Google Distributed Cloud 网闸隔离配置 1.14.3 版本说明

2025 年 2 月 28 日

Google Distributed Cloud (GDC) 网闸隔离配置 1.14.3 已发布。
请参阅产品概览，了解 Distributed Cloud 的功能。
以下新功能可供使用：

备份和恢复：

  • 添加了创建限定范围的虚拟机备份和恢复的功能，以定位特定虚拟机工作负载。您可以手动创建这些虚拟机备份，也可以创建备份方案，以便按照您定义的时间表自动执行备份。如需了解详情，请参阅概览。
  • 添加了虚拟机精细恢复功能，可让您恢复特定的虚拟机和虚拟机磁盘资源。如需了解详情，请参阅创建精细恢复。
  • 添加了集群精细恢复功能，可让您从集群备份中恢复部分资源。此功能可灵活地细化恢复方案中定义的恢复范围。如需了解详情，请参阅创建精细恢复。

结算：

  • 添加了将每月已出账单费用上传到 Argentum 控制台的功能。

DNS：

  • 现在，您可以创建和管理自己的公共和私有 DNS 区域，以满足应用和服务的需求。在 DNS 区域中，您可以创建 DNS 记录。不同类型的 DNS 记录有不同的用途，例如定向流量、定义邮件服务器和验证所有权。如需了解详情，请参阅 DNS 区域和记录简介。

防火墙：

  • 添加了使用对称密钥在 GDC 防火墙上配置 NTP PANW 身份验证的功能。

IAM：

  • 控制身份提供方、服务账号和角色绑定的 IAM API 默认是全局性的，涵盖 GDC 宇宙中的所有可用区。如需了解详情，请参阅多可用区 Universe 的权限控制。

Marketplace：

  • Neo4j 已在 GDC 网闸隔离配置 Marketplace 中推出。 Neo4j 是一个开源、NoSQL、内置图数据库，可为您的应用提供符合 ACID 的事务性后端。
  • MariaDB Operator 已在 GDC 网闸隔离配置 Marketplace 中推出。MariaDB Operator 使用受支持的 Docker 映像为 MariaDB Enterprise Server 和 MaxScale 提供舰队管理和 HA/DR 解决方案。
  • HashiCorp Vault (BYOL) 已在 Google Distributed Cloud 网闸隔离配置 Marketplace 中推出。 HashiCorp Vault 是基于身份的密钥和加密管理系统。
  • GDC 网闸隔离配置 Marketplace 中提供 Apache Kafka on Confluent Platform (BYOL)。Confluent Platform 是一种解决方案，可让您实时访问、存储和管理连续数据流。
  • Redis Software for Kubernetes (BYOL) 可在 GDC 网闸隔离配置 Marketplace 中获取。Redis 是全球最快的内存数据库，可用于构建和伸缩快速应用。

MHS：

  • 托管 Harbor 服务 (MHS) 现在包含 Harbor 备份和恢复功能。 为 Harbor 实例配置备份和创建恢复。如需了解详情，请参阅概览。
  • 添加了 MHS 凭据帮助程序，可让您使用 GDC 身份登录 Docker 或 Helm CLI。如需了解详情，请参阅登录 Docker 和 Helm。
  • 添加了扫描 Harbor 实例中所有制品的功能。如需了解详情，请参阅扫描漏洞。

Logging：

  • Loki pod 在 WAL 重放期间崩溃或因内存不足而终止。

  • log-collector 和 oplogs-forwarder 的抓取失败。

监控：

  • 在可视化信息中心内添加了对跨可用区查询和监控的支持。如需了解详情，请参阅查询和查看指标以及查询和查看日志。

  • 可以忽略 OCLCM 干扰性提醒。

  • 系统指标流水线已关闭。

  • MON-A0001_fast 和 MON-A0001_slow 提醒在组织集群中触发

网络：

  • 使用多可用区内部和外部负载均衡器来分配虚拟机和 Pod 工作负载的流量。如需了解详情，请参阅概览。

  • 配置互连资源，以建立与外部专用网络的物理专用连接。如需了解详情，请参阅互连概览。

  • 使用 Networking KRM API 或 gdcloud CLI 为 Pod 和虚拟机工作负载配置内部或外部负载均衡器。如需了解详情，请参阅管理负载均衡器。

  • 使用可用区级和全球项目网络政策在项目和组织之间建立连接。

  • 创建项目内和跨项目工作负载级网络政策，为项目内和项目之间的各个虚拟机和 Pod 定义特定的访问规则。

Resource Manager：

  • 默认情况下，项目是跨越 GDC 领域中所有可用区的全球性资源。如需了解详情，请参阅多可用区概览。

虚拟机：

将 Rocky 操作系统映像版本更新为 20250124，以应用最新的安全补丁和重要更新。

修复了以下安全漏洞：

发现了以下问题：

备份和恢复

  • 无法通过 GDC 控制台修改 RestorePlan。

  • 如果代理和控制平面 Pod 内存不足，它们可能会重启，从而影响系统稳定性。

  • 由于缺少自定义资源定义，默认情况下，系统不会启用用于备份和恢复的 GDC 服务等级目标 (SLO) 指标和提醒。

  • 保留政策不适用于导入的备份。

  • 部分虚拟机备份失败。

  • 在删除用户或服务集群后，清理孤立的备份资源。

  • 不支持通过 CLI 或界面删除 VirtualMachineRestore。

  • 由于永久性卷声明处于待处理状态，资源的恢复过程（例如数据库克隆或用户工作负载恢复）会卡住并最终超时。

集群管理

  • 控制平面节点重新创建后，用户集群卡在协调或运行状况不佳状态。

  • kub-gpu-controller 子组件不会针对 gdchservices 组织进行协调。

  • 从标准集群中移除过时的节点池失败。标准集群处于非公开预览版阶段，可能不适用于所有客户。

数据库服务

  • 软删除的数据库集群在创建后立即删除时会卡在 DBClusterReconciling 状态。

  • gdcloud stop database 命令需要很长时间才能完成。

DNS

  • 系统触发了虚假的 DNS 提醒，提示 GlobalCustomerRootDNSServerNotReachable。

防火墙

  • 升级后，旧版防火墙规则可能会阻止组织到根管理员的流量。

  • 无法通过全球界面控制台 DNS 访问该组织。

  • 部署 OCITTopology 自定义资源后，OIR 与 GDC 管理平面和数据平面之间的连接会断开。

  • 默认情况下，GDC 防火墙会阻止跨可用区跨组织流量。

  • 部署 AttachmentGroup 后，如果该 AttachmentGroup 对象中的 identifier 字段与 orgName 相同，则防火墙无法解析此对象，并且防火墙配置更新会卡住。

资产清单

  • 库存审计无法对账。

硬件安全模块：

  • 在 CipherTrust Manager 中仍可检测到已停用的试用许可，从而触发虚假的到期警告。

  • 出现 HSM 在启动后失败并显示 ValidateNetworkConfig 错误的问题。此错误会阻止 HSM 自定义资源进入 Ready 状态。

  • 文件描述符泄露会导致 ServicesNotStarted 错误。

健康：

  • 由于 SLO API 标签存在问题，系统可能会针对多个组件触发 30 多个有关 SLO 提醒的虚假警报。

身份和访问权限管理：

  • 包含 zonalRules 部分的 CustomRole 资源可能无法可靠地授予权限。

  • 根 CA 轮替后，OPA Gatekeeper 信任问题会阻止在新项目中创建 IAM 角色。

  • 如果生成的 IAM 角色绑定名称超过 63 个字符，角色绑定会失败。

  • 项目服务账号 (PSA) 无法为自身或具有 organization-iam-admin 角色的其他 PSA 分配 IAM 角色绑定。

  • 新项目在创建预定义角色时会遇到延迟。

  • 应用运维人员无法自行授予对基础架构集群中角色的访问权限。

  • 现有服务账号令牌会失效。

基础设施即代码 (IAC)

  • 由于缺少命名空间，子组件无法协调。
  • IAC ConfigSync 指标收集失败。
  • IAC 根同步失败。

密钥管理系统：

  • KMS 服务器可能会遇到性能问题，并在工作负载较重时OOMKilling。

  • 当 kms-rootkey-controller 内存用量超过 1100Mi 限制时，控制器会因 OOMKilled 状态而进入 CrashLoopBackOff。

  • 当 HSM 不可用时，配置为使用 CTM 根密钥的 KMS 不会进行故障切换。

  • 根组织中的 KMS pod 可能会因审核日志填满临时存储空间而崩溃。

负载均衡器：

  • 由于全球子网中的 IP 地址不足，全球负载均衡器创建失败。
  • 负载均衡器对象未进入 Ready 状态。

  • 目前尚不支持在配置负载均衡器后对其进行修改。

  • 全球 BackendService 资源不会拒绝不正确的可用区名称。

  • 可用区级和全球负载均衡器都可能会发生网络钩子错误。

MHS：

  • 在托管 Harbor 服务 (MHS) 备份和恢复操作之后，CLI 密钥对于恢复的 Harbor 实例会失效，需要重新创建。
  • 当多个 Harbor 实例存在于不同的用户项目中时，备份和恢复操作会争夺基于角色的访问控制，并且失败率很高。
  • Harbor 备份和恢复功能未实现备份大小。在 GDC 控制台中，SizeBytes 字段显示的值为 0，大小列显示的值为 0 MB。
  • 在 GDC 控制台中查看 Harbor Container Registry 页面时，没有必要的 Harbor 实例管理员权限的用户在检索备份资源时会看到出错提示。
  • 数据库密码轮替卡住。

监控：

  • AlertManager webhook 无法为某些集群发送提醒和突发事件通知。
  • 突发事件有时会在创建时重复。
  • root-admin 集群中打开了两个监控误报。
  • 您可以忽略对账错误提醒。
  • 根管理员控制器管理器显示错误率较高。
  • KUB 监控信息中心不显示任何数据。
  • 可观测性调试器角色的权限配置不正确。
  • 缺少 Grafana 调试器角色。
  • 由于信息中心和数据源待处理终结器，项目删除操作卡住。
  • PA 无法查看 KSM 中的指标。
  • MON-A0001_fast 和 MON-A0001_slow 提醒在组织集群中触发

多可用区：

  • 当可用区无法访问时，GDC 控制台会显示身份验证错误。

  • 默认情况下，无法使用 gdcloud CLI 列出可用区。

  • 访问全球 GDC 控制台网址时，可能会出现间歇性登录错误。

对象存储：

  • StorageGRID 负载均衡器端点证书已过期。

网络：

  • 在网络交换机上使用 4 字节自治系统编号 (ASN) 配置边界网关协议 (BGP) 会导致配置失败。

  • 在运行时为现有组织启用节点到节点 IP 地址安全 (IPsec) 加密可能会导致网络数据包丢弃和连接超时。

  • 无法通过数据网络访问节点。

  • 网络中节点之间的跨可用区流量下降了约 50%。

  • StatefulSet Pod 部署可能会导致连接性问题。

  • 全球任播流量被过于严格的访问控制列表 (ACL) 屏蔽。

  • allow-all-egress 项目网络政策 (PNP) 不允许流量流向系统端点。

  • pnet-cross-zone-availability SLO 信息中心在 Grafana 中不显示任何指标。

  • 数据平面和管理入站网关无法协调。

  • GDC 控制台中的项目网络政策页面不支持 ProjectNetworkPolicy API 中的 projectSelector 字段。

  • 网络交换机配置更改未提交。

Operations Suite Infrastructure Core Services (OIC)：

  • 跳转主机性能不佳。

操作系统：

  • 操作系统 NodeUpgrade 可能会卡在 NodeOSInPlaceUpgradePostProcessingCompleted 步骤。

  • 操作系统 NodeUpgrade 可能会在创建软件包服务器时卡住。

  • 在 OIC 工作站执行 gdcloud storage cp 或 gdcloud system container-registry load-oci 操作期间，有很小的几率会失去对 org-infra 的访问权限，随后 org-mgmt 的 kube-api 会关闭。

Resource Manager：

  • 无法从 GDC 控制台删除项目。

  • 创建客户组织时，创建所需 Ansible playbook 的作业 create-ansible-playbooks 失败。

  • 停用组织不会停用为该组织预配的所有资源。

存储空间：

  • 双可用区存储桶中的跨可用区数据不可用。

  • 由于 Trident mkfs.ext4 错误，Pod 无法装载。

  • 节点升级被阻止。

  • file_block_zombie_luns_present 提醒会持续触发。

  • StorageGRID 管理控制台中的警报过多。

Artifact Registry：

  • Harbor 制品复制作业卡住。

  • 在协调 HarborRobotAccount 资源时，可能会因暂时性错误而触发误报。

  • SAR-R0003 提醒存在误报。

工单系统：

  • ServiceNow MID 服务器无法正常启动。

  • 客户网络中的 RBAC 错误可能会导致无法访问 ServiceNow。

升级：

  • 支持报告失败。

  • 升级后，Ingester 仍处于运行状况不佳的状态，并且不会自动被遗忘

Vertex AI：

  • Vertex AI 预训练模型和工作簿在 1.14.3 版中未启用，但在 1.14.4 版中可用。

虚拟机

  • 即使底层磁盘操作已完成且磁盘已可供使用，VMDisk 也可能会显示不正确的状态 Phase: InProgress。

  • 使用 gdcloud CLI gdcloud compute instances create 创建 Windows 虚拟机时，由于默认 BIOS 启动类型 bios 和缺少安全启动标志，虚拟机无法启动。

修复了以下问题：

Harbor：

  • 修复了节点池卡在 Provisioning 状态的问题。如需了解详情，请参阅已知问题。
系统会识别以下更改：

核心：

  • 在多个服务工作流中，与组织管理员集群和系统集群交互的要求已被移除。Management API 服务器可用于管理所有非容器工作负载和服务，可作为所有受影响服务工作流的替代方案。

  • 默认情况下，系统会为客户管理的资源提供全局 API 服务器，这些资源专为在 GDC 领域中进行全局部署而设计。如需了解详情，请参阅全球和可用区级 API 服务器。

Marketplace：

  • Marketplace Viewer 角色权限仅限于查看可用服务，无法访问已安装的实例或其配置。如需查看正在运行的实例的配置，用户需要具有 Marketplace Editor (marketplace-editor) 角色。

  • Marketplace 服务映像列表可用。

Resource Manager：

  • 移除了在 GDC 控制台中创建项目时附加 Kubernetes 集群的功能。您必须从 Kubernetes Engine > 集群页面将 Kubernetes 集群附加到项目。如需了解详情，请参阅创建项目。

版本更新：

虚拟机：

  • 更新了性能测试即服务 (PTaaS) 文档，其中包含 PTaaS 中可用基准的新名称和说明。