Upgrade – Übersicht

In diesem Leitfaden finden Sie Informationen zum Upgrade-Prozess mit den erforderlichen Schritten zum Beheben oder Patchen einer Sicherheitslücke in Google Distributed Cloud (GDC) Air-Gap. Bei diesen Inhalten wird davon ausgegangen, dass ein neues Distributed Cloud-Paket mit dem entsprechenden Sicherheitsfix verfügbar ist und dass der Infrastructure Operator (IO) darauf zugreifen kann. Distributed Cloud erfordert manuelle Updates und ein bestimmter Sicherheitspatch kann für eine oder mehrere Komponenten im Stack gelten.

Wichtig :Um auf die auf dieser Seite aufgeführten URLs zuzugreifen, müssen Sie mit dem Internet verbunden sein. Die URLs werden für den Zugriff außerhalb Ihrer Air-Gap-Umgebung bereitgestellt.

Auf der Seite mit der Anleitung finden Sie die Schritte für das Upgrade verschiedener Komponenten. Je nach Patch sind manchmal nur einige der Upgradeschritte erforderlich. Wenn eine schwerwiegende oder kritische Sicherheitslücke vorliegt, die der IO nicht sofort beheben kann, kann Google Maßnahmen ergreifen, z. B. bestimmte Ports blockieren, Funktionen deaktivieren oder Komponenten deaktivieren, um die Sicherheitslücke vorübergehend zu beheben und den Blast Radius einzugrenzen. Solche Ereignisse sind selten. In diesen Fällen stellt Google genaue Anweisungen zur Verfügung, die auf einem Plan zur Risikominderung basieren.

Hinweis :In diesem Inhalt wird nicht beschrieben, wie Google eine Sicherheitslücke erkennt und priorisiert oder wie eine Korrekturquelle gefunden und zusammengestellt wird. Es wird nur der Prozess beschrieben, mit dem ein Operator einen verfügbaren Fix herunterladen und auf eine Bereitstellung anwenden kann.

Vorbereitung

Wichtig :Alle Befehlszeilenbefehle für Distributed Cloud verwenden die gdcloud- oder kubectl-Befehlszeile und erfordern eine Linux-Umgebung.

Bevor Sie beginnen, müssen folgende Voraussetzungen erfüllt sein:

1. Zugriff auf das System und erforderliche Berechtigungen zum Ausführen von Updates:
   • Ihr Ansprechpartner bei Google hat eine E-Mail-Adresse für Sie und für jeden Betreiber, um Ihnen Zugriff auf den Cloud Storage-Bucket zu gewähren.
   • Ihr Google-Ansprechpartner hat bestätigt, dass Sie Zugriff auf das Download-Repository haben, damit Sie eine Distributed Cloud-Distribution herunterladen können.
   • Die von Ihrem Google-Ansprechpartner bereitgestellte Vertriebsversion und Digest-Informationen, als er bestätigt hat, dass Sie Zugriff auf das Download-Repository haben.
2. Die erforderlichen Tools zum Validieren der Integrität des heruntergeladenen und installierten Pakets:
   • gcloud CLI herunterladen und installieren
   • Upgrade auf die neueste Version
   • Laden Sie die Google Cloud CLI unter https://cloud.google.com/sdk/docs/install herunter und installieren Sie sie.
   • Zugriff auf OpenSSL überprüfen – Standardspeicherort: /usr/local/ssl
   • Authentifizieren mit gdcloud auth login.
   • Führen Sie ein Upgrade auf die neueste CLI-Version durch, indem Sie gdcloud components update ausführen.
3. Zugriff auf ein sicheres physisches Gerät, wie im Abschnitt Download von Distributed Cloud in Ihre Air-Gap-Umgebung übertragen auf der Seite Bootstrapper-Server installieren unter Paket in die Air-Gap-Bereitstellung kopieren beschrieben.
4. Eine Distributed Cloud-Bereitstellung in einem funktionierenden Zustand. Wenn sich eine oder mehrere Komponenten in einem fehlerhaften Zustand befinden, fahren Sie nicht mit den Upgrades fort, da dies zu weiteren Komplikationen führen kann.
5. Prüfen Sie, ob für die Bereitstellung Upgrades ausgeführt werden, bevor Sie ein Upgrade auslösen.

6. Es wird geprüft, ob Sie vorherige Patches installiert haben, bevor Sie ein Upgrade starten. Wenn Sie beispielsweise ein Upgrade auf 1.x.y durchführen möchten, müssen Sie für ein Upgrade der Nebenversion oder ein Upgrade der Patchversion Folgendes installiert haben:

   • Entweder ein Nebenversions-Upgrade auf 1.(x-1).y', wobei der Wert von y' ein beliebiger Wert sein kann; (x-1) wird auf x aktualisiert.
   • Oder ein Patchversions-Upgrade von 1.x.y'', wobei y'' < y.

   1. Aktuelle Version abrufen In diesem Beispiel ist 1.(x-1)y' 1.8.0-gdch.843:

      kubectl --kubeconfig ROOT_ADMIN_KUBECONFIG get org -n  \
          gpc-system root -ojsonpath='{.spec.version}{"\n"}'
      

   2. Ersetzen Sie ROOT_ADMIN_KUBECONFIG durch den Pfad zur kubeconfig-Datei, die Sie durch Ausführen von gdcloud auth login für den Root-Administratorcluster erhalten haben. Eine Anleitung dazu finden Sie unter kubeconfig-Datei abrufen.

      Beispielausgabe:

      1.8.0-gdch.843
      

   3. Prüfen Sie, ob das Ergebnis mit der Version übereinstimmt, auf die Sie ein Upgrade durchführen möchten.

      Hinweis :Upgrades können nur von einer letzten Nebenversion, z. B. 1.(x-1).y', auf die nächste Versionsebene, 1.x.y', durchgeführt werden. Upgrades, bei denen eine Nebenversion übersprungen wird, z. B. von 1.(x-2).y' auf 1.x.y', werden nicht unterstützt. Zwischen-Upgrades von 1.(x).y' auf 1.(x)y'', wobei y' beispielsweise (y''-2) entspricht, können jedoch für Patch-Upgrades übersprungen werden, sofern dies nicht ausdrücklich von den einzelnen betroffenen Komponenten vorgeschrieben wird.

Nächste Schritte

Führen Sie die Upgrades immer in der in der Anleitung angegebenen Reihenfolge aus. Für einige Upgrades sind Prüfungen und Prozesse vor dem Upgrade erforderlich, für andere Prüfungen nach dem Upgrade. Jeder Upgrade-Abschnitt enthält relevante Informationen, z. B. welche Komponenten aktualisiert werden, ob das Upgrade zu Unterbrechungen führt und wie lange die Ausfallzeit voraussichtlich sein wird. Im Folgenden finden Sie eine allgemeine Beschreibung des Prozessablaufs:

1. Laden Sie das Updatepaket herunter.
2. Übertragen Sie die Artefakte per Push in die Container Registry.
3. Führen Sie automatische Upgrades durch.
4. Führen Sie die manuellen Upgrades in der angegebenen Reihenfolge aus, auch wenn ein bestimmtes Upgrade nicht für alle Komponenten gilt. Starten Sie jedes Upgrade nacheinander, wenn das vorherige abgeschlossen ist.

Rufen Sie die Anleitungsseite auf, um ein Upgrade zu starten.