Google Distributed Cloud 實體隔離方案 1.16.1 版本資訊

2026 年 6 月 5 日

公告
Google Distributed Cloud (GDC) 實體隔離方案 1.16.1 版已推出。
如要瞭解 Distributed Cloud 的功能，請參閱產品總覽。
重要事項
1.16.1 升級順序要求

如要安全升級至 Distributed Cloud 1.16.1，請務必完成所有強制執行的升級前檢查，並依序執行必要的升級程序。直接從 1.15.1 之前的任何版本升級都會失敗。

如果您使用的是 1.14.7 以下版本：

  1. 套用 Hotfix：為目前版本安裝所有必要的 Hotfix。
  2. 升級至 1.15.3：啟動並完成升級至 1.15.3。
  3. 升級至 1.16.1 版：啟動並完成最終升級至 1.16.1 版。

如果您使用的是 1.15.1 或 1.15.3 版：請直接升級至 1.16.1。

如果您使用的是 1.15.2 版：您必須先升級至 1.15.3 版，然後再升級至 1.16.1 版。

功能
以下是可用的新功能：

叢集管理

  • 新增 Kubernetes 叢集節點對 A 系列 H200 和 B300 機器的支援。詳情請參閱「叢集節點機器類型」。

基礎架構

  • 新增組織中 B300 裸機機器的支援。

代管 Harbor 服務

  • 新增專案服務帳戶支援。您可以使用服務帳戶身分安全地與 Harbor 執行個體互動，並管理容器存放區。詳情請參閱「Managed Harbor Service 總覽」。

網路

  • Cloud DNS 現已正式發布。這項服務提供可靠、可擴充的方式，讓您使用 Kubernetes API 或指令列管理網域名稱服務記錄。詳情請參閱「關於 Cloud DNS」。

  • DNS 現在支援 TLS 加密，可加密系統和第一方服務的所有 DNS 流量，包括 Distributed Cloud 內部，以及 Distributed Cloud 與客戶網路之間的流量。

觀測能力

  • 新增工作負載的觀測能力追蹤功能。這項功能提供監控和記錄功能，可簡化工作負載的追蹤和疑難排解作業。詳情請參閱「工作負載的可觀測性追蹤」。

儲存空間

  • 新增自動同步雙可用區 bucket 的支援。正常運作時，擷取政策會同步將物件副本寫入兩個指定可用區，並在服務中斷時改為非同步複製。

  • 新增支援功能，可在物件上傳時，於結尾 HTTP 標頭中提供檢查碼。這有助於提升資料完整性和錯誤偵測能力。詳情請參閱「上傳及下載儲存空間物件」。

  • 新增強化功能，確保在移除相關聯的服務帳戶時，系統會自動刪除物件儲存空間憑證。這可避免專案命名空間中出現孤立的 Secret。詳情請參閱「刪除儲存空間 bucket」。

  • 新增對區域 S3 可用性視窗式正常運作時間 SLO 的支援。這項異動可確保健康指標不會因單一高用量專案多次重試而失真，更準確反映整個組織的實際使用者體驗。

虛擬機器

  • 在支援的 VM 機型清單中，新增 A 系列 A4 B300 機器。詳情請參閱「查看 VM 機型」。

  • 新增 Windows 2022 映像檔支援，適用於自備 (BYO) 自訂映像檔。詳情請參閱「GDC 支援的 VM 映像檔」。

  • 新增安全啟動憑證續約支援，適用於憑證即將到期的 VM。詳情請參閱「更新安全啟動憑證」。

安全性
將 Rocky OS 映像檔版本更新至 20260318，套用最新的安全性修補程式和重要更新。

修正下列安全漏洞：

問題
系統發現下列問題：

Cloud DNS

  • 如果 DNS OIRv2 功能閘道階段不足，系統會傳回一般錯誤訊息。

  • dns-core-mz-cp 子元件協調失敗。

  • 端點無法解析 DNS。

  • 必須使用全域 gdcloud CLI，才能設定 Cloud DNS。

叢集管理

  • 刪除後，Kubernetes 叢集不會移除。

  • 靜態 Pod 因 kubelet 死結而卡住。

  • 在 accredited 環境中，對可運作的元件套用 SubcomponentOverride 自訂資源來覆寫 feature gate，會導致控制器持續重新啟動。

說明文件

  • 產品發布時附帶過時的文件。

  • 無法查看分頁格式的操作說明文件。

端點偵測和回應

  • 「Isolate Host」選項會顯示在 Kibana UI 中，但不會生效。

防火牆

  • 錯誤地要求基礎架構防火牆的 vsys 授權，才能產生儲存格設定。

GDC 控制台

  • GDC 控制台託管的文件顯示 404 錯誤。

gdcloud CLI

  • 執行任何 gdcloud CLI 指令時，系統會顯示未初始化功能旗標的警告。

Harbor

  • 容錯移轉註冊資料庫回報 404 Not Found 錯誤。

硬體安全性模組

  • 檔案描述元外洩會導致 ServicesNotStarted 錯誤。

身分與存取權管理

  • k8s-networkpolicy-admin 或 k8s-networkpolicy-viewer 的 IAMRoleBinding 會導致 ZonalRoleBindingReplica 錯誤。

  • 如果 CustomRole 資源包含 zonalRules 區段，可能無法確實授予權限。

  • opsservices機構的 Keycloak 部署作業失敗。

  • 系統不會反映 Tenable 的 Keycloak 使用者屬性修改內容。

  • 您必須在 OIRv2 root 權限管理員叢集中，手動設定 Keycloak 識別資訊提供者。

  • RotatableSecret ais-encryption-key-secret 報告錯誤，且 IAM-0100 已逾時。

基礎架構即程式碼 (IaC)

  • 使用 IAC 從 GDC 1.15 版升級至 1.16 版時，可能會失敗。

  • GitLab 工作可能會在不顯示任何訊息的情況下失敗，導致 GitLab 無法啟動。

  • IAC-3211 快訊會誤觸 iac-creds-replica 密鑰到期。

庫存清單

b/534561687 #}

  • 自動產生的密碼含有特殊字元，導致啟動或部署作業失敗。

  • 由於裝置型號和收發器型號驗證錯誤，root 權限管理員叢集部署作業失敗。

  • 在商品目錄驗證期間，如果纜線的收發器供應商為 FS，系統會顯示警告。

  • 系統不支援超過兩個字母的儲存格或機架名稱。

  • 在初始安裝或重新啟動期間，預檢驗證 (2-mgmtsw-connection) 會針對裸機伺服器 LOM1 連接埠或儲存空間切換器 mgmt0 連接埠，回報錯誤的管理切換器連線失敗 (VAL-E1001)。

  • 在 OIRv2 機架中，單一 NTP 設備的儲存格設定驗證失敗，因為 TOR 交換器配對檢查需要兩個 TOR 交換器上的連線。

IO shell

  • IOShell 項資源已過期，無法建立或更新資源。

  • 不符合 RFC 1123 規範的使用者名稱會導致 IO Shell 建立失敗。

  • 組織或區域名稱中的連字號會導致命名衝突。

  • 使用管理內部 IP 位址，透過 SSH 連線至裸機節點失敗。

IP 位址管理 (IPAM)

  • 升級至 1.16.1 以上版本後，管理參照 platform 命名空間中父項的子網路的服務帳戶，需要 platform 命名空間中的 shared-subnet-user 角色。

金鑰管理系統

  • 如果 KMS 設定為使用 CTM 根金鑰，則在 HSM 無法使用時不會容錯移轉。

  • 組織叢集中的 kms-mz-global-cm 子元件升級失敗。

  • 無法從 IO Shell 透過 SSH 連線至 Thales HSM 裝置。

Monitoring

  • mon-system StatefulSet Helm 升級作業失敗，因為 Pod 規格不符規定。

  • 平台管理員無法在 GDC 控制台中查看 platform-obs 專案的「警告」頁面。

網路時間通訊協定 (NTP)

  • ntp-relay-controller Pod 可能會因記憶體不足錯誤而進入 CrashLoopBackOff 狀態。

  • 在部署期間檢查時間時，manage_syncserver_time.py指令碼會當機。

  • 部署 OIRv2 管理交換器時，NTP 設定和加密可能不會套用至執行中的設定。

作業系統

  • 由於磁碟分割大小不足，使用者叢集停滯在 Reconciling 狀態。/var/log

  • 節點升級失敗或系統鎖死，原因為 pam_tty_audit.so 工作階段洩漏。

平台驗證

  • Kubernetes 叢集刪除後，*-cert 個 Secret 洩漏事件已過期。

Resource Manager

  • Resource Manager 專案控制器可能會因記憶體不足錯誤而進入當機迴圈狀態。

安全資訊與事件管理 (SIEM)

  • 彈性儲存磁碟大約 30 天就會達到容量上限。

  • 在非 OIRv2 叢集上，SIEM v2 推出作業無法完成。

  • Splunk 索引器磁碟區觸發誤判的儲存空間門檻警示。

伺服器

  • 在檔案系統設定期間，開機前安裝程式安裝失敗，並顯示 matched no disk 錯誤。

  • 伺服器啟動失敗，並顯示 iDRAC 錯誤。

  • 伺服器佈建失敗，Dell 伺服器出現 BMCConfigPreinstallLicenseInstallCompleted 狀態條件錯誤。

  • BareMetalHostNetwork自訂資源可能包含多個管理閘道路由。

儲存空間

  • ONTAP S3 事件稽核記錄功能已停用。

  • 缺少網路路由，因此無法升級 ONTAP。

  • 在啟動程序期間，StorageCluster 驗證失敗。

  • 在含有多部分上傳內容的 bucket 上執行物件清單要求時，要求可能會失敗，且 obj-s3-availability 指標可能會下降。

  • 由於缺少 Bucket 自訂資源，循序升級期間可能無法轉送物件儲存空間稽核記錄。

  • DNS 查詢失敗，導致物件儲存庫稽核記錄轉送器失敗。

  • StorageGRID 升級作業可能會卡住，並顯示「未上傳升級」錯誤。

  • 建立和更新值區的時間超出預期。

支援單處理系統

  • ts-app-server-1 Pod 會定期重新啟動。

虛擬機器

  • onetd 重新建立 adminvrf0 和 datavrf0 VLAN 介面時，如果缺少 macvtap (/dev/tap*) 裝置，可能導致周邊叢集 VM 建立失敗。

  • 使用 gdcloud CLI gdcloud compute instances create 建立 Windows VM 時，由於預設的 BIOS 開機類型為 bios，且缺少安全啟動旗標，因此 VM 無法開機。

  • gpu-controller-controller-manager pod 在升級至 1.16.1 版期間進入 ImagePullBackOff 狀態。

  • 如果 A 系列 a4-ultragpu-8g VM 使用的客體 OS 核心版本為 4.x，啟動時間可能會超過 25 分鐘。

  • 在新重新佈建的伺服器上建立類型為 a3-ultragpu-8g 和 a4-ultragpu-8g 的 VM 時，會發生錯誤。

安全漏洞管理

  • 使用 Tenable Enclave 進行安全漏洞掃描時，掃描作業可能無法完成。

  • 無法存取 Tenable Enclave。

修正項目
修正下列問題：

防火牆

  • 升級後，舊版防火牆規則可能會封鎖組織到根管理員的流量。

身分與存取權管理

  • 根 CA 輪替後，OPA Gatekeeper 信任問題會導致無法在新專案中建立 IAM 角色。

網路

  • 預檢驗證不會再誤報管理交換器與防火牆管理通訊埠之間的連線失敗。

儲存空間

  • 即使採取標準靜音措施，OBJ-A0003 快訊仍頻繁出現。

  • StorageGRID 主要管理節點停機後，使用 ObjectStorageUpgradeRequest CR 執行的物件儲存空間升級嘗試可能會失敗，因為要求會導向非主要的 StorageGRID 管理節點。

變更
系統偵測到下列變更：

版本更新：

已淘汰
下列功能已淘汰：

資料庫服務

  • 資料庫服務將在 1.14.12 以下版本淘汰舊版高可用性 (HA) 實作。舊版高可用性資料庫叢集將支援至停用日期 (待公布)。新的高可用性功能不會對使用者造成任何影響，因為啟用和停用高可用性的 API 仍維持不變。如要確認高可用性資料庫叢集是否使用新實作方式，請檢查高可用性資料庫叢集 CR 上是否有 dbcluster.dbadmin.goog/raasEnabled 註解。這項註解只會顯示在使用新實作的高可用性資料庫叢集上。如果沒有這個註解，可以遷移至最新的高可用性實作。