Notas de lançamento do Google Distributed Cloud air-gapped

16 de fevereiro de 2024 [GDC 1.12.0]

  • O Google Distributed Cloud air-gapped 1.12.0 já está disponível.
    Consulte a vista geral do produto para saber mais sobre as funcionalidades do Google Distributed Cloud air-gapped.
  • O Google Distributed Cloud air-gapped 1.12.0 suporta dois sistemas operativos:
    • Ubuntu 20231205
    • Rocky Linux 20231208

Atualizou a versão da imagem do SO Ubuntu canónico para 20231208 para aplicar os patches de segurança mais recentes e atualizações importantes. Para tirar partido das correções de erros e vulnerabilidades de segurança, tem de atualizar todos os nós com cada lançamento. As seguintes vulnerabilidades de segurança foram corrigidas:

As seguintes vulnerabilidades de segurança de imagens de contentores foram corrigidas:

A imagem base do gcr.io/distroless/base foi atualizada para o resumo sha256:eda29d6da91216123f1c1841b7c7a7abe1eece155cfe8d20d2a29e5daf9ad497, de modo a aplicar os patches de segurança mais recentes e atualizações importantes.

Gestor de suplementos:

Crie e embale:

  • A versão do Golang é atualizada para 1.20.

  • O Google Distributed Cloud air-gapped 1.12.0 adiciona listas de materiais de software (SBOMs) adicionais ao resultado e atualiza a lógica para garantir que essas SBOMs são publicadas no futuro.

  • O Google Distributed Cloud air-gapped 1.12.0 adiciona ficheiros gdch_notice_license_files tar para carregar manifestos.

Gestão de inventários:

  • O Google Distributed Cloud air-gapped 1.12.0 adiciona validações para fichas de ligação da versão de hardware 3.0.
  • O Google Distributed Cloud air-gapped 1.12.0 atualiza o padrão da porta de gestão do servidor da consola para permitir LAN1A e LAN2A.
  • O Google Distributed Cloud air-gapped 1.12.0 adiciona uma mensagem para mitigar a confusão dos modos ativo e passivo do PA850.
  • O Google Distributed Cloud air-gapped 1.12.0 suporta uma cassete de separação na validação.
  • O Google Distributed Cloud air-gapped 1.12.0 adiciona a validação da firewall permanente à ligação da firewall de gestão.
  • O Google Distributed Cloud air-gapped 1.12.0 adiciona um comando CIDR (Classless Inter-Domain Routing) de OI ao gerador do questionário de admissão de clientes.
  • O Google Distributed Cloud air-gapped 1.12.0 melhora uma mensagem de erro na falha de falta de endereço MAC para mitigar a instabilidade da verificação prévia ao validar a ligação hsm e mgmtsw.

Organização de TI do centro de operações:

  • A organização de TI do centro de operações tem as seguintes atualizações de nomes:

    • O nome do centro de operações (OC) foi alterado para instalações da Operations Suite (OIF).

    • O OC Core mudou de nome para Operations Suite Infrastructure Core Rack (OIR).

    • O centro de operações de TI (OCIT) mudou de nome para infraestrutura da Operations Suite (OI).

    • O OCIT mudou de nome para OI.

    Para mais informações, consulte o artigo Terminologia.

  • O Google Distributed Cloud air-gapped 1.12.0 atualiza o script de configuração do Userlock para permitir a utilização de um servidor de alternativa.

  • O Google Distributed Cloud air-gapped 1.12.0 pré-cria grupos de segurança da infraestrutura do Operations Suite (OI) adicionais para permitir o acesso detalhado nos sistemas do OI.

Registo de artefactos do sistema:

  • O Google Distributed Cloud air-gapped 1.12.0 remove o sinalizador curto -f (--force) dos recursos da CLI.

Atualização da versão:

  • A versão da imagem baseada no Debian é atualizada para bookworm-v1.0.0-gke.3.

Gestor de certificados:

  • Foi introduzida a configuração do tamanho da chave num certificado web-tls para organizações.

Serviço de base de dados:

  • Suporte para recuperação num determinado momento (PITR) para as respetivas bases de dados Oracle.
  • Suporte para a migração avançada do Postgres para migrar bases de dados nas instalações para bases de dados geridas pelo serviço de base de dados do GDC.

Registo:

Marketplace:

  • O MongoDB Enterprise Advanced (BYOL) já está disponível no Google Distributed Cloud air-gapped 1.12.0 Marketplace.
    É uma coleção de produtos e serviços que promovem a segurança e a eficiência, e permitem-lhe controlar as suas bases de dados MongoDB.

Armazenamento de objetos:

  • Foi adicionada uma nova imagem necessária para alojar ficheiros de atualização no software de armazenamento de objetos.
  • Foi adicionada uma etiqueta de versão de encriptação aos webhooks de contentores.
  • Foi adicionado um reconciliador para a rotação de credenciais de objetos.

Serviços principais de infraestrutura da Operations Suite (OIC)

  • O Google Distributed Cloud air-gapped 1.12.0 recolhe registos OIC no Grafana.
  • O Google Distributed Cloud air-gapped 1.12.0 move o script Copy-BareMetalFiles.ps1 da documentação de instalação para scripts em private-cloud/operations/dsc/.
Segurança da plataforma

  • Um certificado TLS Web para um cluster de administrador principal é emitido pela infraestrutura de chave pública interna isolada do Google Distributed Cloud.

Conformidade com a segurança:

  • O Google Distributed Cloud air-gapped 1.12.0 introduz a segurança de portas necessária para passar numa avaliação de segurança.

Sistema de emissão de bilhetes

  • Atualizou as tarefas agendadas no ServiceNow para escalonar a respetiva execução e evitar picos na base de dados.
  • O operador de infraestrutura recebe um alerta quando um incidente de metamonitorização no ServiceNow está desatualizado.

Atualize

  • Foi adicionado o painel de controlo Estado da atualização para operadores de infraestrutura e administradores da plataforma.
  • Foi adicionado um comando para acionar a atualização do cluster de utilizadores.

Vertex AI:

  • Foi adicionada a pré-visualização de previsões online para publicar pedidos através dos seus próprios modelos de previsão num conjunto de contentores suportados.
  • Foi adicionada a pré-visualização da tradução de documentos para traduzir documentos PDF formatados diretamente e preservar a formatação e o esquema originais nas traduções.
  • Foi incluída compatibilidade para fazer cópias de segurança e restaurar dados de blocos de notas no diretório inicial das instâncias do JupyterLab do Vertex AI Workbench.

Gestão de máquinas virtuais

  • Foi adicionado o suporte do SO Windows para máquinas virtuais, para criar, importar e estabelecer ligação a uma VM do Windows.

Faturação:

  • Foi corrigido o problema em que a tarefa onetimeusage falhava sempre ao atualizar as etiquetas no objeto onetimeusage, o que provocava alertas de falha.
  • Foi corrigido o problema que fazia com que o custo agregado de um recurso personalizado (CR) fosse duplicado quando a tarefa era reiniciada após a gravação do custo do CR na base de dados, antes da atualização da etiqueta para processado.

Módulo de segurança de hardware:

  • Foi corrigido o problema que fazia com que o módulo de segurança de hardware alternasse frequentemente entre os estados ServicesNotStarted e ready.

Identidade híbrida:

  • Corrigimos o problema com a configuração de rede nos pods de identidade.

Gestão de inventários:

  • Foi corrigido o problema com o analisador de licenças que não analisava ficheiros de armazenamento de objetos cujo texto JSON de licença se estendia por várias linhas.
  • Foi corrigido o problema com a expressão regular de validação de CellCfg CableType do hardware 3.0.
  • Foi corrigido o problema com a inclusão do nó do programa de arranque na validação de hardware.
  • Foi corrigido o problema em que o nó do cluster de administrador principal tinha o SecureBootEnable desativado após o arranque do servidor.

Serviços principais de infraestrutura da Operations Suite (OIC)

  • Corrigido o problema em que o Initialize-BareMetalHost.ps1 não detetava que era necessário reiniciar.
  • Foi corrigido o problema com uma raiz de AC empresarial que não emitia um ficheiro req para envio para uma raiz de AC offline.
  • Foi corrigido o problema em que o processo de criação da VM do OIC deixava a sincronização de tempo do Hyper-V ativada.

Sistema de emissão de bilhetes

  • Foi corrigido um problema de auditoria do MariaDB.

Atualize

  • Corrigimos o problema com os alertas da gestão de identidade e de acesso (IAM) adicionando verificações de pós-atualização da IAM.

Gestão de máquinas virtuais

  • Corrigido o problema com o estado da VM que era apresentado como PendingIPAllocation se não fosse possível agendar a VM. Após a correção, o estado da VM é apresentado como ErrorUnscheduable.
  • Foi corrigido o problema com o segredo de armazenamento de objetos incorreto que estava a ser usado nas operações de importação de imagens de VMs.

Cópia de segurança e restauro:

  • Os alertas para um repositório de cópias de segurança podem ser acionados mesmo quando o repositório está em bom estado.

Gestão de clusters:

  • A tarefa machine-init falha durante o aprovisionamento do cluster.

Servidores físicos:

  • O progresso da atualização do cluster de administrador principal está bloqueado na atualização do nó, especificamente em NodeBIOSFirmwareUpgradeCompleted.

Serviço de base de dados:

  • As cargas de trabalho do serviço de base de dados operam no cluster do sistema, o que pode resultar na partilha da infraestrutura de computação das cargas de trabalho da base de dados com outras instâncias da base de dados e vários sistemas do plano de controlo.

Harbor as a service (HAAS):

  • Como é uma funcionalidade de pré-visualização do Google Distributed Cloud air-gapped 1.12.0, não se espera que o HaaS funcione em ambientes de produção.
    A tarefa de pré-instalação falha intencionalmente para impedir a conciliação adequada dos subcomponentes, o que impede os utilizadores de usarem o HaaS.
    É esperado encontrar subcomponentes de HaaS no estado de conciliação, o que não afeta a funcionalidade de outros componentes.

Firewall:

  • Durante a implementação do cliente, o nome de utilizador do administrador do ficheiro secret.yaml tem de ser admin e, em vez disso, contém TO-BE-FILLED após a primeira criação. O nome de utilizador admin tem de ser usado para inicializar a primeira configuração na firewall.

Módulo de segurança de hardware:

  • As licenças de avaliação desativadas continuam detetáveis no CipherTrust Manager, o que aciona avisos de expiração falsos.
  • Quando elimina um KMS CTMKey, o PA pode deparar-se com comportamentos inesperados, incluindo o serviço KMS não ser iniciado para a organização.
  • Um segredo rotativo para módulos de segurança de hardware está num estado desconhecido.
  • As rotações da autoridade de certificação interna do HSM ficam bloqueadas e não são concluídas.

Registo:

Monitorização:

  • Os certificados do Node Exporter podem não ficar prontos quando cria uma organização.
  • Algumas métricas dos clusters de utilizadores não são recolhidas. Este problema afeta os clusters de VMs de utilizador, mas não o cluster do sistema.
  • A classe de armazenamento de métricas está definida incorretamente na configuração.
  • O ConfigMap mon-prober-backend-prometheus-config é reposto para não incluir tarefas de sondagem e o alerta MON-A0001 é acionado.

Plataforma de nós:

  • A atualização do nó falha devido a um ficheiro lvm.conf desatualizado.

Servidores físicos:

  • O progresso da atualização do cluster de administrador principal está bloqueado na atualização do nó, especificamente em NodeBIOSFirmwareUpgradeCompleted.
  • Quando instala um servidor manualmente, a instalação do servidor pode ficar bloqueada.

Atualizar:

  • A atualização do nó falha para NodeOSInPlaceUpgradeCompleted.
  • A mudança de atualização não consegue executar o comando install add bootflash://..
  • Vários pods num cluster do sistema podem ficar bloqueados no estado TaintToleration.

Redes superiores:

  • Um cluster de VMs de utilizador fica bloqueado no estado ContainerCreating com o aviso FailedCreatePodSandBox.

Vertex AI:

  • O MonitoringTarget mostra um estado Not Ready quando estão a ser criados clusters de utilizadores, o que faz com que as APIs pré-preparadas mostrem continuamente um estado Enabling na interface do utilizador.

Cópia de segurança e restauro de VMs:

  • O controlo de acesso baseado em funções (RBAC) e as definições de esquema no gestor de VMs impedem que os utilizadores iniciem processos de cópia de segurança e restauro de VMs.
  • A importação da imagem da VM falha no passo de tradução da imagem devido ao tamanho do disco insuficiente e ao limite de tempo na resposta do proxy de armazenamento de objetos.

SIEM:

  • As tarefas de pré-instalação do OCLCM falham repetidamente na verificação do Feature Gate.

Desempenho:

  • O Google Distributed Cloud air-gapped 1.12.0 descontinua a capacidade de executar testes de referência provision key.