Notas de las versiones de Google Distributed Cloud con air gap

16 de febrero del 2024 [GDC 1.12.0]

  • Ya está disponible la versión 1.12.0 de Google Distributed Cloud con air gap.
    Consulta la descripción general del producto para obtener información sobre las funciones de Google Distributed Cloud con air gap.
  • Google Distributed Cloud air-gapped 1.12.0 es compatible con dos sistemas operativos:
    • Ubuntu 20231205
    • Rocky Linux 20231208

Se ha actualizado la versión de la imagen del SO Canonical Ubuntu a 20231208 para aplicar los parches de seguridad y las actualizaciones importantes más recientes. Para aprovechar las correcciones de errores y vulnerabilidades de seguridad, debes actualizar todos los nodos con cada lanzamiento. Se han corregido las siguientes vulnerabilidades de seguridad:

Se han corregido las siguientes vulnerabilidades de seguridad de imágenes de contenedor:

Se ha actualizado la imagen base de gcr.io/distroless/base al digest sha256:eda29d6da91216123f1c1841b7c7a7abe1eece155cfe8d20d2a29e5daf9ad497 para aplicar los últimos parches de seguridad y actualizaciones importantes.

Gestor de complementos:

Compilación y empaquetado:

  • La versión de Golang se ha actualizado a la 1.20.

  • Google Distributed Cloud air-gapped 1.12.0 añade más listas de materiales de software (SBOMs) a la salida y actualiza la lógica para asegurarse de que dichas SBOMs se publiquen en el futuro.

  • Google Distributed Cloud con air gap 1.12.0 añade archivos gdch_notice_license_files tar para subir manifiestos.

Gestión de inventario:

  • Google Distributed Cloud air-gapped 1.12.0 añade validaciones para las listas de conexiones de la versión 3.0 del hardware.
  • Google Distributed Cloud air-gapped 1.12.0 actualiza el patrón del puerto de gestión del servidor de la consola para permitir LAN1A y LAN2A.
  • Google Distributed Cloud air-gapped 1.12.0 añade un mensaje para aclarar la confusión entre los modos activo y pasivo de PA850.
  • Google Distributed Cloud aislado 1.12.0 admite una cassette de salida en la validación.
  • Google Distributed Cloud air-gapped 1.12.0 añade la validación del cortafuegos permanente a la conexión del cortafuegos de gestión.
  • Google Distributed Cloud air-gapped 1.12.0 añade una petición de enrutamiento de interdominios sin clases (CIDR) de OI al generador del cuestionario de información del cliente.
  • Google Distributed Cloud air-gapped 1.12.0 mejora un mensaje de error sobre el fallo de falta de dirección MAC para mitigar la inestabilidad de la comprobación previa al vuelo al validar la conexión hsm y mgmtsw.

Organización de TI del centro de operaciones:

  • La organización de TI del centro de operaciones ha cambiado de nombre:

    • El Centro de Operaciones (OC) ha cambiado de nombre y ahora se llama Instalación de Operaciones (OIF).

    • Se ha cambiado el nombre de OC Core a Operations Suite Infrastructure Core Rack (OIR).

    • El departamento de TI del centro de operaciones (OCIT) ha cambiado de nombre y ahora se llama Infraestructura de Operations Suite (OI).

    • Se ha cambiado el nombre de OCIT a OI.

    Para obtener más información, consulta Terminología.

  • Google Distributed Cloud air-gapped 1.12.0 actualiza la secuencia de comandos de configuración de Userlock para permitir el uso de un servidor de failover.

  • Google Distributed Cloud air-gapped 1.12.0 crea previamente grupos de seguridad de infraestructura de Operations Suite (OI) adicionales para permitir un acceso detallado a los sistemas de OI.

Registro de artefactos del sistema:

  • Google Distributed Cloud con air gap 1.12.0 elimina la marca abreviada -f (--force) de los recursos de la CLI.

Actualización de la versión:

  • La versión de la imagen basada en Debian se ha actualizado a bookworm-v1.0.0-gke.3.

Gestor de certificados:

  • Se ha introducido la configuración del tamaño de la clave en un certificado web-tls para organizaciones.

Database Service:

  • Compatibilidad con la recuperación a un momento dado (PITR) de sus bases de datos de Oracle.
  • Compatibilidad con la migración avanzada de Postgres para migrar bases de datos locales a bases de datos gestionadas por el servicio de bases de datos de GDC.

Registro:

Marketplace

  • MongoDB Enterprise Advanced (BYOL) ya está disponible en el Marketplace de Google Distributed Cloud con air gap 1.12.0.
    Es una colección de productos y servicios que impulsan la seguridad y la eficiencia, y te permiten controlar tus bases de datos de MongoDB.

Almacenamiento de objetos:

  • Se ha añadido una nueva imagen necesaria para alojar los archivos de actualización en el software de almacenamiento de objetos.
  • Se ha añadido una etiqueta de versión de cifrado a los webhooks de los segmentos.
  • Se ha añadido un reconciliador para la rotación de credenciales de objeto.

Servicios Principales de Infraestructura de Operations Suite (OIC)

  • Google Distributed Cloud con air gap 1.12.0 recoge los registros de OIC en Grafana.
  • Google Distributed Cloud aislado 1.12.0 mueve la secuencia de comandos Copy-BareMetalFiles.ps1 de la documentación de instalación a las secuencias de comandos de private-cloud/operations/dsc/.
Seguridad de la plataforma

  • Google Distributed Cloud emite un certificado TLS web para un clúster de administrador raíz con aislamiento físico mediante la infraestructura de clave pública interna.

Cumplimiento de seguridad:

  • Google Distributed Cloud aislado 1.12.0 introduce la seguridad de puertos necesaria para superar una evaluación de seguridad.

Sistema de incidencias

  • Se han actualizado las tareas programadas en ServiceNow para escalonar su ejecución y evitar picos en la base de datos.
  • El operador de infraestructura recibe una alerta cuando un incidente de metamonitorización en ServiceNow está obsoleto.

Cambiar a edición superior

  • Se ha añadido el panel de control Estado de la actualización para operadores de infraestructura y administradores de plataforma.
  • Se ha añadido un comando para activar la actualización del clúster de usuarios.

Vertex AI:

Gestión de máquinas virtuales

Facturación:

  • Se ha corregido el problema que provocaba que el trabajo de onetimeusage siempre fallara al actualizar las etiquetas del objeto onetimeusage, lo que generaba alertas de error.
  • Se ha corregido el problema que provocaba que el coste agregado de un recurso personalizado (CR) se duplicara cuando el trabajo se reiniciaba después de que el coste del CR se escribiera en la base de datos, antes de que la etiqueta se actualizara a procesado.

Módulo de seguridad de hardware:

  • Se ha corregido el problema que provocaba que el módulo de seguridad de hardware alternara con frecuencia entre los estados ServicesNotStarted y ready.

Identidad híbrida:

  • Se ha corregido el problema con la configuración de red en los pods de identidad.

Gestión de inventario:

  • Se ha corregido el problema que provocaba que el analizador de licencias no analizara los archivos de almacenamiento de objetos cuyo texto JSON de licencia se extendía a varias líneas.
  • Se ha solucionado el problema con la expresión regular de validación de CellCfg CableType de hardware 3.0.
  • Se ha corregido el problema que se producía al incluir el nodo de arranque en la validación de hardware.
  • Se ha corregido el problema que provocaba que el nodo del clúster de administrador raíz tuviera SecureBootEnable desactivado después del arranque del servidor.

Servicios Principales de Infraestructura de Operations Suite (OIC)

  • Se ha corregido el problema que impedía que Initialize-BareMetalHost.ps1 detectara que era necesario reiniciar.
  • Se ha corregido el problema que impedía emitir un archivo de solicitud para enviar una raíz de CA sin conexión cuando se usaba una raíz de CA de empresa.
  • Se ha corregido el problema que provocaba que el proceso de creación de la máquina virtual de OIC dejara habilitada la sincronización de hora de Hyper-V.

Sistema de incidencias

  • Se ha corregido un problema de auditoría de MariaDB.

Cambiar a edición superior

  • Se ha corregido el problema con las alertas de Gestión de Identidades y Accesos (IAM) añadiendo comprobaciones posteriores a la actualización de IAM.

Gestión de máquinas virtuales

  • Se ha corregido el problema que provocaba que el estado de la máquina virtual se mostrara como PendingIPAllocation si no se podía programar. Después de la corrección, el estado de la VM será ErrorUnscheduable.
  • Se ha corregido el problema que provocaba que se usara un secreto de almacenamiento de objetos incorrecto en las operaciones de importación de imágenes de VM.

Copia de seguridad y restauración:

  • Las alertas de un repositorio de copias de seguridad pueden activarse aunque el repositorio esté en buen estado.

Gestión de clústeres:

  • El trabajo machine-init falla durante el aprovisionamiento del clúster.

Servidores físicos:

  • El progreso de la actualización del clúster de administrador raíz se ha bloqueado en la actualización de nodos, concretamente en NodeBIOSFirmwareUpgradeCompleted.

Database Service:

  • Las cargas de trabajo de Database Service operan en el clúster del sistema, lo que podría provocar que las cargas de trabajo de la base de datos compartan la infraestructura de computación con otras instancias de la base de datos y con varios sistemas del plano de control.

Harbor como servicio (HAAS):

  • Como se trata de una función de vista previa de Google Distributed Cloud aislado 1.12.0, no se espera que HaaS funcione en entornos de producción.
    El trabajo de preinstalación falla por diseño para evitar que los subcomponentes se reconcilien correctamente, lo que impide que los usuarios utilicen HaaS.
    Es normal que los subcomponentes de HaaS estén en estado de conciliación, lo que no afecta al funcionamiento de otros componentes.

Cortafuegos:

  • Durante la implementación del cliente, el nombre de usuario del administrador del archivo secret.yaml debe ser admin, pero contiene TO-BE-FILLED después de la primera creación. El nombre de usuario admin debe usarse para inicializar la primera configuración en el cortafuegos.

Módulo de seguridad de hardware:

  • Las licencias de prueba desactivadas se pueden detectar en CipherTrust Manager, lo que provoca advertencias de vencimiento falsas.
  • Al eliminar un KMS CTMKey, el administrador principal puede experimentar comportamientos inesperados, como que el servicio KMS no se inicie en la organización.
  • El estado de un secreto rotable de módulos de seguridad de hardware es desconocido.
  • Las rotaciones de la autoridad de certificación interna del HSM se bloquean y no se completan.

Registro:

Monitorización:

  • Es posible que los certificados de Node Exporter no estén listos al crear una organización.
  • No se recogen algunas métricas de los clústeres de usuarios. Este problema afecta a los clústeres de VMs de usuario, pero no al clúster del sistema.
  • La clase de almacenamiento de métricas no está definida correctamente en la configuración.
  • El ConfigMap mon-prober-backend-prometheus-config se restablece para que no incluya ningún trabajo de comprobación y se activa la alerta MON-A0001.

Plataforma de nodo:

  • La actualización del nodo falla debido a un archivo lvm.conf obsoleto.

Servidores físicos:

  • El progreso de la actualización del clúster de administrador raíz se ha bloqueado en la actualización de nodos, concretamente en NodeBIOSFirmwareUpgradeCompleted.
  • Al instalar un servidor manualmente, es posible que la instalación se quede bloqueada.

Cambio:

  • No se puede actualizar el nodo NodeOSInPlaceUpgradeCompleted.
  • No se puede ejecutar el comando install add bootflash://.. al cambiar de versión
  • Es posible que varios pods de un clúster de sistema se queden atascados en el estado TaintToleration.

Redes superiores:

  • Un clúster de VMs de usuario se queda en el estado ContainerCreating con la advertencia FailedCreatePodSandBox.

Vertex AI:

  • El MonitoringTarget muestra el estado Not Ready cuando se están creando clústeres de usuarios, lo que provoca que las APIs preentrenadas muestren continuamente el estado Enabling en la interfaz de usuario.

Copia de seguridad y restauración de máquinas virtuales:

  • El control de acceso basado en roles (RBAC) y la configuración del esquema en el gestor de VMs impiden que los usuarios inicien procesos de copia de seguridad y restauración de VMs.
  • La importación de la imagen de la VM falla en el paso de traducción de la imagen debido a que el tamaño del disco es insuficiente y a que se ha agotado el tiempo de espera de la respuesta del proxy de almacenamiento de objetos.

SIEM

  • Los trabajos de preinstalación de OCLCM fallan repetidamente en la comprobación de la función.

Rendimiento:

  • En Google Distributed Cloud con air gap 1.12.0, se ha retirado la función para ejecutar las comparativas provision key.