OpenStack 2026.2 Hibiscus ajoute le calcul confidentiel et la prise en charge des vGPU

La communauté OpenStack a publié OpenStack 2026.2 (Hibiscus) le 30 septembre 2026, la 34e version du logiciel d’infrastructure cloud open source, ajoutant la prise en charge du calcul confidentiel pour les plateformes AMD et Intel, de nouvelles options de gestion pour les charges de travail accélérées par GPU, ainsi que des améliorations d’efficacité pour les déploiements à grande échelle.

Environ 600 contributeurs ont collaboré pendant le cycle de développement de six mois d’Hibiscus, soit une hausse de 21 % par rapport à OpenStack 2026.1 Gazpacho, et ils ont livré 11 500 changements de code, une augmentation de 28 % d’une version à l’autre, selon le projet. Au cours du même cycle, le système d’intégration continue OpenDev Zuul a exécuté approximativement 1,6 million de tâches pour compiler, tester et publier des logiciels dans l’ensemble de l’écosystème OpenStack ; au cours des cinq dernières années, Zuul a exécuté plus de 14,2 millions de tâches soutenant le développement d’OpenStack.

Calcul confidentiel et sécurité

Le calcul confidentiel est un domaine d’investissement clé dans cette version, selon l’annonce. Les faits saillants de la version par projet, rapportés directement par les équipes du projet, indiquent que Nova peut désormais lancer des instances avec le chiffrement de mémoire AMD SEV‑SNP, la troisième génération de la Virtualisation Sécurisée Chiffrée d’AMD. Les notes de version décrivent SEV‑SNP comme offrant une protection d’intégrité plus forte que SEV‑ES et permettant l’attestation de plateforme, ce qui permet aux propriétaires d’instances de vérifier l’intégrité de leurs machines virtuelles via des rapports d’attestation signés. Les opérateurs demandent des instances SEV‑SNP avec la spécification supplémentaire de flavor hw:mem_encryption_model=amd-sev-snp ou la propriété d’image équivalente.

Nova prend désormais également en charge les Intel Trust Domain Extensions (TDX) pour le calcul confidentiel sur les plateformes Intel, en particulier les processeurs Xeon Scalable de 5ᵉ génération ou ultérieurs. Selon les notes de version, TDX offre un chiffrement de mémoire imposé par le matériel et une isolation de l’état du CPU, protégeant les invités de l’hyperviseur et d’autres logiciels privilégiés, et l’attestation est prise en charge via le service Quote Generation Service.

Designate, le service DNS, a ajouté la prise en charge des enregistrements TLSA, définis dans la RFC 6698, qui sont utilisés pour l’épinglage de certificats DANE, et il a acquis des outils de préparation à la cryptographie post‑quantique, incluant un mode de vérification configurable pouvant bloquer le démarrage du service sur des algorithmes de certificat vulnérables aux attaques quantiques ou des versions TLS obsolètes. Designate a également corrigé OSSA‑2026‑034, une faille de contournement de la propriété de zone entre locataires qui permettait à un locataire de créer une sous‑zone, une super‑zone ou un duplicata de la zone d’un autre locataire en la planifiant sur un pool différent, facilitant le détournement du trafic DNS et les attaques par déni de service. Les vérifications de conflits de propriété de zone recherchent désormais dans tous les pools.

Cyborg a résolu les CVE‑2026‑40213 et CVE‑2026‑40214 en limitant les requêtes aux projets, en exigeant la validation du jeton de service et en renforçant l’accès aux API de gestion du matériel, et il a ajouté des paramètres de politique basés sur les personas en option pour les rôles lecteur, membre, gestionnaire, service et administrateur, en prévision d’un changement de valeur par défaut prévu dans la version 2027.1. Glance, le service d’images, a publié des correctifs pour les CVE‑2026‑71196, CVE‑2026‑71197, CVE‑2026‑71198 et OSSA‑2026‑038.

Dans l’ensemble du projet, 42 avis de sécurité OpenStack et 13 notes de sécurité OpenStack ont été publiés jusqu’à présent en 2026, selon la page de version, et l’équipe de gestion des vulnérabilités OpenStack coordonne la gestion responsable et la divulgation des vulnérabilités de sécurité.

Prise en charge de l’IA et des charges de travail accélérées

Le pilote libvirt de Nova prend désormais en charge les appareils médiés gérés par Cyborg, tels que les GPU virtuels, via un nouveau type de liaison de requête d’accélérateur MDEV. Les notes de version indiquent que les opérateurs peuvent gérer le cycle de vie des vGPU via Cyborg comme alternative à la prise en charge native de Nova, avec un nouveau trait OWNER_NOVA empêchant les collisions de planification entre les appareils gérés par Nova et ceux gérés par Cyborg.

Manila, le service de système de fichiers partagé, a ajouté de nouveaux pilotes de partage pour les systèmes de fichiers parallèles Weka et Lustre, élargissant la prise en charge des charges de travail de systèmes de fichiers parallèles haute performance telles que l’IA, l’apprentissage automatique et le calcul haute performance (HPC). Ironic, le service bare‑metal, a coordonné avec Nova pour améliorer de façon significative les performances du suivi des ressources dans les services nova‑compute exécutant le pilote Ironic, selon les faits saillants de la version. L’équipe Ironic a indiqué qu’elle avait traité plus de bugs de sécurité au cours du cycle 2026.2 que lors de toute autre période de six mois de l’histoire du projet, ce qui a entraîné une série d’améliorations de stabilité et de renforcement, et son interface de firmware dédiée est désormais le chemin recommandé pour gérer les mises à jour de firmware des appareils.

Efficacité à grande échelle

Neutron, le service réseau, a réduit l’empreinte mémoire dans les déploiements de routeurs HA ML2/OVS de plus de 15 fois, selon les faits saillants de la version, en remplaçant un démon par un script shell pour la surveillance des changements d’état de keepalived. Neutron a également ajouté un plugin de service EVPN et une extension d’agent OVN pour provisionner les annonces de routes BGP EVPN de type 5, ainsi qu’un plugin de service VLAN privé qui fournit une isolation des ports via des ports promiscues, isolés et communautaires.

La stratégie de consolidation des charges de travail VM de Watcher prend désormais en compte la capacité réservée en plus de l’utilisation en temps réel lors de la consolidation des charges de travail, et deux nouvelles actions étendent son automatisation : delete supprime définitivement une instance et ses ressources, tandis que shelve récupère la capacité de calcul d’un hôte tout en préservant les données de l’instance. Glance a ajouté la prise en charge de l’importation parallèle d’images, les téléchargements depuis les dépôts d’images préférés et de nouvelles API pour le nettoyage du cache, l’élagage du cache et la liste des nœuds en cache. Horizon, le tableau de bord du projet, a activé les paramètres d’oslo.policy enforce_scope et enforce_new_defaults par défaut conformément au modèle RBAC sécurisé d’OpenStack, prend officiellement en charge Python 3.14 et a abandonné la prise en charge de Python 3.9 et 3.10.

Chemin de mise à niveau et prochaine version

Hibiscus est une version non‑SLURP. Le processus de mise à niveau Skip Level Upgrade Release Process, introduit en 2022, offre aux opérateurs la possibilité de mettre à jour une fois par an plutôt que tous les six mois tout en maintenant le rythme de publication semestriel d’OpenStack. Les opérateurs exécutant OpenStack 2026.1 Gazpacho, la version SLURP précédente publiée en avril 2026, peuvent choisir de sauter Hibiscus et de passer directement à OpenStack 2027.1 Indri, prévue pour mars 2027.

Les notes de version et le code source de Hibiscus sont disponibles sur le site officiel des versions d’OpenStack. Les leaders de la communauté OpenStack sont prévus pour discuter des nouvelles fonctionnalités et du travail de développement lors d’un épisode OpenInfra Live le 1 octobre 2026 à 14 h 00 UTC, avec des panélistes des projets Nova, Neutron, Manila, Ironic, Watcher et Freezer, du Comité technique d’OpenStack et de l’équipe de gestion des vulnérabilités.