっています。

  • ネットワーク ルートがないため、ONTAP のアップグレードが失敗する。

  • ブートストラップ中に StorageCluster の検証が失敗する。

  • マルチパート アップロードを含むバケットでリスト オブジェクト リクエストを実行すると、リクエストが失敗し、obj-s3-availability 指標が低下することがあります。

  • Bucket カスタム リソースがないため、シーケンシャル アップグレード中にオブジェクト ストレージの監査ログの転送が失敗することがあります。

  • DNS ルックアップの失敗により、オブジェクト ストレージ監査ログのフォワーダーが失敗する。

  • StorageGRID のアップグレードが、アップグレードがアップロードされていないというエラーで停止することがあります。

  • バケットの作成と更新に通常より時間がかかる。

チケット発行システム

  • ts-app-server-1 Pod が定期的に再起動します。

仮想マシン

  • onetd が adminvrf0 と datavrf0 の VLAN インターフェースを再作成するときに、macvtap（/dev/tap*）デバイスがないため、境界クラスタ VM の作成に失敗することがあります。

  • gdcloud CLI CLI gdcloud compute instances create を使用して Windows VM を作成すると、デフォルトの BIOS ブートタイプ bios とセキュアブート フラグがないため、VM の起動に失敗します。

  • リリース 1.16.1 へのアップグレード中に、gpu-controller-controller-manager pod が ImagePullBackOff 状態になります。

  • 4.x カーネルのゲスト OS を使用する A シリーズ a4-ultragpu-8g VM の起動には、25 分以上かかることがあります。

  • 新しく再プロビジョニングされたサーバーでタイプ a3-ultragpu-8g と a4-ultragpu-8g の VM を作成すると、エラーが発生して失敗します。

  • パスワードの適用後に Database Service が db-pw-metadata-dbcluster シークレットを削除しなくなったため、VM メタデータ サーバー データベースの毎月の dbsadmin パスワード ローテーションが失敗します。metadata-server-controller-manager Pod またはデータベースを次回再起動すると、メタデータ サーバーはデータベースに接続できなくなります。

脆弱性の管理

  • Tenable Enclave を使用した脆弱性スキャンが完了しないことがあります。

  • Tenable Enclave にアクセスできません。

修正済み
次の問題が修正されました。

ファイアウォール

  • アップグレード後に、以前のファイアウォール ルールによって組織からルート管理者へのトラフィックがブロックされることがあります。

Identity and Access Management

  • ルート CA のローテーション後に OPA Gatekeeper の信頼の問題が発生すると、新しいプロジェクトで IAM ロールを作成できなくなります。

ネットワーキング

  • 事前検証で、管理スイッチとファイアウォール管理ポート間の接続エラーが誤って報告されなくなりました。

ストレージ

  • 標準の消音処理を行っても、OBJ-A0003 アラートが頻繁に発生する。

  • StorageGRID プライマリ管理ノードのダウンタイム後に、ObjectStorageUpgradeRequest CR を使用してオブジェクト ストレージのアップグレードを試みると、リクエストがプライマリ以外の StorageGRID 管理ノードに転送されるため、失敗することがあります。

仮想マシン

  • gdcloud compute images import コマンドまたは VirtualMachineImageImport カスタム リソースを使用して VM ディスク イメージをインポートするときに、VirtualMachineImageImport リソース名が 33 文字（または gdcloud CLI に渡されるイメージ名が 28 文字）を超えると、インポート オペレーションが JobImport ステージで停止します。
変更
次の変更が特定されます。

バージョンの更新:

非推奨
次の機能は非推奨です。

データベース サービス

  • Database Service は、バージョン 1.14.12 以前のレガシー高可用性（HA）実装を非推奨にしています。以前の HA データベース クラスタは、サポート終了日までサポートされます。サポート終了日は今後発表される予定です。HA を有効または無効にする API は同じであるため、新しい HA 機能にユーザー向けの変更はありません。HA データベース クラスタが新しい実装を使用しているかどうかを確認するには、HA データベース クラスタ CR にアノテーション dbcluster.dbadmin.goog/raasEnabled が存在するかどうかを確認します。このアノテーションは、新しい実装を使用する HA データベース クラスタにのみ表示されます。このアノテーションがない場合は、最新の HA 実装に移行できます。