Google Distributed Cloud 网闸隔离配置 1.15.1 版版本说明

2024 年 12 月 5 日

通知
Google Distributed Cloud (GDC) 网闸隔离配置 1.15.1 版现已推出。
请参阅产品概览，了解 Distributed Cloud 的功能。
功能
以下新功能可供使用：

集群管理：

  • 添加了新的标准集群配置。标准集群的作用域限定为单个项目，这使受限于项目的应用开发者可以直接控制其运行方式。如需了解详情，请参阅 Kubernetes 集群配置。

gdcloud CLI：

  • 新增了对从 macOS 和 Windows 操作系统运行 gdcloud CLI 的支持。如需了解详情，请参阅可用的 gdcloud CLI 软件包。

  • 添加了适用于 Linux 的 gdcloud CLI 软件包的 lite 版本，该版本提供了一个较小的二进制文件，其中包含 gdcloud CLI 命令的子集。如需了解详情，请参阅可用的 gdcloud CLI 软件包。

网络

  • 添加了新的出站流量 NAT 功能 Cloud NAT，该功能提供了更多选项来配置工作负载如何到达组织外部。如需了解详情，请参阅 Cloud NAT。之前可用的 NAT 机制（称为项目默认出站流量 NAT）已被弃用；建议用户migrate到 Cloud NAT。

    在 1.15.1 版本中，Cloud NAT 角色 cloud-nat-manager 已弃用；请改用 cloud-nat-developer。

  • 添加了子网组，以简化 IP 地址分配。借助这一新机制，您可以将同一实体或同一用途的子网作为一个组进行管理，从而简化从大量代管式子网中分配 IP 地址的过程。如需了解详情，请参阅子网群组。

  • 互连订阅 SKU 目前处于公开预览版阶段。借助此功能，组织可以预留互连上的物理容量，并将预留与结算项目相关联。预留目前仅基于荣誉，系统不会严格强制执行。如需详细了解互连，请参阅通过互连建立连接。

  • 现在可以使用 HTTP/HTTPS 协议进行健康检查。健康检查决定了端点是否有资格接收新的请求或连接。健康检查识别出的不健康端点不会通过负载均衡器接收流量。如需了解详情，请参阅配置健康检查。

  • 添加了对监控 IP 资源统计信息的支持（预览版功能）。 基础架构运维人员 (IO) 和平台管理员 (PA) 可以查看从根级到叶级的子网以及子网组的总指标、已分配指标、可用指标和百分比指标。如需了解如何访问信息中心，请参阅查询和查看指标。

  • 现在，新创建的组织默认会绕过入侵检测和防御系统 (IDPS) 服务来处理客户流量。现有组织不受此变更的影响，并继续根据其现有配置使用 IDPS。

平台身份验证：

  • Certificate Authority Service (CAS) 支持预定义证书模板，提供现成的模板来为常见应用场景颁发证书。
  • CAS 通过发布客户端应用可以检查的证书吊销列表 (CRL) 来支持证书吊销。

Resource Manager：

  • 添加了项目标记作为预览版功能。借助标记，您可以根据业务属性整理项目。如需了解详情，请参阅标记概览。

安全服务：

  • 现在，默认情况下，进出新创建组织的客户流量会绕过 IDPS 检查。

系统：

  • 适用于 GDC 组件的已发布系统限制。系统限制是无法更改的固定值。如需了解详情，请参阅系统限制。

虚拟机：

  • 为虚拟机实例添加了 NVIDIA GPU 支持，让您可以运行各种 GPU 加速的工作负载，例如人工智能 (AI)。如需了解详情，请参阅创建并启动具有 NVIDIA GPU 的虚拟机实例。
  • 添加了对 H200 GPU 的支持，并推出了 a3-ultragpu 虚拟机家族。
  • 添加了为虚拟机配置 Tier 1 网络。具有 Tier 1 网络配置的虚拟机适用于具有大量节点间通信的大型分布式计算工作负载，例如高性能计算 (HPC)、机器学习 (ML) 和深度学习 (DL)。
  • 添加了创建高性能虚拟机的功能。
  • 添加了虚拟机可用性检查，可让您深入了解虚拟机状态。
  • 添加了管理 Package Repository 的功能。
安全性
将 Rocky 操作系统映像版本更新为 20250924，以应用最新的安全补丁和重要更新。

修复了以下安全漏洞：

问题
发现了以下问题：

Resource Manager：

  • 由于缺少故障切换注册表分发，组织处于未知状态。

Anthos Service Mesh

  • 由于节点运行状况不佳，导致 CNI 无法安装，ASM 网格安装被阻止。

备份和恢复

  • 由于 back-lancer-agent-user-cp 子组件在升级后处于 ReconciliationError 状态，备份和恢复操作失败。

  • 由于数据传输速率较慢，涉及卷的恢复可能需要更长时间才能完成。

  • 由于永久性卷声明处于待处理状态，资源的恢复过程（例如数据库克隆或用户工作负载恢复）会卡住并最终超时。

  • 用户无法使用 GDC 控制台创建虚拟机备份方案或执行端到端备份和恢复任务。

  • 集群备份的恢复操作失败。

块存储

  • 用户 Pod 在卷卸载请求期间冻结。

  • Trident API 无法解决 CloneVolume 期间发生的 Volume already exists 错误。

  • 由于存在非活跃 LUN，卷无法挂接。

  • 由于无法找到 csi.trident.netapp.io 驱动程序，升级期间会发生 FailedMount 错误。

  • 在发生存储升级或存储控制器服务中断等事件后，文件/块存储会话不会自动恢复。

  • 由于归还未完成，ONTAP 集群升级永远无法完成。

集群管理

  • 集群卡在删除状态。

  • Kubernetes 集群在删除后未被移除。

数据库服务

  • gdcloud stop database 命令需要很长时间才能完成。

  • 如果在启用高可用性 (HA) 的情况下停止 PostgreSQL 或 AlloyDB Omni 数据库集群，该集群可能无法成功重启。

防火墙

  • 升级后，旧版防火墙规则可能会阻止组织到根管理员的流量。

  • 部署 AttachmentGroup 后，如果该 AttachmentGroup 对象中的 identifier 字段与 orgName 相同，则防火墙无法解析此对象，并且防火墙配置更新会卡住。

  • 同时创建多个组织时，IDPS 防火墙会因竞态条件而生成无效配置。

Harbor：

  • 数据库密码轮替卡住。

  • Harbor 数据库磁盘已满会导致服务不可用。

硬件安全模块：

  • 在 CipherTrust Manager 中仍可检测到已停用的试用许可，从而触发虚假的到期警告。

  • 文件描述符泄露会导致 ServicesNotStarted 错误。

健康：

  • 在部署期间，health-slo-reports-infra 子组件可能会因缺少 telex-system 命名空间而无法协调。

身份和访问权限管理

  • 包含 zonalRules 部分的 CustomRole 资源可能无法可靠地授予权限。

  • 根 CA 轮替后，OPA Gatekeeper 信任问题会阻止在新项目中创建 IAM 角色。

基础设施即代码

  • 尝试使用 Firefox 登录 GitLab 失败，并显示错误 422。

资产清单

  • system assets create 不接受防火墙设备的正确端口。

密钥管理系统：

  • KMS 服务器可能会遇到性能问题，并在工作负载较重时OOMKilling。

  • 当 HSM 不可用时，配置为使用 CTM 根密钥的 KMS 不会进行故障切换。

监控

  • 如果创建了新的 KubeStateMetric 自定义资源，其指标可能不会显示。

  • Cortex 压缩失败可能是由损坏的块引起的，这会导致各种问题，包括 Grafana 指标查询中的错误、记录规则中的间隙以及 Cortex Pod 中出现的错误日志。

  • 由于卷节点亲和性冲突，Pod 卡滞在“待处理”状态。

  • 在 Grafana 中查看信息中心时，系统会显示“未完成的请求过多”出错提示。

  • 超出基数阈值的指标时序会被丢弃，导致部分指标的数据不完整。

网络

  • 在运行时为现有组织启用节点到节点 IP 地址安全 (IPsec) 加密可能会导致网络数据包丢弃和连接超时。

  • 当 ForwardingRule 资源处于 NotReady 状态时，其删除操作会挂起在 Deleting 状态。

对象存储

  • 双可用区存储桶中的跨可用区数据不可用。

  • 升级到 1.15.x 后，ObjectStorageSite 尚未准备就绪。

  • 如果 StorageGrid 版本为 11.9 或更高版本，则无法在新组织中创建对象存储区存储桶。

  • StorageGRID 负载均衡器端点服务器证书不会自动轮替。

  • gdcloud CLI 无法为项目级用户创建或删除双区域存储桶。

  • OBJ-A0003 提醒（审核日志记录失败）会频繁触发，并在触发后一小时内自行解除。如需减少此提醒造成的干扰，请将提醒设为静音。

  • 该软件包包含错误的 StorageGRID 安装版本（11.8.0，而非 11.9.0）。使用 11.8.0 版引导 StorageGRID 后，您必须手动升级到 11.9.0.6 版。

操作系统：

  • 预配大量服务器时，操作系统政策资源的协调速度可能会很慢。

  • 在 OIC 工作站执行 gdcloud storage cp 或 gdcloud system container-registry load-oci 操作期间，有很小的几率会失去对 org-infra 的访问权限，随后 org-mgmt 的 kube-api 会关闭。

  • PLATAUTH 提醒可能会因操作系统可轮替密钥轮替失败而触发。

平台身份验证：

  • 在 BYO 证书模式下，如果为基础架构 Web PKI 使用通配符证书，可能会发生错误。

  • 创建过多证书请求可能会影响 API 服务器的稳定性。

Resource Manager：

  • 后检检查失败。
  • 由于缺少故障切换注册表分发，组织处于未知状态。

工单系统：

  • 客户网络中的 RBAC 错误可能会导致无法访问 ServiceNow。

  • ServiceNow 无法访问客户 OIDC IDP。

  • 之前已解决的突发事件会在 ServiceNow 中重新打开。

  • ts-app-server-1 pod 会定期重启。

升级：

  • 从 1.14.7 或更早版本升级到 1.15.x 时，为获得最佳效果，我们建议您执行以下步骤：

    • 升级到 1.14.7 版。
    • 应用 hotfix2。
    • 继续升级到 1.15.1。

  • 由于节点无法进入维护模式，集群升级被阻止。

  • siem-cluster 子组件无响应。

Vertex AI：

  • 停用 Translation API 可能会失败，并显示以下错误：Failed to disable translation API: VAI3002: Failed to patch subresource: failed to patch ODSPostgresDBCluster resource。

  • 无法与 Jupyter 服务器建立连接。

  • 端点 CR 删除操作未能移除“在线预测”端点。

虚拟机：

  • 虚拟机磁盘预配卡住，因为 VMM 控制器找不到现有 Secret。VirtualMachineDisk 保持在 pending 状态。

  • 使用 gdcloud CLI gdcloud compute instances create 创建 Windows 虚拟机时，由于默认 BIOS 启动类型 bios 和缺少安全启动标志，虚拟机无法启动。

  • 使用 gdcloud compute images import 命令或 VirtualMachineImageImport 自定义资源导入虚拟机磁盘映像时，如果 VirtualMachineImageImport 资源名称超过 33 个字符（或传递给 gdcloud CLI 的映像名称超过 28 个字符），导入操作会卡在 JobImport 阶段。

    • 漏洞管理：

    • 由于容器运行时死锁和 Helm 参数缓存中毒，漏洞管理子组件和系统 UserAccount SSH 密钥生成可能会卡住。
    已修复
    修复了以下问题：

    Anthos Service Mesh：

    • 在大型网格中，可能会触发严重和错误严重级别的误导性提醒，因为 controlplane_latency_slo 未考虑网格大小。

    备份和恢复：

    • 备份控制平面 Pod 因内存不足而崩溃。

    存储空间：

    • 高可用性组名称过长。

    • 修复了以下问题：gdcloud storage 命令的 --location 和 --location-type 标志错误地应用于单可用区存储桶；现在，这些标志已正确限制为双可用区存储桶。

    密钥管理系统：

    • 当 kms-rootkey-controller 内存用量超过 1100Mi 限制时，控制器会因 OOMKilled 状态而进入 CrashLoopBackOff。

    • 根组织中的 KMS pod 可能会因审核日志填满临时存储空间而崩溃。

    更改
    系统会识别以下更改：

    版本更新：

    已弃用
    以下功能已弃用：

    虚拟机：

    • 在不指定机器类型的情况下创建虚拟机实例的功能已弃用。创建实例时，您必须指定机器类型。 如需了解详情，请参阅创建并启动虚拟机实例。