Google Distributed Cloud mit Air Gap 1.13.1 – Versionshinweise

28. Juni 2024

Google Distributed Cloud (GDC) mit Air Gap 1.13.1 ist verfügbar.
Weitere Informationen zu den Funktionen von Distributed Cloud finden Sie in der Produktübersicht.

Die Version des Canonical Ubuntu-Betriebssystem-Image wurde auf 20240515 aktualisiert, um die neuesten Sicherheitspatches und wichtigen Updates anzuwenden. Damit Sie die Fehlerkorrekturen und Sicherheitslückenbehebungen nutzen können, müssen Sie alle Knoten mit jeder Version aktualisieren. Die folgenden Sicherheitslücken wurden behoben:

Die Rocky OS-Imageversion wurde auf 20240506 aktualisiert, um die neuesten Sicherheitspatches und wichtigen Updates anzuwenden. Die folgenden Sicherheitslücken wurden behoben:

Die folgenden Sicherheitslücken in Container-Images wurden behoben:

Es wurde eine Sicherheitslücke bei Datenbanken behoben, die als Container im Systemcluster ausgeführt werden.

Abrechnung:

  • Beim Erstellen einer Organisation kann die Partnerabrechnung aktiviert werden, damit Google den Partner direkt in Rechnung stellen kann.

Clusterverwaltung:

Benutzerdefinierte IP-Adressierung:

  • Es wurde die Möglichkeit hinzugefügt, die IP-Adresse zu überschreiben, die Organisationen zugewiesen ist, um Direct Connect-Interconnect-Funktionen (DX) zu aktivieren.

Database Service (Datenbankdienst):

  • Es wurde ein wichtiges Upgrade hinzugefügt, um die Sicherheit und Zuverlässigkeit zu verbessern. Alle Datenbankarbeitslasten werden jetzt im Servicecluster ausgeführt. Für dieses Upgrade müssen vorhandene Datenbanken entfernt werden. Um Ihre Daten zu schützen, sollten Sie vor dem Upgrade alle vorhandenen Datenbankcluster exportieren und löschen. Informationen zum Exportieren und Importieren von Daten finden Sie in der Dokumentation zum Datenbankdienst.
  • Es wurde eine Funktion für AlloyDB hinzugefügt, die Hochverfügbarkeit (HA) in derselben Zone unterstützt.
  • AlloyDB unterstützt jetzt die Funktionen für Sicherung, Wiederherstellung und Wiederherstellung zu einem bestimmten Zeitpunkt.
  • AlloyDB unterstützt jetzt den Datenimport, ‑export und erweiterte Migrationsfunktionen.

Dynamische Erweiterung:

  • Fügen Sie mit der dynamischen Erweiterung zusätzliche Rechen- und Speicherressourcen hinzu, ohne dass eine erneute Bereitstellung erforderlich ist. In GDC-Versionen vor 1.13.1 konnte Hardware nur bei einer erneuten Bereitstellung hinzugefügt werden. Diese Art der Erweiterung wird als statische Erweiterung bezeichnet.

Harbor-as-a-Service:

  • Harbor-as-a-Service (HaaS) wurde hinzugefügt. Dies ist ein vollständig verwalteter Dienst, mit dem Container-Images mit Harbor gespeichert und verwaltet werden.

Maschinentypen:

Marketplace:

  • Die Konfiguration von Marketplace-Diensten kann jetzt angepasst werden.
  • Starburst Enterprise (BYOL) ist auf dem Air-Gap-Marktplatz verfügbar. Starburst Enterprise bietet eine schnelle, skalierbare, verteilte MPP-SQL-Engine für Ihr Data Lakehouse mit Abfrageföderation für viele andere Datenquellen.

  • Prisma Cloud Compute Edition von Palo Alto Networks (BYOL) ist auf dem Air-Gap-Marktplatz verfügbar. Die Prisma Cloud Compute Edition von Palo Alto Networks bietet modernen Schutz für verteilte Anwendungen.

Bereitstellungen in mehreren Zonen:

  • Die Multi-Zone-Funktion wurde hinzugefügt, die cloudähnliche Hochverfügbarkeit und Notfallwiederherstellung als Dienst bietet, um die Verwaltung von Ressourcen in GDC-Zonen zu vereinfachen. Funktionen für die Bereitstellung in mehreren Zonen sind als Vorabversion verfügbar.

Public Key Infrastructure:

  • Beim Ausstellen von Webzertifikaten können Sie nach der Erstellung der Organisation verschiedene PKI-Modi konfigurieren. Zu den konfigurierbaren Modi gehören „Infra PKI Fully Managed“, „BYO-SubCA“, „BYO-Cert with ACME“ und „BYO-Cert“.

Objektspeicher:

  • Das Feld „Bucket“ Spec.location wurde hinzugefügt, um die Zone anzugeben, in der sich die Objekte befinden. Wenn bei der Bucket-Erstellung kein Wert angegeben wird, wird das Feld automatisch mit dem Namen der Zone ausgefüllt, in der der Bucket erstellt wird. Bei vorhandenen Buckets wird das Feld automatisch mit dem Namen der Zone ausgefüllt, in der sie sich befinden.

Virtuelle Maschinen (VMs):

Vertex AI:

VPN:

Artifact Registry:

  • Beim Erstellen des Root-Administratorclusters kann der Vorgang fehlschlagen, wenn beim Bootstrapping eine lange Liste von Servern vorhanden ist.

Sichern und wiederherstellen:

  • Der Versuch, eine Sicherung in einem Nutzercluster mit Kontingentbeschränkungen wiederherzustellen, schlägt fehl.

Abrechnung:

  • Abrechnungsmesswerte werden aufgrund des fehlenden MetricsProxySidecar nicht korrekt an Cortex gesendet.

Blockspeicher:

  • Launcher-Pods für virtuelle Maschinen können keine Volumes zuordnen.
  • Speicherbezogene Fehler können das System unbrauchbar machen.
  • Nichtflüchtige Volumes werden mit einer falschen Größe erstellt.
  • Wenn eine Organisation deaktiviert wird, kann es Probleme beim Löschen einer StorageVirtualMachine geben.
  • Secrets und Zertifikate werden nach der Deaktivierung einer Organisation nicht bereinigt.
  • Ein Fehler beim Abgleich von Löschvorgängen kann in StorageVirtualMachine auftreten.
  • Ansible-Jobs bleiben während des Bare-Metal-Upgrades hängen.

Clusterverwaltung:

  • Der Job machine-init schlägt während der Clusterbereitstellung fehl.
  • Die Verbindung für einen Datenbank-Pod, der im Dienstcluster ausgeführt wird, zu einem Objektspeicher-Bucket im Administratorcluster der Organisation schlägt fehl.
  • Die Preflight-Prüfung schlägt fehl.
  • Nutzercluster, die neu erstellt werden, bleiben möglicherweise im Abgleich hängen.

Database Service (Datenbankdienst):

  • Bei nutzerorientierten Datenbanken dauert die Erstbereitstellung, Größenänderung oder Aktivierung von HA in einem vorhandenen Datenbankcluster bis zu 40 Minuten länger als zuvor. Die Leistung ist zwei- bis dreimal langsamer als zuvor.
  • Der Datenbankdienstklon funktioniert aufgrund eines Problems mit der Sicherung und Wiederherstellung nicht für einen Cluster mit eingeschränktem Speicherkontingent.
  • Die Durchsetzung von IOPS kann sich auf die Speicherleistung auswirken.

DNS:

  • DNSSEC muss in resolved.conf explizit deaktiviert werden.

Hafen:

  • Wenn Sie Harbor-Instanzen löschen, werden die zugehörigen Registry-Spiegelungen nicht gelöscht. Der Knotenpool befindet sich möglicherweise im Status Provisioning.

Hardware-Sicherheitsmodul:

  • Deaktivierte Testlizenzen sind in CipherTrust Manager weiterhin erkennbar, was zu falschen Ablaufwarnungen führt.
  • Ein Leck bei einem Dateideskriptor führt zu einem ServicesNotStarted-Fehler.

Infrastruktur als Code (Infrastructure as Code, IAC):

  • Wenn zu viele GitLab-Tokens erstellt werden, besteht das Risiko, dass die GitLab-Datenbanken voll werden.

Key Management Service (KMS):

  • Wenn die kms-rootkey-controller-Arbeitsspeichernutzung das 600Mi-Limit überschreitet, wechselt der Controller aufgrund des Status OOMKilled in den Status CrashLoopBackOff.

Logging:

  • Der Objekt-Storage-Audit-Logger kann den DNS-Host nicht auflösen.

Monitoring:

  • Im Dashboard werden keine Vertex AI-Messwerte angezeigt.
  • Für den Pod mon-cortex ist ein Abgleichsfehler aufgetreten.
  • Der metrics-server-exporter-Pod im Systemcluster befindet sich in einer Crash-Schleife.
  • Die mon-prober-backend-prometheus-config-ConfigMap wird zurückgesetzt und enthält keine Probe-Jobs mehr. Die Benachrichtigung MON-A0001 wird ausgelöst.
  • Nachdem Sie den Monitoring-Dienst so konfiguriert haben, dass er Benachrichtigungen sendet, werden automatisch mehrere doppelte Benachrichtigungen erstellt.
  • Das ObservabilityPipeline-Objekt enthält Reconciler error-Logs, die Sie ignorieren müssen.

Bootstrap für mehrere Zonen:

  • Es gibt keine spezifischen Rollen für das Bootstrapping von Multi-Zonen-Bereitstellungen.
  • Die erstellte Bootstrap-Ressource ist nicht mit der Logik kompatibel, die sie verarbeitet.
  • Eine erforderliche Ressource wird während des Bootstrapping nicht erstellt, sodass Komponenten, die auf diese Ressource angewiesen sind, nicht richtig funktionieren.

Netzwerk:

  • Der Knoten ist nicht erreichbar.
  • Es gibt Verbindungsprobleme mit Database Service-Instanzen.
  • Knoten wird keine PodCIDR zugewiesen, obwohl eine ClusterCIDRConfig erstellt wurde.
  • Ein VM-Knoten hat eine abweichende oder ungenaue Zeit.
  • Die generierten Peering-IP-Adressen für die EVPN-Interconnect-Sitzung mit mehreren Zonen sind falsch.
  • Der Knoten ist im Datennetzwerk nicht erreichbar.

Objektspeicher:

  • Das Löschen einer Organisation ist möglicherweise nicht erfolgreich.

Betriebssystem:

  • In seltenen Fällen bleiben Pods auf einem bestimmten Knoten im Status init hängen.
  • Der bm-system-machine-preflight-check-Ansible-Job für einen Bare-Metal- oder VM-Knoten schlägt mit Either ip_tables or nf_tables kernel module must be loaded fehl.

Operations Suite Infrastructure (OI):

  • Bei Hardware 3.0 ist der Start von Smart Storage Administration (SSA) nicht mehr erforderlich.

Perimetersicherheit:

  • Der Organisationssystemcluster bleibt während des Organisations-Bootstrapping hängen.
  • Die PANW-Firewall AddressGroups wird nicht mit den OCIT-Änderungen cidr-claim aktualisiert, was zu nicht auflösbaren iac.gdch.domain.example-Domains führt.

Plattformsicherheit:

  • Wenn im PKI BYO SubCA-Modus eine neue Zertifikatsignierungsanfrage (Certificate Signing Request, CSR) generiert wird, während ein zuvor signiertes Zertifikat in die SubCA hochgeladen wird, prüft der Abgleich nicht, ob die neue CSR mit dem alten signierten Zertifikat übereinstimmt, und markiert die benutzerdefinierte Ressource (Custom Resource, CR) cert-manager CertificateRequest als Ready. Dies geschieht bei der Erneuerung oder manuellen Rotation von untergeordneten CA-Zertifikaten.
  • Ein bekanntes Problem in cert-manager führt dazu, dass die Ausstellung von PKI-BYO-Zertifikaten (Bring Your Own) mit Automated Certificate Management Environment (ACME) fehlschlägt.

Physische Server:

  • Der Server hängt im Status provisioning fest.
  • Das Server-Bootstrapping schlägt aufgrund von POST-Problemen auf dem HPE-Server fehl.
  • Der Server hängt im Bereitstellungsstatus fest.

Resource Manager:

  • Der Status eines Projekts wird nicht in der GDC-Konsole angezeigt.

Upgrade:

  • Der bm-system-Job und andere Jobs, die das Ansible-Playbook ausführen, bleiben bei gathering facts hängen.
  • Die Verwaltungs-IP-Adresse eines Servers ist während des Upgrades nicht erreichbar.
  • Das Upgrade schlägt in der Unterkomponente iac-zoneselection-global fehl.

Vertex AI:

  • Die MonitoringTarget zeigt den Status Not Ready an, wenn Nutzercluster erstellt werden. Dadurch wird in der Benutzeroberfläche für vortrainierte APIs fortlaufend der Status Enabling angezeigt.
  • Die Initialisierung des Translation-Frontend-Pods und -Dienstes schlägt fehl, weil das ODS-Systemcluster-Secret veraltet ist.

Virtuelle Maschinen:

  • Der BYO-Image-Import schlägt für qcow2- und RAW-Images fehl.
  • Die Bereitstellung eines Laufwerks aus einem benutzerdefinierten Image schlägt fehl.
  • Beim Upgrade des Objektspeichers wird während der Postflight- oder Preflight-Prüfung ein Fehler angezeigt.

Abrechnung:

  • Ein Problem wurde behoben, bei dem beim Job zum Generieren von Rechnungen keine benutzerdefinierte Rechnungsressource erstellt wurde, weil der Name GDCH_INTERNAL ungültig war.

Netzwerk:

  • Ein Problem wurde behoben, bei dem das Upgrade aufgrund einer fehlgeschlagenen Generierung der benutzerdefinierten Ressource hairpinlink fehlgeschlagen ist.
  • Auf der Seite für die Netzwerkeinrichtung wird der Fehler „Got error on getting port speed“ (Fehler beim Abrufen der Portgeschwindigkeit) angezeigt.

Add-on Manager:

Versionsupdate:

  • Die Debian-basierte Image-Version wurde auf „bookworm-v1.0.1-gke.1“ aktualisiert.

Operations Suite Infrastructure (OI):

  • Das Konto Marvin für die OI-Infrastruktur, das für die Konfigurationsverwaltung in der OI-Infrastrukturumgebung verwendet wird, hat eine Ablaufzeit von 60 Tagen.