Google Distributed Cloud 网闸隔离配置 1.16.2 热修复

修补程序 3

1.16.2-gdch.1353-3 修复程序已发布。

功能
此修补程序提供了以下新特性和功能：

存储空间：

  • 通过引入以下功能，增强了内部存储监控和诊断功能：

    • 端到端文件存储用户体验历程探测器。
    • 孤立 ONTAP 卷检测。
    • 新增了 CSI 和用户体验历程健康状况信息中心。
    • 安全地抓取 CSI 和 Trident 指标。
已修复
此修补程序修复了以下问题：

存储

  • 提供了以下更新，以修复 bug 并提高控制平面稳定性：

    • 升级了 NetApp Trident 和 CSI 边车组件。
    • 增加了 CSI 工作器并发。
    • 添加了可配置的 ONTAP API 超时。
    • 将 Trident 控制器调度限制为控制平面节点，以提高存储控制平面吞吐量，并防止工作器和 GPU 节点上出现连接问题。

修补程序 2

已修复
1.16.2-gdch.1353-2 修复程序已发布。此修补程序修复了以下问题：

备份

  • 为虚拟机备份方案添加了停用选项。

  • 为非 root-admin 集群上的备份集群和虚拟机控制器有条件地启用了活跃度探测。

CLI

  • 将 --auto-diff 设置为 gdcloud system assets add 命令的默认运行模式。

集群管理

  • 修复了使用正确的集群命名空间填充子网状态的问题。

文档

  • 更新了 GDC 控制台中托管的 GDC 离线文档，以修复导致标签页内容无法呈现的问题。

身份和访问权限管理

  • 为 Identity and Access Management 添加了缺失的 rotatableSecret 资源。

  • 通过在角色名称未更改时跳过 zonalRoleRef 更新，优化了协调。

  • 更新了 ZonalRoleBindingReplica 协调器，以正确处理用户和管理员角色组合。

资产清单

  • 更新了 B300 服务器的资产清单提取验证。

  • 添加了对主干电缆、统一管理端口和任意数量的数据端口的库存支持。

  • 添加了对将配电单元 (PDU) 放置在任何机架单元 (U) 插槽中的支持，而不是将其限制为 U02。

  • 移除了悬空电子配线架检查，并为悬空电子配线架添加了架顶式 (ToR) 交换机配对异常。

  • 从库存切换配置对象中移除了用户名和密码字段。

Logging

  • 修复了日志路由，以将标准 Kubernetes 集群系统日志定向到应用运营商 (AO) 租户。

监控

  • 向节点导出器指标添加了 node_name 标签。

网络时间协议 (NTP)

  • 提高了内存上限，并为 NTP 服务添加了缓存，以提高稳定性。

网络

  • 添加了对主机网络 (HNETUpgrade) 数据平面 RPM 热补丁升级的支持，包括 onetd、libgdc-ipsec-offload 和 libstrongswan-doca 的 OCI 工件打包、基于 Kubernetes 作业的 Ansible 执行以及升级失败提醒。

  • 跳过了对从全局 API 服务器传播的子网上的 use 动词的检查。

  • 在生产环境中启用了子网使用方跟踪，并为正在使用的子网添加了集群监视协调。

  • 修复了 SwapEndFrontBacks 中的一个问题，即在端口验证期间，字符串替换会损坏设备名称。

  • 在管理交换机配置中添加了对三字母机架名称的支持。

  • 向 apiserver-proxy-lancer-mgmt 证书清单添加了 commonName 字段。

平台身份验证

  • 在生产环境中启用了 Certificate Authority Service 数据平面功能标志，并添加了 CAS-Proxy 服务等级目标 (SLO)。

服务器

  • 更新了服务器预配，以便在将服务器标记为就绪之前，安装主机网络可交付成果并完成 ConnectX-7 (CX7) 固件预配作业。

  • 在生产环境中启用了 SERVAllowDellIDRACDowngrade 功能标志，以允许 d4-highgpu2 机器类别的 Dell iDRAC 和 BIOS 固件降级。

  • 添加了 SERV-R0051 Runbook，以记录降级 Dell 服务器固件的过程。

存储

  • 添加了按需范围读取辅助程序 (RRH) 重建、自动恢复、孤立清理和指标，以提高范围读取和分段上传的可靠性。

  • 通过在配置未更改时跳过 CORS、生命周期和锁定政策的冗余 StorageGRID 更新，优化了存储桶协调。

  • 改进了预签名网址生命周期安全性，并从错误日志中隐去了 S3 签名和凭据。

  • 修复了对象存储代理处理程序中的请求指针竞态条件，改进了响应过滤器错误日志记录，并添加了载荷传输插桩。

  • 将 StorageGRID 修复版本更新为 11.9.0.14，并跳过了在非锚定可用区上创建 ObjectStorageUpgradeRequest 自定义资源。

虚拟机

  • 更新了虚拟机 Package Repository 网关，以使用 STRIP_LEADING_DIRECTORY_PATH 进行操作系统 (OS) 软件包路由。

修补程序 1

已修复
1.16.2-gdch.1353-1 修复补丁已发布。此修补程序修复了以下问题：

CLI

  • 在 gdcloud system container-registry load-oci 命令中添加了对基于差异的 OCI 软件包加载的支持，以减少修补程序版本的下载和上传大小。差异始终与基础版本进行比较，而不是与之前的修补程序版本进行比较。加载差异软件包时，该命令会跳过基础版本中已存在的重复映像层和 blob。由于修补程序是累积的，因此每个修补程序发布包都包含自基础版本以来引入的所有修复，不包括基础版本中的重复工件。

数据库服务

  • 将 Database Service 更新到 0.16.6 版，并将 Database Service 控制台界面更新到 2.16.0-beta.31 版，以应用最新的 bug 修复和稳定性改进。

文档

  • 使用最新内容更新了 GDC 控制台帮助菜单中托管的 GDC 离线文档。如需了解详情，请参阅 GDC 控制台访问权限。

防火墙

  • 为防火墙节点添加了 ZoneProtectionProfile 自定义资源数据模型、自定义配置文件生成和声明、验证 webhook 以及侦察保护支持。使用 ZoneProtectionProfile 自定义资源 (zoneprotectionprofiles.firewall.private.gdc.goog/v1alpha2)，操作员可以在组织级层（包括根组织）配置保护，以阻止恶意流量和端口扫描。操作员还可以自定义扫描阈值、定义 IP 地址许可清单 (exclusionIPs)、更改保护操作（alert、allow、block、block-ip）或选择性停用扫描保护 (enabled: false)。

Gemini

  • 更新了 Gemini Inference Stack 运算符和模型服务器模板，以移除不受支持的服务器配置并应用稳定性修复。

身份和访问权限管理

  • 修复了 Anthos Identity Service (AIS) 中 rotatableSecret 的超时问题，该问题导致身份服务协调延迟。

  • 在 AIS 中启用了 Cookie 拆分支持，以解决身份验证令牌过大的问题，并更新了身份服务容器映像。

资产清单

  • 添加了对 B300 机架扩展的支持。

  • 修复了以下问题：自动生成的密码包含不受支持的特殊字符，导致交换机预配和对象存储区引导失败。

  • 更新了机架和实例 ID，以支持 GPU Pod 的四字符标识符，并移除了预检期间不必要的线缆、适配器和收发器验证。

  • 添加了对管理 IP 地址和 CIDR 扩展的支持，以便在停用中间机架（在机架 A 和 B 之后、机架 X 和 Y 之前部署的机架）后使用。以前，如果此中间机架已停用，则稍后部署或扩展到新机架会触发 IP 地址分配问题。此修复解决了这些冲突，确保了机架的无缝扩展。

  • 在资产清单网络钩子验证中添加了对 iDRAC 和 OCP 端口名称的支持。

Logging

  • 优化了 LoggingRule 过滤表达式，以防止对象存储区出现高查询率 (QPS)。

监控

  • 修复了以下问题：EZ 基础架构控制器上的指标端口配置不正确，导致高频 EZ-E1001、EZ-E1003 和 EZ-E1004 提醒错误触发。

  • 通过在证书检索失败后自动将目标重新加入队列，并防止对永久性卷声明 (PVC) 进行不必要的修补，提高了 MonitoringTarget 协调器的弹性。

  • 修复了在 Prometheus StatefulSet 比较期间 restartedAt 注解导致不必要重启的问题。

  • 移除了监控命名空间中旧版 Google 构建的 OpenTelemetry 收集器 (GBOC) 网络政策。

网络

  • 修复了当服务器与其管理交换机位于不同的机架中时，subnetClaimRef 未填充的问题。

  • 修复了在垂直扩展期间，现有管理交换机缺少设备类别 CIDR 的问题。

  • 添加了对 B300 服务器管理和数据端口命名格式（例如 fe-s6p1 和 ocp-s1p1）的支持和通用正则表达式验证。

  • 修复了当接口列表换行时 VLAN 接口表中的 JSON 解析错误。

  • 在发布政策中添加了主机网络阶段，以确保在组件更新期间进行可靠的网络暂存。

  • 停用了 ABM Gateway 资源安装，以避免在不受支持的环境中出现协调错误。

  • 修复了 Connectivity Tests，以便在验证期间将媒体转换器视为被动设备。

  • 改进了交换机端口连接验证期间无效端口格式的错误处理。

操作系统

  • 通过增加缓存大小和优化信任数据库规则，提高了节点上的文件访问政策守护程序 (fapolicyd) 的性能和稳定性。

安全性

  • 在软件包验证预检期间添加了对多个根证书的支持。

服务器

  • 添加了对 d4-highgpu2 机器类的 Dell iDRAC 和 BIOS 固件降级的支持。

升级

  • 添加了安全措施，以防止重新评估已完成的升级，并改进了升级编排期间的客户端验证错误处理。

  • 添加了对修补程序的新差异下载模式的支持，以便仅下载与基础版本相比发生更改的工件，从而大幅缩减下载大小。

Vertex AI

  • 更新了 Vertex AI Search 容器映像和 prediction_proxy，以应用最新的安全性和稳定性更新。

虚拟机

  • 新增了对在标准 Kubernetes 集群上运行需要 GPU 的工作负载的支持。

  • 在 AuditlogInventory 中将共享虚拟机和虚拟机映像资源标记为与审核相关，以确保全面的审核日志记录。

  • 修复了 image-controller 中的一个问题：缺少缓存检查导致在并发创建映像期间出现过多的 HTTP 409 冲突错误。

  • 修复了影响虚拟机映像导入稳定性的问题。

漏洞管理

  • 修复了漏洞报告导入工作流，使其在继续之前等待完成。

  • 跳过了为 Windows OIC 节点生成不必要的安全合规框架 Google Cloud (SCFGM) 的步骤。

  • 使数据库 CPU 和内存资源分配可配置，并增加了漏洞扫描数据库的默认数据库资源限制。