Google Distributed Cloud 實體隔離方案 1.16.1 版本資訊

2026 年 6 月 5 日

公告
Google Distributed Cloud (GDC) 實體隔離方案 1.16.1 版已推出。
如要瞭解 Distributed Cloud 的功能，請參閱產品總覽。
重要事項
1.16.1 升級順序規定

如要安全升級至 Distributed Cloud 1.16.1，請務必完成所有強制執行的升級前檢查，並依序執行必要的升級程序。從 1.15.1 之前的任何版本直接升級都會失敗。

如果您使用的是 1.14.7 以下版本：

  1. 套用 Hotfix：為目前版本安裝所有必要的 Hotfix。
  2. 升級至 1.15.3：啟動並完成升級至 1.15.3。
  3. 升級至 1.16.1：啟動並完成最終升級至 1.16.1。

如果您使用的是 1.15.1 或 1.15.3 版：請直接升級至 1.16.1。

如果您使用的是 1.15.2 版：必須先升級至 1.15.3，再升級至 1.16.1。

功能
以下是可用的新功能：

叢集管理

  • 新增 Kubernetes 叢集節點對 A 系列 H200 和 B300 機器的支援。詳情請參閱「叢集節點機器類型」。

基礎架構

  • 新增組織中 B300 裸機機器的支援。

代管 Harbor 服務

  • 新增專案服務帳戶支援。這樣一來，您就能使用服務帳戶身分，安全地與 Harbor 執行個體互動，並管理容器存放區。詳情請參閱「代管 Harbor 服務總覽」。

網路

  • Cloud DNS 現已正式發布。這項服務提供可靠、可擴充的方式，使用 Kubernetes API 或指令列管理網域名稱服務記錄。詳情請參閱「關於 Cloud DNS」。

  • DNS 現在支援 TLS 加密，可加密系統和第一方服務的所有 DNS 流量，包括 Distributed Cloud 內部，以及 Distributed Cloud 與客戶網路之間的流量。

觀測能力

  • 新增工作負載觀測能力追蹤功能。這項功能提供監控和記錄功能，可簡化工作負載的追蹤和疑難排解作業。詳情請參閱「工作負載的觀測能力追蹤」。

儲存空間

  • 新增自動同步雙可用區 bucket 的支援。正常運作時，擷取政策會同步將物件副本寫入兩個指定可用區，並在服務中斷時改為非同步複製。

  • 新增支援，可在上傳物件時，於結尾 HTTP 標頭中提供核對和。這有助於提升資料完整性和錯誤偵測能力。詳情請參閱「上傳及下載儲存空間物件」。

  • 新增強化功能，確保在移除相關聯的服務帳戶時，系統會自動刪除物件儲存庫憑證。這可避免專案命名空間中出現孤立的 Secret。詳情請參閱「刪除儲存空間 bucket」。

  • 新增支援，可依據時間範圍內的運作時間服務等級目標 (SLO)，評估可用區 S3 可用性。這項異動可確保健康指標不會因單一高用量專案多次重試而失真，更準確反映整個組織的實際使用者體驗。

虛擬機器

  • 在支援的 VM 機型清單中，新增 A 系列 A4 B300 機器。詳情請參閱「查看 VM 機型」。

  • 新增 Windows 2022 映像檔支援，可使用自備 (BYO) 自訂映像檔。詳情請參閱「GDC 支援的 VM 映像檔」。

  • 新增安全啟動憑證續約支援，適用於憑證即將到期的 VM。詳情請參閱「更新安全啟動憑證」。

  • 視機器類型和 vCPU 數量而定，第 1 級網路的輸出頻寬上限從每部 VM 25 Gbps 提高至 32 Gbps，以處理高需求工作負載。

安全性
將 Rocky OS 映像檔版本更新至 20260318，以套用最新的安全性修補程式和重要更新。

修正下列安全漏洞：

問題
系統發現下列問題：

Cloud DNS

  • 如果 DNS OIRv2 feature gate 階段不足，系統會傳回一般錯誤訊息。

  • dns-core-mz-cp 子元件協調失敗。

  • 端點的 DNS 解析失敗。

  • 必須使用全域 gdcloud CLI，才能設定 Cloud DNS。

Cloud Service Mesh

  • 已刪除使用者叢集的 Cloud Service Mesh 遠端 Secret 可能會保留在組織基礎架構叢集上，且 istiod 會持續嘗試連線至已刪除的叢集。

叢集管理

  • 刪除後，Kubernetes 叢集不會移除。

  • 靜態 Pod 因 kubelet 死結而卡住。

  • 在 accredited 環境中，套用 SubcomponentOverride 自訂資源來覆寫可操作元件的 feature gate，會導致控制器持續重新啟動。

  • 節點更換或 Pod 異動後，孤立的 Available 本機 PersistentVolume 物件累積，可能會導致共用叢集和標準叢集發生 kube-apiserver 記憶體不足重新啟動。

說明文件

  • 產品發布時隨附的說明文件過時。

  • 無法查看分頁格式的操作說明文件。

端點偵測和回應

  • Kibana UI 會顯示「Isolate Host」(隔離主機) 選項，但該選項不會生效。

防火牆

  • 產生儲存格設定時，會錯誤要求基礎架構防火牆具備 vsys 授權。

GDC 控制台

  • GDC 控制台託管的文件顯示 404 錯誤。

gdcloud CLI

  • 執行任何 gdcloud CLI 指令時，系統會顯示未初始化的功能旗標警告。

Harbor

  • 容錯移轉註冊資料庫回報 404 Not Found 錯誤。

硬體安全性模組

  • 檔案描述元外洩會導致 ServicesNotStarted 錯誤。

身分與存取權管理

  • 如果 core/organization_console_url 設為全域控制台網址，執行 gdcloud CLI 或 kubectl 指令時，可能會間歇性失敗，並顯示 401 Unauthorized 錯誤。

  • k8s-networkpolicy-admin 或 k8s-networkpolicy-viewer 的 IAMRoleBinding 會導致 ZonalRoleBindingReplica 錯誤。

  • 包含 zonalRules 區段的 CustomRole 資源可能無法確實授予權限。

  • opsservices 組織無法部署 Keycloak。

  • Tenable 的 Keycloak 使用者屬性修改內容未反映。

  • 您必須在 OIRv2 root 權限管理員叢集中，手動設定 Keycloak 識別資訊提供者。

  • RotatableSecret ais-encryption-key-secret 回報錯誤，並顯示 IAM-0100 逾時。

基礎架構即程式碼 (IaC)

  • 使用 IAC 將 GDC 從 1.15 版升級至 1.16 版可能會失敗。

  • GitLab 工作可能會在不顯示任何訊息的情況下失敗，導致 GitLab 無法啟動。

  • IAC-3211 快訊會誤觸 iac-creds-replica 密鑰到期。

  • 即使停用 OOB 存取權，IOShell 執行個體仍可連上頻外 (OOB) 管理網路。

庫存清單

b/534561687 #}

  • 自動產生的密碼含有特殊字元，導致啟動或部署作業失敗。

  • 由於裝置型號和收發器型號驗證錯誤，root 權限管理員叢集部署作業失敗。

  • 在商品目錄驗證期間，如果纜線的收發器供應商為 FS，系統會顯示警告。

  • 不支援超過兩個字母的儲存格或機架名稱。

  • 在初始安裝或重新啟動期間，預檢驗證 (2-mgmtsw-connection) 會回報裸機伺服器 LOM1 連接埠或儲存空間切換器 mgmt0 連接埠的錯誤管理切換器連線失敗 (VAL-E1001)。

  • OIRv2 機架中單一 NTP 設備的儲存格設定驗證失敗，因為 TOR 交換器配對檢查需要兩個 TOR 交換器都連線。

IO shell

  • IOShell 項資源已過期，無法建立或更新資源。

  • 使用者名稱不符合 RFC 1123 標準，導致 IO Shell 建立失敗。

  • 組織或區域名稱中的連字號會導致名稱衝突。

  • 使用管理內部 IP 位址，透過 SSH 連線至裸機節點失敗。

  • 在 OIRv2 可用區中，Cloud Service Mesh 的升級作業會停滯，因為 IO Shell Pod 帶有 istio.io/rev: default 標籤，但沒有 Istio sidecar。

IP 位址管理 (IPAM)

  • 升級至 1.16.1 以上版本後，如果服務帳戶管理的子網路參照 platform 命名空間中的父項，則該服務帳戶必須具備 platform 命名空間中的 shared-subnet-user 角色。

金鑰管理系統

  • 如果 KMS 設定為使用 CTM 根金鑰，則在 HSM 無法使用時不會進行容錯移轉。

  • 組織叢集中的 kms-mz-global-cm 子元件升級失敗。

  • 無法從 IO Shell 透過 SSH 連線至 Thales HSM 裝置。

Logging

  • 如果記錄查詢超出 Loki 的 30 天日期範圍限制，快訊 AL-E0935 (log_query_api_list_logs_error_rate_high) 會誤報。

Monitoring

  • mon-system StatefulSet Helm 升級作業失敗，因為 Pod 規格不符規定。

  • 平台管理員無法在 GDC 控制台查看 platform-obs 專案的「警告」頁面。

網路

  • 如果 OrganizationNetworkPolicy 中僅設定 matchTypes: ["api-server"]，則傳送至標準叢集 API 伺服器的外部 kubectl 要求會失敗，並顯示 RBAC: access denied 錯誤。

網路時間通訊協定 (NTP)

  • ntp-relay-controller Pod 可能會因記憶體不足錯誤而進入異常終止迴圈狀態。

  • 部署期間檢查時間時，manage_syncserver_time.py 指令碼會停止運作。

  • 部署 OIRv2 管理交換器時，NTP 設定和加密可能不會套用至執行中的設定。

  • NTP 伺服器會觸發錯誤的硬體參考時鐘同步快訊。

作業系統

  • 使用者叢集因/var/log失聯大小不足，而卡在Reconciling狀態。

  • pam_tty_audit.so 工作階段外洩，導致節點升級失敗或系統鎖定。

平台驗證

  • Kubernetes 叢集刪除後，*-cert 個 Secret 逾期外洩。

Resource Manager

  • Resource Manager 專案控制器可能會因記憶體不足錯誤而進入當機迴圈狀態。

安全資訊與事件管理 (SIEM)

  • 彈性儲存磁碟大約 30 天就會達到容量上限。

  • SIEM v2 推出作業無法在非 OIRv2 叢集上完成。

  • Splunk 索引器磁碟區觸發誤判的儲存空間門檻警示。

伺服器

  • 在檔案系統設定期間，Bootstrapper 安裝失敗，並顯示 matched no disk 錯誤。

  • 伺服器啟動失敗，並顯示 iDRAC 錯誤。

  • Dell 伺服器佈建失敗，並顯示 BMCConfigPreinstallLicenseInstallCompleted 狀態條件錯誤。

  • BareMetalHostNetwork 自訂資源可能包含多個管理閘道路由。

儲存空間

  • 啟用 Nearline Storage 儲存空間時，啟動新租戶組織的作業會在 VMImageDistributing 步驟中停止。

  • ONTAP S3 事件稽核記錄功能已停用。

  • 缺少網路路徑，因此無法升級 ONTAP。

  • StorageCluster 驗證在啟動期間失敗。

  • 對包含多部分上傳作業的 bucket 執行列出物件要求時，要求可能會失敗，obj-s3-availability 指標也可能下降。

  • 在依序升級期間，如果缺少 Bucket 自訂資源，物件儲存庫稽核記錄轉送作業可能會失敗。

  • DNS 查詢失敗，導致物件儲存庫稽核記錄轉送工具失敗。

  • StorageGRID 升級作業可能會卡住，並顯示「未上傳升級項目」錯誤。

  • Bucket 建立和更新作業耗費的時間比預期久。

支援單處理系統

  • ts-app-server-1 Pod 會定期重新啟動。

虛擬機器

  • 當 onetd 重新建立 adminvrf0 和 datavrf0 VLAN 介面時，如果缺少 macvtap (/dev/tap*) 裝置，周邊叢集 VM 可能會在建立期間失敗。

  • 使用 gdcloud CLI gdcloud compute instances create 建立 Windows VM 時，VM 會因預設 BIOS 啟動類型 bios 和缺少安全啟動旗標而無法啟動。

  • 升級至 1.16.1 版時，gpu-controller-controller-manager pod 會進入 ImagePullBackOff 狀態。

  • 如果 A 系列 a4-ultragpu-8g VM 使用的客體 OS 搭載 4.x 核心，可能需要超過 25 分鐘才能啟動。

  • 在新重新佈建的伺服器上建立類型為 a3-ultragpu-8g 和 a4-ultragpu-8g 的 VM 時，會發生錯誤。

  • VM 中繼資料伺服器資料庫的每月 dbsadmin 密碼輪替作業失敗，因為資料庫服務在套用密碼後，不會再刪除 db-pw-metadata-dbcluster 密鑰。下次重新啟動 metadata-server-controller-manager Pod 或資料庫後，中繼資料伺服器就無法連線至資料庫。

  • 如果 GPU 無法復原連結，並在從 D3hot 低功耗狀態喚醒時從 PCIe 匯流排中斷，GPU VM 就無法啟動，並會顯示 Unknown PCI header type '127' 錯誤。

安全漏洞管理

  • 使用 Tenable Enclave 進行的安全漏洞掃描可能無法完成。

  • 無法存取 Tenable Enclave。

修正項目
以下問題已解決：

防火牆

  • 升級後，舊版防火牆規則可能會封鎖組織到根管理員的流量。

身分與存取權管理

  • 根 CA 輪替後，OPA Gatekeeper 信任問題導致無法在新專案中建立 IAM 角色。

網路

  • 預檢驗證不會再誤報管理交換器與防火牆管理通訊埠之間的連線失敗。

儲存空間

  • 即使採取標準靜音措施，OBJ-A0003 快訊仍頻繁出現。

  • StorageGRID 主要管理員節點停機後，使用 ObjectStorageUpgradeRequest CR 嘗試升級物件儲存庫可能會失敗，因為要求會導向非主要 StorageGRID 管理員節點。

虛擬機器

  • 使用 gdcloud compute images import 指令或 VirtualMachineImageImport 自訂資源匯入 VM 磁碟映像檔時，如果 VirtualMachineImageImport 資源名稱超過 33 個字元 (或傳遞至 gdcloud CLI 的映像檔名稱超過 28 個字元)，匯入作業會卡在 JobImport 階段。
變更
系統偵測到下列變更：

版本更新：

已淘汰
下列功能已淘汰：

資料庫服務

  • 資料庫服務將在 1.14.12 以下版本淘汰舊版高可用性 (HA) 實作。舊版高可用性資料庫叢集將支援至停用日期 (待公布)。新的高可用性功能不會對使用者造成任何影響，因為啟用和停用高可用性的 API 仍維持不變。如要確認高可用性資料庫叢集是否使用新版實作，請檢查高可用性資料庫叢集 CR 是否有 dbcluster.dbadmin.goog/raasEnabled 註解。這項註解只會顯示在使用新實作的高可用性資料庫叢集上。如果沒有這個註解，可以遷移至最新的高可用性實作。