Note di rilascio di Google Distributed Cloud con air gap 1.14.3

28 febbraio 2025

Google Distributed Cloud (GDC) con air gap 1.14.3 è disponibile.
Consulta la panoramica del prodotto per scoprire le caratteristiche di Distributed Cloud.
Sono disponibili le seguenti nuove funzionalità:

Backup e ripristino:

  • Aggiunta della possibilità di creare backup e ripristini di VM con ambito per scegliere come target workload di VM specifici. Crea questi backup delle VM manualmente o crea piani di backup che eseguono automaticamente i backup in base a una pianificazione definita da te. Per saperne di più, consulta la Panoramica.
  • Aggiunti i ripristini granulari delle VM che consentono di ripristinare risorse specifiche di VM e dischi VM. Per saperne di più, consulta Crea un ripristino granulare.
  • Aggiunti i ripristini granulari dei cluster, che consentono di ripristinare un sottoinsieme di risorse da un backup del cluster. Questa funzionalità offre la flessibilità di perfezionare l'ambito di ripristino definito nel piano di ripristino. Per saperne di più, consulta Crea un ripristino granulare.

Fatturazione:

  • Aggiunta la possibilità di caricare i costi fatturati mensili nella console Argentum.

DNS:

  • Ora puoi creare e gestire le tue zone DNS pubbliche e private in base alle esigenze delle tue applicazioni e dei tuoi servizi. All'interno di una zona DNS, puoi creare record DNS. Tipi diversi di record DNS hanno scopi diversi, ad esempio indirizzare il traffico, definire i server di posta e verificare la proprietà. Per saperne di più, consulta Informazioni su zone e record DNS.

Firewall:

  • È stata aggiunta la possibilità di configurare l'autenticazione NTP PANW sui firewall GDC utilizzando chiavi simmetriche.

IAM:

Marketplace:

  • Neo4j è disponibile nel marketplace di GDC con air gap. Neo4j è un database grafico integrato NoSQL open source che fornisce un backend transazionale conforme ad ACID per le tue applicazioni.
  • MariaDB Operator è disponibile nel marketplace GDC con air gap. MariaDB Operator utilizza immagini Docker supportate per fornire una soluzione di gestione del parco risorse e HA/RE per MariaDB Enterprise Server e MaxScale.
  • HashiCorp Vault (BYOL) è disponibile nel marketplace di Google Distributed Cloud con air gap. HashiCorp Vault è un sistema di gestione di secret e crittografia basato sull'identità.
  • Apache Kafka su Confluent Platform (BYOL) è disponibile nel Marketplace GDC con air gap. Confluent Platform è una soluzione che consente l'accesso, l'archiviazione e la gestione in tempo reale di flussi di dati continui.
  • Redis Software for Kubernetes (BYOL) è disponibile nel Marketplace GDC con air gap. Redis è il database in memoria più veloce al mondo per la creazione e la scalabilità di applicazioni rapide.

MHS:

  • Managed Harbor Service (MHS) ora include il backup e il ripristino di Harbor. Configura i backup e crea i ripristini per le istanze Harbor. Per saperne di più, consulta la Panoramica.
  • È stato aggiunto l'helper per le credenziali MHS che ti consente di utilizzare la tua identità GDC per accedere all'interfaccia a riga di comando di Docker o Helm. Per saperne di più, consulta Accedi a Docker e Helm.
  • Aggiunta la possibilità di scansionare tutti gli artefatti in un'istanza Harbor. Per saperne di più, consulta Analizza per individuare le vulnerabilità.

Logging:

  • Il pod Loki si arresta in modo anomalo o viene terminato per memoria esaurita (OOMKilled) durante la riproduzione del WAL.

  • Scraping non riuscito per log-collector e oplogs-forwarder.

Monitoraggio:

  • È stato aggiunto il supporto per le query e il monitoraggio tra zone nelle dashboard di visualizzazione. Per saperne di più, consulta Esegui query e visualizza le metriche e Esegui query e visualizza i log.

  • Un avviso rumoroso OCLCM può essere ignorato.

  • La pipeline delle metriche di sistema non è attiva.

  • MON-A0001_fast e MON-A0001_slow gli avvisi vengono attivati nei cluster dell'organizzazione

Networking:

  • Utilizza bilanciatori del carico interni ed esterni multizona per distribuire il traffico per i workload di VM e pod. Per saperne di più, consulta la Panoramica.

  • Configura le risorse di interconnessione per stabilire una connettività fisicamente dedicata alle reti private esterne. Per saperne di più, consulta la panoramica di Interconnect.

  • Configura un bilanciatore del carico interno o esterno per i workload di pod e VM utilizzando l'API Networking KRM o la CLI gdcloud. Per saperne di più, consulta Gestisci i bilanciatori del carico.

  • Utilizza le policy di rete dei progetti a livello di zona e globali per stabilire la connettività tra progetti e organizzazioni.

  • Crea policy di rete a livello di workload all'interno di un progetto e tra progetti per definire regole di accesso specifiche per singole VM e pod all'interno di un progetto e tra progetti.

Resource Manager:

  • I progetti sono risorse globali per impostazione predefinita che coprono tutte le zone di un universo GDC. Per saperne di più, consulta la panoramica delle zone multiple.

Macchine virtuali:

Aggiornata la versione dell'immagine sistema operativo Rocky alla 20250124 per applicare le ultime patch di sicurezza e gli aggiornamenti importanti.

Sono state corrette le seguenti vulnerabilità di sicurezza:

Sono stati identificati i seguenti problemi:

Backup e ripristino

  • La modifica di un RestorePlan dalla console GDC non funziona.

  • I pod dell'agente e del control plane potrebbero riavviarsi se esauriscono la memoria, con un impatto sulla stabilità del sistema.

  • Le metriche e gli avvisi degli obiettivi del livello di servizio (SLO) di GDC per il backup e il ripristino non sono abilitati per impostazione predefinita a causa di definizioni di risorse personalizzate mancanti.

  • Le policy di conservazione non vengono applicate ai backup importati.

  • I backup parziali delle VM non riescono.

  • Esegui la pulizia delle risorse di backup orfane dopo l'eliminazione del cluster utente o di servizio.

  • L'eliminazione di VirtualMachineRestore non è supportata tramite l'interfaccia a riga di comando o l'interfaccia utente.

  • Il processo di ripristino di una risorsa, ad esempio un clone del database o il ripristino del workload utente, si blocca e alla fine scade a causa di una richiesta di volume permanente in attesa.

Gestione dei cluster

  • Il cluster utente è bloccato in uno stato di riconciliazione o non integro dopo la ricreazione del nodo del control plane.

  • Il sottocomponente kub-gpu-controller non viene riconciliato per l'organizzazione gdchservices.

  • La rimozione dei node pool obsoleti dai cluster standard non riesce. I cluster Standard sono in anteprima privata e potrebbero non essere disponibili per tutti i clienti.

Servizi di database

  • I cluster di database con eliminazione temporanea si bloccano in uno stato DBClusterReconciling quando vengono eliminati immediatamente dopo la creazione.

  • Il completamento del comando gdcloud stop database richiede molto tempo.

DNS

  • Viene attivato un falso avviso DNS che suggerisce GlobalCustomerRootDNSServerNotReachable.

Firewall

  • Le regole firewall legacy potrebbero bloccare il traffico dall'organizzazione all'amministratore root dopo l'upgrade.

  • L'organizzazione non è raggiungibile tramite il DNS della console UI globale.

  • Dopo il deployment della risorsa personalizzata OCITTopology, la connettività tra OIR e il control plane e il piano dati di GDC viene interrotta.

  • Il traffico tra zone e tra organizzazioni è bloccato per impostazione predefinita dai firewall GDC.

  • Dopo il deployment di un AttachmentGroup, se il campo identifier nell'oggetto AttachmentGroup è uguale a orgName, il firewall non riesce ad analizzare l'oggetto e l'aggiornamento della configurazione del firewall si blocca.

Inventario

  • La verifica dell'inventario non riesce a riconciliare.

Modulo di sicurezza hardware:

  • Le licenze di prova disattivate sono ancora rilevabili in CipherTrust Manager, attivando falsi avvisi di scadenza.

  • Si verifica un problema per cui gli HSM non funzionano e viene visualizzato un errore ValidateNetworkConfig dopo l'avvio. Questo errore impedisce alle risorse personalizzate HSM di entrare in uno stato Ready.

  • Una perdita del descrittore del file causa un errore ServicesNotStarted.

Salute:

  • Il sistema potrebbe attivare più di 30 falsi allarmi relativi agli avvisi SLO in più componenti a causa di un problema con l'etichettatura dell'API SLO.

Identity and Access Management:

  • Una risorsa CustomRole che include una sezione zonalRules potrebbe non concedere le autorizzazioni in modo affidabile.

  • Un problema di attendibilità di OPA Gatekeeper dopo una rotazione della CA principale impedisce la creazione di ruoli IAM nei nuovi progetti.

  • Le associazioni dei ruoli non vanno a buon fine se i nomi delle associazioni dei ruoli IAM generati superano i 63 caratteri.

  • I service account di progetto (PSA) non possono assegnare associazioni di ruoli IAM a se stessi o ad altri PSA con il ruolo organization-iam-admin.

  • I nuovi progetti subiscono ritardi nella creazione dei ruoli predefiniti.

  • Gli operatori delle applicazioni non possono concedersi l'accesso ai ruoli nel cluster infra.

  • I token dei service account esistenti non sono più validi.

Infrastructure as Code (IaC)

  • Un sottocomponente non riesce a eseguire la riconciliazione a causa di uno spazio dei nomi mancante.
  • La raccolta delle metriche di ConfigSync IAC non riesce.
  • La sincronizzazione root IAC non va a buon fine.

Sistema di gestione delle chiavi:

  • I server KMS potrebbero riscontrare problemi di prestazioni e OOMKilling in caso di workload elevati.

  • Quando la memoria utilizzata da kms-rootkey-controller supera il limite di 1100Mi, il controller entra in uno stato CrashLoopBackOff a causa di un evento OOMKilled.

  • KMS configurato per l'utilizzo di una chiave root CTM non esegue il failover quando un HSM non è disponibile.

  • I pod KMS nell'organizzazione principale potrebbero arrestarsi in modo anomalo a causa degli audit log che riempiono lo spazio di archiviazione temporaneo.

Bilanciatori del carico:

  • La creazione del bilanciatore del carico globale non riesce a causa di indirizzi IP insufficienti nelle subnet globali.
  • Gli oggetti del bilanciatore del carico non entrano in uno stato Ready.

  • La modifica dei bilanciatori del carico dopo la configurazione non è ancora supportata.

  • La risorsa BackendService globale non rifiuta i nomi delle zone errati.

  • Un errore del webhook può verificarsi sia per i bilanciatori del carico di zona sia per quelli globali.

MHS:

  • Dopo un'operazione di backup e ripristino di Managed Harbor Service (MHS), i secret dell'interfaccia a riga di comando non sono più validi per l'istanza Harbor ripristinata e devono essere creati di nuovo.
  • Quando esistono più istanze Harbor in progetti utente diversi, le operazioni di backup e ripristino competono per i controlli degli accessi basati su ruoli e registrano un tasso di errore elevato.
  • La dimensione del backup non è implementata per il backup e il ripristino di Harbor. Nella console GDC, il campo SizeBytes mostra un valore di 0 e la colonna Size mostra un valore di 0 MB.
  • Quando visualizzano la pagina Harbor Container Registry nella console GDC, gli utenti senza le autorizzazioni amministrative Harbor Instance Admin necessarie visualizzano un messaggio di errore durante il recupero delle risorse di backup.
  • La rotazione della password del database è bloccata.

Monitoraggio:

  • Il webhook AlertManager non riesce a inviare avvisi e notifiche di incidenti per alcuni cluster.
  • A volte gli incidenti vengono duplicati al momento della creazione.
  • Nel cluster root-admin sono aperti due falsi avvisi di monitoraggio.
  • Un avviso di errore di riconciliazione può essere ignorato.
  • Il gestore dei controller di amministrazione principale mostra un tasso di errore elevato.
  • Le dashboard di monitoraggio di KUB non mostrano dati.
  • Le autorizzazioni per un ruolo di debugger di osservabilità non sono configurate correttamente.
  • Manca un ruolo di debugger Grafana.
  • L'eliminazione del progetto è bloccata a causa dei finalizzatori in attesa della dashboard e dell'origine dati.
  • Le metriche di KSM non sono visibili ai PA.
  • MON-A0001_fast e MON-A0001_slow gli avvisi vengono attivati nei cluster dell'organizzazione

Multizona:

  • Quando una zona non è accessibile, la console GDC visualizza un errore di autenticazione.

  • L'elenco delle zone tramite la CLI gdcloud non è disponibile per impostazione predefinita.

  • Potrebbero verificarsi errori di accesso intermittenti durante l'accesso all'URL della console GDC globale.

Archiviazione di oggetti:

  • Il certificato dell'endpoint del bilanciatore del carico StorageGRID è scaduto.

Networking:

  • La configurazione del Border Gateway Protocol (BGP) con un numero di sistema autonomo (ASN) a 4 byte sugli switch di rete causa errori di configurazione.

  • L'attivazione della crittografia di sicurezza degli indirizzi IP (IPsec) da nodo a nodo in fase di runtime per un'organizzazione esistente potrebbe causare l'eliminazione di pacchetti di rete e timeout della connessione.

  • Il nodo non è raggiungibile sulla rete dati.

  • La rete subisce un calo di circa il 50% del traffico tra zone tra i nodi.

  • Le implementazioni dei pod StatefulSet potrebbero causare problemi di connettività.

  • Il traffico anycast globale è bloccato da elenchi di controllo dell'accesso (ACL) eccessivamente restrittivi.

  • La policy di rete del progetto (PNP) allow-all-egress non consente il traffico verso gli endpoint di sistema.

  • La dashboard SLO pnet-cross-zone-availability non mostra alcuna metrica in Grafana.

  • I gateway di ingresso del piano dati e di gestione non riescono a riconciliarsi.

  • La pagina della policy di rete del progetto nella console GDC non supporta il campo projectSelector nell'API ProjectNetworkPolicy.

  • Non viene eseguito il commit delle modifiche alla configurazione dello switch di rete.

Servizi principali dell'infrastruttura della suite operativa (OIC):

  • Il jumphost ha un rendimento scarso.

Sistema operativo:

  • L'upgrade del nodo del sistema operativo potrebbe bloccarsi nel passaggio NodeOSInPlaceUpgradePostProcessingCompleted.

  • L'upgrade del nodo del sistema operativo potrebbe bloccarsi durante la creazione del server dei pacchetti.

  • Durante un'operazione gdcloud storage cp o gdcloud system container-registry load-oci da una workstation OIC, esiste una leggera possibilità che l'accesso a org-infra venga perso, seguito dall'interruzione di kube-api di org-mgmt.

Resource Manager:

  • I progetti non possono essere eliminati dalla console GDC.

  • Durante la creazione di un'organizzazione cliente, il job create-ansible-playbooks che crea i playbook Ansible richiesti non riesce.

  • La disattivazione dell'organizzazione non comporta la dismissione di tutte le risorse di cui è stato eseguito il provisioning per l'organizzazione.

Spazio di archiviazione:

  • Indisponibilità dei dati tra le zone nei bucket a due regioni.

  • Impossibile montare i pod a causa di un errore Trident mkfs.ext4.

  • L'upgrade dei nodi è bloccato.

  • L'avviso file_block_zombie_luns_present viene attivato costantemente.

  • Avvisi rumorosi nella console di gestione StorageGRID.

System Artifact Registry:

  • I job di replica degli artefatti Harbor si bloccano.

  • Un falso allarme può essere attivato in risposta a errori temporanei durante la riconciliazione della risorsa HarborRobotAccount.

  • Si è verificato un falso allarme per l'avviso SAR-R0003.

Sistema di gestione dei ticket:

  • Il server MID di ServiceNow non si avvia correttamente.

  • Un errore RBAC dalle reti dei clienti potrebbe negare l'accesso a ServiceNow.

Upgrade:

  • Il report di assistenza non va a buon fine.

  • L'ingester rimane in stato non integro e non viene dimenticato automaticamente dopo l'upgrade

Vertex AI:

  • I modelli e i workbook preaddestrati di Vertex AI non sono abilitati nella versione 1.14.3, ma saranno disponibili nella versione 1.14.4.

Macchine virtuali

  • VMDisk potrebbe mostrare uno stato errato di Fase: InProgress anche quando le operazioni sul disco sottostante sono terminate e il disco è pronto per l'uso.

  • Quando crei una VM Windows utilizzando la CLI gdcloud CLI gdcloud compute instances create, la VM non si avvia a causa del tipo di avvio BIOS predefinito bios e dei flag di Avvio protetto mancanti.

I seguenti problemi sono stati risolti:

Harbor:

  • Risolto il problema per cui il pool di nodi si bloccava in uno stato di Provisioning. Per maggiori informazioni, vedi Problemi noti.
Vengono identificate le seguenti modifiche:

Core:

  • I requisiti per interagire con il cluster di amministrazione dell'organizzazione e il cluster di sistema in diversi workflow di servizi sono stati rimossi. Il server dell'API di gestione, disponibile per la gestione di tutti i workload e i servizi non container, funge da sostituto per tutti i workflow dei servizi interessati.

  • Il server API globale viene fornito per impostazione predefinita per le risorse gestite dal cliente progettate per il deployment globale in un universo GDC. Per saperne di più, consulta Server API globali e di zona.

Marketplace:

  • Le autorizzazioni del ruolo Visualizzatore Marketplace sono limitate alla sola visualizzazione dei servizi disponibili, senza accesso alle istanze installate o alle relative configurazioni. Per visualizzare la configurazione delle istanze in esecuzione, gli utenti devono disporre del ruolo Marketplace Editor (marketplace-editor).

  • È disponibile un elenco di immagini dei servizi Marketplace.

Resource Manager:

  • È stata rimossa la possibilità di collegare un cluster Kubernetes durante la creazione di un progetto nella console GDC. Devi collegare i cluster Kubernetes a un progetto dalla pagina Kubernetes Engine > Cluster. Per saperne di più, consulta Crea un progetto.

Aggiornamenti delle versioni:

Macchine virtuali:

  • La documentazione di Performance Test as a Service (PTaaS) è stata aggiornata per includere nuovi nomi e descrizioni per i benchmark disponibili in PTaaS.