Google Distributed Cloud 實體隔離方案 1.13.1 版版本資訊

2024 年 6 月 28 日

Google Distributed Cloud (GDC) 氣隙隔離解決方案 1.13.1 版現已推出。
請參閱產品總覽，瞭解 Distributed Cloud 的功能。

將 Canonical Ubuntu OS 映像檔版本更新至 20240515，以套用最新的安全修補程式和重要更新。 如要使用錯誤和安全漏洞修正功能，您必須在每個版本發布時升級所有節點。 修正下列安全性漏洞：

將 Rocky OS 映像檔版本更新至 20240506，套用最新的安全修補程式和重要更新。修正下列安全性漏洞：

修正下列容器映像檔安全漏洞：

修正系統叢集中以容器形式執行的資料庫安全漏洞。

帳單：

  • 建立機構時新增啟用合作夥伴帳單的功能，讓 Google 直接向合作夥伴收費。

叢集管理：

自訂 IP 位址：

  • 新增覆寫指派給機構的 IP 位址功能，以啟用 Direct Connect (DX) 互連功能。

資料庫服務：

  • 新增重大升級，提升安全性和可靠性。所有資料庫工作負載現在都在服務叢集上執行。升級時必須移除現有資料庫。為保護資料，請務必在升級前匯出並刪除所有現有資料庫叢集。如要瞭解如何匯出及匯入資料，請參閱資料庫服務說明文件。
  • 新增 AlloyDB 功能，支援同可用區高可用性 (HA)。
  • 新增 AlloyDB 支援備份、還原和時間點復原功能。
  • AlloyDB 新增資料匯入、匯出和進階遷移功能。

動態擴展：

  • 透過動態擴充功能新增額外的運算和儲存資源，不必重新部署。在 1.13.1 之前的 GDC 版本中，只能在重新部署時新增硬體。這類擴展稱為靜態擴展。

Harbor-as-a-Service:

  • 新增 Harbor 即服務 (HaaS)，這是一項全代管服務，可使用 Harbor 儲存及管理容器映像檔。

機器類型：

Marketplace：

  • 推出可自訂的 Marketplace 服務設定。
  • Starburst Enterprise (自備授權) 可在實體隔離市集中使用。Starburst Enterprise 為資料湖倉提供快速、可擴充的分散式 MPP SQL 引擎，並可查詢聯合多個其他資料來源。

  • Palo Alto Networks 的 Prisma Cloud Compute Edition (自備授權) 可在無網路連線的 Marketplace 中使用。Palo Alto Networks 的 Prisma Cloud Compute Edition 可為分散式應用程式提供現代化防護。

多區域部署：

  • 新增多區域功能，提供雲端式高可用性和災難復原即服務功能，簡化 GDC 區域的資源管理作業。多可用區部署功能目前為預先發布版。

公開金鑰基礎架構：

  • 發放網頁憑證時，您可以在建立機構後設定不同的 PKI 模式。可設定的模式包括：基礎架構 PKI 全代管、自備 SubCA、自備憑證 (含 ACME) 和自備憑證。

物件儲存空間：

  • 新增了 bucket Spec.location 欄位，用於指定物件所在的區域。建立 bucket 時，如果未提供任何值，系統會自動填入 bucket 建立所在區域的名稱。現有 bucket 的欄位會自動填入所在區域的名稱。

虛擬機器 (VM)：

Vertex AI：

VPN：

Artifact Registry：

  • 建立根管理員叢集時，如果啟動程序中的伺服器清單過長，作業可能會失敗。

備份與還原：

  • 嘗試將備份還原至配額受限的使用者叢集時會失敗。

帳單：

  • 由於缺少 MetricsProxySidecar，因此帳單指標無法正確傳送至 Cortex。

區塊儲存空間：

  • 虛擬機器啟動器 Pod 無法對應磁碟區。
  • 儲存空間相關故障可能會導致系統無法使用。
  • 建立的永久磁碟區大小不正確。
  • 如果機構已停用，刪除 StorageVirtualMachine 時可能會發生問題。
  • 停用機構後，系統不會清除密鑰和憑證。
  • StorageVirtualMachine可能會發生刪除對帳失敗的情況。
  • Ansible 工作在裸機升級期間會停滯。

叢集管理：

  • 叢集佈建期間，machine-init 工作失敗。
  • 服務叢集中執行的資料庫 Pod 無法連線至機構管理員叢集中的物件儲存空間值區。
  • 預檢失敗。
  • 重新建立使用者叢集時，可能會卡在調解狀態。

資料庫服務：

  • 對於面向使用者的資料庫，初始佈建、調整大小或在現有資料庫叢集上啟用高可用性，所需時間比以往多出 40 分鐘，效能也比以往慢兩到三倍。
  • 由於備份和還原作業發生問題，資料庫服務複製功能不適用於儲存空間配額受限的叢集。
  • 強制執行 IOPS 可能會影響儲存空間效能。
  • gdcloud stop database 指令需要很長時間才能完成。

DNS：

  • 您必須在 resolved.conf 中明確關閉 DNSSEC。

Harbor：

  • 刪除 Harbor 執行個體不會一併刪除相關聯的登錄檔鏡像。節點集可能卡在 Provisioning 狀態。

硬體安全模組：

  • CipherTrust Manager 仍可偵測到已停用的試用授權， 因此會觸發錯誤的到期警告。
  • 檔案描述元洩漏會導致 ServicesNotStarted 錯誤。

基礎架構即程式碼 (IAC)：

  • 過度建立 GitLab 權杖可能會填滿 GitLab 資料庫。

Key Management Service (KMS)：

  • 當 kms-rootkey-controller 記憶體用量超過 600Mi 上限時，控制器會因 OOMKilled 狀態而進入 CrashLoopBackOff。

記錄：

  • 物件儲存空間稽核記錄器無法解析 DNS 主機。

監控：

  • 資訊主頁不會顯示 Vertex AI 指標。
  • mon-cortex Pod 發生調解錯誤。
  • 系統叢集中的 metrics-server-exporter Pod 發生當機迴圈。
  • mon-prober-backend-prometheus-config ConfigMap 會重設為不含任何探查工作，並觸發警報 MON-A0001。
  • 設定 Monitoring 服務傳送快訊後，系統會自動建立多個重複快訊。
  • ObservabilityPipeline 物件會顯示您必須忽略的 Reconciler error 記錄。

多可用區啟動程序：

  • 啟動多區域部署作業時，不需要特定角色。
  • 建立的 Bootstrap 資源與處理該資源的邏輯不相容。
  • 啟動程序期間未建立必要資源，導致依賴這項資源的元件無法正常運作。

網路：

  • 無法連線至節點。
  • 無法連線至資料庫服務執行個體。
  • 即使已建立 ClusterCIDRConfig，節點也不會獲派 PodCIDR。
  • VM 節點的時間不準確或有誤差。
  • 系統產生的多區域 EVPN 互連工作階段對等互連 IP 位址不正確。
  • 節點無法透過資料網路連線。

物件儲存空間：

  • 刪除機構可能無法成功。

作業系統：

  • 在極少數情況下，Pod 會在特定節點上停滯於 init 狀態。
  • 裸機或 VM 節點的 bm-system-machine-preflight-check Ansible 作業失敗，並顯示 Either ip_tables or nf_tables kernel module must be loaded。

作業套件基礎架構 (OI)：

  • 使用 Hardware 3.0 時，不再需要啟動 Smart Storage Administration (SSA)。

範圍式安全防護：

  • 機構系統叢集在機構啟動期間停滯。
  • PANW 防火牆 AddressGroups 不會隨著 OCIT cidr-claim 變更而更新，導致 iac.gdch.domain.example 網域無法解析。

平台安全性：

  • 當 PKI BYO SubCA 模式產生新的憑證簽署要求 (CSR)，而先前簽署的憑證已上傳至 SubCA 時，協調器不會檢查新的 CSR 是否與舊的簽署憑證相符，並將 cert-manager CertificateRequest 自訂資源 (CR) 標示為 Ready。這會在 SubCA 憑證續約或手動輪替期間發生。
  • cert-manager 的已知問題會導致無法透過自動化憑證管理環境 (ACME) 簽發自備公鑰基礎架構 (PKI) 憑證。

實體伺服器：

  • 伺服器停滯在 provisioning 狀態。
  • HPE 伺服器發生 POST 問題，導致伺服器啟動失敗。
  • 伺服器卡在佈建狀態。

Resource Manager：

  • GDC 控制台不會顯示專案狀態。

升級：

  • 執行 Ansible Playbook 的「bm-system」和其他工作停滯在「gathering facts」。
  • 升級期間無法連線至伺服器的管理 IP。
  • 升級會在 iac-zoneselection-global 子元件中失敗。

Vertex AI：

  • 建立使用者叢集時，MonitoringTarget 會顯示 Not Ready 狀態，導致預先訓練的 API 持續在使用者介面中顯示 Enabling 狀態。
  • ODS 系統叢集密鑰過時，導致 Translation 前端 Pod 和服務無法初始化。

虛擬機器：

  • 無法匯入 qcow2 和原始映像檔的 BYO 映像檔。
  • 從自訂映像檔佈建磁碟失敗。
  • 物件儲存空間升級作業在後續或預檢時發生錯誤。

帳單：

  • 修正問題：由於名稱 GDCH_INTERNAL 無效，導致應付憑據產生器工作無法建立應付憑據自訂資源。

網路：

  • 修正因無法成功產生 hairpinlink 自訂資源，導致升級失敗的問題。
  • 網路安裝作業顯示「Got error on getting port speed」的錯誤訊息。

外掛程式管理員：

版本更新：

  • Debian 架構的映像檔版本更新為 bookworm-v1.0.1-gke.1。

作業套件基礎架構 (OI)：

  • OI Marvin 帳戶用於 OI 基礎架構環境中的設定管理，效期為 60 天。