OpenStack 2026.2 Hibiscus が機密コンピューティングと vGPU サポートを追加

OpenStack コミュニティは2026年9月30日にOpenStack 2026.2 (Hibiscus)をリリースしました。これはオープンソースのクラウドインフラストラクチャソフトウェアの34番目のリリースで、AMDおよびIntelプラットフォーム向けの機密コンピューティングサポート、新しいGPUアクセラレートワークロードの管理オプション、そして大規模展開向けの効率改善を追加しています。

約600人の貢献者が6か月間のHibiscus開発サイクルに協力し、OpenStack 2026.1 Gazpacho と比べて21%増加しました。彼らは11,500件のコード変更を提供し、リリース間で28%の増加となっています（プロジェクトによる）。同じサイクルでは、OpenDev Zuul 継続的インテグレーションシステムが約160万件のジョブを実行し、OpenStack エコシステム全体でソフトウェアのビルド、テスト、公開を行いました。過去5年間で、Zuul は1,420万件以上のジョブを実行し、OpenStack の開発を支援しています。

機密コンピューティングとセキュリティ

機密コンピューティングは本リリースにおける主要な投資分野であると発表されています。プロジェクト別リリースハイライトは、プロジェクトチームから直接報告され、Nova が AMD SEV‑SNP メモリ暗号化（AMD の Secure Encrypted Virtualization 第三世代）を使用したインスタンスを起動できるようになったことを示しています。リリースノートでは、SEV‑SNP は SEV‑ES よりも強固な完全性保護を提供し、プラットフォームのアテステーションを可能にすると説明されており、これによりゲスト所有者は署名付きアテステーションレポートを通じて仮想マシンの完全性を検証できます。オペレーターは SEV‑SNP インスタンスを以下の hw:mem_encryption_model=amd-sev-snp フレーバーの追加仕様または同等のイメージプロパティで要求します。

Nova はまた、Intel プラットフォーム向けの機密コンピューティングとして Intel Trust Domain Extensions（TDX）をサポートするようになりました。対象は第5世代 Xeon Scalable プロセッサ以降です。リリースノートによると、TDX はハードウェアで強制されるメモリ暗号化と CPU 状態の分離を提供し、ハイパーバイザーやその他の特権ソフトウェアからゲストを保護します。また、アテステーションは Quote Generation Service を通じてサポートされます。

DNSサービスである Designate は、RFC 6698 で定義された TLSA レコード（DANE 証明書ピンニングに使用）へのサポートを追加し、量子耐性暗号化への準備ツールも導入しました。これには、量子脆弱な証明書アルゴリズムや古い TLS バージョンが検出された場合にサービスの起動をブロックできる設定可能なチェックモードが含まれます。Designate はまた、OSSA-2026-034 を修正しました。これは、テナントが別プールにスケジュールすることで、他テナントのゾーンのサブゾーン、スーパゾーン、または複製を作成できるクロステナントゾーン所有権バイパスで、DNS トラフィックのハイジャックやサービス拒否を可能にしていました。ゾーン所有権の競合チェックは現在、すべてのプールを横断して検索されます。

Cyborg は CVE-2026-40213 および CVE-2026-40214 に対処し、リクエストをプロジェクト単位に限定し、サービストークンの検証を必須とし、ハードウェア管理 API へのアクセスを強化しました。また、2027.1 リリースで予定されているデフォルト変更に先立ち、リーダー、メンバー、マネージャー、サービス、管理者ロール向けのオプトイン型パーソナベースポリシーのデフォルトを追加しました。イメージサービスである Glance は、CVE-2026-71196、CVE-2026-71197、CVE-2026-71198 および OSSA-2026-038 に対する修正を提供しました。

リリースページによると、2026 年現在、プロジェクト全体で 42 件の OpenStack Security Advisory と 13 件の OpenStack Security Note が発行されており、OpenStack 脆弱性管理チームがセキュリティ脆弱性の責任ある取り扱いと開示を調整しています。

AI とアクセラレートワークロードのサポート

Nova の libvirt ドライバーは、新しい MDEV アクセラレータ要求バインディングタイプを通じて、Cyborg が管理するメディエイトデバイス（仮想 GPU など）をサポートするようになりました。リリースノートによれば、オペレーターは Nova のネイティブサポートの代替として Cyborg を通じて vGPU のライフサイクルを管理でき、新しい OWNER_NOVA 特性により Nova 管理デバイスと Cyborg 管理デバイス間のスケジューリング衝突を防止します。

共有ファイルシステムサービスである Manila は、Weka と Lustre の並列ファイルシステム向けの新しい共有ドライバーを追加し、AI、機械学習、HPC などの高性能並列ファイルシステムワークロードへのサポートを拡大しました。ベアメタルサービスの Ironic は、Nova と連携して Ironic ドライバーを使用する nova-compute サービスにおけるリソーストラッキングのパフォーマンスを大幅に向上させました（リリースハイライトによる）。Ironic チームは、2026.2 サイクルでこれまでのどの 6 か月期間よりも多くのセキュリティバグを処理したと報告しており、これが一連の安定性とハードニングの改善を促しました。また、専用のファームウェアインターフェースがデバイスファームウェア更新の管理に推奨されるパスとなっています。

大規模における効率性

ネットワークサービスの Neutron は、リリースハイライトによれば、keepalived の状態変化監視をデーモンからシェルスクリプトに置き換えることで、ML2/OVS HA ルータ展開におけるメモリフットプリントを 15 倍以上削減しました。また、Neutron は EVPN サービスプラグインと OVN エージェント拡張を追加し、BGP EVPN Type-5 ルート広告を提供できるようにしました。さらに、プライベート VLAN サービスプラグインを導入し、プロミスキャス、アイソレート、コミュニティポートを通じてポートの分離を実現しています。

Watcher の VM ワークロード統合戦略は、ワークロードを統合する際にライブ使用量に加えて予約容量も考慮するようになり、2 つの新しいアクションが自動化を拡張します：delete はインスタンスとそのリソースを永久に削除し、shelve はインスタンスデータを保持しながらホストのコンピュート容量を回復します。Glance は並列イメージインポートのサポート、優先ストアからのダウンロード、キャッシュのクリーニング、プルーニング、キャッシュされたノードの一覧取得のための新しい API を追加しました。プロジェクトダッシュボードである Horizon は、OpenStack の安全な RBAC モデルに合わせて、デフォルトで oslo.policy の enforceスコープと強制new_defaults 設定を有効にし、公式に Python 3.14 をサポートし、Python 3.9 および 3.10 のサポートを終了しました。

アップグレードパスと次期リリース

Hibiscus は非 SLURP リリースです。2022 年に導入された Skip Level Upgrade Release Process により、オペレーターは OpenStack の 6 ヶ月リリースサイクルを維持しつつ、6 ヶ月ごとではなく年に一度アップグレードするオプションを選択できます。2026 年 4 月にリリースされた前回の SLURP リリースである OpenStack 2026.1 Gazpacho を使用しているオペレーターは、Hibiscus をスキップして、2027 年 3 月に予定されている OpenStack 2027.1 Indri に直接アップグレードすることを選べます。

Hibiscus のリリースノートとソースコードは、公式 OpenStack リリースサイトから入手可能です。OpenStack コミュニティリーダーは、2026 年 10 月 1 日 14:00 UTC に開催される OpenInfra Live エピソードで、新機能と開発作業について議論する予定で、Nova、Neutron、Manila、Ironic、Watcher、Freezer プロジェクトのパネリスト、OpenStack テクニカル委員会、脆弱性管理チームが参加します。