Notas da versão do Google Distributed Cloud com isolamento físico

16 de fevereiro de 2024 [GDC 1.12.0]

  • O Google Distributed Cloud com isolamento físico 1.12.0 já está disponível.
    Consulte a visão geral do produto para saber mais sobre os recursos do Google Distributed Cloud com isolamento físico.
  • O Google Distributed Cloud com isolamento físico 1.12.0 é compatível com dois sistemas operacionais:
    • Ubuntu 20231205
    • Rocky Linux 20231208

Atualizamos a versão da imagem do SO Canonical Ubuntu para 20231208 para aplicar os patches de segurança e atualizações importantes mais recentes. Para aproveitar as correções de bugs e vulnerabilidades de segurança, é necessário fazer upgrade de todos os nós a cada lançamento. As seguintes vulnerabilidades de segurança foram corrigidas:

As seguintes vulnerabilidades de segurança de imagens de contêiner foram corrigidas:

Atualizamos a imagem de base gcr.io/distroless/base para o resumo sha256:eda29d6da91216123f1c1841b7c7a7abe1eece155cfe8d20d2a29e5daf9ad497 e aplicamos os patches de segurança e atualizações importantes mais recentes.

Gerenciador de complementos:

Criar e empacotar:

  • A versão do Golang foi atualizada para 1.20.

  • O Google Distributed Cloud air-gapped 1.12.0 adiciona mais listas de materiais de software (SBOMs, na sigla em inglês) à saída e atualiza a lógica para garantir que essas SBOMs sejam publicadas no futuro.

  • O Google Distributed Cloud com isolamento físico 1.12.0 adiciona arquivos tar gdch_notice_license_files para fazer upload de manifestos.

Gerenciamento de inventário:

  • O Google Distributed Cloud isolado por ar 1.12.0 adiciona validações para listas de conexão de hardware versão 3.0.
  • O Google Distributed Cloud air-gapped 1.12.0 atualiza o padrão de porta de gerenciamento do servidor do console para permitir LAN1A e LAN2A.
  • O Google Distributed Cloud air-gapped 1.12.0 adiciona uma mensagem para reduzir a confusão dos modos ativo e passivo do PA850.
  • O Google Distributed Cloud com isolamento físico 1.12.0 oferece suporte a um cassete de interrupção na validação.
  • O Google Distributed Cloud air-gapped 1.12.0 adiciona a validação do firewall permanente à conexão do firewall de gerenciamento.
  • O Google Distributed Cloud air-gapped 1.12.0 adiciona um prompt de roteamento entre domínios sem classe (CIDR) de OI ao gerador de questionário de entrada do cliente.
  • O Google Distributed Cloud air-gapped 1.12.0 melhora uma mensagem de erro em caso de falha na falta de endereço MAC para reduzir a instabilidade da verificação de simulação ao validar a conexão hsm e mgmtsw.

Organização de TI da central de operações:

  • A organização de TI do Operations Center tem as seguintes atualizações de nome:

    • A Central de operações (OC) foi renomeada como Instalação do pacote de operações (OIF).

    • O OC Core foi renomeado como Operations Suite Infrastructure Core Rack (OIR).

    • A TI da central de operações (OCIT) foi renomeada como infraestrutura do pacote de operações (OI).

    • O OCIT foi renomeado como OI.

    Para mais informações, consulte Terminologia.

  • O Google Distributed Cloud air-gapped 1.12.0 atualiza o script de configuração do Userlock para permitir o uso de um servidor de failover.

  • O Google Distributed Cloud isolado por ar 1.12.0 pré-cria outros grupos de segurança da infraestrutura do pacote de operações (OI, na sigla em inglês) para permitir acesso refinado em todos os sistemas de OI.

Registro de artefatos do sistema:

  • O Google Distributed Cloud com isolamento físico 1.12.0 remove a flag abreviada -f (--force) dos recursos da CLI.

Atualização da versão:

  • A versão da imagem baseada no Debian é atualizada para bookworm-v1.0.0-gke.3.

Gerenciador de certificados:

  • Introduzimos a configuração do tamanho da chave em um certificado web-tls para organizações.

Serviço de banco de dados:

  • Suporte à recuperação pontual (PITR) para bancos de dados Oracle.
  • Suporte para migração avançada do Postgres para migrar bancos de dados locais para bancos de dados gerenciados pelo serviço de banco de dados do GDC.

Geração de registros:

Marketplace:

  • O MongoDB Enterprise Advanced (BYOL) já está disponível no Google Distributed Cloud air-gapped 1.12.0 Marketplace.
    É uma coleção de produtos e serviços que impulsionam a segurança e a eficiência, além de colocar você no controle dos seus bancos de dados do MongoDB.

Armazenamento de objetos:

  • Adicionada uma nova imagem necessária para hospedar arquivos de upgrade no software de armazenamento de objetos.
  • Adicionamos um rótulo de versão de criptografia aos webhooks de bucket.
  • Adição de um reconciliador para a rotação de credenciais de objeto.

Serviços principais de infraestrutura do pacote de operações (OIC)

  • O Google Distributed Cloud com isolamento físico 1.12.0 coleta registros da OIC no Grafana.
  • O Google Distributed Cloud air-gapped 1.12.0 move o script Copy-BareMetalFiles.ps1 da documentação de instalação para scripts em private-cloud/operations/dsc/.
Segurança da plataforma

  • Um certificado TLS da Web para um cluster de administrador raiz é emitido pela infraestrutura de chave pública interna isolada do Google Distributed Cloud.

Conformidade com a segurança:

  • O Google Distributed Cloud com isolamento físico 1.12.0 apresenta a segurança de porta necessária para passar por uma avaliação de segurança.

Sistema de emissão de tíquetes

  • Atualizamos os jobs programados no ServiceNow para escalonar quando eles são executados e evitar picos no banco de dados.
  • O operador de infraestrutura recebe um alerta quando um incidente de meta monitoramento no ServiceNow está desatualizado.

Fazer upgrade

  • Adição do painel Status do upgrade para operadores de infraestrutura e administradores de plataforma.
  • Adicionamos um comando para acionar o upgrade do cluster de usuário.

Vertex AI:

  • Adicionamos a prévia das previsões on-line para atender a solicitações usando seus próprios modelos de previsão em um conjunto de contêineres compatíveis.
  • Adicionamos a prévia da Tradução de documentos para traduzir documentos PDF formatados diretamente e preservar a formatação e o layout originais nas traduções.
  • Incluímos suporte para fazer backup e restaurar dados de notebook no diretório inicial das instâncias do JupyterLab do Vertex AI Workbench.

Gerenciamento de máquinas virtuais

  • Adicionamos o suporte ao SO Windows para máquinas virtuais, permitindo criar, importar e se conectar a uma VM do Windows.

Faturamento:

  • Corrigimos o problema em que o job onetimeusage sempre falhava ao atualizar os rótulos no objeto onetimeusage, causando alertas de falha.
  • Corrigimos o problema que fazia com que o custo agregado de um recurso personalizado (CR) fosse duplicado quando o job era reiniciado após o custo do CR ser gravado no banco de dados, antes da atualização do rótulo para "processado".

Módulo de segurança de hardware:

  • Correção do problema que fazia o módulo de segurança de hardware alternar com frequência entre os estados ServicesNotStarted e ready.

Identidade híbrida:

  • Corrigimos o problema com a configuração de rede em pods de identidade.

Gerenciamento de inventário:

  • Corrigimos o problema com o analisador de licenças que não analisava arquivos de armazenamento de objetos cujo texto JSON de licença se estendia por várias linhas.
  • Correção do problema com a expressão regular de validação de CellCfg CableType do hardware 3.0.
  • Correção do problema com a inclusão do nó de bootstrap na validação de hardware.
  • Correção do problema em que o nó do cluster de administrador raiz tinha o SecureBootEnable desativado após a inicialização do servidor.

Serviços principais de infraestrutura do pacote de operações (OIC)

  • Correção do problema em que o Initialize-BareMetalHost.ps1 não detectava que era necessário reiniciar.
  • Correção do problema com uma raiz de CA empresarial e não emissão de um arquivo de solicitação para envio a uma raiz de CA off-line.
  • Corrigimos o problema em que o processo de criação da VM do OIC deixava a sincronização de horário do Hyper-V ativada.

Sistema de emissão de tíquetes

  • Correção de um problema de auditoria do MariaDB.

Fazer upgrade

  • Corrigimos o problema com os alertas do Identity and Access Management (IAM) adicionando verificações de upgrade pós-voo do IAM.

Gerenciamento de máquinas virtuais

  • Correção do problema em que o status da VM mostrava PendingIPAllocation se ela não podia ser programada. Depois da correção, o status da VM vai mostrar ErrorUnscheduable.
  • Foi corrigido o problema com o uso de um segredo de armazenamento de objetos incorreto em operações de importação de imagens de VM.

Backup e restauração:

  • Os alertas de um repositório de backup podem ser acionados mesmo quando ele está íntegro.

Gerenciamento de clusters:

  • O job machine-init falha durante o provisionamento do cluster.

Servidores físicos:

  • O progresso da atualização do cluster de administrador raiz está travado no upgrade do nó, especificamente NodeBIOSFirmwareUpgradeCompleted.

Serviço de banco de dados:

  • As cargas de trabalho do serviço de banco de dados operam no cluster do sistema, o que pode resultar no compartilhamento da infraestrutura de computação com outras instâncias de banco de dados e vários sistemas de plano de controle.

Harbor como serviço (HAAS):

  • Como é um recurso de prévia do Google Distributed Cloud com isolamento físico 1.12.0, não se espera que o HaaS opere em ambientes de produção.
    O trabalho de pré-instalação falha por design para impedir que os subcomponentes sejam reconciliados corretamente, o que impede os usuários de usar o HaaS.
    É esperado encontrar subcomponentes do HaaS no estado de reconciliação, o que não afeta a funcionalidade de outros componentes.

Firewall:

  • Durante a implantação do cliente, o nome de usuário do administrador do arquivo secret.yaml precisa ser admin, mas contém TO-BE-FILLED após a primeira criação. O nome de usuário admin precisa ser usado para inicializar a primeira configuração no firewall.

Módulo de segurança de hardware:

  • As licenças de teste desativadas ainda são detectáveis no CipherTrust Manager, acionando avisos de expiração falsos.
  • Ao excluir um CTMKey do KMS, o PA pode encontrar comportamentos inesperados, incluindo a não inicialização do serviço do KMS para a organização.
  • Um secret rotativo para módulos de segurança de hardware está em um estado desconhecido.
  • As rotações da autoridade de certificação interna do HSM ficam travadas e não são concluídas.

Geração de registros:

Monitoramento:

  • Os certificados do Node Exporter podem não ficar prontos ao criar uma organização.
  • Algumas métricas dos clusters de usuários não são coletadas. Esse problema afeta os clusters de VM do usuário, mas não o cluster do sistema.
  • A classe de armazenamento de métricas está definida incorretamente na configuração.
  • O ConfigMap mon-prober-backend-prometheus-config é redefinido para não incluir jobs de sondagem, e o alerta MON-A0001 é acionado.

Plataforma do nó:

  • O upgrade do nó falha devido a um arquivo lvm.conf desatualizado.

Servidores físicos:

  • O progresso da atualização do cluster de administrador raiz está travado no upgrade do nó, especificamente NodeBIOSFirmwareUpgradeCompleted.
  • Ao instalar um servidor manualmente, a instalação pode ficar travada.

Fazer upgrade:

  • Falha no upgrade do nó para NodeOSInPlaceUpgradeCompleted.
  • A troca de upgrade não executa o comando install add bootflash://..
  • Vários pods em um cluster do sistema podem ficar presos no estado TaintToleration.

Rede superior:

  • Um cluster de VM de usuário fica preso no estado ContainerCreating com o aviso FailedCreatePodSandBox.

Vertex AI:

  • O MonitoringTarget mostra um status Not Ready quando os clusters de usuários estão sendo criados, fazendo com que as APIs pré-treinadas mostrem continuamente um estado Enabling na interface do usuário.

Backup e restauração de VM:

  • O controle de acesso baseado em função (RBAC) e as configurações de esquema no gerenciador de VMs estão impedindo que os usuários iniciem processos de backup e restauração de VMs.
  • A importação da imagem da VM falha na etapa de tradução devido ao tamanho insuficiente do disco e ao tempo limite na resposta do proxy de armazenamento de objetos.

SIEM:

  • Os jobs de pré-instalação do OCLCM falham repetidamente na verificação do recurso.

Performance:

  • O Google Distributed Cloud com isolamento físico 1.12.0 descontinua a capacidade de executar comparativos de mercado provision key.