Notas da versão 1.14.3 do Google Distributed Cloud com isolamento físico

28 de fevereiro de 2025

O Google Distributed Cloud (GDC) com isolamento físico 1.14.3 está disponível.
Consulte a visão geral do produto para saber mais sobre os recursos do Distributed Cloud.
Os seguintes recursos novos estão disponíveis:

Backup e restauração:

  • Adicionamos a capacidade de criar backups e restaurações de VMs com escopo para segmentar cargas de trabalho de VMs específicas. Crie esses backups de VM manualmente ou crie planos de backup que realizem backups automaticamente em uma programação definida por você. Para mais informações, consulte Visão geral.
  • Adicionamos restaurações detalhadas de VM que permitem restaurar recursos específicos de VM e de disco de VM. Para mais informações, consulte Criar uma restauração detalhada.
  • Adicionamos restaurações detalhadas de cluster, que permitem restaurar um subconjunto de recursos de um backup de cluster. Esse recurso proporciona a flexibilidade de refinar o escopo de restauração definido no plano de restauração. Para mais informações, consulte Criar uma restauração detalhada.

Faturamento:

  • Adicionamos a capacidade de fazer upload dos custos faturados mensais para o console do Argentum.

DNS:

  • Agora é possível criar e gerenciar suas próprias zonas de DNS públicas e privadas para atender às necessidades dos seus aplicativos e serviços. Em uma zona de DNS, é possível criar registros DNS. Diferentes tipos de registros DNS servem para diferentes finalidades, como direcionar o tráfego, definir servidores de e-mail e verificar a propriedade. Para mais informações, consulte Sobre zonas e registros de DNS.

Firewall:

  • Adicionamos a capacidade de configurar a autenticação NTP PANW em firewalls do GDC usando chaves simétricas.

IAM:

Marketplace:

  • O Neo4j está disponível no marketplace do GDC com isolamento físico. O Neo4j é um banco de dados de gráficos integrado, NoSQL e de código aberto que fornece um back-end transacional compatível com ACID para seus aplicativos.
  • O operador do MariaDB está disponível no marketplace do GDC com isolamento físico. O MariaDB Operator usa imagens Docker compatíveis para fornecer uma solução de gerenciamento de frota e HA/DR para o MariaDB Enterprise Server e o MaxScale.
  • O HashiCorp Vault (BYOL) está disponível no marketplace do Google Distributed Cloud com isolamento físico. O HashiCorp Vault é um sistema de gerenciamento de secrets e criptografia baseado em identidade.
  • O Apache Kafka na plataforma Confluent (BYOL) está disponível no marketplace do GDC com isolamento físico. A Confluent Platform é uma solução que permite o acesso, o armazenamento e o gerenciamento em tempo real de fluxos de dados contínuos.
  • O Redis Software para Kubernetes (BYOL) está disponível no marketplace do GDC com isolamento físico. O Redis é o banco de dados na memória mais rápido do mundo para criar e escalonar aplicativos rápidos.

MHS:

  • O Serviço Gerenciado do Harbor (MHS, na sigla em inglês) agora inclui backup e restauração do Harbor. Configurar backups e criar restaurações para instâncias do Harbor. Para mais informações, consulte Visão geral.
  • Adição do auxiliar de credenciais do MHS, que permite usar sua identidade do GDC para fazer login na CLI do Docker ou do Helm. Para mais informações, consulte Fazer login no Docker e no Helm.
  • Adicionamos a capacidade de verificar todos os artefatos em uma instância do Harbor. Para mais informações, consulte Verificar vulnerabilidades.

Geração de registros:

  • O pod do Loki falha ou é encerrado por falta de memória (OOMKilled) durante a reprodução do WAL.

  • Falha na extração de log-collector e oplogs-forwarder.

Monitoramento:

  • Adicionamos suporte para consulta e monitoramento entre zonas em painéis de visualização. Para mais informações, consulte Consultar e visualizar métricas e Consultar e visualizar registros.

  • Um alerta ruidoso do OCLCM pode ser ignorado.

  • O pipeline de métricas do sistema está inativo.

  • Os alertas MON-A0001_fast e MON-A0001_slow estão sendo disparados em clusters da organização

Rede:

  • Use balanceadores de carga internos e externos de várias zonas para distribuir o tráfego para cargas de trabalho de VM e pod. Para mais informações, consulte Visão geral.

  • Configurar recursos de interconexão para estabelecer conectividade fisicamente dedicada a redes privadas externas. Para mais informações, consulte a Visão geral da interconexão.

  • Configure um balanceador de carga interno ou externo para cargas de trabalho de pod e VM usando a API Networking KRM ou a CLI gdcloud. Para mais informações, consulte Gerenciar balanceadores de carga.

  • Use políticas de rede do projeto zonais e globais para estabelecer conectividade entre projetos e organizações.

  • Crie políticas de rede no nível da carga de trabalho entre projetos para definir regras de acesso específicas para VMs e pods individuais em um projeto e entre projetos.

Resource Manager:

  • Os projetos são recursos globais por padrão que abrangem todas as zonas em um universo do GDC. Para mais informações, consulte a Visão geral de várias zonas.

Máquinas virtuais:

Atualizamos a versão da imagem do SO Rocky para 20250124 para aplicar os patches de segurança mais recentes e atualizações importantes.

As seguintes vulnerabilidades de segurança foram corrigidas:

Os seguintes problemas foram identificados:

Backup e restauração

  • A edição de um RestorePlan no console do GDC está corrompida.

  • Os pods do agente e do plano de controle podem ser reiniciados se ficarem sem memória, afetando a estabilidade do sistema.

  • As métricas e os alertas de objetivo de nível de serviço (SLO) do GDC para backup e restauração não são ativados por padrão devido à falta de definições de recursos personalizados.

  • As políticas de retenção não são aplicadas aos backups importados.

  • Falha nos backups parciais de VMs.

  • Limpe os recursos de backup órfãos após a exclusão do cluster de usuário ou de serviço.

  • A exclusão de VirtualMachineRestore não é compatível com a CLI ou UI.

  • O processo de restauração de um recurso, como um clone de banco de dados ou uma restauração de carga de trabalho do usuário, fica travado e acaba expirando devido a uma declaração de volume persistente pendente.

Gerenciamento de clusters

  • O cluster de usuário fica travado em um estado de reconciliação ou não íntegro após a recriação do nó do plano de controle.

  • O subcomponente kub-gpu-controller não é reconciliado para a organização gdchservices.

  • A remoção de pools de nós obsoletos de clusters padrão falha. Os clusters padrão estão em pré-lançamento particular e podem não estar disponíveis para todos os clientes.

Serviços de banco de dados

  • Os clusters de banco de dados com exclusão reversível ficam presos em um estado DBClusterReconciling quando são excluídos imediatamente após a criação.

  • O comando gdcloud stop database leva muito tempo para ser concluído.

DNS

  • Um alerta de DNS falso é acionado sugerindo GlobalCustomerRootDNSServerNotReachable.

Firewall

  • As regras de firewall legadas podem bloquear o tráfego da organização para o administrador raiz após o upgrade.

  • A organização não pode ser acessada pelo DNS do console da UI global.

  • Depois que o recurso personalizado OCITTopology é implantado, a conectividade entre o OIR e o plano de gerenciamento e o plano de dados do GDC é interrompida.

  • O tráfego entre zonas e organizações é bloqueado por padrão pelos firewalls do GDC.

  • Depois que um AttachmentGroup é implantado, se o campo identifier nesse objeto AttachmentGroup for igual a orgName, o firewall não vai conseguir analisar esse objeto, e a atualização da configuração do firewall vai ficar travada.

Inventário

  • A auditoria de inventário não consegue reconciliar.

Módulo de segurança de hardware:

  • As licenças de teste desativadas ainda são detectáveis no CipherTrust Manager, acionando avisos de validade falsos.

  • Ocorre um problema em que os HSMs falham com um erro ValidateNetworkConfig após a inicialização. Esse erro impede que os recursos personalizados do HSM entrem em um estado Ready.

  • Um vazamento de descritor do arquivo causa um erro ServicesNotStarted.

Saúde:

  • O sistema pode acionar mais de 30 alarmes falsos sobre alertas de SLO em vários componentes devido a um problema com a rotulagem da API SLO.

Identity and Access Management:

  • Um recurso CustomRole que inclui uma seção zonalRules pode não conceder permissões de maneira confiável.

  • Um problema de confiança do OPA Gatekeeper após uma rotação de CA raiz impede a criação de papéis do IAM em novos projetos.

  • As vinculações de papel do IAM vão falhar se os nomes gerados excederem 63 caracteres.

  • As contas de serviço do projeto (PSA, na sigla em inglês) não podem atribuir vinculações de papéis do IAM a si mesmas ou a outras PSAs com o papel organization-iam-admin.

  • Novos projetos têm atrasos na criação de papéis predefinidos.

  • Os operadores de aplicativos não podem conceder a si mesmos acesso a papéis no cluster de infraestrutura.

  • Os tokens de contas de serviço atuais se tornam inválidos.

Infraestrutura como código (IaC)

  • Um subcomponente não é reconciliado devido à falta de um namespace.
  • A coleta de métricas do ConfigSync do IAC falha.
  • A sincronização raiz do IAC falha.

Sistema de gerenciamento de chaves:

  • Os servidores KMS podem apresentar problemas de desempenho e OOMKilling em cargas de trabalho pesadas.

  • Quando o uso da memória de kms-rootkey-controller excede o limite de 1100Mi, o controlador entra em um status CrashLoopBackOff devido a um status OOMKilled.

  • O KMS configurado para usar uma chave raiz do CTM não faz failover quando um HSM está indisponível.

  • Os pods do KMS na organização raiz podem falhar devido aos registros de auditoria que preenchem o armazenamento temporário.

Balanceadores de carga:

  • A criação do balanceador de carga global falha devido a endereços IP insuficientes nas sub-redes globais.
  • Os objetos do balanceador de carga não estão entrando em um estado Ready.

  • Ainda não é possível modificar balanceadores de carga depois que eles são configurados.

  • O recurso global BackendService não rejeita nomes de zona incorretos.

  • Um erro de webhook pode ocorrer em balanceadores de carga zonais e globais.

MHS:

  • Após uma operação de backup e restauração do Serviço Gerenciado do Harbor (MHS), as secrets da CLI se tornam inválidas para a instância restaurada do Harbor e precisam ser criadas novamente.
  • Quando há várias instâncias do Harbor em diferentes projetos de usuário, as operações de backup e restauração competem por controles de acesso baseados em papéis e têm uma alta taxa de falha.
  • O tamanho do backup não é implementado para backup e restauração do Harbor. No console do GDC, o campo SizeBytes mostra um valor de 0, e a coluna Size mostra um valor de 0 MB.
  • Ao acessar a página do Container Registry do Harbor no console do GDC, os usuários sem a permissão de administrador da instância do Harbor necessária recebem uma mensagem de erro ao recuperar recursos de backup.
  • A rotação de senha do banco de dados está travada.

Monitoramento:

  • O webhook do AlertManager não envia alertas e notificações de incidentes para alguns clusters.
  • Às vezes, os incidentes são duplicados na criação.
  • Dois alertas falsos de monitoramento estão abertos no cluster de admin raiz.
  • Um alerta de erro de reconciliação pode ser ignorado.
  • O gerenciador de controladores de administrador raiz mostra uma alta taxa de erros.
  • Os painéis de monitoramento do KUB não mostram dados.
  • As permissões estão configuradas incorretamente para um papel de depurador de observabilidade.
  • Uma função de depurador do Grafana está ausente.
  • A exclusão do projeto está travada devido a finalizadores pendentes de painel e fonte de dados.
  • As métricas do KSM não são visíveis para os PAs.
  • Os alertas MON-A0001_fast e MON-A0001_slow estão sendo disparados em clusters da organização

Multizona:

  • Quando uma zona está inacessível, o console do GDC exibe um erro de autenticação.

  • A listagem de zonas usando a CLI gdcloud não está disponível por padrão.

  • Pode haver erros de login intermitentes ao acessar o URL global do console do GDC.

Repositório de objetos:

  • O certificado do endpoint do balanceador de carga do StorageGRID expirou.

Rede:

  • A configuração do protocolo de gateway de borda (BGP) com um número de sistema autônomo (ASN) de 4 bytes em trocas de rede leva a falhas de configuração.

  • Ativar a criptografia de segurança de endereço IP (IPsec) de nó para nó no ambiente de execução de uma organização atual pode causar quedas de pacotes de rede e tempos limite de conexão.

  • O nó não está acessível na rede de dados.

  • A rede tem uma queda de cerca de 50% no tráfego entre zonas entre os nós.

  • As implantações de pods do StatefulSet podem causar problemas de conectividade.

  • O tráfego global de anycast é bloqueado por listas de controle de acesso (ACLs) excessivamente restritivas.

  • A política de rede do projeto (PNP, na sigla em inglês) do allow-all-egress não permite o tráfego para endpoints do sistema.

  • O painel de SLO do pnet-cross-zone-availability não mostra métricas no Grafana.

  • Os gateways de entrada do plano de dados e de gerenciamento não são reconciliados.

  • A página de política de rede do projeto no console do GDC não aceita o campo projectSelector na API ProjectNetworkPolicy.

  • As mudanças na configuração da troca de rede não estão sendo confirmadas.

Serviços principais de infraestrutura do pacote de operações (OIC):

  • O jumphost tem um desempenho ruim.

Sistema operacional:

  • O NodeUpgrade do SO pode ficar travado na etapa NodeOSInPlaceUpgradePostProcessingCompleted.

  • O NodeUpgrade do SO pode ficar travado na criação do servidor de pacotes.

  • Durante uma operação gdcloud storage cp ou gdcloud system container-registry load-oci de uma estação de trabalho do OIC, há uma pequena chance de que o acesso ao org-infra seja perdido, seguido pela queda do kube-api do org-mgmt.

Resource Manager:

  • Não é possível excluir projetos do console do GDC.

  • Ao criar uma organização de cliente, o job create-ansible-playbooks que cria os playbooks necessários do Ansible falha.

  • A desativação da organização não desativa todos os recursos provisionados para ela.

Armazenamento:

  • Indisponibilidade de dados entre zonas nos buckets de zona dupla.

  • Os pods não são montados devido a um erro mkfs.ext4 do Trident.

  • O upgrade do nó está bloqueado.

  • O alerta file_block_zombie_luns_present é acionado constantemente.

  • Alertas ruidosos no console de gerenciamento do StorageGRID.

Artifact Registry do sistema:

  • Os jobs de replicação de artefatos do Harbor ficam travados.

  • Um alarme falso pode ser acionado em resposta a erros temporários ao reconciliar o recurso HarborRobotAccount.

  • Há um alarme falso para o alerta SAR-R0003.

Sistema de emissão de tíquetes:

  • O servidor MID do ServiceNow não é iniciado corretamente.

  • Um erro de RBAC das redes do cliente pode negar o acesso ao ServiceNow.

Upgrade:

  • O relatório de suporte falha.

  • O ingestor permanece não íntegro e não é esquecido automaticamente após o upgrade

Vertex AI:

  • Os modelos pré-treinados e as pastas de trabalho da Vertex AI não estão ativados na versão 1.14.3, mas estarão disponíveis na versão 1.14.4.

Máquinas virtuais

  • VMDisk pode exibir um status incorreto de Fase: InProgress mesmo quando as operações de disco subjacentes são concluídas e o disco está pronto para uso.

  • Quando você cria uma VM do Windows usando a CLI gdcloud gdcloud compute instances create, a VM não é inicializada devido ao tipo de inicialização padrão do BIOS bios e à falta de flags de inicialização segura.

Os seguintes problemas foram corrigidos:

Harbor:

  • Correção do problema em que o pool de nós fica travado em um estado de Provisioning. Saiba mais em Problemas conhecidos.
As seguintes mudanças foram identificadas:

Core:

  • Os requisitos para interagir com o cluster de admin. da organização e o cluster do sistema em vários fluxos de trabalho de serviço foram removidos. O servidor de API Management, que está disponível para gerenciar todas as cargas de trabalho e serviços que não são de contêiner, serve como substituto para todos os fluxos de trabalho de serviço afetados.

  • O servidor de API global é fornecido por padrão para recursos gerenciados pelo cliente projetados para implantação global em um universo do GDC. Para mais informações, consulte Servidores de API globais e zonais.

Marketplace:

  • As permissões do papel Leitor do Marketplace são restritas à visualização dos serviços disponíveis, sem acesso às instâncias instaladas ou às configurações delas. Para visualizar a configuração de instâncias em execução, os usuários precisam do papel de Editor do Marketplace (marketplace-editor).

  • Uma lista de imagens de serviço do Marketplace está disponível.

Resource Manager:

  • Remoção da capacidade de anexar um cluster do Kubernetes ao criar um projeto no console do GDC. É preciso anexar clusters do Kubernetes a um projeto na página Kubernetes Engine > Clusters. Para mais informações, consulte Criar um projeto.

Atualizações da versão:

Máquinas virtuais:

  • Atualizamos a documentação do Teste de Desempenho como Serviço (PTaaS, na sigla em inglês) para incluir novos nomes e descrições dos comparativos de mercado disponíveis no PTaaS.