OpenStack 2026.2 Hibiscus が機密コンピューティングと vGPU サポートを追加

OpenStack コミュニティは 2026 年 9 月 30 日に OpenStack 2026.2 (Hibiscus) をリリースしました。これはオープンソースのクラウドインフラストラクチャソフトウェアの第 34 回リリースで、AMD と Intel プラットフォーム向けの機密コンピューティングサポート、新しい GPU 加速ワークロードの管理オプション、そして大規模展開向けの効率改善が追加されています。

約 600 名の貢献者が 6 ヶ月の Hibiscus 開発サイクルで協力し、OpenStack 2026.1 Gazpacho と比べて 21% 増加しました。彼らは 11,500 件のコード変更を提供し、前回のリリースに比べて 28% の増加となっています。同じサイクルでは、OpenDev の Zuul 継続的インテグレーションシステムが約 160 万件のジョブを実行し、OpenStack エコシステム全体でソフトウェアのビルド、テスト、公開を行いました。過去 5 年間で Zuul は 1,420 万件以上のジョブを実行し、OpenStack 開発を支援しています。

機密コンピューティングとセキュリティ

機密コンピューティングは本リリースの主要な投資分野であると発表されています。プロジェクト別リリースハイライトは、プロジェクトチームから直接報告され、Nova が AMD SEV‑SNP メモリ暗号化（AMD の Secure Encrypted Virtualization の第 3 世代）を使用したインスタンスを起動できるようになったことを示しています。リリースノートでは、SEV‑SNP は SEV‑ES よりも強固な完全性保護を提供し、プラットフォームのアテステーションを可能にすると説明されており、これによりゲスト所有者は署名付きアテステーションレポートを通じて仮想マシンの完全性を検証できます。オペレーターは、フレーバーの追加仕様 hw:mem_encryption_model=amd-sev-snp または同等のイメージプロパティを使用して SEV‑SNP インスタンスを要求します。

Nova はまた、Intel プラットフォーム向けの機密コンピューティングとして Intel Trust Domain Extensions（TDX）をサポートするようになり、対象は第 5 世代以降の Xeon Scalable プロセッサです。リリースノートによると、TDX はハードウェアで強制されるメモリ暗号化と CPU 状態の分離を提供し、ハイパーバイザーやその他の特権ソフトウェアからゲストを保護します。また、アテステーションは Quote Generation Service を通じてサポートされます。

DNS サービスである Designate は、RFC 6698 で定義された TLSA レコード（DANE 証明書ピンニングに使用）へのサポートを追加し、量子耐性暗号化の準備ツールも導入しました。これには、量子脆弱な証明書アルゴリズムや古い TLS バージョンが検出された場合にサービスの起動をブロックできる設定可能なチェックモードが含まれます。Designate はまた、OSSA-2026-034 を修正しました。これは、テナントが別プールにスケジュールすることで他テナントのゾーンのサブゾーン、スーパゾーン、またはコピーを作成できるクロステナントゾーン所有権バイパスで、DNS トラフィックのハイジャックやサービス拒否を可能にしていました。ゾーン所有権の競合チェックは現在、すべてのプールを横断して検索されます。

Cyborg は CVE-2026-40213 および CVE-2026-40214 に対処し、リクエストをプロジェクト単位に限定し、サービストークンの検証を必須とし、ハードウェア管理 API へのアクセスを強化しました。また、2027.1 リリースで予定されているデフォルト変更に先立ち、リーダー、メンバー、マネージャー、サービス、管理者ロール向けのオプトイン型ペルソナベースポリシーのデフォルトを追加しました。イメージサービスの Glance は CVE-2026-71196、CVE-2026-71197、CVE-2026-71198 および OSSA-2026-038 の修正を提供しました。

リリースページによると、2026 年現在、プロジェクト全体で 42 件の OpenStack Security Advisory と 13 件の OpenStack Security Note が発行されており、OpenStack 脆弱性管理チームがセキュリティ脆弱性の適切な対応と開示を調整しています。

AI とアクセラレートされたワークロードのサポート

Nova の libvirt ドライバーは、新しい MDEV アクセラレータ要求バインディングタイプを通じて、Cyborg が管理するメディエイトデバイス（仮想 GPU など）をサポートするようになりました。リリースノートでは、オペレーターは Nova のネイティブサポートの代替として Cyborg を介して vGPU のライフサイクルを管理でき、新しい OWNER_NOVA 特性により Nova 管理デバイスと Cyborg 管理デバイス間のスケジューリング衝突が防止されると述べられています。

共有ファイルシステムサービスの Manila は、Weka と Lustre の並列ファイルシステム向けの新しい共有ドライバーを追加し、AI、機械学習、HPC などの高性能並列ファイルシステムワークロードのサポートを拡大しました。ベアメタルサービスの Ironic は、リリースハイライトによれば、Nova と連携して Ironic ドライバーを実行する nova-compute サービスにおけるリソーストラッキングの性能を大幅に向上させました。Ironic チームは、2026.2 サイクルでプロジェクト史上の他のどの半年間よりも多くのセキュリティバグを処理したと報告しており、これにより一連の安定性とハードニングの改善が行われ、専用のファームウェアインターフェースがデバイスファームウェア更新の推奨パスとなっています。

スケールでの効率性

ネットワークサービスの Neutron は、リリースハイライトによれば、keepalived の状態変化監視用デーモンをシェルスクリプトに置き換えることで、ML2/OVS HA ルータ展開におけるメモリフットプリントを 15 倍超削減しました。また、Neutron は EVPN サービスプラグインと OVN エージェント拡張を追加し、BGP EVPN Type-5 ルート広告を提供するとともに、プロミスキャス、アイソレート、コミュニティポートを通じてポート分離を実現するプライベート VLAN サービスプラグインも導入しました。

Watcher の VM ワークロード統合戦略は、ワークロードを統合する際にライブ使用量に加えて予約容量も考慮するようになり、2 つの新しいアクションで自動化が拡張されます。delete はインスタンスとそのリソースを永久に削除し、shelve はインスタンスデータを保持しながらホストの計算容量を回復します。Glance は並列イメージインポートのサポート、優先ストアからのダウンロード、およびキャッシュのクリーニング、プルーニング、キャッシュされたノードの一覧取得用の新しい API を追加しました。Horizon（プロジェクトダッシュボード）は oslo.policy の enforce_scope と enforce_new_defaults 設定をデフォルトで有効化して OpenStack のセキュア RBAC モデルに沿うようにしており、公式に Python 3.14 をサポートし、Python 3.9 と 3.10 のサポートを終了しました。

アップグレードパスと次期リリース

Hibiscus は非 SLURP リリースです。2022 年に導入されたスキップレベルアップグレードリリースプロセスにより、運用者は 6 か月ごとのリリースサイクルを維持しつつ、年に一度のアップグレードを選択できるようになります。2026 年 4 月にリリースされた前回の SLURP リリースである OpenStack 2026.1 Gazpacho を使用している運用者は、Hibiscus をスキップして直接 OpenStack 2027.1 Indri（2027 年 3 月リリース予定）へアップグレードすることができます。

Hibiscus のリリースノートとソースコードは公式の OpenStack リリースサイトから入手可能です。OpenStack コミュニティのリーダーらは、2026 年 10 月 1 日 14:00 UTC に開催される OpenInfra Live エピソードで、新機能と開発作業について議論する予定で、パネリストには Nova、Neutron、Manila、Ironic、Watcher、Freezer プロジェクト、OpenStack Technical Committee、Vulnerability Management Team が参加します。