Attenzione: gestione delle modifiche alle interfacce di rete virtuali, istanze, server bare metal e condivisioni di file

Il 12 marzo 2024, una funzione che estende il supporto per le interfacce di rete virtuali è stata resa generalmente disponibile nel servizio VPC (Virtual Private Cloud). Se viene utilizzato nel tuo account, questa funzione introduce le modifiche al comportamento delle istanze, dei server bare metal e delle condivisioni file. Queste modifiche potrebbero influire sull'automazione o sui flussi di lavoro per la gestione di tali risorse.

È possibile scegliere di posticipare l'accesso a questa funzione tramite l'assistenza IBM. Gli utenti in un account con accesso differito non saranno in grado di creare istanze o server bare metal con interfacce di rete virtuali. Se hai bisogno di più tempo per valutare, correggere e testare le modifiche per le interfacce di rete virtuali, richiedi il rinvio per i tuoi account di produzione mentre completi le mitigazioni utilizzando i tuoi account di test.

Se non si dispone dell'accesso differito a questa funzione, leggere la guida fornita anche se non si prevede di utilizzare le interfacce di rete virtuali.

Cosa è cambiato?

Le seguenti funzioni sono disponibili per le interfacce di rete virtuale:

  • Puoi creare istanze e server bare metal con interfacce di rete virtuali collegate a nuove risorse child denominate collegamenti di rete. Puoi specificare un primary_network_attachment (invece di un primary_network_interface) e fornire l'identità di un'interfaccia di rete virtuale già creata o una sottorete per creare una nuova interfaccia di rete virtuale per l'istanza o il server bare metal.
  • Le interfacce di rete virtuali hanno cicli di vita indipendenti dalle risorse a cui sono collegate. Puoi aggiornare la proprietà auto_delete in false per consentire a un'interfaccia di rete virtuale di persistere oltre il ciclo di vita del suo server o istanza bare metal originale e di essere ricollegata a un altro server o istanza bare metal.
  • Le interfacce di rete virtuali supportano indirizzi IP secondari. Puoi aggiungere e rimuovere gli IP riservati a e da un'interfaccia di rete virtuale.
  • Per la compatibilità con i client esistenti, le istanze e i server bare metal con interfacce di rete virtuali includono una rappresentazione di sola lettura dei loro collegamenti di rete e delle interfacce di rete virtuali come risorse child dell'interfaccia di rete vecchio stile. Informazioni sul supporto per i vecchi client API.
  • Per le istanze e i server bare metal con le interfacce di rete virtuali, le autorizzazioni IAM per le opzioni per consentire lo spoofing IP o disabilitare il NAT dell'infrastruttura sono gestite sulle loro interfacce di rete virtuali collegate. Quando crei o aggiorni un'interfaccia di rete virtuale, puoi impostare valori non predefiniti per le proprietà allow_ip_spoofing e enable_infrastructure_nat solo se hai rispettivamente le autorizzazioni is.virtual-network-interface.virtual-network-interface.manage-ip-spoofing e is.virtual-network-interface.virtual-network-interface.manage-infrastructure-nat IAM.
  • È possibile utilizzare i raccoglitori log di flusso per i collegamenti di rete delle istanze di destinazione e le interfacce di rete virtuali. Non c'è alcun supporto per i log di flusso per i server bare metal e le destinazioni di montaggio condivise.

Perché abbiamo fatto questo cambiamento?

Un'interfaccia di rete virtuale fornisce un meccanismo per consolidare le politiche di rete in una risorsa che può essere preservata e riutilizzata, con un ciclo di vita indipendente dalle risorse a cui si collega. Le autorizzazioni IAM specifiche della rete vengono gestite separatamente dalle autorizzazioni IAM di calcolo. Quando vengono rilasciate nuove funzionalità di rete, queste saranno rese disponibili tramite interfacce di rete virtuali, consentendo alle nuove funzionalità di rete di supportare tutte le risorse a cui le interfacce di rete virtuali possono collegarsi.

Quali sono gli effetti di questo cambiamento?

A meno che tu non abbia rinviato l'accesso a questa funzione, il tuo account è influenzato da questa modifica se hai client API (come automazioni personalizzate, script di controllo o dashboard) che interagiscono con le istanze, i server bare metal, le interfacce di rete o le condivisioni file.

Queste operazioni potrebbero causare il malfunzionamento dei client API e dei flussi di lavoro.

Quali azioni è possibile intraprendere per evitare un errore?

Le modifiche al comportamento descritte in questa sezione rappresentano i tipi di rischi che potrebbero influenzare il codice se l'account non ha rinviato l'accesso a questa funzionalità. Qualcuno nel tuo account potrebbe iniziare a eseguire operazioni che potrebbero interrompere la tua automazione.

Confronta queste modifiche con qualsiasi automazione client che hai creato. Utilizzare questa guida per mitigare le modifiche comportamentali che potrebbero portare a errori del client API e del workflow aggiornando e testando la progettazione per l'automazione.

Correzione interfacce di rete virtuali

È possibile creare istanze e server bare metal con interfacce di rete virtuali collegate a nuove risorse child denominate collegamenti di rete. Le interfacce di rete virtuali hanno cicli di vita indipendenti dalle risorse a cui sono collegate e le azioni IAM specifiche della rete sono gestite sulle interfacce di rete virtuali.

Modifica comportamento 1

Per un'istanza o un server bare metal creato con i collegamenti di rete, le risorse child dell'interfaccia di rete dell'istanza o del server bare metal sono rappresentazioni di sola lettura dei relativi collegamenti di rete (e le relative interfacce di rete virtuali associate).

Errore possibile: i client che tentano di aggiornare queste risorse di sola lettura avranno esito negativo.

Mitigazione: esamina il codice client che richiama e aggiorna le risorse child network_interfaces delle istanze e dei server bare metal. Aggiorna il codice, come necessario, per controllare l'istanza o il server bare metal per la presenza di una proprietà primary_network_attachment. Modificare la logica del client per aggiornare invece le risorse child network_attachments e le relative interfacce di rete virtuali associate.

Modifica comportamento 2

Le interfacce di rete virtuali hanno cicli di vita indipendenti dalle risorse a cui sono collegate. Un'interfaccia di rete virtuale con auto_delete impostato su false persisterà dopo che la relativa destinazione è stata eliminata e gli IP riservati collegati all'interfaccia di rete virtuale rimangono collegati. L'interfaccia di rete virtuale può essere successivamente collegata a un'altra risorsa.

Errore possibile: i flussi di lavoro che eliminano le istanze e quindi creano nuove istanze che riutilizzano gli IP riservati dalle istanze eliminate, potrebbero non riuscire. L'errore si verifica quando si tenta di riutilizzare un IP riservato che non è stato rilasciato perché è ancora collegato a un'interfaccia di rete virtuale che ha superato un'istanza eliminata.

Mitigazione: esamina il codice client per eventuali presupposti che gli IP riservati utilizzati dalle istanze e dai server bare metal sono associati alle risorse child network_interfaces e ne verrà sempre annullato il bind immediatamente dopo l'eliminazione di un'istanza o di un server bare metal. Modificare il client per effettuare una delle seguenti operazioni:

  • Impostare la proprietà auto_delete su true sulle interfacce di rete virtuali associate al network_attachments dell'istanza o del server bare metal prima che venga eliminato
  • Eliminare separatamente tutte le interfacce di rete virtuali prima che i relativi IP riservati vengano riutilizzati
  • Riutilizzare le interfacce di rete virtuali, che riutilizzano tutte le proprietà delle interfacce di rete virtuali, ad esempio primary_ip, qualsiasi ips secondario, qualsiasi security_groups e così via
Modifica comportamento 3

Per le istanze e i server bare metal con interfacce di rete virtuali, le autorizzazioni IAM per le opzioni per consentire lo spoofing IP o per disabilitare il NAT dell'infrastruttura sono gestite sulle loro interfacce di rete virtuali associate.

Errore possibile: i client e i flussi di lavoro che aggiornano le proprietà sulle interfacce di rete secondarie per consentire lo spoofing IP o la disabilitazione del NAT dell'infrastruttura avranno esito negativo quando le istanze o i server bare metal sono stati creati con i collegamenti di rete.

Attenuazione: esaminare il codice client che aggiorna la proprietà allow_ip_spoofing o enable_infrastructure_nat sulle risorse child network_interfaces. Aggiornare il codice per controllare la presenza di una proprietà primary_network_attachment, il che significa che le risorse child network_interfaces sono di sola lettura. Aggiornare la logica del client per aggiornare invece le proprietà allow_ip_spoofing o enable_infrastructure_nat come necessario sulle interfacce di rete virtuali associate al network_attachments dell'istanza o del server bare metal.

Correzione indirizzo IP

Modifiche comportamentali

Le interfacce di rete virtuali supportano indirizzi IP secondari.

Errore possibile: un client che tenta di enumerare gli indirizzi IP per un'istanza richiamando primary_ip.address sulle risorse child network_interfaces perderà gli indirizzi IP secondari se network_interfaces sono rappresentazioni compatibili con le versioni precedenti di network_attachments e delle relative interfacce di rete virtuali associate.

Mitigazione: esamina il codice del tuo client che enumera o controlla gli indirizzi IP per le istanze e i server bare metal. Aggiorna il tuo codice client per controllare la presenza di una proprietà primary_network_attachment, il che significa che l'istanza o il server bare metal ha network_attachments con le interfacce di rete virtuali associate. Aggiornare la logica client per richiamare invece tutte le proprietà address dell'array ips su ciascuna delle interfacce di rete virtuali associate.

Correzione raccoglitore log di flusso

Modifiche comportamentali

I raccoglitori log di flusso possono indirizzare i collegamenti di rete delle istanze e le interfacce di rete virtuali. I log di flusso vengono raccolti per una interfaccia di rete virtuale quando l'interfaccia è collegata a un collegamento di rete dell'istanza e il Convenzione di denominazione COS(Cloud Object Storage) per i log di flusso raccolti ha l'identificativo del collegamento di rete dell'istanza nel campo vnic-id. Nel corso della sua durata, l'interfaccia di rete virtuale può essere collegata a più di un'istanza.

Possibile errore : Le procedure di tooling, audit o risoluzione dei problemi che analizzano i registri di flusso raccolti dai bucket IBM Cloud® Object Storage potrebbero non riuscire a correlare i registri con un'interfaccia di rete virtuale.

Attenuazione: esamina e aggiorna le tue procedure di strumentazione, controllo o risoluzione dei problemi che creano raccoglitori di log di flusso e analizzano i log di flusso. Quando si specifica un'interfaccia di rete virtuale con un raccoglitore di log di flusso, assicurarsi che le procedure per analizzare i log di flusso tengano conto che il raccoglitore può raccogliere i log di flusso per più di un'istanza nel corso della durata dell'interfaccia di rete virtuale. L'identificativo dell'istanza è nella sezione instance-id del nome del bucket flow log Object Storage. Pertanto, un nuovo bucket Object Storage del log di flusso viene creato quando il target di un'interfaccia di rete virtuale viene aggiornato associando l'interfaccia di rete virtuale a una nuova istanza.

Monitoraggio degli eventi di tracciamento delle attività

Modifiche comportamentali

Il supporto ampliato per le interfacce di rete virtuali aggiunge molti nuovi eventi di monitoraggio delle attività:

Possibili errori : Gli strumenti client e i processi di auditing che non sono stati aggiornati per i nuovi eventi di tracciamento delle attività segnaleranno sequenze di eventi incomplete.

Mitigazione : Rivedere gli strumenti che consumano gli eventi di monitoraggio delle attività e aggiornarli, se necessario, per includere i nuovi eventi. Tenere presente che non vengono generati eventi di monitoraggio dell'attività per le rappresentazioni di sola lettura degli allegati di rete.

Risoluzione modello istanza

Modifica comportamento 1

Un modello di istanza può essere per istanze con risorse child network_interfaces vecchio stile o per istanze con risorse child network_attachments e interfacce di rete virtuali associate. Quando si crea un'istanza da un modello di istanza, l'interfaccia di rete o il tipo di collegamento deve corrispondere a quello del modello di origine.

Possibile errore: i client e i flussi di lavoro che creano le istanze da un modello di istanza e sovrascrivono le proprietà primary_network_interface o network_interfaces avranno esito negativo se il modello era per le istanze con primary_network_attachment o network_attachments.

Attenuazione: prima di creare un'istanza da un modello, richiamare il modello dell'istanza e determinare se il modello dispone di proprietà primary_network_interface e network_interfaces o di proprietà primary_network_attachment e network_attachments. Quando si crea un'istanza dal modello, far corrispondere le proprietà dell'istanza, se necessario, con quelle del modello.

Modifica comportamento 2

Un modello di istanza può essere per istanze con risorse child network_interfaces vecchio stile o per istanze con risorse child network_attachments e interfacce di rete virtuali associate. Quando si crea un modello di istanza da un modello di istanza, l'interfaccia di rete o il tipo di collegamento deve corrispondere a quello del modello di origine.

Possibile errore: i client e i flussi di lavoro che creano modelli di istanza da un altro modello di istanza e sovrascrivono le proprietà primary_network_interface o network_interfaces avranno esito negativo se il modello di origine era per le istanze con primary_network_attachment e network_attachments.

Attenuazione: prima di creare un modello di istanza da un modello di origine, richiamare il modello di origine e stabilire se il modello di origine dispone di proprietà primary_network_interface e network_interfaces oppure di proprietà primary_network_attachment e network_attachments. Quando si crea un nuovo modello dal modello di origine, far corrispondere le proprietà del nuovo modello, se necessario, con quelle del modello di origine.

Nota: l'utente è interessato da queste modifiche del comportamento del modello se si verifica una delle seguenti condizioni:

  • Un client API o un utente nel proprio account crea un template che dispone di allegati di rete e un client tenta di utilizzare il nuovo template per creare istanze o modelli con interfacce di rete
  • Un client tenta di utilizzare un modello che dispone di interfacce di rete per creare istanze o modelli con collegamenti di rete

Correzione condivisione file

Modifiche comportamentali

Le interfacce di rete virtuali collegate alle destinazioni di montaggio della condivisione file potrebbero avere la proprietà auto_delete impostata su false. Quando la destinazione di montaggio della condivisione file associata a tale interfaccia di rete virtuale viene eliminata, l'interfaccia di rete virtuale non viene eliminata automaticamente. L'interfaccia di rete virtuale può essere successivamente riutilizzata per un'altra risorsa, ad esempio un'altra destinazione di montaggio della condivisione file.

Errore possibile: i flussi di lavoro che eliminano le destinazioni di montaggio di condivisione file e quindi eliminano le sottoreti potrebbero avere esito negativo. L'errore si verifica quando le sottoreti contengono interfacce di rete virtuali che non sono state eliminate automaticamente.

Attenuazione: esaminare il codice client per individuare eventuali presupposti che auto_delete è sempre true e aggiornare la logica di eliminazione del client, se necessario, per ricercare il virtual_network_interface associato alla destinazione di montaggio della condivisione. Selezionare quindi una delle seguenti azioni:

  • Impostare la proprietà auto_delete dell'interfaccia di rete virtuale su true prima di eliminare la destinazione di montaggio della condivisione
  • Eliminare l'interfaccia di rete virtuale in un passo successivo
  • Conserva l'interfaccia di rete virtuale per un successivo riutilizzo con la nuova destinazione di montaggio della condivisione