Google Distributed Cloud エアギャップ 1.13.1 リリースノート

2024 年 6 月 28 日

Google Distributed Cloud（GDC）エアギャップ 1.13.1 が利用可能になりました。
Distributed Cloud の機能については、プロダクトの概要をご覧ください。

Canonical Ubuntu OS イメージのバージョンを 20240515 に更新し、最新のセキュリティ パッチと重要なアップデートを適用しました。 バグとセキュリティの脆弱性の修正を利用するには、各リリースで全ノードをアップグレードする必要があります。 以下のセキュリティの脆弱性が修正されました。

最新のセキュリティ パッチと重要なアップデートを適用するために、Rocky OS イメージ バージョンを 20240506 に更新しました。以下のセキュリティの脆弱性が修正されました。

次のコンテナ イメージのセキュリティの脆弱性が修正されました。

システム クラスタでコンテナとして実行されているデータベースの脆弱性を修正しました。

請求:

  • 組織の作成時にパートナーの請求を有効にして、Google がパートナーに直接請求できるようにする機能を追加しました。

クラスタ管理:

カスタム IP アドレス指定:

  • 組織に割り当てられた IP アドレスをオーバーライドして、Direct Connect（DX）Interconnect 機能を有効にする機能を追加しました。

Database Service:

  • セキュリティと信頼性を向上させるためのメジャー アップグレードを追加しました。すべてのデータベース ワークロードがサービス クラスタで実行されるようになりました。このアップグレードでは、既存のデータベースを削除する必要があります。データを保護するには、アップグレードの前に既存のデータベース クラスタをすべてエクスポートして削除してください。データのエクスポートとインポートの方法については、データベース サービスのドキュメントをご覧ください。
  • AlloyDB で同じゾーンの高可用性（HA）をサポートする機能を追加しました。
  • AlloyDB でバックアップ、復元、ポイントインタイム リカバリの機能をサポートする機能を追加しました。
  • AlloyDB でデータ インポート、エクスポート、高度な移行機能をサポートする機能を追加しました。

動的拡大:

  • 再デプロイを完了することなく、動的拡張でコンピューティング リソースとストレージ リソースを追加します。1.13.1 より前の GDC バージョンでは、再デプロイ時にのみハードウェアを追加できました。このタイプの拡張は静的拡張と呼ばれます。

Harbor-as-a-Service:

  • Harbor を使用してコンテナ イメージを保存および管理するフルマネージド サービスである Harbor-as-a-Service（HaaS）が追加されました。

マシンタイプ:

Marketplace:

  • Marketplace サービスのカスタマイズ可能な構成を導入しました。
  • Starburst Enterprise（BYOL）は、エアギャップ マーケットプレイスで利用できます。Starburst Enterprise は、データ レイクハウスに高速でスケーラブルな分散 MPP SQL エンジンを提供し、他の多くのデータソースへのクエリ フェデレーションを実現します。

  • Palo Alto Networks の Prisma Cloud Compute Edition（BYOL）は、エアギャップ マーケットプレイスで利用できます。Palo Alto Networks の Prisma Cloud Compute Edition は、分散アプリケーションに最新の保護機能を提供します。

マルチゾーン デプロイ:

  • マルチゾーン機能を追加しました。これにより、クラウドのような高可用性と障害復旧機能をサービスとして提供し、GDC ゾーン間のリソース管理を簡素化します。マルチゾーン デプロイ機能はプレビュー版です。

公開鍵基盤:

  • ウェブ証明書を発行するときに、組織の作成後にさまざまな PKI モードを構成できます。構成可能なモードには、Infra PKI フルマネージド、BYO-SubCA、ACME を使用した BYO-Cert、BYO-Cert があります。

オブジェクト ストレージ:

  • バケット Spec.location フィールドを追加して、オブジェクトが配置されているゾーンを指定しました。バケットの作成時に値が指定されていない場合、バケットが作成されるゾーンの名前が自動的に入力されます。既存のバケットのフィールドには、バケットが存在するゾーンの名前が自動的に入力されます。

仮想マシン（VM）:

Vertex AI:

VPN:

Artifact Registry:

  • ルート管理クラスタの作成時に、ブートストラップ時にサーバーのリストが長いと、オペレーションが失敗することがあります。

バックアップと復元:

  • 割り当てが制限されているユーザー クラスタにバックアップを復元しようとすると失敗します。

請求:

  • MetricsProxySidecar がないため、課金指標が cortex に正しく出力されません。

ブロック ストレージ:

  • 仮想マシン ランチャー Pod がボリュームをマッピングできない。
  • ストレージ関連の障害が発生すると、システムが使用できなくなる可能性があります。
  • 永続ボリュームが間違ったサイズで作成される。
  • 組織が無効になっている場合、StorageVirtualMachine の削除で問題が発生することがあります。
  • 組織を無効にしても、シークレットと証明書はクリーンアップされません。
  • 削除の調整エラーは StorageVirtualMachine で発生する可能性があります。
  • ベアメタル アップグレード中に Ansible ジョブが停止します。

クラスタ管理:

  • クラスタのプロビジョニング中に machine-init ジョブが失敗します。
  • サービス クラスタで実行されているデータベース Pod から組織管理クラスタのオブジェクト ストレージ バケットへの接続が失敗します。
  • プリフライト チェックが失敗します。
  • 再作成されたユーザー クラスタが調整で停止することがあります。

Database Service:

  • ユーザー向けデータベースの場合、初期プロビジョニング、サイズ変更、既存のデータベース クラスタでの HA の有効化に、以前より最大 40 分長くかかり、パフォーマンスは以前の 2 ～ 3 倍遅くなります。
  • バックアップと復元の問題により、データベース サービスのクローンはストレージ割り当てが制限されたクラスタでは機能しません。
  • Iops の適用は、ストレージのパフォーマンスに影響する可能性があります。

DNS:

  • DNSSEC は resolved.conf で明示的にオフにする必要があります。

Harbor:

  • Harbor インスタンスを削除しても、関連付けられたレジストリ ミラーは削除されません。ノードプールが Provisioning 状態のままになっている可能性があります。

ハードウェア セキュリティ モジュール:

  • 無効になったトライアル ライセンスは CipherTrust Manager で検出可能であり、誤った有効期限切れの警告がトリガーされます。
  • ファイル記述子のリークにより、ServicesNotStarted エラーが発生します。

Infrastructure as Code（IAC）:

  • GitLab トークンが過剰に作成されると、GitLab データベースが満杯になる可能性があります。

Key Management Service（KMS）:

  • kms-rootkey-controller メモリ使用量が 600Mi 上限を超えると、コントローラは OOMKilled ステータスにより CrashLoopBackOff に入ります。

ロギング:

  • オブジェクト ストレージ監査ロガーが DNS ホストを解決できません。

モニタリング:

  • ダッシュボードに Vertex AI 指標が表示されない。
  • mon-cortex Pod に調整エラーがあります。
  • システム クラスタの metrics-server-exporter Pod がクラッシュ ループしています。
  • mon-prober-backend-prometheus-config ConfigMap がリセットされ、プローブジョブが含まれなくなり、アラート MON-A0001 がトリガーされます。
  • アラートを送信するようにモニタリング サービスを構成すると、複数の重複アラートが自動的に作成されます。
  • ObservabilityPipeline オブジェクトには、無視する必要がある Reconciler error ログが表示されます。

マルチゾーン ブートストラップ:

  • マルチゾーン デプロイのブートストラップに固有のロールはありません。
  • 作成された Bootstrap リソースは、それを処理するロジックと互換性がありません。
  • ブートストラップ中に必要なリソースが作成されず、このリソースに依存するコンポーネントが正しく機能しません。

ネットワーキング:

  • ノードにアクセスできません。
  • Database Service インスタンスへの接続に関する問題があります。
  • ClusterCIDRConfig が作成されているにもかかわらず、PodCIDR がノードに割り当てられていません。
  • VM ノードの時刻がずれているか、不正確です。
  • 生成されるマルチゾーン EVPN 相互接続セッション ピアリング IP アドレスが正しくありません。
  • データ ネットワークでノードに到達できません。

オブジェクト ストレージ:

  • 組織の削除が成功しないことがあります。

オペレーティング システム:

  • まれに、特定のノードで Pod が init 状態のままになることがあります。
  • ベアメタルまたは VM ノードの bm-system-machine-preflight-check Ansible ジョブが Either ip_tables or nf_tables kernel module must be loaded で失敗します。

オペレーション スイート インフラストラクチャ（OI）:

  • Hardware 3.0 では、Launch Smart Storage Administration（SSA）は不要になりました。

境界セキュリティ:

  • 組織のブートストラップ中に組織システム クラスタが停止します。
  • PANW ファイアウォール AddressGroups は OCIT cidr-claim の変更で更新されないため、解決できない iac.gdch.domain.example ドメインが発生します。

プラットフォームのセキュリティ:

  • PKI BYO SubCA モードで、以前に署名された証明書が SubCA にアップロードされている間に新しい証明書署名リクエスト（CSR）が生成されると、リコンサイラは新しい CSR が古い署名済み証明書と一致するかどうかを確認せず、cert-manager CertificateRequest カスタム リソース（CR）を Ready としてマークします。これは、SubCA 証明書の更新または手動ローテーション中に発生します。
  • cert-manager の既知の問題により、自動証明書管理環境（ACME）で PKI 独自の（BYO）証明書を発行できません。

物理サーバー:

  • サーバーが provisioning 状態のままになります。
  • HPE サーバーの POST の問題により、サーバーのブートストラップが失敗します。
  • サーバーがプロビジョニング状態で停止しています。

Resource Manager:

  • プロジェクトのステータスが GDC コンソールに表示されません。

アップグレード:

  • bm-system と、Ansible Playbook を実行している他のジョブが gathering facts で停止しています。
  • アップグレード中にサーバーの管理 IP にアクセスできない。
  • アップグレードは iac-zoneselection-global サブコンポーネントで失敗します。

Vertex AI:

  • MonitoringTarget は、ユーザー クラスタの作成時に Not Ready ステータスを表示するため、事前トレーニング済みの API はユーザー インターフェースで Enabling 状態を継続的に表示します。
  • ODS システム クラスタ シークレットが古いため、Translation フロントエンド Pod とサービスが初期化に失敗します。

仮想マシン:

  • qcow2 イメージと raw イメージで BYO イメージのインポートが失敗します。
  • カスタム イメージからのディスクのプロビジョニングが失敗します。
  • オブジェクト ストレージのアップグレードで、ポストフライト チェックまたはプリフライト チェック中にエラーが表示される。

請求:

  • 無効な名前 GDCH_INTERNAL が原因で請求書生成ジョブが請求書カスタム リソースを作成できない問題を修正しました。

ネットワーキング:

  • hairpinlink カスタム リソースの生成に失敗したため、アップグレードが失敗する問題を修正しました。
  • ネットワーク インストールで、無関係なエラー「Got error on getting port speed」が表示されます。

アドオン マネージャー:

バージョンを更新:

  • Debian ベースのイメージ バージョンが bookworm-v1.0.1-gke.1 に更新されます。

オペレーション スイート インフラストラクチャ（OI）:

  • OI インフラストラクチャ環境の構成管理に使用される OI Marvin アカウントの有効期限は 60 日です。