Google Distributed Cloud 實體隔離方案 1.16.1 版本資訊

2026 年 6 月 5 日

公告
Google Distributed Cloud (GDC) 實體隔離方案 1.16.1 版已推出。
請參閱產品總覽，瞭解 Distributed Cloud 的功能。
重要事項
1.16.1 升級順序規定

如要安全升級至 Distributed Cloud 1.16.1，請務必完成所有強制執行的升級前檢查，並依序執行必要的升級程序。直接從 1.15.1 之前的任何版本升級都會失敗。

如果使用 1.14.7 以下版本：

  1. 套用 Hotfix：為目前版本安裝所有必要的 Hotfix。
  2. 升級至 1.15.3：啟動並完成升級至 1.15.3 的程序。
  3. 升級至 1.16.1 版：啟動並完成最終升級至 1.16.1 版。

如果使用 1.15.1 或 1.15.3 版：直接升級至 1.16.1 版。

如果您使用的是 1.15.2 版：必須先升級至 1.15.3，再升級至 1.16.1。

功能
以下為可用的新功能：

叢集管理

  • 新增 Kubernetes 叢集節點對 A 系列 H200 和 B300 機器的支援。詳情請參閱「叢集節點機器類型」。

基礎架構

  • 新增組織中 B300 裸機機器的支援。

代管 Harbor 服務

  • 新增對專案服務帳戶的支援。這樣一來，您就能使用服務帳戶身分，安全地與 Harbor 執行個體互動，並管理容器存放區。詳情請參閱「代管 Harbor 服務總覽」。

網路

  • Cloud DNS 現已正式發布。這項服務提供可靠、可擴充的方式，讓您使用 Kubernetes API 或指令列管理網域名稱服務記錄。詳情請參閱「關於 Cloud DNS」。

  • DNS 現在支援 TLS 加密，可加密系統和第一方服務的所有 DNS 流量，包括 Distributed Cloud 內部，以及 Distributed Cloud 與客戶網路之間的流量。

觀測能力

  • 新增工作負載的觀測追蹤功能。這項功能提供監控和記錄功能，可簡化工作負載的追蹤和疑難排解作業。詳情請參閱「工作負載的觀測能力追蹤」。

儲存空間

  • 新增對自動同步雙區域儲存空間的支援。正常運作時，擷取政策會同步將物件副本寫入兩個指定可用區，並在服務中斷時改為非同步複製。

  • 新增支援功能，可在物件上傳時，於結尾 HTTP 標頭中提供檢查碼。這有助於提升資料完整性和錯誤偵測能力。詳情請參閱「上傳及下載儲存空間物件」。

  • 新增強化功能，確保物件儲存庫憑證會在相關聯的服務帳戶移除時自動刪除。這可避免專案命名空間中出現孤立的 Secret。詳情請參閱「刪除儲存空間 bucket」。

  • 新增支援，可依據時間範圍計算可用區 S3 可用性的運作時間 SLO。這項異動可確保健康指標不會因單一高用量專案多次重試而失真，進而更準確反映整個機構的實際使用者體驗。

虛擬機器

  • 在支援的 VM 機型清單中新增 A 系列 A4 B300 機器。詳情請參閱「查看 VM 機型」。

  • 新增 Windows 2022 映像檔支援，可使用自備 (BYO) 自訂映像檔。詳情請參閱「GDC 支援的 VM 映像檔」。

  • 新增安全啟動憑證續約支援，適用於憑證即將到期的 VM。詳情請參閱「更新安全啟動憑證」。

安全性
將 Rocky OS 映像檔版本更新至 20260318，以套用最新的安全性修補程式和重要更新。

修正下列安全漏洞：

問題
系統發現下列問題：

Cloud DNS

  • 如果 DNS OIRv2 feature gate 階段不足，系統會傳回一般錯誤訊息。

  • dns-core-mz-cp 子元件協調失敗。

  • 端點無法解析 DNS。

  • 必須使用全域 gdcloud CLI，才能設定 Cloud DNS。

叢集管理

  • 刪除後，Kubernetes 叢集不會移除。

  • 靜態 Pod 因 kubelet 死結而卡住。

  • 在 accredited 環境中，套用 SubcomponentOverride 自訂資源來覆寫可操作元件的 feature gate，會導致控制器持續重新啟動。

說明文件

  • 產品發布時附帶過時的文件。

  • 無法查看分頁格式的操作說明文件。

端點偵測和回應

  • 「Isolate Host」選項會顯示在 Kibana UI 中，但不會生效。

防火牆

  • 錯誤地要求基礎架構防火牆的 vsys 授權，才能產生儲存格設定。

GDC 控制台

  • GDC 控制台託管的文件顯示 404 錯誤。

gdcloud CLI

  • 執行任何 gdcloud CLI 指令時，系統會顯示未初始化功能旗標的警告。

Harbor

  • 容錯移轉登錄檔會回報 404 Not Found 錯誤。

硬體安全性模組

  • 檔案描述元外洩會導致 ServicesNotStarted 錯誤。

身分與存取權管理

  • 如果 core/organization_console_url 設為全域控制台網址，執行 gdcloud CLI 或 kubectl 指令時，可能會間歇性失敗，並顯示 401 Unauthorized 錯誤。

  • IAMRoleBinding或 k8s-networkpolicy-admin 的 k8s-networkpolicy-viewer會導致 ZonalRoleBindingReplica 錯誤。

  • 如果 CustomRole 資源包含 zonalRules 區段，可能無法確實授予權限。

  • opsservices 組織無法部署 Keycloak。

  • 系統不會反映 Tenable 的 Keycloak 使用者屬性修改內容。

  • 您必須在 OIRv2 root 權限管理員叢集中，手動設定 Keycloak 識別資訊提供者。

  • RotatableSecret ais-encryption-key-secret 回報 false，並顯示 IAM-0100 逾時。

基礎架構即程式碼 (IAC)

  • 使用 IAC 將 GDC 從 1.15 版升級至 1.16 版可能會失敗。

  • GitLab 工作可能會無聲無息地失敗，導致 GitLab 無法啟動。

  • IAC-3211 快訊會針對 iac-creds-replica 密鑰到期時間錯誤觸發。

庫存清單

b/534561687 #}

  • 自動產生的密碼含有特殊字元，導致啟動或部署作業失敗。

  • 由於裝置型號和收發器型號驗證錯誤，root 權限管理員叢集部署作業失敗。

  • 在驗證庫存期間，如果纜線的收發器供應商為 FS，系統會顯示警告。

  • 不支援超過兩個字母的儲存格或機架名稱。

  • 在初始安裝或重新啟動期間，預檢驗證 (2-mgmtsw-connection) 會針對裸機伺服器 LOM1 連接埠或儲存空間交換器 mgmt0 連接埠，回報錯誤的管理交換器連線失敗 (VAL-E1001)。

  • OIRv2 機架中單一 NTP 設備的 Cell 設定驗證失敗，因為 TOR 交換器配對檢查需要兩個 TOR 交換器都連線。

IO shell

  • IOShell 項資源已過期，無法建立或更新資源。

  • 使用者名稱不符合 RFC 1123 標準，導致 IO Shell 建立失敗。

  • 組織或區域名稱中的連字號會導致命名衝突。

  • 使用管理內部 IP 位址，透過 SSH 連線至裸機節點失敗。

IP 位址管理 (IPAM)

  • 升級至 1.16.1 以上版本後，如果服務帳戶管理的子網路參照 platform 命名空間中的父項，則該服務帳戶必須具備 platform 命名空間中的 shared-subnet-user 角色。

金鑰管理系統

  • 如果 KMS 設定為使用 CTM 根金鑰，則在 HSM 無法使用時不會容錯移轉。

  • 組織叢集中的 kms-mz-global-cm 子元件升級失敗。

  • 無法從 IO Shell 透過 SSH 連線至 Thales HSM 裝置。

Monitoring

  • mon-system StatefulSet Helm 升級作業失敗，因為 Pod 規格不符規定。

  • 平台管理員無法在 GDC 控制台中查看 platform-obs 專案的「警告」頁面。

網路時間通訊協定 (NTP)

  • ntp-relay-controller Pod 可能會因記憶體不足錯誤而進入異常終止迴圈狀態。

  • manage_syncserver_time.py 指令碼在部署期間檢查時間時會停止運作。

  • 部署 OIRv2 管理交換器時，NTP 設定和加密可能不會套用至執行中的設定。

作業系統

  • 由於 /var/log 分區大小不足，使用者叢集卡在 Reconciling 狀態。

  • 節點升級失敗或系統鎖死，原因為 pam_tty_audit.so 工作階段洩漏。

平台驗證

  • Kubernetes 叢集刪除後，*-cert 個 Secret 洩漏事件已過期。

Resource Manager

  • 資源管理工具專案控制器可能會因記憶體不足錯誤而進入當機迴圈狀態。

安全資訊與事件管理 (SIEM)

  • 彈性儲存磁碟大約 30 天就會達到容量上限。

  • SIEM v2 推出作業無法在非 OIRv2 叢集上完成。

  • Splunk 索引器磁碟區觸發誤判的儲存空間門檻警示。

伺服器

  • 在檔案系統設定期間，開機前安裝程式安裝失敗，並顯示 matched no disk 錯誤。

  • 伺服器啟動失敗，並顯示 iDRAC 錯誤。

  • 伺服器佈建失敗，Dell 伺服器出現 BMCConfigPreinstallLicenseInstallCompleted 狀態條件錯誤。

  • BareMetalHostNetwork 自訂資源可能包含多個管理閘道路由。

儲存空間

  • ONTAP S3 事件稽核記錄已停用。

  • 缺少網路路由，因此無法升級 ONTAP。

  • 在啟動程序期間，StorageCluster 驗證失敗。

  • 對含有多部分上傳作業的 bucket 執行列出物件要求時，要求可能會失敗，obj-s3-availability 指標也可能下降。

  • 在依序升級期間，如果缺少 Bucket 自訂資源，物件儲存庫稽核記錄轉送作業可能會失敗。

  • DNS 查詢失敗，導致物件儲存庫稽核記錄轉送器失敗。

  • StorageGRID 升級作業可能會卡住，並顯示「未上傳升級項目」錯誤。

  • 建立和更新值區的時間超出預期。

支援單處理系統

  • ts-app-server-1 Pod 會定期重新啟動。

虛擬機器

  • onetd 重新建立 adminvrf0 和 datavrf0 VLAN 介面時，如果缺少 macvtap (/dev/tap*) 裝置，可能導致周邊叢集 VM 建立失敗。

  • 使用 gdcloud CLI gdcloud compute instances create 建立 Windows VM 時，由於預設的 BIOS 開機類型為 bios，且缺少安全啟動旗標，因此 VM 無法開機。

  • 升級至 1.16.1 版時，gpu-controller-controller-manager pod 會進入 ImagePullBackOff 狀態。

  • 使用 4.x 核心的訪客 OS 時，A 系列 a4-ultragpu-8g VM 可能需要超過 25 分鐘才能啟動。

  • 在新重新佈建的伺服器上，使用 a3-ultragpu-8g 和 a4-ultragpu-8g 類型建立 VM 時會發生錯誤。

安全漏洞管理

  • 使用 Tenable Enclave 進行的安全漏洞掃描可能無法完成。

  • 無法存取 Tenable Enclave。

修正項目
以下問題已解決：

防火牆

  • 升級後，舊版防火牆規則可能會封鎖組織到根管理員的流量。

身分與存取權管理

  • 根 CA 輪替後，OPA Gatekeeper 信任問題會導致新專案無法建立 IAM 角色。

網路

  • 預檢驗證不會再誤報管理交換器與防火牆管理通訊埠之間的連線失敗。

儲存空間

  • 即使採取標準靜音措施，OBJ-A0003 快訊仍頻繁出現。

  • StorageGRID 主要管理員節點停機後，使用 ObjectStorageUpgradeRequest CR 嘗試升級物件儲存庫可能會失敗，因為要求會導向非主要 StorageGRID 管理員節點。

變更
系統偵測到下列變更：

版本更新：

已淘汰
下列功能已淘汰：

資料庫服務

  • 資料庫服務將在 1.14.12 以下版本淘汰舊版高可用性 (HA) 實作。舊版高可用性資料庫叢集將支援至停用日期 (待公布)。新的高可用性功能不會對使用者造成任何影響，因為啟用和停用高可用性的 API 仍維持不變。如要確認高可用性資料庫叢集是否使用新實作，請檢查高可用性資料庫叢集 CR 是否有 dbcluster.dbadmin.goog/raasEnabled 註解。這項註解只會顯示在使用新實作的高可用性資料庫叢集上。如果沒有這個註解，請遷移至最新的高可用性實作方式。