Google Distributed Cloud air-gapped 1.13.1 版本说明

2024 年 6 月 28 日

Google Distributed Cloud (GDC) 网闸隔离配置 1.13.1 已发布。
如需了解 Distributed Cloud 的功能，请参阅产品概览。

将 Canonical Ubuntu 操作系统映像版本更新为 20240515，以应用最新的安全补丁和重要更新。 如需利用 bug 和安全漏洞修复，您必须在每个版本发布后升级所有节点。 修复了以下安全漏洞：

将 Rocky OS 映像版本更新为 20240506，以应用最新的安全补丁和重要更新。修复了以下安全漏洞：

以下容器映像安全漏洞已修复：

修复了在系统集群中作为容器运行的数据库存在的漏洞。

结算：

  • 新增了在创建组织时启用合作伙伴结算的功能，以便 Google 直接向合作伙伴收取费用。

集群管理：

自定义 IP 地址：

  • 添加了替换分配给组织以启用 Direct Connect (DX) 互连功能的 IP 地址的功能。

数据库服务：

  • 添加了一项重大升级，以提高安全性和可靠性。所有数据库工作负载现在都在服务集群上运行。此升级需要移除现有数据库。为确保数据安全，请务必在升级之前导出并删除所有现有数据库集群。如需了解如何导出和导入数据，请参阅数据库服务文档。
  • 为 AlloyDB 添加了一项功能，以支持同可用区高可用性 (HA)。
  • 添加了 AlloyDB 对备份、恢复和时间点恢复功能的支持。
  • 添加了对 AlloyDB 的支持，使其能够支持数据导入、导出和高级迁移功能。

动态扩展：

  • 通过动态扩展添加额外的计算和存储资源，而无需完成重新部署。1.13.1 之前的 GDC 版本仅允许在重新部署时添加硬件。这种类型的扩展称为静态扩展。

Harbor-as-a-Service:

  • 新增了 Harbor 即服务 (HaaS)，这是一项全代管式服务，可使用 Harbor 存储和管理容器映像。

机器类型：

Marketplace：

  • 引入了可自定义的 Marketplace 服务配置。
  • Starburst Enterprise (BYOL) 可在气隙市场中使用。Starburst Enterprise 为您的数据湖仓提供快速、可伸缩的分布式 MPP SQL 引擎，并支持与许多其他数据源进行查询联合。

  • Palo Alto Networks 的 Prisma Cloud Compute Edition (BYOL) 可在隔离的网络环境中通过 Marketplace 购买。Palo Alto Networks 的 Prisma Cloud Compute Edition 为分布式应用提供现代化的保护。

多可用区部署：

  • 添加了多可用区功能，该功能以服务形式提供类似云的高可用性和灾难恢复功能，可简化跨 GDC 可用区管理资源的过程。多可用区部署功能目前处于预览状态。

Public Key Infrastructure：

  • 在签发 Web 证书时，您可以在创建组织后配置不同的 PKI 模式。可配置的模式包括“Infra PKI 完全托管”“自带子 CA”“自带证书（使用 ACME）”和“自带证书”。

对象存储：

  • 添加了存储桶 Spec.location 字段，用于指定其对象所在的区域。在创建存储桶期间，如果未提供任何值，系统会自动使用创建存储桶的可用区名称填充该字段。现有存储分区的相应字段会自动填充其所在地区的名称。

虚拟机 (VM)：

Vertex AI：

VPN：

  • 新增了将对等互连网络扩展到 GDC 可用区组织中的用户虚拟机的功能。

Artifact Registry：

  • 创建根管理员集群时，如果引导时服务器列表过长，操作可能会失败。

备份和恢复：

  • 尝试将备份恢复到受配额限制的用户集群时失败。

结算：

  • 由于缺少 MetricsProxySidecar，结算指标未正确发送到 Cortex。

块存储：

  • 虚拟机启动器 pod 无法映射卷。
  • 存储相关故障可能会导致系统无法使用。
  • 创建的永久性卷的大小不正确。
  • 当组织处于停用状态时，删除 StorageVirtualMachine 可能会出现问题。
  • 停用组织后，系统不会清理密钥和证书。
  • StorageVirtualMachine 中可能会出现删除协调失败的情况。
  • 在裸机升级期间，Ansible 作业卡住。

集群管理：

  • 在集群配置期间，machine-init 作业失败。
  • 在服务集群中运行的数据库 pod 与组织管理员集群中的对象存储桶之间的连接失败。
  • 预检检查失败。
  • 重新创建用户集群时，用户集群可能会卡在协调状态。

数据库服务：

  • 对于面向用户的数据库，初始配置、调整大小或在现有数据库集群上启用 HA 所需的时间比以前最多长 40 分钟，性能比以前慢两到三倍。
  • 由于备份和恢复存在问题，数据库服务克隆不适用于存储空间配额受限的集群。
  • IOPS 强制执行可能会影响存储性能。

DNS：

  • 必须在 resolved.conf 中明确关闭 DNSSEC。

Harbor：

  • 删除 Harbor 实例并不会删除关联的注册表镜像。节点池可能卡在 Provisioning 状态。

硬件安全模块：

  • 在 CipherTrust Manager 中仍可检测到已停用的试用版许可，从而触发错误的过期警告。
  • 文件描述符泄漏会导致 ServicesNotStarted 错误。

基础设施即代码 (IAC)：

  • 过度创建 GitLab 令牌可能会导致 GitLab 数据库填满。

Key Management Service (KMS)：

  • 当 kms-rootkey-controller 内存用量超过 600Mi 限制时，控制器会因 OOMKilled 状态而进入 CrashLoopBackOff 状态。

日志记录：

  • 对象存储审核记录器无法解析 DNS 主机。

监控：

  • 信息中心不显示 Vertex AI 指标。
  • mon-cortex pod 存在协调错误。
  • 系统集群中的 metrics-server-exporter pod 处于崩溃循环状态。
  • mon-prober-backend-prometheus-config ConfigMap 会重置为不包含任何探测作业，并触发提醒 MON-A0001。
  • 配置监控服务以发送提醒后，系统会自动创建多个重复的提醒。
  • ObservabilityPipeline 对象显示了您必须忽略的 Reconciler error 日志。

多可用区启动：

  • 没有用于引导多可用区部署的特定角色。
  • 创建的 Bootstrap 资源与处理该资源的逻辑不兼容。
  • 在启动过程中未创建必需的资源，导致依赖此资源的组件无法正常运行。

网络：

  • 无法访问该节点。
  • 与数据库服务实例的连接存在问题。
  • 即使创建了 ClusterCIDRConfig，也不会将 PodCIDR 分配给节点。
  • 虚拟机节点的时间出现漂移或不准确。
  • 生成的多区域 EVPN 互联会话对等互联 IP 地址不正确。
  • 节点在数据网络上无法访问。

对象存储：

  • 删除组织可能无法成功完成。

操作系统：

  • 在极少数情况下，Pod 会卡在特定节点上的 init 状态。
  • 裸机或虚拟机节点的 bm-system-machine-preflight-check Ansible 作业失败，并显示 Either ip_tables or nf_tables kernel module must be loaded。

运维套件基础架构 (OI)：

  • 对于硬件 3.0，不再需要启动智能存储管理 (SSA)。

边界安全：

  • 组织系统集群在组织引导期间卡住。
  • PANW 防火墙AddressGroups不会随 OCITcidr-claim 更改而更新，导致 iac.gdch.domain.example 网域无法解析。

平台安全性：

  • 在 PKI BYO SubCA 模式下，当生成新的证书签名请求 (CSR) 的同时，之前签名的证书已上传到 SubCA 时，协调器不会检查新的 CSR 是否与旧的签名证书匹配，而是将 cert-manager CertificateRequest 自定义资源 (CR) 标记为 Ready。这种情况发生在 SubCA 证书续订或手动轮替期间。
  • cert-manager 中存在一个已知问题，导致无法通过自动证书管理环境 (ACME) 成功颁发自带 PKI (BYO) 证书。

物理服务器：

  • 服务器卡在 provisioning 状态。
  • 由于 HPE 服务器上的 POST 问题，服务器引导失败。
  • 服务器卡在预配状态。

Resource Manager：

  • 项目状态不会显示在 GDC 控制台中。

升级：

  • bm-system 和其他运行 Ansible playbook 的作业卡在 gathering facts。
  • 升级期间无法访问服务器的管理 IP。
  • 升级在 iac-zoneselection-global 子组件中失败。

Vertex AI：

  • 在创建用户集群时，MonitoringTarget 会显示 Not Ready 状态，导致预训练的 API 在界面中持续显示 Enabling 状态。
  • 由于 ODS 系统集群密钥已过时，翻译前端 pod 和服务无法初始化。

虚拟机：

  • BYO 映像导入对于 qcow2 和原始映像失败。
  • 从自定义映像预配磁盘失败。
  • 对象存储升级在飞行后或飞行前检查期间显示错误。

结算：

  • 修复了以下问题：由于名称 GDCH_INTERNAL 无效，账单生成器作业无法创建账单自定义资源。

网络：

  • 修复了因 hairpinlink 自定义资源生成失败而导致升级失败的问题。
  • 网络安装时显示虚假错误“获取端口速度时出错”。

插件管理器：

版本更新：

  • 基于 Debian 的映像版本已更新为 bookworm-v1.0.1-gke.1。

运维套件基础架构 (OI)：

  • 用于在 OI 基础架构环境中进行配置管理的 OI Marvin 账号的有效期为 60 天。