OpenStack 2026.2 Hibiscus tilføjer konfidentielforcomputing, vGPU‑support

OpenStack‑fællesskabet udgav OpenStack 2026.2 (Hibiscus) den 30. september 2026, den 34. udgivelse af den open‑source cloud‑infrastruktursoftware, som tilføjer konfidentielforcomputing‑support for AMD‑ og Intel‑platforme, nye administrationsmuligheder for GPU‑accelererede arbejdsbelastninger og effektivitetsforbedringer for store implementeringer.

Omkring 600 bidragydere samarbejdede i løbet af den seks‑måneders Hibiscus‑udviklingscyklus, en stigning på 21 % i forhold til OpenStack 2026.1 Gazpacho, og de leverede 11.500 kodeændringer, en stigning på 28 % fra udgivelse til udgivelse, ifølge projektet. I samme cyklus kørte OpenDev Zuul‑systemet for kontinuerlig integration cirka 1,6 millioner jobs for at bygge, teste og udgive software på tværs af OpenStack‑økosystemet; i løbet af de sidste fem år har Zuul kørt mere end 14,2 millioner jobs, der understøtter OpenStack‑udvikling.

Konfidentielforcomputing og sikkerhed

Konfidentielforcomputing er et centralt investeringsområde i udgivelsen, ifølge meddelelsen. per-projekt udgivelses‑højdepunkter, rapporteret direkte fra projektteamene, angiver, at Nova nu kan starte instanser med AMD SEV‑SNP‑hukommelseskryptering, den tredje generation af AMD’s Secure Encrypted Virtualization. Udgivelsesnoterne beskriver SEV‑SNP som at give stærkere integritetssikring end SEV‑ES og muliggøre platform‑attestation, hvilket gør det muligt for gæsteejere at verificere integriteten af deres virtuelle maskiner gennem signerede attestationsrapporter. Operatører anmoder om SEV‑SNP‑instanser med hw:mem_encryption_model=amd-sev-snp flavor‑ekstra‑spec eller den tilsvarende image‑egenskab.

Nova understøtter nu også Intel Trust Domain Extensions (TDX) for konfidentielforcomputing på Intel‑platforme, specifikt 5. generation Xeon Scalable‑processorer eller nyere. Ifølge udgivelsesnoterne giver TDX hardware‑gennemtvanget hukommelseskryptering og CPU‑tilstandisolering, som beskytter gæster mod hypervisoren og anden privilegeret software, og attestation understøttes gennem Quote Generation Service.

Designate, DNS‑tjenesten, tilføjede support for TLSA‑poster, defineret i RFC 6698, som bruges til DANE‑certifikat‑fastgørelse, og den fik værktøjer til post‑kvante‑kryptografi‑klarhed, herunder en konfigurerbar kontroltilstand, der kan blokere tjenestens opstart på kvante‑sårbare certifikat‑algoritmer eller forældede TLS‑versioner. Designate rettede også OSSA‑2026‑034, en cross‑tenant zone‑ownership‑omgåelse, der lod en lejer oprette en subzone, superzone eller duplikat af en anden lejers zone ved at planlægge den til en anden pool, hvilket muliggør DNS‑trafik‑kapring og denial‑of‑service. Kontroller for zone‑ejerskabskonflikter søger nu på tværs af alle pools.

Cyborg adresserede CVE‑2026‑40213 og CVE‑2026‑40214 ved at afgrænse anmodninger til projekter, kræve validering af service‑token og stramme adgangen til hardware‑styrings‑API’er, og den tilføjede valgfri personbaserede politikstandarder for læser‑, medlem‑, manager‑, service‑ og admin‑roller forud for en planlagt standardændring i 2027.1‑udgivelsen. Glance, billedtjenesten, leverede rettelser for CVE‑2026‑71196, CVE‑2026‑71197, CVE‑2026‑71198 og OSSA‑2026‑038.

På tværs af projektet er der indtil videre i 2026 udstedt 42 OpenStack‑sikkerhedsadvisories og 13 OpenStack‑sikkerhedsnoter, ifølge udgivelsessiden, og OpenStack Vulnerability Management‑teamet koordinerer ansvarlig håndtering og offentliggørelse af sikkerhedssårbarheder.

Support for AI og accelererede arbejdsbelastninger

Nova’s libvirt‑driver understøtter nu Cyborg‑administrerede medierede enheder, såsom virtuelle GPU’er, via en ny MDEV‑accelerator‑anmodningsbindingstype. Udgivelsesnoterne angiver, at operatører kan administrere vGPU‑livscyklussen gennem Cyborg som et alternativ til Nova’s native‑support, med et nyt OWNER_NOVA‑trait, der forhindrer planlægningskollisioner mellem Nova‑administrerede og Cyborg‑administrerede enheder.

Manila, den delte filsystemtjeneste, tilføjede nye del‑drivere til Weka‑ og Lustre‑parallel‑filsystemer, hvilket udvider supporten for høj‑ydeevne‑parallel‑filsystem‑arbejdsbelastninger såsom AI, maskinlæring og HPC. Ironic, bare‑metal‑tjenesten, koordinerede med Nova for at forbedre ydeevnen betydeligt for ressource‑sporing i nova‑compute‑tjenester, der kører Ironic‑driveren, ifølge udgivelses‑højdepunkterne. Ironic‑teamet rapporterede, at de håndterede flere sikkerheds‑bugs i 2026.2‑cyklussen end i nogen anden seks‑måneders periode i projektets historie, hvilket førte til en række stabilitets‑ og forstærkningsforbedringer, og deres dedikerede firmware‑grænseflade er nu den anbefalede vej til håndtering af enheds‑firmware‑opdateringer.

Effektivitet i stor skala

Neutron, netværkstjenesten, reducerede hukommelsesforbruget i ML2/OVS HA‑router‑implementeringer med mere end 15‑gange, ifølge udgivelses‑højdepunkterne, ved at erstatte en daemon med et shell‑script til keepalived‑tilstand‑ændrings‑overvågning. Neutron tilføjede også et EVPN‑service‑plugin og en OVN‑agent‑udvidelse for at provisionere BGP EVPN Type‑5‑rute‑annonceringer, samt et Private VLAN‑service‑plugin, der giver portisolering gennem promiskuøse, isolerede og fællesskabs‑porte.

Watcher’s VM Workload Consolidation-strategi tager nu reserveret kapacitet i betragtning ud over liveforbrug, når arbejdsbelastninger konsolideres, og to nye handlinger udvider automatiseringen: delete sletter permanent en instans og dens ressourcer, mens shelve genvinder en værts compute‑kapacitet samtidig med at instansdata bevares. Glance har tilføjet understøttelse af parallel billedimport, download fra foretrukne lagre og nye API’er til cache‑rengøring, cache‑beskæring og visning af cachede noder. Horizon, projektets dashboard, aktiverede oslo.policy’s enforcescope og enforcenew_defaults‑indstillinger som standard i overensstemmelse med OpenStacks sikre RBAC‑model, understøtter officielt Python 3.14 og har droppet support for Python 3.9 og 3.10.

Opgraderingssti og næste udgivelse

Hibiscus er en non‑SLURP‑udgivelse. Skip Level Upgrade Release Process, introduceret i 2022, giver operatører mulighed for at opgradere én gang om året i stedet for hver sjette måned, mens OpenStacks seks‑måneders udgivelsesrytme bevares. Operatører, der kører OpenStack 2026.1 Gazpacho, den foregående SLURP‑udgivelse udgivet i april 2026, kan vælge at springe Hibiscus over og opgradere direkte til OpenStack 2027.1 Indri, som forventes i marts 2027.

Udgivelsesnoter og kildekode for Hibiscus er tilgængelige via den officielle OpenStack‑udgivelsessite. OpenStack‑fællesskabsledere er planlagt til at diskutere de nye funktioner og udviklingsarbejdet i et OpenInfra Live‑afsnit den 1. oktober 2026 kl. 14:00 UTC, med paneldeltagere fra Nova-, Neutron-, Manila-, Ironic-, Watcher- og Freezer-projekterne, OpenStack Technical Committee og Vulnerability Management Team.