Notas da versão 1.16.1 do Google Distributed Cloud com isolamento físico

5 de junho de 2026

Anúncio
O Google Distributed Cloud (GDC) com isolamento físico 1.16.1 está disponível.
Consulte a visão geral do produto para saber mais sobre os recursos do Distributed Cloud.
Importante
Requisitos da sequência de upgrade da versão 1.16.1

Para fazer upgrade com segurança para o Distributed Cloud 1.16.1, é necessário concluir todas as verificações obrigatórias antes do upgrade e executar a sequência de upgrade necessária em ordem. Upgrades diretos de qualquer versão anterior à 1.15.1 vão falhar.

Se você estiver usando a versão 1.14.7 ou anterior:

  1. Aplicar hotfixes: instale todos os hotfixes necessários para sua versão atual.
  2. Fazer upgrade para a versão 1.15.3: inicie e conclua o upgrade para a versão 1.15.3.
  3. Fazer upgrade para a versão 1.16.1: inicie e conclua o upgrade final para a versão 1.16.1.

Se você estiver na versão 1.15.1 ou 1.15.3: faça upgrade diretamente para a versão 1.16.1.

Se você estiver na versão 1.15.2: primeiro faça upgrade para a versão 1.15.3 e depois para a 1.16.1.

Recurso
Os seguintes recursos novos estão disponíveis:

Gerenciamento de clusters

Infraestrutura

  • Adicionamos suporte para máquinas bare metal B300 em uma organização.

Serviços gerenciados do Harbor

  • Foi adicionado suporte a contas de serviço do projeto. Isso permite que você use a identidade da conta de serviço para interagir com segurança com suas instâncias do Harbor e gerenciar repositórios de contêineres. Para mais informações, consulte Visão geral do serviço gerenciado do Harbor.

Rede

  • O Cloud DNS já está em disponibilidade geral. Esse serviço oferece uma maneira confiável e escalonável de gerenciar registros do Serviço de Nomes de Domínio usando uma API do Kubernetes ou a linha de comando. Para mais informações, consulte Sobre o Cloud DNS.

  • O DNS agora é compatível com a criptografia baseada em TLS de todo o tráfego de DNS para serviços do sistema e de terceiros, tanto internamente no Distributed Cloud quanto entre o Distributed Cloud e as redes dos clientes.

Observabilidade

  • Adicionamos o rastreamento de observabilidade para cargas de trabalho. Esse recurso oferece recursos de monitoramento e geração de registros projetados para simplificar o rastreamento e a solução de problemas de cargas de trabalho. Para mais informações, consulte Rastreamento de observabilidade para cargas de trabalho.

Armazenamento

  • Adicionamos suporte a buckets de duas zonas com sincronização automática. Durante as operações normais, a política de ingestão grava de forma síncrona cópias de objetos nas duas zonas designadas, com fallback para replicação assíncrona durante interrupções.

  • Adicionamos suporte para fornecer checksums em cabeçalhos HTTP finais em uploads de objetos. Isso melhora a integridade de dados e a detecção de erros. Para mais informações, consulte Fazer upload e download de objetos de armazenamento.

  • Adicionamos uma melhoria que garante que as credenciais de repositório de objetos sejam excluídas automaticamente quando a conta de serviço associada é removida. Isso evita secrets órfãos em um namespace de projeto. Para mais informações, consulte Excluir buckets de armazenamento.

  • Adicionamos suporte ao SLO de tempo de atividade em janela para disponibilidade zonal do S3. Essa mudança garante que as métricas de saúde não sejam distorcidas por várias tentativas de projetos únicos de alto volume, fornecendo uma reflexão mais precisa da experiência real do usuário em uma organização.

Máquinas virtuais

  • Adicionamos as máquinas A4 B300 da série A à lista de tipos de VM compatíveis. Para mais informações, consulte Ver o tipo de máquina da VM.

  • Adicionamos suporte à imagem do Windows 2022 para imagens personalizadas de licença própria (BYO, na sigla em inglês). Para mais informações, consulte Imagens de VM compatíveis com o GDC.

  • Adicionada compatibilidade com renovação de certificado de inicialização segura para VMs com certificados expirando. Para mais informações, consulte Atualizar certificados de inicialização segura.

  • Aumentamos o limite máximo de largura de banda de saída da rede de nível 1 de 25 Gbps para 32 Gbps por VM, dependendo do tipo de máquina e da contagem de vCPUs, para lidar com cargas de trabalho exigentes.

Segurança
Atualizamos a versão da imagem do SO Rocky para 20260318 para aplicar os patches de segurança e atualizações importantes mais recentes.

As seguintes vulnerabilidades de segurança foram corrigidas:

Problema
Os seguintes problemas foram identificados:

Cloud DNS

  • Mensagens de erro genéricas são retornadas quando o estágio do feature gate do DNS OIRv2 é insuficiente.

  • A reconciliação do subcomponente dns-core-mz-cp falha.

  • A resolução de DNS falha nos endpoints.

  • A CLI gdcloud global é necessária para as configurações do Cloud DNS.

Gerenciamento de clusters

  • O cluster do Kubernetes não é removido após a exclusão.

  • Pods estáticos travados devido ao impasse do kubelet.

  • Em um ambiente accredited, aplicar um recurso personalizado SubcomponentOverride para substituir os feature gates de um componente operacional causa reinicializações contínuas do controlador.

Documentação

  • Documentação desatualizada enviada com a versão de produção.

  • As instruções de documentação em formato de guias não podem ser visualizadas.

Detecção e resposta de endpoints

  • A opção Isolar host fica visível, mas não é eficaz na interface do Kibana.

Firewall

  • A geração de configuração de célula exige erroneamente uma licença vsys para firewalls de infraestrutura.

Console do GDC

  • A documentação hospedada no console do GDC mostra um erro 404.

CLI gdcloud

  • A execução de qualquer comando da CLI gdcloud mostra um aviso de flag de recurso não inicializada.

Harbor

  • Os registros de failover informam um erro 404 Not Found.

Módulo de segurança de hardware

  • Um vazamento de descritor do arquivo causa um erro ServicesNotStarted.

Gerenciamento de identidade e acesso

  • A execução de comandos da CLI gdcloud ou kubectl quando core/organization_console_url está definido como o URL do console global pode falhar intermitentemente com um erro 401 Unauthorized.

  • Um IAMRoleBinding para k8s-networkpolicy-admin ou k8s-networkpolicy-viewer causa erros ZonalRoleBindingReplica.

  • Um recurso CustomRole que inclui uma seção zonalRules pode não conceder permissões de maneira confiável.

  • A implantação do Keycloak falha para a organização opsservices.

  • As modificações de atributos do usuário do Keycloak para o Tenable não são refletidas.

  • O provedor de identidade Keycloak precisa ser configurado manualmente no cluster de administrador raiz do OIRv2.

  • O RotatableSecret ais-encryption-key-secret está relatando um erro com o tempo limite de IAM-0100.

Infraestrutura como código (IaC)

  • Os upgrades da versão 1.15 para a 1.16 do GDC com IAC podem falhar.

  • O job do GitLab pode falhar silenciosamente e impedir a inicialização do GitLab.

  • O alerta IAC-3211 é acionado incorretamente para uma expiração de secret do iac-creds-replica.

Inventário

b/534561687 #}

  • A inicialização ou a implantação falha devido a caracteres especiais em senhas geradas automaticamente.

  • A implantação do cluster de admin raiz falha devido a um erro de validação do modelo de dispositivo e do modelo de transceptor.

  • Durante a validação do inventário, um aviso é mostrado quando um cabo tem FS como um fornecedor de transceptores.

  • Nomes de células ou racks com mais de duas letras não são aceitos.

  • A validação de simulação (2-mgmtsw-connection) informa falhas falsas de conexão de troca de gerenciamento (VAL-E1001) para portas LOM1 do servidor bare metal ou portas mgmt0 do switch de armazenamento durante a instalação inicial ou uma nova inicialização.

  • A validação da configuração da célula falha para o único dispositivo NTP em um rack OIRv2 porque a verificação de pareamento do switch TOR exige uma conexão nos dois switches TOR.

IO shell

  • Recursos IOShell expirados bloqueiam a criação ou atualizações de recursos.

  • Nomes de usuário que não seguem a RFC 1123 interrompem a criação do IO Shell.

  • Hífens em nomes de organizações ou zonas causam colisões de nomenclatura.

  • As conexões SSH com nós bare metal usando endereços IP internos de gerenciamento falham.

Gerenciamento de endereços IP (IPAM)

  • Depois de fazer upgrade para a versão 1.16.1 ou mais recente, as contas de serviço que gerenciam sub-redes que fazem referência a um pai no namespace platform vão precisar do papel shared-subnet-user no namespace platform.

Sistema de gerenciamento de chaves

  • O KMS configurado para usar uma chave raiz do CTM não faz failover quando um HSM está indisponível.

  • O upgrade do subcomponente kms-mz-global-cm falha em clusters da organização.

  • Não é possível usar SSH em dispositivos HSM da Thales no IO Shell. Monitoramento

  • A atualização do Helm do StatefulSet mon-system falha com a especificação de pod proibida.

  • Os administradores da plataforma não podem acessar a página "Alertas" no console do GDC para o projeto platform-obs.

Network Time Protocol (NTP)

  • O pod ntp-relay-controller pode entrar em um estado de loop de falha devido a erros de falta de memória.

  • O script manage_syncserver_time.py falha ao verificar o tempo durante a implantação.

  • Ao implantar switches de gerenciamento do OIRv2, a configuração e a criptografia do NTP podem não ser aplicadas à configuração em execução.

  • Os servidores NTP acionam alertas falsos de sincronização do relógio de referência de hardware.

Sistema operacional

  • Clusters de usuários presos no estado Reconciling devido ao tamanho insuficiente da partição /var/log.

  • As atualizações de nós falham ou o sistema trava devido a vazamentos de sessão do pam_tty_audit.so.

Autenticação da plataforma

  • Os secrets *-cert expirados vazam após a exclusão do cluster do Kubernetes.

Resource Manager

  • O controlador de projeto do Resource Manager pode entrar em um estado de loop de falha devido a erros de falta de memória.

Gerenciamento de eventos e informações de segurança (SIEM)

  • Os discos de armazenamento elástico podem atingir a capacidade máxima em cerca de 30 dias.

  • O lançamento da SIEM v2 não é concluído em clusters que não são OIRv2.

  • Os volumes do indexador do Splunk acionam alertas de limite de armazenamento de falsos positivos.

Servidores

  • A instalação do inicializador falha durante a configuração do sistema de arquivos com um erro matched no disk.

  • A inicialização do servidor falha com um erro do iDRAC.

  • O provisionamento do servidor falha com um erro de condição de status BMCConfigPreinstallLicenseInstallCompleted para servidores Dell.

  • Um recurso personalizado BareMetalHostNetwork pode conter várias rotas de gateway de gerenciamento.

Armazenamento

  • A inicialização de uma nova organização de locatário trava durante a etapa VMImageDistributing quando o Nearline Storage está ativado.

  • O registro de auditoria de eventos do ONTAP S3 está desativado.

  • O upgrade do ONTAP falha devido à falta de rotas de rede.

  • A validação de StorageCluster falha durante o bootstrap.

  • Ao realizar solicitações de objetos de lista em buckets que contêm uploads em várias partes, as solicitações podem falhar, e a métrica obj-s3-availability pode diminuir.

  • O encaminhamento do registro de auditoria do armazenamento de objetos pode falhar durante um upgrade sequencial devido à falta de recursos personalizados Bucket.

  • O encaminhador registro de auditoria do repositório de objetos falha devido a uma falha na busca DNS.

  • Os upgrades do StorageGRID podem ficar travados com um erro de upgrade não enviado.

  • A criação e as atualizações de intervalos estão demorando mais do que o esperado.

Sistema de emissão de tíquetes

  • O pod ts-app-server-1 é reiniciado periodicamente.

Máquinas virtuais

  • As VMs do cluster de perímetro podem falhar durante a criação devido à falta de dispositivos macvtap (/dev/tap*) quando o onetd recria as interfaces de VLAN adminvrf0 e datavrf0.

  • Quando você cria uma VM do Windows usando a CLI gdcloud gdcloud compute instances create, a VM não é inicializada devido ao tipo de inicialização padrão do BIOS bios e à falta de flags de inicialização segura.

  • gpu-controller-controller-manager pod entra em um estado ImagePullBackOff durante o upgrade para a versão 1.16.1.

  • As VMs a4-ultragpu-8g da série A que usam um SO convidado com um kernel 4.x podem levar mais de 25 minutos para serem iniciadas.

  • A criação de VMs com os tipos a3-ultragpu-8g e a4-ultragpu-8g em um servidor recém-reprovisionado falha com erros.

Gestão de vulnerabilidades

  • As verificações de vulnerabilidades usando o Tenable Enclave podem não ser concluídas.

  • Não foi possível acessar o Tenable Enclave.

Fixa
Os seguintes problemas foram corrigidos:

Firewall

  • As regras de firewall legadas podem bloquear o tráfego da organização para o administrador raiz após o upgrade.

Gerenciamento de identidade e acesso

  • Um problema de confiança do OPA Gatekeeper após uma rotação de CA raiz impede a criação de papéis do IAM em novos projetos.

Rede

  • A validação de simulação não informa mais falhas de conexão falsas entre os switches de gerenciamento e as portas de gerenciamento de firewall.

Armazenamento

  • Os alertas frequentes OBJ-A0003 persistem, apesar dos esforços padrão de silenciamento.

  • Após o tempo de inatividade do nó de administrador principal do StorageGRID, as tentativas de upgrade do repositório de objetos realizadas usando uma resposta automática ObjectStorageUpgradeRequest podem falhar devido a solicitações direcionadas ao nó de administrador não principal do StorageGRID.

Alterar
As seguintes mudanças foram identificadas:

Atualizações de versão:

Descontinuado
Os seguintes recursos foram descontinuados:

Serviços de banco de dados

  • O serviço de banco de dados está descontinuando a implementação legada de alta disponibilidade (HA) nas versões 1.14.12 e anteriores. Os clusters de banco de dados de alta disponibilidade legados vão receber suporte até a data de desativação, que será anunciada. Não há mudança voltada ao usuário no novo recurso de alta disponibilidade, já que a API para ativar e desativar a alta disponibilidade permanece a mesma. Para verificar se o cluster de banco de dados de alta disponibilidade está usando a nova implementação, confira se a anotação dbcluster.dbadmin.goog/raasEnabled existe no CR do cluster de banco de dados de alta disponibilidade. Essa anotação só vai aparecer em clusters de banco de dados de alta disponibilidade que usam a nova implementação. Se você não tiver essa anotação, migre para a implementação de alta disponibilidade mais recente.