Google Distributed Cloud 實體隔離方案 1.14.3 版本資訊

2025 年 2 月 28 日

Google Distributed Cloud (GDC) 實體隔離方案 1.14.3 版已推出。
如要瞭解 Distributed Cloud 的功能，請參閱產品總覽。
以下是可用的新功能：

備份與還原：

  • 新增功能，可建立限定範圍的 VM 備份和還原作業，指定特定 VM 工作負載。您可以手動建立這些 VM 備份，也可以建立備份方案，按照您定義的時間表自動執行備份。詳情請參閱「總覽」。
  • 新增 VM 精細還原功能，可讓您還原特定 VM 和 VM 磁碟資源。詳情請參閱「建立精細還原」。
  • 新增叢集精細還原功能，可讓您從叢集備份還原部分資源。這項功能可讓您彈性調整還原方案中定義的還原範圍。詳情請參閱「建立精細還原」。

帳單：

  • 新增將每月帳單費用上傳至 Argentum 控制台的功能。

DNS：

  • 現在，您可以建立及管理自己的公開和私人 DNS 區域，滿足應用程式和服務的需求。您可以在 DNS 區域中建立 DNS 記錄。不同類型的 DNS 記錄有不同的用途，例如導向流量、定義郵件伺服器和驗證擁有權。詳情請參閱「關於 DNS 區域和記錄」。

防火牆：

  • 新增功能，可使用對稱金鑰在 GDC 防火牆上設定 NTP PANW 驗證。

IAM：

  • 控管識別資訊提供者、服務帳戶和角色繫結的 IAM API 預設為全域，涵蓋 GDC Universe 中的所有可用區。詳情請參閱「多可用區宇宙的權限控管」。

Marketplace：

  • Neo4j 可在 GDC 實體隔離方案市集取得。Neo4j 是開放原始碼、NoSQL、內建的圖形資料庫，可為應用程式提供符合 ACID 標準的交易後端。
  • MariaDB Operator 可在 GDC 實體隔離方案市集取得。MariaDB Operator 使用支援的 Docker 映像檔，為 MariaDB Enterprise Server 和 MaxScale 提供機群管理和 HA/DR 解決方案。
  • HashiCorp Vault (BYOL) 可在 Google Distributed Cloud 實體隔離方案市集取得。HashiCorp Vault 是以身分為基礎的 Secret 和加密管理系統。
  • GDC 實體隔離方案市集提供 Apache Kafka on Confluent Platform (BYOL)。Confluent Platform 解決方案可讓您即時存取、儲存及管理連續資料串流。
  • GDC 實體隔離方案市集提供 Redis Software for Kubernetes (BYOL)。Redis 是全球最快的記憶體內資料庫，可用於建構及擴充快速應用程式。

MHS：

  • 代管 Harbor 服務 (MHS) 現在包含 Harbor 備份與還原功能。設定 Harbor 執行個體的備份作業，並建立還原作業。詳情請參閱「總覽」。
  • 新增 MHS 憑證輔助程式，可讓您使用 GDC 身分登入 Docker 或 Helm CLI。詳情請參閱「登入 Docker 和 Helm」。
  • 新增掃描 Harbor 執行個體中所有構件的功能。詳情請參閱「掃描安全漏洞」。

Logging：

  • Loki Pod 在 WAL 重播期間當機或因 OOMKilled 終止。

  • log-collector 和 oplogs-forwarder 的抓取失敗。

監控：

  • 新增支援功能，可在視覺化資訊主頁中跨可用區查詢及監控。詳情請參閱「查詢及查看指標」和「查詢及查看記錄」。

  • 您可以忽略 OCLCM 雜訊警告。

  • 系統指標管道已停止運作。

  • MON-A0001_fast 和 MON-A0001_slow 快訊在組織叢集觸發

網路：

  • 使用多可用區內部和外部負載平衡器，分配 VM 和 Pod 工作負載的流量。詳情請參閱「總覽」。

  • 設定互連網路資源，建立與外部私人網路的實體專屬連線。詳情請參閱互連網路總覽。

  • 使用 Networking KRM API 或 gdcloud CLI，為 Pod 和 VM 工作負載設定內部或外部負載平衡器。詳情請參閱「管理負載平衡器」。

  • 使用可用區和全域專案網路政策，在專案和組織之間建立連線能力。

  • 建立專案內和跨專案工作負載層級網路政策，為專案內和專案間的個別 VM 和 Pod 定義特定存取規則。

Resource Manager：

  • 專案預設為全域資源，涵蓋 GDC 宇宙中的所有可用區。詳情請參閱「多可用區總覽」。

虛擬機器：

將 Rocky OS 映像檔版本更新至 20250124，以套用最新的安全性修補程式和重要更新。

修正下列安全漏洞：

系統發現下列問題：

備份與還原

  • 無法透過 GDC 控制台編輯RestorePlan。

  • 如果記憶體不足，代理程式和控制層 Pod 可能會重新啟動，影響系統穩定性。

  • 由於缺少自訂資源定義，預設不會啟用備份和還原的 GDC 服務水準目標 (SLO) 指標和警告。

  • 資料保留政策不會套用至匯入的備份。

  • 部分 VM 備份失敗。

  • 刪除使用者或服務叢集後，請清除孤立的備份資源。

  • 不支援透過 CLI 或 UI 刪除VirtualMachineRestore。

  • 資源的還原程序 (例如資料庫複製或使用者工作負載還原) 停滯，最終因待處理的永久磁碟區要求而逾時。

叢集管理

  • 重新建立控制層節點後，使用者叢集卡在協調或健康狀態不良的狀態。

  • kub-gpu-controller 子元件與 gdchservices 組織不一致。

  • 無法從標準叢集移除過時的節點集區。標準叢集目前為不公開預先發布版，可能不適用於所有客戶。

資料庫服務

  • 虛刪除的資料庫叢集在建立後立即刪除，會卡在 DBClusterReconciling 狀態。

  • gdcloud stop database 指令需要很長時間才能完成。

DNS

  • 系統觸發錯誤的 DNS 警告，指出 GlobalCustomerRootDNSServerNotReachable。

防火牆

  • 升級後，舊版防火牆規則可能會封鎖組織到根管理員的流量。

  • 無法透過全域 UI 控制台 DNS 連線至組織。

  • 部署 OCITTopology 自訂資源後，OIR 與 GDC 管理層和資料層之間的連線就會中斷。

  • 根據預設，GDC 防火牆會封鎖跨可用區和跨組織的流量。

  • 部署 AttachmentGroup 後，如果該 AttachmentGroup 物件中的 identifier 欄位與 orgName 相同，防火牆就無法剖析這個物件，防火牆設定更新也會卡住。

庫存清單

  • 商品目錄稽核無法核對。

硬體安全性模組：

  • CipherTrust Manager 仍可偵測到已停用的試用授權，並觸發錯誤的到期警告。

  • HSM 在啟動後發生 ValidateNetworkConfig 錯誤。這項錯誤會導致 HSM 自訂資源無法進入 Ready 狀態。

  • 檔案描述元外洩會導致 ServicesNotStarted 錯誤。

健康：

  • 由於 SLO API 標籤問題，系統可能會針對多個元件觸發超過 30 個 SLO 錯誤警示。

身分與存取權管理：

  • 包含 zonalRules 區段的 CustomRole 資源可能無法可靠地授予權限。

  • 根 CA 輪替後，OPA Gatekeeper 信任問題導致無法在新專案中建立 IAM 角色。

  • 如果產生的 IAM 角色繫結名稱超過 63 個字元，角色繫結就會失敗。

  • 專案服務帳戶 (PSA) 無法將 IAM 角色繫結指派給自己，或指派給其他具備 organization-iam-admin 角色的 PSA。

  • 新專案建立預先定義的角色時，會發生延遲。

  • 應用程式操作員無法自行授予基礎架構叢集中的角色存取權。

  • 現有的服務帳戶權杖會失效。

基礎架構即程式碼 (IaC)

  • 子元件因缺少命名空間而無法協調。
  • IAC ConfigSync 指標收集失敗。
  • IAC 根同步失敗。

金鑰管理系統：

  • KMS 伺服器在工作負載過重時，可能會發生效能問題和OOMKilling。

  • 當 kms-rootkey-controller 記憶體用量超過 1100Mi 限制時，控制器會因 OOMKilled 狀態而進入 CrashLoopBackOff。

  • 如果 KMS 設定為使用 CTM 根金鑰，則在 HSM 無法使用時不會進行容錯移轉。

  • 根組織中的 KMS Pod 可能會因稽核記錄填滿臨時儲存空間而停止運作。

負載平衡器：

  • 全域子網路中的 IP 位址不足，因此無法建立全域負載平衡器。
  • 負載平衡器物件未進入 Ready 狀態。

  • 目前不支援修改已設定的負載平衡器。

  • 全域 BackendService 資源不會拒絕不正確的可用區名稱。

  • 可用區和全域負載平衡器都可能發生 Webhook 錯誤。

MHS：

  • 執行代管 Harbor 服務 (MHS) 備份和還原作業後，CLI 密鑰會失效，無法用於還原的 Harbor 執行個體，必須重新建立。
  • 如果不同使用者專案中有多個 Harbor 執行個體，備份和還原作業會爭奪角色式存取控管權限，導致失敗率偏高。
  • Harbor 備份和還原功能未實作備份大小。在 GDC 控制台中，「SizeBytes」欄位會顯示 0，「大小」欄則會顯示 0 MB。
  • 在 GDC 控制台查看「Harbor Container Registry」頁面時，如果使用者沒有必要的 Harbor 執行個體管理員權限，擷取備份資源時會看到錯誤訊息。
  • 資料庫密碼輪替作業卡住。

監控：

  • AlertManager Webhook 無法傳送部分叢集的警告和事件通知。
  • 事件有時會在建立時重複。
  • root 權限管理員叢集有兩個誤報的監控警告。
  • 您可以忽略對帳錯誤快訊。
  • 根管理員控制器管理工具顯示高錯誤率。
  • KUB 監控資訊主頁未顯示任何資料。
  • 觀測能力偵錯工具角色的權限設定有誤。
  • 缺少 Grafana 偵錯工具角色。
  • 資訊主頁和資料來源有待處理的終結器，因此專案刪除作業卡住。
  • PA 無法查看 KSM 的指標。
  • MON-A0001_fast 和 MON-A0001_slow 快訊在組織叢集觸發

多可用區：

  • 如果無法存取可用區，GDC 控制台會顯示驗證錯誤。

  • 根據預設，您無法使用 gdcloud CLI 列出可用區。

  • 存取全域 GDC 控制台網址時，可能會間歇性發生登入錯誤。

物件儲存庫：

  • StorageGRID 負載平衡器端點憑證已過期。

網路：

  • 在網路切換裝置上，使用 4 位元組自治系統編號 (ASN) 設定邊界閘道通訊協定 (BGP)，會導致設定失敗。

  • 如果現有組織在執行階段啟用節點對節點 IP 位址安全性 (IPsec) 加密功能，可能會導致網路封包遺失和連線逾時。

  • 無法透過數據網路連上節點。

  • 網路中節點間的跨可用區流量下降約 50%。

  • StatefulSet 個 Pod 推出作業可能會導致連線能力問題。

  • 全域任意傳播流量遭到過度嚴格的存取控管清單 (ACL) 封鎖。

  • allow-all-egress 專案網路政策 (PNP) 不允許流量傳送至系統端點。

  • pnet-cross-zone-availability 服務水準目標資訊主頁不會在 Grafana 中顯示任何指標。

  • 資料層和管理輸入閘道無法協調。

  • GDC 控制台中的專案網路政策頁面不支援 ProjectNetworkPolicy API 中的 projectSelector 欄位。

  • 未提交網路切換裝置設定變更。

Operations Suite Infrastructure Core Services (OIC)：

  • 跳躍主機效能不佳。

作業系統：

  • OS NodeUpgrade 可能會卡在 NodeOSInPlaceUpgradePostProcessingCompleted 步驟。

  • OS NodeUpgrade 可能會在建立套件伺服器時卡住。

  • 從 OIC 工作站執行 gdcloud storage cp 或 gdcloud system container-registry load-oci 作業時，有極低機率會失去 org-infra 的存取權，接著 org-mgmt 的 kube-api 會停止運作。

Resource Manager：

  • 無法從 GDC 控制台刪除專案。

  • 建立客戶組織時，建立必要 Ansible 腳本的工作 create-ansible-playbooks 會失敗。

  • 停用組織並不會停用為組織佈建的所有資源。

儲存空間：

  • 雙可用區 bucket 中各可用區的資料無法使用。

  • 發生 Trident mkfs.ext4 錯誤，導致 Pod 無法掛接。

  • 節點升級作業遭到封鎖。

  • file_block_zombie_luns_present 警告會持續觸發。

  • StorageGRID 管理控制台中的警示過多。

系統 Artifact Registry：

  • Harbor 構件複製工作停滯。

  • 協調 HarborRobotAccount 資源時，暫時性錯誤可能會觸發誤報。

  • SAR-R0003 快訊誤報。

支援單處理系統：

  • ServiceNow MID 伺服器無法正常啟動。

  • 客戶網路的 RBAC 錯誤可能會導致無法存取 ServiceNow。

升級：

  • 支援報表失敗。

  • 升級後，Ingester 仍處於健康狀態不佳，且不會自動清除

Vertex AI：

  • 1.14.3 版未啟用 Vertex AI 預先訓練模型和工作簿，但 1.14.4 版會提供。

虛擬機器

  • 即使基礎磁碟作業完成且磁碟可供使用，VMDisk 仍可能顯示不正確的階段狀態：InProgress。

  • 使用 gdcloud CLI gdcloud compute instances create 建立 Windows VM 時，VM 會因預設 BIOS 啟動類型 bios 和缺少安全啟動旗標而無法啟動。

修正下列問題：

Harbor：

  • 修正節點集區卡在 Provisioning 狀態的問題。詳情請參閱「已知問題」。
系統偵測到下列變更：

核心：

  • 在多項服務工作流程中，與機構組織管理員叢集和系統叢集互動的需求已移除。Management API 伺服器可用於管理所有非容器工作負載和服務，並取代所有受影響的服務工作流程。

  • 根據預設，全域 API 伺服器適用於客戶自行管理的資源，這些資源專為在 GDC 宇宙中全域部署而設計。詳情請參閱「全域和可用區 API 伺服器」。

Marketplace：

  • Marketplace 檢視者角色權限僅限查看可用服務，無法存取已安裝的執行個體或其設定。如要查看執行中執行個體的設定，使用者必須具備 Marketplace 編輯者 (marketplace-editor) 角色。

  • 您可以查看 Marketplace 服務映像檔清單。

Resource Manager：

  • 在 GDC 控制台建立專案時，已移除附加 Kubernetes 叢集的功能。您必須從「Kubernetes Engine」>「Clusters」(叢集) 頁面，將 Kubernetes 叢集附加至專案。詳情請參閱「建立專案」。

版本更新：

虛擬機器：

  • 更新效能測試即服務 (PTaaS) 說明文件，加入 PTaaS 中可用基準的新名稱和說明。