OpenStack 2026.2 Hibiscus tilføjer fortrolig computing, vGPU‑understøttelse

OpenStack‑fællesskabet udgav OpenStack 2026.2 (Hibiscus) den 30. september 2026, den 34. udgivelse af open-source-softwaren til cloud-infrastruktur, som tilføjer fortrolig‑computing‑understøttelse for AMD‑ og Intel‑platforme, nye administrationsmuligheder for GPU‑accelererede arbejdsbelastninger og effektivitetsforbedringer for store implementeringer.

Omkring 600 bidragydere samarbejdede i løbet af den seks‑måneders Hibiscus‑udviklingscyklus, en stigning på 21 % i forhold til OpenStack 2026.1 Gazpacho, og de leverede 11.500 kodeændringer, en stigning på 28 % fra udgivelse til udgivelse, ifølge projektet. I samme cyklus kørte OpenDev Zuul‑systemet for kontinuerlig integration cirka 1,6 millioner job til at bygge, teste og udgive software på tværs af OpenStack‑økosystemet; i løbet af de sidste fem år har Zuul kørt mere end 14,2 millioner job, der understøtter OpenStack‑udvikling.

Fortrolig computing og sikkerhed

Fortrolig computing er et centralt investeringsområde i udgivelsen, ifølge meddelelsen. De projektspecifikke udgivelseshøjdepunkter, rapporteret direkte fra projektholdene, angiver at Nova nu kan starte instanser med AMD SEV‑SNP‑hukommelses‑kryptering, den tredje generation af AMD’s Secure Encrypted Virtualization. Ifølge udgivelsesnoterne giver SEV‑SNP stærkere integritetsbeskyttelse end SEV‑ES og muliggør platform‑attestering, hvilket lader gæsteejere verificere integriteten af deres virtuelle maskiner gennem signerede attestationsrapporter. Operatører anmoder om SEV‑SNP‑instanser med den ekstra flavor-egenskab hw:mem_encryption_model=amd-sev-snp eller den tilsvarende billed‑egenskab.

Nova understøtter nu også Intel Trust Domain Extensions (TDX) for fortrolig computing på Intel‑platforme, specifikt 5. generation Xeon Scalable‑processorer eller nyere. Ifølge udgivelsesnoterne leverer TDX hardwarehåndhævet hukommelses‑kryptering og CPU‑tilstand‑isolering, som beskytter gæster mod hypervisoren og anden privilegeret software, og attestering understøttes gennem Quote Generation Service.

Designate, DNS‑tjenesten, har tilføjet understøttelse af TLSA‑poster, defineret i RFC 6698, som bruges til DANE‑certifikat‑pinning, og har fået værktøjer til at vurdere paratheden til post-kvante-kryptografi, herunder en konfigurerbar tjektilstand, der kan blokere tjenestens opstart ved kvante‑sårbare certifikat‑algoritmer eller forældede TLS‑versioner. Designate har også rettet OSSA‑2026‑034, en cross‑tenant zone‑ejerskabs‑omgåelse, der gjorde det muligt for en lejer at oprette en subzone, superzone eller duplikat af en anden lejers zone ved at planlægge den til en anden pool, hvilket muliggør DNS‑trafik‑kapring og tjenestenægtelse. Kontrol af zone‑ejerskabs‑konflikter søger nu på tværs af alle pools.

Cyborg håndterede CVE‑2026‑40213 og CVE‑2026‑40214 ved at afgrænse anmodninger til projekter, kræve validering af service‑token og stramme adgangen til hardware‑styrings‑API’er, og tilføjede valgfrie persona‑baserede politik‑standardindstillinger for læser‑, medlem‑, manager‑, service‑ og admin‑roller forud for en planlagt standardændring i 2027.1‑udgivelsen. Glance, billedtjenesten, leverede rettelser for CVE‑2026‑71196, CVE‑2026‑71197, CVE‑2026‑71198 og OSSA‑2026‑038.

På tværs af projektet er der indtil videre i 2026 udstedt 42 OpenStack Security Advisories og 13 OpenStack Security Notes, ifølge udgivelsessiden, og OpenStack Vulnerability Management Team koordinerer den ansvarlige håndtering og offentliggørelse af sikkerhedssårbarheder.

Understøttelse af AI og accelererede arbejdsbelastninger

Novas libvirt‑driver understøtter nu Cyborg‑administrerede medierede enheder, såsom virtuelle GPU’er, via en ny MDEV‑accelerator‑anmodnings‑bindingstype. Udgivelsesnoterne angiver, at operatører kan håndtere vGPU‑livscyklussen gennem Cyborg som et alternativ til Novas indbyggede understøttelse, med et nyt OWNER_NOVA‑træk, der forhindrer planlægnings‑kollisioner mellem Nova‑administrerede og Cyborg‑administrerede enheder.

Manila, den delte filsystemtjeneste, har tilføjet nye drivere til fildelinger til de parallelle filsystemer Weka og Lustre, hvilket udvider understøttelsen af høj‑ydeevne parallelle filsystem‑arbejdsbelastninger såsom AI, maskinlæring og HPC. Ironic, bare‑metal‑tjenesten, koordinerede med Nova for markant at forbedre ydeevnen af ressourcesporing i nova‑compute‑tjenester, der kører Ironic‑driveren, ifølge udgivelses‑højdepunkterne. Ironic‑teamet rapporterede, at de håndterede flere sikkerhedsfejl i 2026.2‑cyklussen end i nogen anden seks‑måneders periode i projektets historie, hvilket udløste en række forbedringer af stabilitet og sikkerhedshærdning, og deres dedikerede firmware‑interface er nu den anbefalede vej til håndtering af enheds‑firmware‑opdateringer.

Effektivitet i stor skala

Neutron, netværkstjenesten, reducerede hukommelsesforbruget i ML2/OVS HA‑router‑implementeringer med en faktor på mere end 15, ifølge udgivelses‑højdepunkterne, ved at erstatte en daemon med et shell‑script til overvågning af keepalived‑tilstandsændringer. Neutron har også tilføjet et EVPN‑service‑plugin og en OVN‑agent‑udvidelse til at provisionere BGP EVPN Type‑5‑rute‑annonceringer, samt et Private VLAN‑service‑plugin, der giver port‑isolering gennem promiskuøse, isolerede og fællesskabs‑porte.

Watcher’s VM Workload Consolidation-strategi tager nu reserveret kapacitet i betragtning ud over faktisk aktuelt forbrug, når arbejdsbelastninger konsolideres, og to nye handlinger udvider automatiseringen: delete fjerner permanent en instans og dens ressourcer, mens shelve genvinder en værts compute‑kapacitet samtidig med at instansdata bevares. Glance har tilføjet understøttelse af parallel billedimport, download fra foretrukne lagre og nye API’er til oprydning i cachen, beskæring af cachen og visning af cachede noder. Horizon, projektets dashboard, aktiverede indstillingerne enforce_scope og enforce_new_defaults i oslo.policy som standard i overensstemmelse med OpenStack’s sikre RBAC-model, understøtter officielt Python 3.14 og har droppet understøttelse af Python 3.9 og 3.10.

Opgraderingssti og næste udgivelse

Hibiscus er en ikke‑SLURP-udgivelse. Skip Level Upgrade Release Process, introduceret i 2022, giver operatører mulighed for at opgradere én gang om året i stedet for hver sjette måned, samtidig med at OpenStack’s seks‑måneders udgivelsesrytme bevares. Operatører, der kører OpenStack 2026.1 Gazpacho, den foregående SLURP‑udgivelse udgivet i april 2026, kan vælge at springe Hibiscus over og opgradere direkte til OpenStack 2027.1 Indri, som forventes i marts 2027.

Udgivelsesnoter og kildekode for Hibiscus er tilgængelige via den officielle OpenStack-udgivelsesside. OpenStack-fællesskabsledere har planlagt at diskutere de nye funktioner og udviklingsarbejdet i et OpenInfra Live‑afsnit den 1. oktober 2026 kl. 14:00 UTC, med paneldeltagere fra Nova-, Neutron-, Manila-, Ironic-, Watcher- og Freezer-projekterne, OpenStack Technical Committee og Vulnerability Management Team.