Google Distributed Cloud mit Air Gap 1.14.3 – Versionshinweise

28. Februar 2025

Google Distributed Cloud (GDC) mit Air Gap 1.14.3 ist verfügbar.
In der Produktübersicht finden Sie Informationen zu den Features von Distributed Cloud.
Die folgenden neuen Funktionen sind verfügbar:

Sichern und wiederherstellen:

  • Es wurde die Möglichkeit hinzugefügt, bereichsbezogene VM-Sicherungen und -Wiederherstellungen für bestimmte VM-Arbeitslasten zu erstellen. Sie können diese VM-Sicherungen manuell erstellen oder Sicherungspläne erstellen, die Sicherungen automatisch nach einem von Ihnen definierten Zeitplan ausführen. Weitere Informationen finden Sie in der Übersicht.
  • Es wurden detaillierte VM-Wiederherstellungen hinzugefügt, mit denen Sie bestimmte VM- und VM-Laufwerkressourcen wiederherstellen können. Weitere Informationen finden Sie unter Feingranulare Wiederherstellung erstellen.
  • Es wurden detaillierte Clusterwiederherstellungen hinzugefügt, mit denen Sie eine Teilmenge von Ressourcen aus einer Clustersicherung wiederherstellen können. Mit dieser Funktion können Sie den im Wiederherstellungsplan definierten Wiederherstellungsumfang flexibel anpassen. Weitere Informationen finden Sie unter Feingranulare Wiederherstellung erstellen.

Abrechnung:

  • Es wurde die Möglichkeit hinzugefügt, monatliche in Rechnung gestellte Kosten in die Argentum-Konsole hochzuladen.

DNS:

  • Sie können jetzt Ihre eigenen öffentlichen und privaten DNS-Zonen erstellen und verwalten, um die Anforderungen Ihrer Anwendungen und Dienste zu erfüllen. In einer DNS-Zone können Sie DNS-Einträge erstellen. Verschiedene Arten von DNS-Einträgen dienen unterschiedlichen Zwecken, z. B. dem Weiterleiten von Traffic, dem Definieren von Mailservern und dem Bestätigen der Inhaberschaft. Weitere Informationen finden Sie unter DNS-Zonen und -Einträge.

Firewall:

  • Es wurde die Möglichkeit hinzugefügt, die NTP-PANW-Authentifizierung auf GDC-Firewalls mit symmetrischen Schlüsseln zu konfigurieren.

IAM:

Marketplace:

  • Neo4j ist im GDC-Marktplatz mit Air Gap verfügbar. Neo4j ist eine integrierte Open-Source-NoSQL-Graphdatenbank, die ein ACID-konformes Transaktions-Backend für Ihre Anwendungen bietet.
  • MariaDB Operator ist im GDC mit Air Gap-Marktplatz verfügbar. MariaDB Operator verwendet unterstützte Docker-Images, um eine Flottenverwaltungs- und HA/DR-Lösung für MariaDB Enterprise Server und MaxScale bereitzustellen.
  • HashiCorp Vault (BYOL) ist im Google Distributed Cloud-Marktplatz mit Air Gap verfügbar. HashiCorp Vault ist ein identitätsbasiertes System zur Verwaltung von Secrets und Verschlüsselung.
  • Apache Kafka auf Confluent Platform (BYOL) ist im GDC mit Air Gap-Marktplatz verfügbar. Die Confluent Platform ist eine Lösung, die den Echtzeitzugriff, die Speicherung und die Verwaltung kontinuierlicher Datenstreams ermöglicht.
  • Redis Software for Kubernetes (BYOL) ist im GDC mit Air Gap-Marktplatz verfügbar. Redis ist die weltweit schnellste In-Memory-Datenbank zum Erstellen und Skalieren schneller Anwendungen.

MHS:

  • Der Managed Harbor Service (MHS) umfasst jetzt die Sicherung und Wiederherstellung von Harbor. Sicherungen konfigurieren und Wiederherstellungen für Harbor-Instanzen erstellen. Weitere Informationen finden Sie unter Übersicht.
  • Der MHS-Credential Helper wurde hinzugefügt, mit dem Sie sich mit Ihrer GDC-Identität in der Docker- oder Helm-Befehlszeile anmelden können. Weitere Informationen finden Sie unter In Docker und Helm anmelden.
  • Es wurde die Möglichkeit hinzugefügt, alle Artefakte in einer Harbor-Instanz zu scannen. Weitere Informationen finden Sie unter Nach Sicherheitslücken suchen.

Logging:

  • Der Loki-Pod stürzt während der WAL-Wiedergabe ab oder wird durch OOMKilled beendet.

  • Scraping-Fehler für log-collector und oplogs-forwarder.

Monitoring:

  • Unterstützung für zonenübergreifende Abfragen und Monitoring in Visualisierungs-Dashboards hinzugefügt. Weitere Informationen finden Sie unter Messwerte abfragen und ansehen und Logs abfragen und ansehen.

  • Eine OCLCM-Warnung kann ignoriert werden.

  • Die Pipeline für Systemmesswerte ist ausgefallen.

  • MON-A0001_fast- und MON-A0001_slow-Benachrichtigungen werden in Organisationsclustern ausgelöst

Netzwerk:

  • Verwenden Sie interne und externe Load Balancer für mehrere Zonen, um Traffic für VM- und Pod-Arbeitslasten zu verteilen. Weitere Informationen finden Sie in der Übersicht.

  • Konfigurieren Sie Interconnect-Ressourcen, um eine physisch dedizierte Verbindung zu externen privaten Netzwerken herzustellen. Weitere Informationen finden Sie in der Übersicht zu Interconnect.

  • Konfigurieren Sie einen internen oder externen Load Balancer für Pod- und VM-Arbeitslasten mit der Networking KRM API oder der gdcloud CLI. Weitere Informationen finden Sie unter Load-Balancer verwalten.

  • Verwenden Sie zonale und globale projektbezogene Netzwerkrichtlinien, um eine Verbindung zwischen Projekten und Organisationen herzustellen.

  • Erstellen Sie projektinterne und projektübergreifende Netzwerkrichtlinien auf Arbeitslastebene, um spezifische Zugriffsregeln für einzelne VMs und Pods innerhalb eines Projekts und zwischen Projekten zu definieren.

Resource Manager:

  • Projekte sind standardmäßig globale Ressourcen, die alle Zonen in einem GDC-Universum umfassen. Weitere Informationen finden Sie in der Übersicht über mehrere Zonen.

Virtuelle Maschinen:

Die Rocky OS-Image-Version wurde auf 20250124 aktualisiert, um die neuesten Sicherheitspatches und wichtigen Updates anzuwenden.

Die folgenden Sicherheitslücken wurden behoben:

Die folgenden Probleme wurden erkannt:

Sichern und wiederherstellen

  • Das Bearbeiten einer RestorePlan über die GDC-Konsole ist fehlerhaft.

  • Agent- und Steuerungsebenen-Pods werden möglicherweise neu gestartet, wenn der Arbeitsspeicher nicht ausreicht. Dies kann die Systemstabilität beeinträchtigen.

  • GDC-SLO-Messwerte (Service Level Objective) und ‑Benachrichtigungen für Sicherung und Wiederherstellung sind aufgrund fehlender benutzerdefinierter Ressourcendefinitionen standardmäßig nicht aktiviert.

  • Aufbewahrungsrichtlinien werden nicht auf importierte Sicherungen angewendet.

  • Teilweise VM-Sicherungen schlagen fehl.

  • Verwaiste Sicherungsressourcen nach dem Löschen von Nutzer- oder Dienstclustern bereinigen.

  • Das Löschen von VirtualMachineRestore wird über die Befehlszeile oder die Benutzeroberfläche nicht unterstützt.

  • Der Wiederherstellungsprozess für eine Ressource, z. B. einen Datenbankklon oder eine Nutzerarbeitslast, bleibt hängen und wird schließlich aufgrund einer ausstehenden PersistentVolumeClaim-Anfrage abgebrochen.

Clusterverwaltung

  • Der Nutzercluster bleibt nach der Neuerstellung des Knotens der Steuerungsebene im Status „Abgleich“ oder „Fehlerhaft“ hängen.

  • Die Unterkomponente kub-gpu-controller wird für die Organisation gdchservices nicht abgeglichen.

  • Das Entfernen veralteter Knotenpools aus Standardclustern schlägt fehl. Standardcluster befinden sich in der privaten Vorschau und sind möglicherweise nicht für alle Kunden verfügbar.

Datenbankdienste

  • Vorläufig gelöschte Datenbankcluster bleiben im Status DBClusterReconciling hängen, wenn sie sofort nach der Erstellung gelöscht werden.

  • Die Ausführung des Befehls gdcloud stop database kann einige Zeit in Anspruch nehmen.

DNS

  • Es wird eine falsche DNS-Warnung ausgelöst, die auf GlobalCustomerRootDNSServerNotReachable hindeutet.

Firewall

  • Ältere Firewallregeln blockieren möglicherweise nach dem Upgrade den Traffic von der Organisation zum Root-Administrator.

  • Die Organisation ist nicht über das globale DNS der UI-Konsole erreichbar.

  • Nachdem die benutzerdefinierte Ressource OCITTopology bereitgestellt wurde, wird die Verbindung zwischen OIR und der GDC-Verwaltungsebene und -Datenebene unterbrochen.

  • Zonen- und organisationsübergreifender Traffic wird standardmäßig von GDC-Firewalls blockiert.

  • Wenn nach der Bereitstellung einer AttachmentGroup das Feld identifier in diesem AttachmentGroup-Objekt mit orgName übereinstimmt, kann die Firewall dieses Objekt nicht parsen und die Aktualisierung der Firewallkonfiguration bleibt hängen.

Inventar

  • Die Inventarprüfung kann nicht abgeglichen werden.

Hardware-Sicherheitsmodul:

  • Deaktivierte Testlizenzen sind weiterhin in CipherTrust Manager sichtbar und lösen fälschlicherweise Ablaufwarnungen aus.

  • Es tritt ein Problem auf, bei dem HSMs nach dem Booten mit dem Fehler ValidateNetworkConfig fehlschlagen. Dieser Fehler verhindert, dass die benutzerdefinierten HSM-Ressourcen in den Status Ready wechseln.

  • Ein Dateideskriptor-Leck verursacht einen ServicesNotStarted-Fehler.

Gesundheit:

  • Das System löst aufgrund eines Problems mit der SLO API-Kennzeichnung möglicherweise mehr als 30 falsche Alarme zu SLO-Benachrichtigungen für mehrere Komponenten aus.

Identitäts- und Zugriffsverwaltung:

  • Eine CustomRole-Ressource, die einen zonalRules-Abschnitt enthält, gewährt möglicherweise keine zuverlässigen Berechtigungen.

  • Ein OPA Gatekeeper-Vertrauensproblem nach einer Root-CA-Rotation verhindert die Erstellung von IAM-Rollen in neuen Projekten.

  • Rollenbindungen schlagen fehl, wenn die generierten IAM-Rollenbindungsnamen länger als 63 Zeichen sind.

  • Projektdienstkonten (PSA) können sich selbst oder anderen Projektdienstkonten mit der Rolle organization-iam-admin keine IAM-Rollenbindungen zuweisen.

  • Bei neuen Projekten kommt es zu Verzögerungen bei der Erstellung vordefinierter Rollen.

  • Anwendungsoperatoren können sich selbst keinen Zugriff auf Rollen im Infrastrukturcluster gewähren.

  • Vorhandene Dienstkonto-Tokens werden ungültig.

Infrastructure as Code (IAC)

  • Eine Unterkomponente kann aufgrund eines fehlenden Namespace nicht abgeglichen werden.
  • Die IAC ConfigSync-Messwerterfassung schlägt fehl.
  • Die IAC-Root-Synchronisierung schlägt fehl.

Schlüsselverwaltungssystem:

  • Bei KMS-Servern können bei hoher Arbeitslast Leistungsprobleme und OOMKilling auftreten.

  • Wenn die Arbeitsspeichernutzung von kms-rootkey-controller das Limit von 1100Mi überschreitet, wechselt der Controller aufgrund des Status OOMKilled in den Status CrashLoopBackOff.

  • KMS, das für die Verwendung eines CTM-Stammschlüssels konfiguriert ist, führt kein Failover durch, wenn ein HSM nicht verfügbar ist.

  • KMS-Pods in der Stammorganisation können abstürzen, weil Audit-Logs den sitzungsspezifischen Speicher füllen.

Load Balancer:

  • Die Erstellung eines globalen Load Balancers schlägt aufgrund unzureichender IP-Adressen in globalen Subnetzen fehl.
  • Die Load-Balancer-Objekte wechseln nicht in den Status Ready.

  • Das Ändern von Load Balancern nach der Konfiguration wird noch nicht unterstützt.

  • Die globale BackendService-Ressource lehnt falsche Zonennamen nicht ab.

  • Ein Webhook-Fehler kann sowohl bei zonalen als auch bei globalen Load Balancern auftreten.

MHS:

  • Nach einer Sicherung und Wiederherstellung des Managed Harbor Service (MHS) werden die CLI-Secrets für die wiederhergestellte Harbor-Instanz ungültig und müssen neu erstellt werden.
  • Wenn mehrere Harbor-Instanzen in verschiedenen Nutzerprojekten vorhanden sind, konkurrieren die Sicherungs- und Wiederherstellungsvorgänge um die rollenbasierte Zugriffssteuerung und weisen eine hohe Fehlerrate auf.
  • Die Sicherungsgröße ist für die Sicherung und Wiederherstellung von Harbor nicht implementiert. In der GDC-Konsole wird im Feld SizeBytes der Wert 0 und in der Spalte Größe der Wert 0 MB angezeigt.
  • Wenn Nutzer ohne die erforderliche Berechtigung „Harbor Instance Admin“ die Seite Harbor Container Registry in der GDC-Konsole aufrufen, wird beim Abrufen von Sicherungsressourcen eine Fehlermeldung angezeigt.
  • Die Rotation des Datenbankpassworts ist hängengeblieben.

Monitoring:

  • Der AlertManager-Webhook kann für einige Cluster keine Benachrichtigungen und Vorfallbenachrichtigungen senden.
  • Vorfälle werden beim Erstellen gelegentlich dupliziert.
  • Im Root-Administratorcluster sind zwei falsche Monitoring-Benachrichtigungen offen.
  • Eine Fehlermeldung zum Abgleich kann ignoriert werden.
  • Der Root-Admin-Controller-Manager zeigt eine hohe Fehlerrate an.
  • In den KUB-Monitoring-Dashboards werden keine Daten angezeigt.
  • Die Berechtigungen für eine Debugger-Rolle für Beobachtbarkeit sind falsch konfiguriert.
  • Eine Grafana-Debugger-Rolle fehlt.
  • Das Löschen des Projekts ist aufgrund von ausstehenden Finalizern für das Dashboard und die Datenquelle blockiert.
  • Messwerte von KSM sind für PAs nicht sichtbar.
  • MON-A0001_fast- und MON-A0001_slow-Benachrichtigungen werden in Organisationsclustern ausgelöst

Mehrere Zonen:

  • Wenn eine Zone nicht zugänglich ist, wird in der GDC-Konsole ein Authentifizierungsfehler angezeigt.

  • Das Auflisten von Zonen mit der gdcloud CLI ist standardmäßig nicht verfügbar.

  • Beim Zugriff auf die globale GDC-Konsolen-URL können zeitweise Anmeldefehler auftreten.

Objektspeicher:

  • Das Zertifikat für den StorageGRID-Load-Balancer-Endpunkt ist abgelaufen.

Netzwerk:

  • Die Konfiguration des Border Gateway Protocol (BGP) mit einer 4-Byte-ASN (Autonomous System Number) auf Netzwerk-Switches führt zu Konfigurationsfehlern.

  • Wenn Sie die IPsec-Verschlüsselung (Node-to-Node-IP-Adresssicherheit) zur Laufzeit für eine vorhandene Organisation aktivieren, kann dies zu Netzwerkpaketverlusten und Verbindungszeitüberschreitungen führen.

  • Der Knoten ist im Datennetzwerk nicht erreichbar.

  • Der zonenübergreifende Traffic zwischen Knoten im Netzwerk sinkt um etwa 50 %.

  • StatefulSet-Pod-Roll-outs können zu Verbindungsproblemen führen.

  • Globaler Anycast-Traffic wird durch zu restriktive Access Control Lists (ACLs) blockiert.

  • Die projektbezogene Netzwerkrichtlinie (PNP) allow-all-egress lässt keinen Traffic zu Systemendpunkten zu.

  • Das SLO-Dashboard pnet-cross-zone-availability zeigt in Grafana keine Messwerte an.

  • Die Datenebene und die Gateways für eingehenden Verwaltungs-Traffic können nicht abgeglichen werden.

  • Die Seite für projektbezogene Netzwerkrichtlinien in der GDC-Konsole unterstützt das Feld projectSelector in der ProjectNetworkPolicy API nicht.

  • Änderungen an der Konfiguration des Netzwerk-Switches werden nicht übernommen.

Operations Suite Infrastructure Core Services (OIC):

  • Der Jumphost hat eine schlechte Leistung.

Betriebssystem:

  • Das Betriebssystem-NodeUpgrade kann beim Schritt NodeOSInPlaceUpgradePostProcessingCompleted hängen bleiben.

  • Das OS NodeUpgrade bleibt möglicherweise bei der Erstellung des Paketservers hängen.

  • Während eines gdcloud storage cp- oder gdcloud system container-registry load-oci-Vorgangs von einer OIC-Workstation besteht eine geringe Wahrscheinlichkeit, dass der Zugriff auf org-infra verloren geht und anschließend die kube-api von org-mgmt ausfällt.

Resource Manager:

  • Projekte können nicht über die GDC-Konsole gelöscht werden.

  • Beim Erstellen einer Kundenorganisation schlägt der Job create-ansible-playbooks fehl, der die erforderlichen Ansible-Playbooks erstellt.

  • Durch die Deaktivierung einer Organisation werden nicht alle für die Organisation bereitgestellten Ressourcen außer Betrieb genommen.

Speicher:

  • Nichtverfügbarkeit von Daten in allen Zonen in den Dual-Zone-Buckets.

  • Pods können aufgrund eines Trident-mkfs.ext4-Fehlers nicht bereitgestellt werden.

  • Das Knotenupgrade ist blockiert.

  • Die Benachrichtigung file_block_zombie_luns_present wird ständig ausgelöst.

  • Zu viele Benachrichtigungen in der StorageGRID-Verwaltungskonsole.

System Artifact Registry:

  • Harbor-Artefakt-Replikationsjobs bleiben hängen.

  • Beim Abgleich der HarborRobotAccount-Ressource kann ein Fehlalarm als Reaktion auf vorübergehende Fehler ausgelöst werden.

  • Es gibt einen Fehlalarm für die Warnung SAR-R0003.

Ticketsystem:

  • Der ServiceNow-MID-Server kann nicht ordnungsgemäß gestartet werden.

  • Ein RBAC-Fehler in Kundennetzwerken kann den Zugriff auf ServiceNow verweigern.

Upgrade:

  • Der Supportbericht schlägt fehl.

  • Ingester bleibt fehlerhaft und wird nach dem Upgrade nicht automatisch vergessen

Vertex AI:

  • Vortrainierte Modelle und Arbeitsmappen von Vertex AI sind in Version 1.14.3 nicht aktiviert, werden aber in Version 1.14.4 verfügbar sein.

Virtuelle Maschinen

  • VMDisk zeigt möglicherweise den falschen Status „Phase: InProgress“ an, auch wenn die zugrunde liegenden Laufwerksvorgänge abgeschlossen sind und das Laufwerk einsatzbereit ist.

  • Wenn Sie eine Windows-VM mit der gdcloud CLI gdcloud compute instances create erstellen, kann die VM aufgrund des Standard-BIOS-Boottyps bios und fehlender Secure Boot-Flags nicht gestartet werden.

Folgende Fehler wurden behoben:

Harbor:

  • Das Problem, dass der Knotenpool im Status Provisioning hängen bleibt, wurde behoben. Weitere Informationen finden Sie unter Bekannte Probleme.
Die folgenden Änderungen werden erkannt:

Core:

  • Die Anforderungen für die Interaktion mit dem Admincluster der Organisation und dem Systemcluster in mehreren Dienst-Workflows wurden entfernt. Der Management API-Server, der für die Verwaltung aller Nicht-Container-Arbeitslasten und -Dienste verfügbar ist, dient als Ersatz für alle betroffenen Dienst-Workflows.

  • Der globale API-Server wird standardmäßig für vom Kunden verwaltete Ressourcen bereitgestellt, die für die globale Bereitstellung in einem GDC-Universum konzipiert sind. Weitere Informationen finden Sie unter Globale und zonale API-Server.

Marketplace:

  • Die Berechtigungen der Rolle Marketplace Viewer sind auf die Anzeige der verfügbaren Dienste beschränkt. Es besteht kein Zugriff auf die installierten Instanzen oder deren Konfigurationen. Um die Konfiguration laufender Instanzen aufzurufen, benötigen Nutzer die Rolle „Marketplace-Bearbeiter“ (marketplace-editor).

  • Eine Liste der Marketplace-Dienst-Images ist verfügbar.

Resource Manager:

  • Die Möglichkeit, beim Erstellen eines Projekts in der GDC-Konsole einen Kubernetes-Cluster anzuhängen, wurde entfernt. Sie müssen Kubernetes-Cluster auf der Seite Kubernetes Engine > Cluster an ein Projekt anhängen. Weitere Informationen finden Sie unter Projekt erstellen.

Versionsupdates:

Virtuelle Maschinen:

  • Die Dokumentation zu Performance Test as a Service (PTaaS) wurde aktualisiert und enthält jetzt neue Namen und Beschreibungen für die verfügbaren Benchmarks in PTaaS.