Achtung: Verhaltensänderungen bei virtuellen Netzschnittstellen, Instanzen, Bare-Metal-Servern und Dateifreigaben verringern

Am 12. März 2024 wurde ein Feature, das die Unterstützung für virtuelle Netzschnittstellen erweitert, im Service Virtual Private Cloud (VPC) allgemein verfügbar gemacht. Bei Verwendung in Ihrem Konto führt dieses Feature Verhaltensänderungen an Instanzen, Bare-Metal-Servern und Dateifreigaben ein. Diese Änderungen können sich auf Ihre Automatisierung oder Workflows für die Verwaltung dieser Ressourcen auswirken.

Sie können den Zugriff auf diese Funktion über den Support von „ IBM “ aufschieben. Benutzer in einem Konto mit verzögertem Zugriff können keine Instanzen oder Bare-Metal-Server mit virtuellen Netzschnittstellen erstellen. Wenn Sie mehr Zeit zum Bewerten, Korrigieren und Testen von Änderungen für virtuelle Netzschnittstellen benötigen, fordern Sie eine Verzögerung für Ihre Produktionskonten an, während Sie die Minderungen mithilfe Ihrer Testkonten durchführen.

Wenn Sie keinen verzögerten Zugriff auf dieses Feature haben, lesen Sie die bereitgestellte Anleitung, auch wenn Sie keine virtuellen Netzschnittstellen verwenden möchten.

Was hat sich geändert?

Die folgenden Features sind für virtuelle Netzschnittstellen verfügbar:

  • Sie können Instanzen und Bare-Metal-Server mit virtuellen Netzschnittstellen erstellen, die neuen untergeordneten Ressourcen zugeordnet sind, die als Netzanhänge bezeichnet werden. Sie können einen primary_network_attachment (anstelle eines primary_network_interface s) angeben und entweder die Identität einer bereits erstellten virtuellen Netzschnittstelle oder ein Teilnetz angeben, um eine neue virtuelle Netzschnittstelle für die Instanz oder den Bare-Metal-Server zu erstellen.
  • Virtuelle Netzschnittstellen haben Lebenszyklen, die unabhängig von den Ressourcen sind, denen sie zugeordnet sind. Sie können die Eigenschaft auto_delete auf false aktualisieren, damit eine virtuelle Netzschnittstelle über den Lebenszyklus des ursprünglichen Bare-Metal-Servers oder der ursprünglichen Bare-Metal-Instanz hinaus bestehen bleibt und erneut an einen anderen Bare-Metal-Server bzw. eine andere Bare-Metal-Instanz angehängt wird.
  • Virtuelle Netzschnittstellen unterstützen sekundäre IP-Adressen. Sie können reservierte IPs zu einer virtuellen Netzschnittstelle hinzufügen und entfernen.
  • Aus Gründen der Kompatibilität mit vorhandenen Clients enthalten Instanzen und Bare-Metal-Server mit virtuellen Netzschnittstellen eine schreibgeschützte Darstellung ihrer Netzanhänge und virtuellen Netzschnittstellen als untergeordnete Ressourcen der alten Netzschnittstelle. Informationen zur Unterstützung für alte API-Clients.
  • Für Instanzen und Bare-Metal-Server mit virtuellen Netzschnittstellen werden die IAM-Berechtigungen für Optionen zum Zulassen von IP-Spoofing oder zum Inaktivieren der Infrastruktur-NAT auf den zugeordneten virtuellen Netzschnittstellen verwaltet. Beim Erstellen oder Aktualisieren einer virtuellen Netzschnittstelle können Sie vom Standard abweichende Werte für die Eigenschaften allow_ip_spoofing und enable_infrastructure_nat nur festlegen, wenn Sie über die IAM-Berechtigungen is.virtual-network-interface.virtual-network-interface.manage-ip-spoofing bzw. is.virtual-network-interface.virtual-network-interface.manage-infrastructure-nat verfügen.
  • Sie können Datenflussprotokollkollektoren verwenden, um Netzanhänge von Instanzen und virtuelle Netzschnittstellen als Ziel anzugeben. Es gibt keine Unterstützung für Datenflussprotokolle für Bare-Metal-Server und gemeinsam genutzte Mountziele.

Warum haben wir diese Änderung vorgenommen?

Eine virtuelle Netzschnittstelle stellt einen Mechanismus zur Konsolidierung von Netzrichtlinien in einer Ressource bereit, die beibehalten und wiederverwendet werden kann, wobei der Lebenszyklus unabhängig von den Ressourcen ist, zu denen sie gehört. Netzspezifische IAM-Berechtigungen werden getrennt von IAM-Berechtigungen für Berechnungen verwaltet. Wenn neue Netzfunktionen freigegeben werden, werden sie über virtuelle Netzschnittstellen verfügbar gemacht, sodass die neuen Netzfunktionen alle Ressourcen unterstützen, an die virtuelle Netzschnittstellen angehängt werden können.

Welche Auswirkungen hat diese Änderung?

Wenn Sie keinen verzögerten Zugriff auf dieses Feature haben, wirkt sich diese Änderung auf Ihr Konto aus, wenn Sie über API-Clients (z. B. angepasste Automatisierungen, Prüfscripts oder Dashboards) verfügen, die mit Instanzen, Bare-Metal-Server, Netzschnittstellen oder Dateifreigaben interagieren.

Diese Operationen können dazu führen, dass API-Clients und Workflows fehlschlagen.

Welche Maßnahmen können Sie ergreifen, um einen Fehler zu vermeiden?

Die in diesem Abschnitt beschriebenen Verhaltensänderungen stellen die Arten von Gefahren dar, die sich auf Ihren Code auswirken können, wenn Ihr Konto keinen verzögerten Zugriff auf diese Funktion hat. Möglicherweise führt ein Benutzer in Ihrem Konto Operationen aus, die Ihre Automatisierung unterbrechen könnten.

Vergleichen Sie diese Änderungen mit allen von Ihnen erstellten Clientautomatisierungen. Verwenden Sie diese Anleitung, um Verhaltensänderungen zu mindern, die zu API-Client-und Workflowfehlern führen könnten, indem Sie das Design für Ihre Automatisierung aktualisieren und testen.

Korrektur der virtuellen Netzschnittstellen

Sie können Instanzen und Bare-Metal-Server mit virtuellen Netzschnittstellen erstellen, die neuen untergeordneten Ressourcen zugeordnet sind, die als Netzanhänge bezeichnet werden. Virtuelle Netzschnittstellen verfügen über Lebenszyklen, die unabhängig von den Ressourcen sind, denen sie zugeordnet sind, und netzspezifische IAM-Aktionen werden auf virtuellen Netzschnittstellen verwaltet.

Verhaltensänderung 1

Für eine Instanz oder einen Bare-Metal-Server, die bzw. der mit Netzanhängen erstellt wurde, sind die untergeordneten Ressourcen der Netzschnittstelle der Instanz oder des Bare-Metal-Servers schreibgeschützte Darstellungen ihrer Netzanhänge (und ihrer zugehörigen virtuellen Netzschnittstellen).

_Möglicher Fehler:_Clients, die versuchen, diese schreibgeschützten Ressourcen zu aktualisieren, schlagen fehl.

Minderung: Überprüfen Sie den Client-Code, der die untergeordneten network_interfaces-Ressourcen von Instanzen und Bare-Metal-Servern abruft und aktualisiert. Aktualisieren Sie den Code nach Bedarf, um die Instanz oder den Bare-Metal-Server auf das Vorhandensein einer Eigenschaft primary_network_attachment zu überprüfen. Ändern Sie die Clientlogik, um stattdessen die untergeordneten network_attachments-Ressourcen und die zugehörigen virtuellen Netzschnittstellen zu aktualisieren.

Verhaltensänderung 2

Virtuelle Netzschnittstellen haben Lebenszyklen, die unabhängig von den Ressourcen sind, denen sie zugeordnet sind. Eine virtuelle Netzschnittstelle, bei der auto_delete auf false gesetzt ist, bleibt bestehen, nachdem ihr Ziel gelöscht wurde, und die reservierten IPs, die an die virtuelle Netzschnittstelle gebunden sind, bleiben gebunden. Die virtuelle Netzschnittstelle kann anschließend einer anderen Ressource zugeordnet werden.

Mögliche Fehler: Workflows, die Instanzen löschen und anschließend neue Instanzen erstellen, die die reservierten IPs aus den gelöschten Instanzen wiederverwenden, schlagen möglicherweise fehl. Ein Fehler tritt auf, wenn versucht wird, eine reservierte IP wiederzuverwenden, die nicht freigegeben wurde, weil sie noch an eine virtuelle Netzschnittstelle gebunden ist, die eine gelöschte Instanz überlebt hat.

Minderung: Überprüfen Sie den Client-Code auf Annahmen, dass reservierte IP-Adressen, die von Instanzen und Bare-Metal-Servern verwendet werden, an untergeordnete network_interfaces-Ressourcen gebunden sind und die Bindung sofort nach dem Löschen einer Instanz oder eines Bare-Metal-Servers aufgehoben wird. Ändern Sie den Client, um einen der folgenden Schritte auszuführen:

  • Setzen Sie die Eigenschaft auto_delete für die virtuellen Netzschnittstellen, die dem network_attachments der Instanz oder des Bare-Metal-Servers zugeordnet sind, auf true, bevor sie gelöscht wird.
  • Alle virtuellen Netzschnittstellen separat löschen, bevor ihre reservierten IP-Adressen wiederverwendet werden
  • Verwenden Sie die virtuellen Netzschnittstellen erneut, wodurch alle Eigenschaften der virtuellen Netzschnittstellen wie primary_ip, alle sekundären ips, alle security_groups usw. wiederverwendet werden.
Verhaltensänderung 3

Für Instanzen und Bare-Metal-Server mit virtuellen Netzschnittstellen werden die IAM-Berechtigungen für Optionen zum Zulassen von IP-Spoofing oder zum Inaktivieren der Infrastruktur-NAT auf den zugehörigen virtuellen Netzschnittstellen verwaltet.

_Möglicher Fehler:_Clients und Workflows, die Eigenschaften in untergeordneten Netzschnittstellen aktualisieren, um IP-Spoofing zuzulassen oder Infrastruktur-NAT zu inaktivieren, schlagen fehl, wenn die Instanzen oder Bare-Metal-Server mit Netzanhängen erstellt wurden.

Minderung: Überprüfen Sie den Client-Code, der die Eigenschaften allow_ip_spoofing oder enable_infrastructure_nat für untergeordnete network_interfaces-Ressourcen aktualisiert. Aktualisieren Sie den Code, um zu prüfen, ob die Eigenschaft primary_network_attachment vorhanden ist. Dies bedeutet, dass die untergeordneten network_interfaces-Ressourcen schreibgeschützt sind. Aktualisieren Sie die Clientlogik, um stattdessen die Eigenschaften allow_ip_spoofing oder enable_infrastructure_nat bei Bedarf auf den virtuellen Netzschnittstellen zu aktualisieren, die der network_attachments-Instanz oder dem Bare-Metal-Server zugeordnet sind.

Korrektur der IP-Adresse

Verhaltensänderung

Virtuelle Netzschnittstellen unterstützen sekundäre IP-Adressen.

Möglicher Fehler: Ein Client, der versucht, IP-Adressen für eine Instanz aufzuzählen, indem er die primary_ip.address in den untergeordneten network_interfaces-Ressourcen abruft, verpasst die sekundären IP-Adressen, wenn die network_interfaces abwärtskompatible Darstellungen der network_attachments und ihrer zugehörigen virtuellen Netzschnittstellen sind.

Minderung: Überprüfen Sie Ihren Client-Code, der IP-Adressen für Instanzen und Bare-Metal-Server aufzählt oder prüft. Aktualisieren Sie Ihren Client-Code, um zu prüfen, ob eine Eigenschaft primary_network_attachment vorhanden ist. Dies bedeutet, dass die Instanz oder der Bare-Metal-Server über network_attachments mit zugeordneten virtuellen Netzschnittstellen verfügt. Aktualisieren Sie die Clientlogik, um stattdessen alle address-Eigenschaften des ips-Arrays in allen zugehörigen virtuellen Netzschnittstellen abzurufen.

Korrektur des Datenflussprotokollkollektors

Verhaltensänderung

Datenflussprotokollkollektoren können Netzanhänge von Instanzen und virtuelle Netzschnittstellen verwenden. Datenflussprotokolle werden für eine virtuelle Netzschnittstelle erfasst, wenn die Schnittstelle an einen Instanznetzanschluss gebunden ist und die Namenskonvention vonCloud Object Storage(COS) für die erfassten Datenflussprotokolle die Instanznetzanschlusskennung im Feld vnic-id enthält. Während ihrer Lebensdauer kann die virtuelle Netzschnittstelle mehreren Instanzen zugeordnet werden.

Möglicher Fehler : Tools, Audits oder Fehlerbehebungsverfahren, die gesammelte Flussprotokolle von IBM Cloud® Object Storage Buckets analysieren, können die Protokolle möglicherweise nicht mit einer virtuellen Netzwerkschnittstelle korrelieren.

Minderung: Überprüfen und aktualisieren Sie Ihre Tools, Prüfungs-oder Fehlerbehebungsprozeduren, die Datenflussprotokollkollektoren erstellen und Datenflussprotokolle analysieren. Wenn Sie eine virtuelle Netzschnittstelle mit einem Datenflussprotokollkollektor als Ziel festlegen möchten, stellen Sie sicher, dass Ihre Prozeduren zum Analysieren von Datenflussprotokollen berücksichtigen, dass der Kollektor Datenflussprotokolle für mehrere Instanzen während der Lebensdauer der virtuellen Netzschnittstelle erfassen kann. Die ID der Instanz befindet sich im Abschnitt instance-id des Namens des Datenflussprotokolls Object Storage Bucket. Daher wird ein neues Object Storage-Bucket für das Datenflussprotokoll erstellt, wenn die target einer virtuellen Netzschnittstelle aktualisiert wird, indem die virtuelle Netzschnittstelle einer neuen Instanz zugeordnet wird.

Behebung von Ereignissen bei der Aktivitätsverfolgung

Verhaltensänderung

Die erweiterte Unterstützung für virtuelle Netzwerkschnittstellen fügt viele neue Ereignisse zur Aktivitätsverfolgung hinzu:

Mögliche Fehler : Client-Tools und Auditing-Prozesse, die nicht für die neuen Aktivitätsverfolgungsereignisse aktualisiert wurden, melden unvollständige Ereignisfolgen.

Abhilfe : Überprüfen Sie Ihr Tooling, das Ereignisse zur Aktivitätsverfolgung verbraucht, und aktualisieren Sie Ihr Tooling bei Bedarf, um die neuen Ereignisse zu berücksichtigen. Berücksichtigen Sie, dass für schreibgeschützte Darstellungen von Netzanhängen keine Ereignisse zur Aktivitätsverfolgung erzeugt werden.

Korrektur der Instanzvorlage

Verhaltensänderung 1

Eine Instanzvorlage kann für Instanzen mit untergeordneten network_interfaces-Ressourcen im alten Stil oder für Instanzen mit untergeordneten network_attachments-Ressourcen und zugehörigen virtuellen Netzschnittstellen verwendet werden. Beim Erstellen einer Instanz aus einer Instanzvorlage muss die Netzschnittstelle oder der Zuordnungstyp mit der der Quellenvorlage übereinstimmen.

_Möglicher Fehler:_Clients und Workflows, die Instanzen aus einer Instanzvorlage erstellen und die Eigenschaften primary_network_interface oder network_interfaces überschreiben, schlagen fehl, wenn die Vorlage für Instanzen mit primary_network_attachment oder network_attachments bestimmt war.

Minderung: Vor der Erstellung einer Instanz aus einer Vorlage rufen Sie die Instanzvorlage ab und stellen Sie fest, ob die Vorlage über die Eigenschaften primary_network_interface und network_interfaces oder primary_network_attachment und network_attachments verfügt. Wenn Sie eine Instanz aus der Vorlage erstellen, stimmen Sie die Instanzeigenschaften nach Bedarf mit denen der Vorlage ab.

Verhaltensänderung 2

Eine Instanzvorlage kann für Instanzen mit untergeordneten network_interfaces-Ressourcen im alten Stil oder für Instanzen mit untergeordneten network_attachments-Ressourcen und zugehörigen virtuellen Netzschnittstellen verwendet werden. Wenn Sie eine Instanzvorlage aus einer Instanzvorlage erstellen, muss die Netzschnittstelle oder der Zuordnungstyp mit der der Quellenvorlage übereinstimmen.

_Möglicher Fehler:_Clients und Workflows, die Instanzvorlagen aus einer anderen Instanzvorlage erstellen und die Eigenschaften primary_network_interface oder network_interfaces überschreiben, schlagen fehl, wenn die Quellenvorlage für Instanzen mit einem primary_network_attachment und network_attachments verwendet wurde.

Minderung: Bevor Sie eine Instanzvorlage aus einer Quellenvorlage erstellen, rufen Sie die Quellenvorlage ab und ermitteln Sie, ob die Quellenvorlage die Eigenschaften primary_network_interface und network_interfaces oder primary_network_attachment und network_attachments enthält. Wenn Sie eine neue Vorlage aus der Quellenvorlage erstellen, gleichen Sie die neuen Vorlageneigenschaften nach Bedarf mit denen der Quellenvorlage ab.

Hinweis: Sie sind von diesen Änderungen am Vorlagenverhalten betroffen, wenn eine der folgenden Bedingungen zutrifft:

  • Ein API-Client oder ein Benutzer in Ihrem Account erstellt eine Vorlage mit Netzanhängen und ein Client versucht, die neue Vorlage zu verwenden, um Instanzen oder Vorlagen mit Netzschnittstellen zu erstellen.
  • Ein Client versucht, eine Vorlage mit Netzschnittstellen zu verwenden, um Instanzen oder Vorlagen mit Netzanhängen zu erstellen.

Korrektur der Dateifreigabe

Verhaltensänderung

Für virtuelle Netzschnittstellen, die Dateifreigabemountzielen zugeordnet sind, kann die Eigenschaft auto_delete auf false gesetzt sein. Wenn das Mountziel der Dateifreigabe, das einer solchen virtuellen Netzschnittstelle zugeordnet ist, gelöscht wird, wird die virtuelle Netzschnittstelle nicht automatisch gelöscht. Die virtuelle Netzschnittstelle kann anschließend für eine andere Ressource wiederverwendet werden, z. B. für ein anderes Mountziel für die Dateifreigabe.

Möglicher Fehler: Workflows, die Mountziele für Dateifreigaben und anschließend Teilnetze löschen, schlagen möglicherweise fehl. Wenn die Teilnetze virtuelle Netzschnittstellen enthalten, die nicht automatisch gelöscht wurden, tritt ein Fehler auf.

Minderung: Überprüfen Sie den Client-Code auf Annahmen, die auto_delete immer true sind, und aktualisieren Sie die Löschlogik des Clients, um die virtual_network_interface zu suchen, die dem gemeinsam genutzten Mountziel zugeordnet ist. Wählen Sie anschließend eine der folgenden Aktionen aus:

  • Setzen Sie die Eigenschaft auto_delete der virtuellen Netzschnittstelle auf true, bevor Sie das gemeinsam genutzte Mountziel löschen.
  • Virtuelle Netzschnittstelle in einem Folgeschritt löschen
  • Virtuelle Netzschnittstelle für spätere Wiederverwendung mit neuem gemeinsam genutzten Mountziel beibehalten