Descripción general de la actualización

En esta guía, se proporciona información sobre el proceso de actualización con los pasos necesarios para mitigar o corregir una vulnerabilidad de seguridad en Google Distributed Cloud (GDC) aislado. En este contenido, se supone que hay disponible un nuevo paquete de Distributed Cloud con la corrección de seguridad pertinente y que el operador de infraestructura (IO) puede acceder a él. Distributed Cloud implica actualizaciones manuales, y un parche de seguridad específico podría aplicarse a uno o más componentes de la pila.

Importante: Para acceder a las URLs que se indican en esta página, debes conectarte a Internet. Las URLs se proporcionan para acceder fuera de tu entorno aislado.

En la página de instrucciones, se indican los pasos para actualizar varios componentes. A veces, solo se aplica un subconjunto de los pasos de actualización, según el parche específico. Si hay una vulnerabilidad grave o crítica que el IO no puede corregir de inmediato, Google puede tomar medidas como bloquear puertos específicos, inhabilitar funciones o apagar componentes para mitigar temporalmente la vulnerabilidad y contener el radio de explosión. Estos eventos son poco frecuentes y, en esos casos, Google proporciona instrucciones exactas que se deben seguir según un plan de mitigación.

Nota: En este contenido, no se describe el proceso de Google para descubrir y priorizar una vulnerabilidad, ni cómo obtener y ensamblar una corrección. Solo abarca el proceso para que un operador descargue una corrección disponible y la aplique a una implementación.

Requisitos previos

Importante: Todos los comandos de la interfaz de línea de comandos (CLI) para Distributed Cloud usan la CLI de gdcloud o kubectl, y requieren un entorno de Linux.

Antes de comenzar, asegúrate de que se cumplan los siguientes requisitos:

1. Acceso al sistema y permisos necesarios para realizar actualizaciones:
   • Tu punto de contacto (POC) de Google tiene una dirección de correo electrónico para ti y para cada operador, para otorgarte acceso al bucket de Cloud Storage.
   • Tu POC de Google verificó que tienes acceso al repositorio de descargas para que puedas descargar una distribución de Distributed Cloud.
   • La versión de distribución y la información de resumen que proporciona tu POC de Google cuando confirma que tienes acceso al repositorio de descargas.
2. Las herramientas necesarias para validar la integridad del paquete, descargadas e instaladas:
   • Descarga y, luego, instala la CLI de gdcloud
   • Actualiza a la versión más reciente.
   • Descarga e instala Google Cloud CLI en https://cloud.google.com/sdk/docs/install.
   • Verifica el acceso a OpenSSL (ubicación predeterminada): /usr/local/ssl
   • Autentícate con gdcloud auth login.
   • Ejecuta gdcloud components update para actualizar a la versión más reciente de la CLI.
3. Acceso a un dispositivo físico seguro, como se describe en la sección copia el paquete en la implementación aislada del aire de la sección Descarga Transfer Distributed Cloud en tu entorno aislado del aire de la página Instalación del servidor de Bootstrapper
4. Es una implementación de Distributed Cloud en estado de funcionamiento. Si uno o más componentes están en un estado dañado, no continúes con las actualizaciones, ya que esto podría generar más complicaciones.
5. Verificación de que no haya actualizaciones en curso para la implementación antes de activar una actualización

6. Verificación de que tienes instalados parches anteriores antes de comenzar una actualización Por ejemplo, para actualizar a la versión 1.x.y, ya debes tener instalada una actualización de versión secundaria o de versión de parche:

   • Actualización de versión secundaria de 1.(x-1).y', en la que el valor de y' es cualquier valor; (x-1) se actualiza a x.
   • O una actualización de la versión de parche de 1.x.y'', donde y'' < y.

   1. Obtén tu versión actual. En este ejemplo, 1.(x-1)y' es 1.8.0-gdch.843:

      kubectl --kubeconfig ROOT_ADMIN_KUBECONFIG get org -n  \
          gpc-system root -ojsonpath='{.spec.version}{"\n"}'
      

   2. Reemplaza ROOT_ADMIN_KUBECONFIG por la ruta de acceso al archivo kubeconfig que obtuviste cuando ejecutaste gdcloud auth login en el clúster de administrador raíz. Para obtener instrucciones, consulta Cómo obtener un archivo kubeconfig.

      Resultado de ejemplo:

      1.8.0-gdch.843
      

   3. Verifica que el resultado coincida con la versión a la que deseas actualizar.

      Nota: Las actualizaciones solo se pueden realizar desde una última versión secundaria, como 1.(x-1).y', a la siguiente versión, 1.x.y'. No se admiten las actualizaciones de tipo skip-minor-version, como de 1.(x-2).y' a 1.x.y'. Sin embargo, las actualizaciones intermedias de 1.(x).y' a 1.(x)y'', en las que y' es igual a (y''-2), por ejemplo, se pueden omitir para las actualizaciones de parches, a menos que los componentes individuales afectados lo estipulen específicamente.

¿Qué sigue?

Siempre realiza las actualizaciones en el orden especificado en las instrucciones. Algunas actualizaciones requieren verificaciones y procesos previos a la actualización, mientras que otras requieren verificaciones posteriores a la actualización. Cada sección de actualización proporciona información aplicable, como qué componentes se actualizan, si la actualización es disruptiva y cuánto tiempo de inactividad se espera. A continuación, se incluye una descripción general del flujo del proceso:

1. Descarga el paquete de actualización.
2. Envía los artefactos al registro de contenedores.
3. Realizar actualizaciones automáticas
4. Realiza las actualizaciones manuales en el orden proporcionado, incluso si una actualización en particular no se aplica a todos los componentes. Inicia cada actualización en secuencia cuando se haya completado la anterior.

Ve a la página de instrucciones para comenzar una actualización.