Panoramica dell'upgrade

Questa guida fornisce informazioni sulla procedura di upgrade con i passaggi necessari per mitigare o correggere una vulnerabilità della sicurezza in Google Distributed Cloud (GDC) air-gapped. Questi contenuti presuppongono che sia disponibile un nuovo pacchetto Distributed Cloud con la correzione di sicurezza pertinente e che l'operatore dell'infrastruttura (IO) possa accedervi. Distributed Cloud prevede aggiornamenti manuali e una patch di sicurezza specifica potrebbe essere applicata a uno o più componenti dello stack.

Importante: per accedere agli URL elencati in questa pagina, devi connetterti a internet. Gli URL vengono forniti per l'accesso al di fuori dell'ambiente air-gap.

La pagina Istruzioni fornisce i passaggi per l'upgrade di vari componenti. A volte, a seconda della patch specifica, potrebbe essere applicato solo un sottoinsieme dei passaggi di upgrade. Se esiste una vulnerabilità grave o critica che l'IO non può correggere immediatamente, Google può adottare misure come il blocco di porte specifiche, la disattivazione di funzionalità o lo spegnimento di componenti per mitigare temporaneamente la vulnerabilità e contenere il raggio d'azione. Questi eventi sono rari e, in questi casi, Google fornisce istruzioni esatte da seguire in base a un piano di mitigazione.

Nota: questi contenuti non descrivono la procedura di Google per rilevare e classificare una vulnerabilità né come reperire e assemblare una correzione. Copre solo la procedura per un operatore per scaricare una correzione disponibile e applicarla a un deployment.

Prerequisiti

Importante: tutti i comandi dell'interfaccia a riga di comando (CLI) per Distributed Cloud utilizzano la CLI gdcloud o kubectl e richiedono un ambiente Linux.

Prima di iniziare, assicurati di disporre di quanto segue:

1. Accesso al sistema e autorizzazioni necessarie per eseguire gli aggiornamenti:
   • Il tuo punto di contatto (POC) Google ha un indirizzo email per te e per ogni operatore, per concederti l'accesso al bucket Cloud Storage.
   • Il tuo POC Google ha verificato che hai accesso al repository di download, in modo da poter scaricare una distribuzione Distributed Cloud.
   • La versione di distribuzione e le informazioni di riepilogo fornite dal tuo Google POC quando ha confermato che hai accesso al repository di download.
2. Gli strumenti necessari per convalidare l'integrità del pacchetto scaricato e installato:
   • Scaricare e installare gcloud CLI
   • Esegui l'upgrade all'ultima versione.
   • Scarica e installa Google Cloud CLI all'indirizzo https://cloud.google.com/sdk/docs/install.
   • Verifica l'accesso a OpenSSL - posizione predefinita: /usr/local/ssl
   • Autenticati con gdcloud auth login.
   • Esegui l'upgrade all'ultima versione della CLI eseguendo gdcloud components update.
3. Accesso a un dispositivo fisico sicuro, come descritto nella sezione Copia del pacchetto nel deployment air-gap della sezione Trasferisci il download di Distributed Cloud nel tuo ambiente air-gap della pagina Installazione del server Bootstrapper.
4. Un deployment di Distributed Cloud in stato di funzionamento. Se uno o più componenti sono in uno stato di errore, non procedere con gli upgrade perché ciò potrebbe portare a ulteriori complicazioni.
5. Verifica che non siano in corso upgrade per la distribuzione prima di attivare un upgrade.

6. Verifica di aver installato le patch precedenti prima di iniziare un upgrade. Ad esempio, per eseguire l'upgrade alla versione 1.x.y, devi già avere installato quanto segue per un upgrade della versione secondaria o di una versione patch:

   • Un upgrade della versione secondaria 1.(x-1).y', dove il valore di y' è qualsiasi valore; (x-1) viene aggiornato a x.
   • o un upgrade della versione patch 1.x.y'', dove y'' < y.

   1. Recupera la versione attuale. In questo esempio 1.(x-1)y' è 1.8.0-gdch.843:

      kubectl --kubeconfig ROOT_ADMIN_KUBECONFIG get org -n  \
          gpc-system root -ojsonpath='{.spec.version}{"\n"}'
      

   2. Sostituisci ROOT_ADMIN_KUBECONFIG con il percorso del file kubeconfig che hai ottenuto eseguendo gdcloud auth login nel cluster di amministrazione principale. Per le istruzioni, vedi Ottenere un file kubeconfig.

      Output di esempio:

      1.8.0-gdch.843
      

   3. Verifica che il risultato corrisponda alla versione a cui vuoi eseguire l'upgrade.

      Nota: gli upgrade possono essere eseguiti solo dall'ultima versione secondaria, ad esempio 1.(x-1).y', al livello di versione successivo, 1.x.y'. Gli upgrade di tipo Salta versione secondaria, ad esempio da 1.(x-2).y' a 1.x.y', non sono supportati. Tuttavia, gli upgrade intermedi da 1.(x).y' a 1.(x)y'', dove y' è uguale a (y''-2), ad esempio, possono essere ignorati per gli upgrade delle patch, a meno che non sia specificamente previsto dai singoli componenti interessati.

Passaggi successivi

Esegui sempre gli upgrade nell'ordine specificato nelle istruzioni. Alcuni upgrade richiedono controlli e processi pre-upgrade, altri controlli post-upgrade. Ogni sezione di upgrade fornisce informazioni applicabili come i componenti aggiornati, se l'upgrade è distruttivo e i tempi di inattività previsti. Di seguito è riportata una descrizione generale del flusso di processo:

1. Scarica il pacchetto di aggiornamento.
2. Esegui il push degli artefatti in Container Registry.
3. Esegui upgrade automatici.
4. Esegui gli upgrade manuali nell'ordine fornito, anche se un determinato upgrade non si applica a tutti i componenti. Avvia ogni upgrade in sequenza quando quello precedente è stato completato.

Vai alla pagina delle istruzioni per iniziare un upgrade.