Notas de la versión de Google Distributed Cloud aislado

16 de febrero de 2024 [GDC 1.12.0]

  • Ya está disponible la versión 1.12.0 de Google Distributed Cloud aislado.
    Consulta la descripción general del producto para obtener información sobre las funciones de Google Distributed Cloud aislado.
  • Google Distributed Cloud aislado 1.12.0 admite dos sistemas operativos:
    • Ubuntu 20231205
    • Rocky Linux 20231208

Se actualizó la versión de la imagen de SO Ubuntu de Canonical a 20231208 para aplicar los parches de seguridad y las actualizaciones importantes más recientes. Para aprovechar las correcciones de errores y vulnerabilidades de seguridad, debes actualizar todos los nodos con cada versión. Se corrigieron las siguientes vulnerabilidades de seguridad:

Se corrigieron las siguientes vulnerabilidades de seguridad de la imagen del contenedor:

Se actualizó la imagen base de gcr.io/distroless/base al resumen sha256:eda29d6da91216123f1c1841b7c7a7abe1eece155cfe8d20d2a29e5daf9ad497 para aplicar los parches de seguridad y las actualizaciones importantes más recientes.

Administrador de complementos:

Compila y empaqueta:

  • Se actualizó la versión de Golang a 1.20.

  • Google Distributed Cloud air-gapped 1.12.0 agrega más facturas de materiales de software (SBOM) al resultado y actualiza la lógica para garantizar que esas SBOM se publiquen en el futuro.

  • Google Distributed Cloud aislado 1.12.0 agrega archivos .tar de gdch_notice_license_files para subir manifiestos.

Administración del inventario:

  • Google Distributed Cloud con aislamiento de aire 1.12.0 agrega validaciones para las listas de conexión de la versión de hardware 3.0.
  • Google Distributed Cloud air-gapped 1.12.0 actualiza el patrón de puertos de administración del servidor de la consola para permitir LAN1A y LAN2A.
  • Google Distributed Cloud con aislamiento de aire 1.12.0 agrega un mensaje para mitigar la confusión de los modos activo y pasivo de PA850.
  • Google Distributed Cloud aislado 1.12.0 admite un cassette de salida en la validación.
  • Google Distributed Cloud air-gapped 1.12.0 agrega la validación del firewall permanente a la conexión del firewall de administración.
  • Google Distributed Cloud air-gapped 1.12.0 agrega una instrucción de enrutamiento entre dominios sin clases (CIDR) de OI al generador del cuestionario de admisión del cliente.
  • Google Distributed Cloud air-gapped 1.12.0 mejora un mensaje de error sobre la falta de dirección MAC para mitigar la inestabilidad de la verificación previa al validar la conexión de HSM y mgmtsw.

Organización de TI del Centro de Operaciones:

  • La organización de TI del Centro de Operaciones tiene las siguientes actualizaciones de nombre:

    • Se cambió el nombre de Operations Center (OC) a Operations Suite Facility (OIF).

    • OC Core cambió de nombre a Operations Suite Infrastructure Core Rack (OIR).

    • Se cambió el nombre de Operaciones de TI del Centro de Operaciones (OCIT) a Infraestructura de Operations Suite (OI).

    • Se cambió el nombre de OCIT a OI.

    Para obtener más información, consulta Terminología.

  • Google Distributed Cloud con aislamiento de aire 1.12.0 actualiza la secuencia de comandos de configuración de Userlock para permitir el uso de un servidor de conmutación por error.

  • Google Distributed Cloud con aislamiento de aire 1.12.0 crea previamente grupos de seguridad adicionales de la infraestructura del conjunto de operaciones (OI) para permitir un acceso detallado en todos los sistemas de OI.

Registro de artefactos del sistema:

  • Google Distributed Cloud aislado 1.12.0 quita la marca abreviada -f (--force) de los recursos de la CLI.

Actualización de versión:

  • La versión de imagen basada en Debian se actualizó a bookworm-v1.0.0-gke.3.

Administrador de certificados:

  • Se introdujo la configuración del tamaño de la clave en un certificado web-tls para organizaciones.

Servicio de base de datos:

  • Compatibilidad con la recuperación a un momento determinado (PITR) para sus bases de datos de Oracle
  • Se agregó compatibilidad con la migración avanzada de Postgres para migrar bases de datos locales a bases de datos administradas por el servicio de bases de datos de GDC.

Registro:

Marketplace:

  • MongoDB Enterprise Advanced (BYOL) ya está disponible en la versión 1.12.0 del Marketplace de Google Distributed Cloud aislado.
    Es una colección de productos y servicios que impulsan la seguridad y la eficiencia, y te permiten controlar tus bases de datos de MongoDB.

Almacenamiento de objetos:

  • Se agregó una nueva imagen necesaria para alojar archivos de actualización en el software de almacenamiento de objetos.
  • Se agregó una etiqueta de versión de encriptación a los webhooks de bucket.
  • Se agregó un reconciliador para la rotación de credenciales de objetos.

Servicios Principales de Infraestructura de Operations Suite (OIC)

  • Google Distributed Cloud aislado 1.12.0 recopila registros de OIC en Grafana.
  • Google Distributed Cloud aislado 1.12.0 mueve la secuencia de comandos Copy-BareMetalFiles.ps1 de la documentación de instalación a las secuencias de comandos en private-cloud/operations/dsc/.
Seguridad de la plataforma

  • La infraestructura de clave pública interna aislada de Google Distributed Cloud emite un certificado TLS web para un clúster de administrador raíz.

Cumplimiento de seguridad:

  • Google Distributed Cloud air-gapped 1.12.0 introduce la seguridad de puertos necesaria para aprobar una evaluación de seguridad.

Sistema de tickets

  • Se actualizaron los trabajos programados en ServiceNow para que se ejecuten de forma escalonada y evitar picos en la base de datos.
  • El operador de infraestructura recibe una alerta cuando un incidente de supervisión de metadatos en ServiceNow está inactivo.

Actualización

  • Se agregó el panel Estado de actualización para los operadores de infraestructura y los administradores de plataformas.
  • Se agregó un comando para activar la actualización del clúster de usuario.

Vertex AI:

Administración de máquinas virtuales

Facturación:

  • Se corrigió el problema por el que el trabajo de onetimeusage siempre fallaba al actualizar las etiquetas en el objeto de onetimeusage, lo que provocaba alertas de falla.
  • Se corrigió el problema que provocaba que se duplicara el costo agregado de un recurso personalizado (CR) cuando se reiniciaba el trabajo después de que se escribía el costo del CR en la base de datos, antes de que la etiqueta se actualizara a procesada.

Módulo de seguridad de hardware:

  • Se solucionó el problema que provocaba que el módulo de seguridad de hardware alternara con frecuencia entre los estados ServicesNotStarted y ready.

Identidad híbrida:

  • Se corrigió el problema con la configuración de red en los pods de identidad.

Administración del inventario:

  • Se corrigió el problema con el analizador de licencias que no analizaba los archivos de almacenamiento de objetos cuyo texto JSON de licencia se extendía a varias líneas.
  • Se corrigió el problema con la expresión regular de validación de CellCfg CableType del hardware 3.0.
  • Se corrigió el problema relacionado con la inclusión del nodo de programa de arranque en la validación de hardware.
  • Se corrigió el problema por el que el nodo del clúster de administrador raíz tenía SecureBootEnable desactivado después del arranque del servidor.

Servicios Principales de Infraestructura de Operations Suite (OIC)

  • Se corrigió el problema por el que Initialize-BareMetalHost.ps1 no detectaba que se requería un reinicio.
  • Se corrigió el problema con una raíz de CA empresarial que no emitía un archivo req para enviarlo a una raíz de CA sin conexión.
  • Se corrigió el problema por el que el proceso de creación de la VM de OIC dejaba habilitada la sincronización de hora de Hyper-V.

Sistema de tickets

  • Se corrigió el problema de auditoría de MariaDB.

Actualización

  • Se corrigió el problema con las alertas de Identity and Access Management (IAM) agregando verificaciones posteriores a la actualización de IAM.

Administración de máquinas virtuales

  • Se corrigió el problema por el que el estado de la VM mostraba PendingIPAllocation si no se podía programar la VM. Después de la corrección, el estado de la VM muestra ErrorUnscheduable.
  • Se corrigió el problema por el que se usaba un secreto de almacenamiento de objetos incorrecto en las operaciones de importación de imágenes de VM.

Copia de seguridad y restablecimiento:

  • Es posible que se activen alertas para un repositorio de copias de seguridad incluso cuando el repositorio esté en buen estado.

Administración de clústeres:

  • El trabajo machine-init falla durante el aprovisionamiento del clúster.

Servidores físicos:

  • El progreso de la actualización del clúster de administrador raíz se detiene en la actualización del nodo, específicamente en NodeBIOSFirmwareUpgradeCompleted.

Servicio de base de datos:

  • Las cargas de trabajo del servicio de bases de datos operan dentro del clúster del sistema, lo que podría hacer que las cargas de trabajo de bases de datos compartan la infraestructura de procesamiento con otras instancias de bases de datos y varios sistemas del plano de control.

Harbor as a service (HAAS):

  • Como HaaS es una función de versión preliminar de Google Distributed Cloud aislado 1.12.0, no se espera que funcione en entornos de producción.
    El trabajo de preinstalación falla por diseño para evitar que los subcomponentes se reconcilien correctamente, lo que impide que los usuarios usen HaaS.
    Se espera encontrar subcomponentes de HaaS en el estado de conciliación, lo que no afecta la funcionalidad de otros componentes.

Firewall:

  • Durante la implementación del cliente, el nombre de usuario del administrador del archivo secret.yaml debe ser admin y, en cambio, contiene TO-BE-FILLED después de la primera creación. Se debe usar el nombre de usuario admin para inicializar la primera configuración en el firewall.

Módulo de seguridad de hardware:

  • Las licencias de prueba desactivadas aún se pueden detectar en CipherTrust Manager, lo que activa advertencias de vencimiento falsas.
  • Cuando se borra un KMS CTMKey, es posible que el PA experimente comportamientos inesperados, incluido el hecho de que el servicio de KMS no se inicie para la organización.
  • Un secreto rotativo para módulos de seguridad de hardware se encuentra en un estado desconocido.
  • Las rotaciones de la autoridad certificadora interna del HSM se bloquean y no se completan.

Registro:

Supervisión:

  • Es posible que los certificados de Node Exporter no estén listos cuando se cree una organización.
  • No se recopilan algunas métricas de los clústeres de usuarios. Este problema afecta a los clústeres de VM del usuario, pero no al clúster del sistema.
  • La clase de almacenamiento de métricas se definió de forma incorrecta en la configuración.
  • El ConfigMap mon-prober-backend-prometheus-config se restablece para no incluir trabajos de sondeo, y se activa la alerta MON-A0001.

Plataforma del nodo:

  • La actualización del nodo falla debido a un archivo lvm.conf desactualizado.

Servidores físicos:

  • El progreso de la actualización del clúster de administrador raíz se detiene en la actualización del nodo, específicamente en NodeBIOSFirmwareUpgradeCompleted.
  • Cuando se instala un servidor de forma manual, es posible que la instalación se detenga.

Actualizar:

  • No se pudo actualizar el nodo NodeOSInPlaceUpgradeCompleted.
  • No se pudo ejecutar el comando install add bootflash://.. de cambio de actualización
  • Es posible que varios Pods de un clúster del sistema se queden atascados en el estado TaintToleration.

Red superior:

  • Un clúster de VM de usuario se detiene en el estado ContainerCreating con la advertencia FailedCreatePodSandBox.

Vertex AI:

  • El MonitoringTarget muestra un estado Not Ready cuando se crean clústeres de usuarios, lo que hace que las APIs previamente entrenadas muestren continuamente un estado Enabling en la interfaz de usuario.

Copia de seguridad y restablecimiento de VMs:

  • El control de acceso basado en roles (RBAC) y la configuración del esquema en el administrador de VM impiden que los usuarios inicien procesos de copia de seguridad y restauración de VM.
  • La importación de la imagen de VM falla en el paso de traducción de la imagen debido a un tamaño de disco insuficiente y a un tiempo de espera agotado en la respuesta del proxy de almacenamiento de objetos.

SIEM:

  • Los trabajos de preinstalación de OCLCM fallan repetidamente en la verificación de la puerta de funciones.

Rendimiento:

  • La versión 1.12.0 de Google Distributed Cloud aislado dejó de admitir la ejecución de comparativas provision key.