Google Distributed Cloud エアギャップ リリースノート

2024 年 2 月 16 日 [GDC 1.12.0]

  • Google Distributed Cloud エアギャップ 1.12.0 がリリースされました。
    Google Distributed Cloud エアギャップの機能については、プロダクトの概要をご覧ください。
  • Google Distributed Cloud エアギャップ 1.12.0 は、次の 2 つのオペレーティング システムをサポートしています。
    • Ubuntu 20231205
    • Rocky Linux 20231208

最新のセキュリティ パッチと重要なアップデートを適用するため、Canonical Ubuntu OS イメージのバージョンを 20231208 に更新しました。バグとセキュリティの脆弱性の修正を利用するには、各リリースで全ノードをアップグレードする必要があります。以下のセキュリティの脆弱性が修正されました。

次のコンテナ イメージのセキュリティの脆弱性が修正されました。

gcr.io/distroless/base ベースイメージをダイジェスト sha256:eda29d6da91216123f1c1841b7c7a7abe1eece155cfe8d20d2a29e5daf9ad497 に更新し、最新のセキュリティ パッチと重要な更新を適用しました。

アドオン マネージャー:

ビルドとパッケージ:

  • Golang のバージョンが 1.20 にアップグレードされました。

  • Google Distributed Cloud air-gapped 1.12.0 では、出力にソフトウェア部品構成表（SBOM）が追加され、そのような SBOM が今後公開されるようにロジックが更新されています。

  • Google Distributed Cloud air-gapped 1.12.0 では、マニフェストをアップロードするために gdch_notice_license_files tar ファイルが追加されています。

広告枠管理:

  • Google Distributed Cloud air-gapped 1.12.0 では、ハードウェア バージョン 3.0 の接続リストの検証が追加されています。
  • Google Distributed Cloud エアギャップ 1.12.0 では、コンソール サーバーの管理ポート パターンが更新され、LAN1A と LAN2A が許可されるようになりました。
  • Google Distributed Cloud air-gapped 1.12.0 では、PA850 のアクティブ モードとパッシブ モードの混乱を軽減するためのメッセージが追加されています。
  • Google Distributed Cloud air-gapped 1.12.0 は、検証でブレイクアウト カセットをサポートしています。
  • Google Distributed Cloud air-gapped 1.12.0 では、管理ファイアウォール接続への永続ファイアウォールの検証が追加されています。
  • Google Distributed Cloud air-gapped 1.12.0 では、顧客インテーク アンケート ジェネレータに OI クラスレス ドメイン間ルーティング（CIDR）プロンプトが追加されています。
  • Google Distributed Cloud air-gapped 1.12.0 では、hsm と mgmtsw の接続を検証する際のプリフライト チェックの不安定さを軽減するため、MAC アドレスが見つからないエラーに関するエラー メッセージが改善されました。

オペレーション センターの IT 組織:

  • Operations Center IT 組織の名前が次のように更新されました。

    • Operations Center（OC）は、Operations Suite Facility（OIF）に名称が変更されました。

    • OC Core は、Operations Suite Infrastructure Core Rack（OIR）に名称が変更されました。

    • Operations Center IT（OCIT）は、Operations Suite Infrastructure（OI）に名称が変更されました。

    • OCIT の名前が OI に変更されました。

    詳細については、用語をご覧ください。

  • Google Distributed Cloud air-gapped 1.12.0 では、フェイルオーバー サーバーの使用を許可するように Userlock 構成スクリプトが更新されています。

  • Google Distributed Cloud air-gapped 1.12.0 では、追加の Operations Suite Infrastructure（OI）セキュリティ グループが事前に作成され、OI システム全体できめ細かいアクセスが可能になります。

システム アーティファクト レジストリ:

  • Google Distributed Cloud エアギャップ 1.12.0 では、CLI アセットから -f（--force）ショート フラグが削除されます。

バージョンを更新:

  • Debian ベースのイメージ バージョンが bookworm-v1.0.0-gke.3 に更新されます。

Certificate Manager:

  • 組織のウェブ TLS 証明書の鍵サイズの構成を導入しました。

Database Service:

  • Oracle データベースのポイントインタイム リカバリ（PITR）をサポートします。
  • Postgres の高度な移行をサポートし、オンプレミス データベースを GDC データベース サービスで管理されるデータベースに移行します。

ロギング:

Marketplace:

  • MongoDB Enterprise Advanced（BYOL）が Google Distributed Cloud エアギャップ 1.12.0 Marketplace で利用可能になりました。
    セキュリティと効率性を高め、MongoDB データベースを制御できるようにするプロダクトとサービスのコレクションです。

オブジェクト ストレージ:

  • オブジェクト ストレージ ソフトウェアでアップグレード ファイルをホストするために必要な新しいイメージを追加しました。
  • バケットの Webhook に暗号化バージョンのラベルを追加しました。
  • オブジェクト認証情報のローテーション用の Reconciler を追加しました。

Operations Suite Infrastructure Core Services（OIC）

  • Google Distributed Cloud エアギャップ 1.12.0 は、Grafana で OIC ログを収集します。
  • Google Distributed Cloud air-gapped 1.12.0 では、Copy-BareMetalFiles.ps1 スクリプトがインストール ドキュメントから private-cloud/operations/dsc/ のスクリプトに移動しました。
プラットフォームのセキュリティ

  • ルート管理クラスタのウェブ TLS 証明書は、Google Distributed Cloud のエアギャップ内部公開鍵基盤によって発行されます。

セキュリティ コンプライアンス:

  • Google Distributed Cloud エアギャップ 1.12.0 では、セキュリティ評価に合格するために必要なポート セキュリティが導入されています。

チケット発行システム

  • ServiceNow でスケジュールされたジョブを更新し、実行時間をずらしてデータベースのスパイクを防ぎました。
  • ServiceNow のメタ モニタリング インシデントが古くなると、インフラストラクチャ オペレーターにアラートが送信されます。

アップグレード

  • インフラストラクチャ オペレーターとプラットフォーム管理者向けに、アップグレード ステータス ダッシュボードを追加しました。
  • ユーザー クラスタのアップグレードをトリガーするコマンドを追加しました。

Vertex AI:

  • サポートされているコンテナのセットで独自の予測モデルを使用してリクエストを処理するオンライン予測プレビューを追加しました。
  • 書式設定された PDF ドキュメントを直接翻訳し、翻訳で元の書式とレイアウトを保持する Document Translate のプレビューを追加しました。
  • Vertex AI Workbench JupyterLab インスタンスのホーム ディレクトリでのノートブック データのバックアップと復元のサポートが含まれています。

仮想マシン管理

  • 仮想マシンの Windows OS のサポートを追加しました。これにより、Windows VM の作成、インポート、接続が可能になります。

請求:

  • onetimeusage オブジェクトのラベルを更新する際に onetimeusage ジョブが常に失敗し、障害アラートが発生する問題を修正しました。
  • ラベルが処理済みに更新される前に、CR の費用がデータベースに書き込まれた後でジョブが再起動すると、カスタム リソース（CR）の合計費用が重複する問題を修正しました。

ハードウェア セキュリティ モジュール:

  • ハードウェア セキュリティ モジュールが ServicesNotStarted 状態と ready 状態の間で頻繁に切り替わる問題を修正しました。

ハイブリッド ID:

  • ID Pod のネットワーク構成に関する問題を修正しました。

広告枠管理:

  • ライセンス JSON テキストが複数行にわたるオブジェクト ストレージ ファイルをライセンス パーサーが解析しない問題を修正しました。
  • ハードウェア 3.0 CellCfg CableType 検証の正規表現に関する問題を修正しました。
  • ハードウェア検証にブートストラップ ノードが含まれる問題を修正しました。
  • サーバーのブートストラップ後にルート管理クラスタノードの SecureBootEnable がオフになる問題を修正しました。

Operations Suite Infrastructure Core Services（OIC）

  • Initialize-BareMetalHost.ps1 が再起動が必要であることを検出しない問題を修正しました。
  • エンタープライズ CA ルートで、オフライン CA ルートの送信用の req ファイルが発行されない問題を修正しました。
  • OIC VM の作成プロセスで Hyper-V の時刻同期が有効のままになる問題を修正しました。

チケット発行システム

  • MariaDB Audit の問題を修正しました。

アップグレード

  • IAM のアップグレード後のチェックを追加して、Identity and Access Management（IAM）アラートに関する問題を修正しました。

仮想マシン管理

  • VM をスケジュールできない場合に、VM のステータスが以前は PendingIPAllocation と表示されていた問題を修正しました。修正後、VM のステータスは ErrorUnscheduable と表示されます。
  • VM イメージのインポート オペレーションで誤ったオブジェクト ストレージ シークレットが使用される問題を修正しました。

バックアップと復元:

  • リポジトリが正常な状態でも、バックアップ リポジトリのアラートがトリガーされることがあります。

クラスタ管理:

  • クラスタのプロビジョニング中に machine-init ジョブが失敗します。

物理サーバー:

  • ルート管理クラスタの更新の進行状況がノードのアップグレード（特に NodeBIOSFirmwareUpgradeCompleted）で止まっている。

Database Service:

  • Database Service ワークロードはシステム クラスタ内で動作します。これにより、データベース ワークロードが他のデータベース インスタンスやさまざまなコントロール プレーン システムとコンピューティング インフラストラクチャを共有する可能性があります。

Harbor as a Service（HAAS）:

  • HaaS は Google Distributed Cloud エアギャップ 1.12.0 のプレビュー機能であるため、本番環境での動作は想定されていません。
    設計上、プリインストール ジョブは失敗し、サブコンポーネントが適切に調整されないため、ユーザーは HaaS を使用できません。
    HaaS サブコンポーネントが調整状態になっていることが想定されます。これは、他のコンポーネントの機能には影響しません。

ファイアウォール:

  • お客様のデプロイでは、secret.yaml ファイルの管理者ユーザー名は admin である必要がありますが、初回作成後に TO-BE-FILLED が含まれています。admin ユーザー名を使用して、ファイアウォールに最初の構成を初期化する必要があります。

ハードウェア セキュリティ モジュール:

  • 無効になったトライアル ライセンスは CipherTrust Manager で検出可能であり、誤った有効期限切れの警告がトリガーされます。
  • KMS CTMKey を削除すると、PA で予期しない動作が発生する可能性があります。たとえば、組織で KMS サービスが起動しないなどです。
  • ハードウェア セキュリティ モジュールのローテーション可能なシークレットが不明な状態です。
  • HSM 内部認証局のローテーションが停止し、完了しない。

ロギング:

モニタリング:

  • 組織の作成時に Node Exporter 証明書が準備できないことがあります。
  • ユーザー クラスタの一部の指標が収集されません。この問題は、ユーザー VM クラスタに影響しますが、システム クラスタには影響しません。
  • 構成で指標ストレージ クラスが正しく定義されていません。
  • mon-prober-backend-prometheus-config ConfigMap がリセットされ、プローブジョブが含まれなくなり、アラート MON-A0001 がトリガーされます。

ノード プラットフォーム:

  • lvm.conf ファイルが古いため、ノードのアップグレードが失敗します。

物理サーバー:

  • ルート管理クラスタの更新の進行状況がノードのアップグレード（特に NodeBIOSFirmwareUpgradeCompleted）で止まっている。
  • サーバーを手動でインストールすると、サーバーのインストールが停止することがあります。

アップグレード:

  • NodeOSInPlaceUpgradeCompleted のノードのアップグレードが失敗します。
  • スイッチのアップグレードでコマンド install add bootflash://.. の実行に失敗する
  • システム クラスタ内の複数の Pod が TaintToleration 状態のままになることがあります。

上位ネットワーキング:

  • ユーザー VM クラスタが FailedCreatePodSandBox 警告とともに ContainerCreating 状態のまま停止します。

Vertex AI:

  • MonitoringTarget は、ユーザー クラスタの作成時に Not Ready ステータスを表示するため、事前トレーニング済みの API はユーザー インターフェースで Enabling 状態を継続的に表示します。

VM バックアップと復元:

  • VM マネージャーのロールベース アクセス制御（RBAC）とスキーマ設定により、ユーザーが VM のバックアップと復元プロセスを開始できません。
  • ディスク容量の不足と obj ストレージ プロキシ レスポンスのタイムアウトにより、VM イメージのインポートがイメージ変換ステップで失敗します。

SIEM:

  • OCLCM の事前インストール ジョブが、フィーチャー ゲートのチェックで繰り返し失敗します。

パフォーマンス:

  • Google Distributed Cloud エアギャップ 1.12.0 では、provision key ベンチマークを実行する機能が非推奨になりました。