Google Distributed Cloud 网闸隔离配置 1.16.1 版本说明

2026 年 6 月 5 日

通知
Google Distributed Cloud (GDC) 网闸隔离配置 1.16.1 版现已推出。
请参阅产品概览，了解 Distributed Cloud 的功能。
重要提示
1.16.1 升级序列要求

如需安全地升级到 Distributed Cloud 1.16.1，您必须完成所有强制性升级前检查，并按顺序执行所需的升级序列。从 1.15.1 之前的任何版本直接升级都会失败。

如果您使用的是 1.14.7 版或更早版本：

  1. 应用修补程序：为当前版本安装所有必需的修补程序。
  2. 升级到 1.15.3：启动并完成到 1.15.3 的升级。
  3. 升级到 1.16.1：启动并完成到 1.16.1 的最终升级。

如果您使用的是 1.15.1 或 1.15.3 版：请直接升级到 1.16.1。

如果您使用的是 1.15.2 版：您必须先升级到 1.15.3 版，然后再升级到 1.16.1 版。

功能
以下新功能可供使用：

集群管理

  • 新增了对 Kubernetes 集群节点的 A 系列 H200 和 B300 机器的支持。如需了解详情，请参阅集群节点机器类型。

基础架构

  • 添加了对组织中 B300 裸金属机器的支持。

托管 Harbor 服务

  • 添加了对项目服务账号的支持。这样，您就可以使用服务账号身份安全地与 Harbor 实例交互并管理容器仓库。如需了解详情，请参阅托管 Harbor 服务概览。

网络

  • Cloud DNS 现已正式发布。此服务提供了一种可靠、可伸缩的方式，可使用 Kubernetes API 或命令行管理域名服务记录。如需了解详情，请参阅 Cloud DNS 简介。

  • DNS 现在支持对系统和第一方服务的所有 DNS 流量进行基于 TLS 的加密，包括 Distributed Cloud 内部以及 Distributed Cloud 与客户网络之间的流量。

可观测性

  • 添加了工作负载的可观测性跟踪。此功能提供监控和日志记录功能，旨在简化工作负载的跟踪和问题排查。如需了解详情，请参阅工作负载的可观测性跟踪。

存储

  • 添加了对自动同步双可用区存储桶的支持。在正常运行期间，注入政策会同步将对象副本写入两个指定可用区，并在服务中断期间回退到异步复制。

  • 新增了对在对象上传的尾随 HTTP 标头中提供校验和的支持。这有助于提高数据完整性和错误检测能力。如需了解详情，请参阅上传和下载存储对象。

  • 添加了增强功能，可确保在移除关联的服务账号时自动删除对象存储区凭证。这样可以防止项目命名空间中出现孤立的 Secret。如需了解详情，请参阅删除存储桶。

  • 新增了对可用区级 S3 可用性的窗口化正常运行时间 SLO 的支持。此项变更可确保健康指标不会因单个高容量项目的多次重试而出现偏差，从而更准确地反映整个组织的实际用户体验。

虚拟机

  • 在支持的虚拟机机器类型列表中添加了 A 系列 A4 B300 机器。 如需了解详情，请参阅查看虚拟机机器类型。

  • 为自带 (BYO) 自定义映像添加了 Windows 2022 映像支持。如需了解详情，请参阅 GDC 支持的虚拟机映像。

  • 为证书即将到期的虚拟机添加了安全启动证书续订支持。如需了解详情，请参阅更新安全启动证书。

  • 将每个虚拟机的最大层级 1 网络出站流量带宽上限从 25 Gbps 提高到 32 Gbps，具体取决于机器类型和 vCPU 数量，以处理要求苛刻的工作负载。

安全性
将 Rocky 操作系统映像版本更新为 20260318，以应用最新的安全补丁和重要更新。

修复了以下安全漏洞：

问题
发现了以下问题：

Cloud DNS

  • 如果 DNS OIRv2 特性门控阶段不满足要求，系统会返回一般出错提示。

  • dns-core-mz-cp 子组件协调失败。

  • 端点 DNS 解析失败。

  • Cloud DNS 配置需要全局 gdcloud CLI。

集群管理

  • Kubernetes 集群在删除后未被移除。

  • 静态 Pod 因 kubelet 死锁而卡住。

  • 在 accredited 环境中，应用 SubcomponentOverride 自定义资源来替换可操作组件的特性门控会导致控制器持续重启。

  • 在节点替换或 Pod 变动后，孤立的 Available 本地 PersistentVolume 对象累积可能会导致共享集群和标准集群上发生 kube-apiserver 内存不足重启。

文档

  • 随产品发布提供的文档已过时。

  • 无法查看标签页格式的文档说明。

端点检测和响应

  • Isolate Host（隔离主机）选项在 Kibana 界面中可见，但无效。

防火墙

  • 单元配置生成错误地要求为基础设施防火墙提供 vsys 许可。

GDC 控制台

  • GDC 控制台中托管的文档显示 404 错误。

gdcloud CLI

  • 运行任何 gdcloud CLI 命令都会输出未初始化的功能标志警告。

Harbor

  • 故障切换注册表报告 404 Not Found 错误。

硬件安全模块

  • 文件描述符泄露会导致 ServicesNotStarted 错误。

身份和访问权限管理

  • 当 core/organization_console_url 设置为全球控制台网址时，运行 gdcloud CLI 或 kubectl 命令可能会间歇性失败，并显示 401 Unauthorized 错误。

  • k8s-networkpolicy-admin 或 k8s-networkpolicy-viewer 的 IAMRoleBinding 会导致 ZonalRoleBindingReplica 错误。

  • 包含 zonalRules 部分的 CustomRole 资源可能无法可靠地授予权限。

  • opsservices 组织的 Keycloak 部署失败。

  • Tenable 的 Keycloak 用户属性修改未反映出来。

  • 必须在 OIRv2 root-admin 集群中手动配置 Keycloak 身份提供方。

  • RotatableSecret ais-encryption-key-secret 报告 false，并显示 IAM-0100 超时。

基础设施即代码 (IAC)

  • 使用 IAC 从 GDC 1.15 版升级到 1.16 版可能会失败。

  • GitLab 作业可能会静默失败，并阻止 GitLab 启动。

  • IAC-3211 提醒会针对 iac-creds-replica 密钥过期错误触发。

资产清单

b/534561687 #}

  • 由于自动生成的密码中包含特殊字符，引导或部署失败。

  • 由于设备型号和收发器型号验证错误，root-admin 集群部署失败。

  • 在资产验证期间，如果线缆的收发器供应商为 FS，系统会显示警告。

  • 不支持包含两个以上字母的单元或机架名称。

  • 在初始安装或重新引导期间，预检验证 (2-mgmtsw-connection) 会报告裸机服务器 LOM1 端口或存储交换机 mgmt0 端口的虚假管理交换机连接失败 (VAL-E1001)。

  • OIRv2 机架中单个 NTP 设备的单元配置验证失败，因为 TOR 交换机配对检查要求两个 TOR 交换机都建立连接。

IO shell

  • 过期的 IOShell 资源会阻止资源创建或更新。

  • 不符合 RFC 1123 的用户名会导致 IO Shell 创建失败。

  • 组织或可用区名称中的连字符会导致命名冲突。

  • 使用管理内部 IP 地址与裸金属节点建立 SSH 连接失败。

IP 地址管理 (IPAM)

  • 升级到 1.16.1 或更高版本后，管理引用 platform 命名空间中父级的子网的服务账号需要 platform 命名空间中的 shared-subnet-user 角色。

密钥管理系统

  • 当 HSM 不可用时，配置为使用 CTM 根密钥的 KMS 不会进行故障切换。

  • kms-mz-global-cm 子组件升级在组织集群中失败。

  • 无法从 IO Shell 通过 SSH 连接到 Thales HSM 设备。 监控

  • mon-system StatefulSet Helm 升级失败，并显示禁止的 Pod 规范。

  • 平台管理员无法在 GDC 控制台中查看 platform-obs 项目的“提醒”页面。

网络

  • 如果 OrganizationNetworkPolicy 中仅配置了 matchTypes: ["api-server"]，则向标准集群 API 服务器发出的外部 kubectl 请求会失败，并显示 RBAC: access denied 错误。

网络时间协议 (NTP)

  • ntp-relay-controller pod 可能会因内存不足错误而进入崩溃循环状态。

  • manage_syncserver_time.py 脚本在部署期间检查时间时崩溃。

  • 部署 OIRv2 管理交换机时，NTP 配置和加密可能不适用于正在运行的配置。

  • NTP 服务器会触发虚假的硬件参考时钟同步提醒。

操作系统

  • 由于 /var/log 分区大小不足，用户集群卡在 Reconciling 状态。

  • 由于 pam_tty_audit.so 会话泄露，节点升级失败或系统锁定。

平台身份验证

  • Kubernetes 集群删除后，*-cert 个 Secret 泄露。

Resource Manager

  • Resource Manager 项目控制器可能会因内存不足错误而进入崩溃循环状态。

安全信息和事件管理 (SIEM)

  • 弹性存储磁盘大约在 30 天内达到满容量。

  • SIEM v2 无法在非 OIRv2 集群上完成发布。

  • Splunk 索引器卷会触发误报存储空间阈值提醒。

服务器

  • 引导程序安装在文件系统配置期间失败，并显示 matched no disk 错误。

  • 服务器引导失败，并显示 iDRAC 错误。

  • 对于 Dell 服务器，服务器预配失败，并出现 BMCConfigPreinstallLicenseInstallCompleted 状态条件错误。

  • BareMetalHostNetwork 自定义资源可能包含多个管理网关路由。

存储

  • 启用 Nearline Storage 后，在 VMImageDistributing 步骤中引导新租户组织会挂起。

  • ONTAP S3 事件审核日志记录已停用。

  • 由于缺少网络路由，ONTAP 升级失败。

  • StorageCluster 验证在引导期间失败。

  • 对包含分块上传的存储桶执行列出对象请求时，请求可能会失败，并且 obj-s3-availability 指标可能会下降。

  • 在依序升级期间，由于缺少 Bucket 自定义资源，对象存储区审核日志转发可能会失败。

  • 由于 DNS 查找失败，对象存储区审核日志转发器失败。

  • StorageGRID 升级可能会因“未上传升级”错误而卡住。

  • 创建和更新存储桶所用的时间超出预期。

工单系统

  • ts-app-server-1 pod 会定期重启。

虚拟机

  • 当 onetd 重新创建 adminvrf0 和 datavrf0 VLAN 接口时，边界集群虚拟机可能会因缺少 macvtap (/dev/tap*) 设备而在创建期间失败。

  • 使用 gdcloud CLI gdcloud compute instances create 创建 Windows 虚拟机时，由于默认 BIOS 启动类型 bios 和缺少安全启动标志，虚拟机无法启动。

  • 在升级到 1.16.1 版期间，gpu-controller-controller-manager pod 会进入 ImagePullBackOff 状态。

  • 使用具有 4.x 内核的客机操作系统的 A 系列 a4-ultragpu-8g 虚拟机可能需要超过 25 分钟才能启动。

  • 在重新预配的服务器上创建类型为 a3-ultragpu-8g 和 a4-ultragpu-8g 的虚拟机失败，并出现错误。

  • 虚拟机元数据服务器数据库的每月 dbsadmin 密码轮替失败，因为数据库服务在应用密码后不再删除 db-pw-metadata-dbcluster 密钥。下次重启 metadata-server-controller-manager pod 或数据库后，元数据服务器将无法连接到其数据库。

漏洞管理

  • 使用 Tenable Enclave 进行的漏洞扫描可能无法完成。

  • 无法访问 Tenable Enclave。

已修复
修复了以下问题：

防火墙

  • 升级后，旧版防火墙规则可能会阻止组织到根管理员的流量。

身份和访问权限管理

  • 根 CA 轮替后，OPA Gatekeeper 信任问题会阻止在新项目中创建 IAM 角色。

网络

  • 预检验证不再报告管理交换机与防火墙管理端口之间的虚假连接故障。

存储

  • 尽管采取了标准静音措施，但频繁的 OBJ-A0003 提醒仍然存在。

  • StorageGRID 主管理员节点停机后，使用 ObjectStorageUpgradeRequest CR 执行的对象存储区升级尝试可能会失败，因为请求会被定向到非主 StorageGRID 管理员节点。

虚拟机

  • 使用 gdcloud compute images import 命令或 VirtualMachineImageImport 自定义资源导入虚拟机磁盘映像时，如果 VirtualMachineImageImport 资源名称超过 33 个字符（或传递给 gdcloud CLI 的映像名称超过 28 个字符），导入操作会卡在 JobImport 阶段。
更改
系统会识别以下更改：

版本更新：

已弃用
以下功能已弃用：

数据库服务

  • 数据库服务正在弃用 1.14.12 版及更早版本中的旧版高可用性 (HA) 实现。旧版高可用性数据库集群将一直受支持，直到其停用日期（待公布）。新的高可用性功能没有面向用户的变化，因为用于启用和停用高可用性的 API 保持不变。如需验证高可用性数据库集群是否正在使用新实现，请检查高可用性数据库集群 CR 上是否存在注解 dbcluster.dbadmin.goog/raasEnabled。此注解仅会显示在使用新实现的高可用性数据库集群上。如果您没有此注解，可以迁移到最新的高可用性实现。