OpenStack 2026.2 Hibiscus dodaje poufne przetwarzanie, wsparcie vGPU

Społeczność OpenStack wydała OpenStack 2026.2 (Hibiscus) 30 września 2026, 34. wydanie oprogramowania open source do infrastruktury chmurowej, dodając wsparcie poufnego przetwarzania dla platform AMD i Intel, nowe opcje zarządzania obciążeniami przyspieszanymi przez GPU oraz usprawnienia efektywności dla dużych wdrożeń.

Około 600 współtwórców współpracowało podczas sześciomiesięcznego cyklu rozwoju Hibiscus, co stanowi 21 % wzrost w porównaniu z OpenStack 2026.1 Gazpacho, i dostarczyli 11 500 zmian w kodzie, co jest 28 % wzrostem z wydania na wydanie, według projektu. W tym samym cyklu system ciągłej integracji OpenDev Zuul wykonał około 1,6 miliona zadań, aby budować, testować i publikować oprogramowanie w całym ekosystemie OpenStack; w ciągu ostatnich pięciu lat Zuul uruchomił ponad 14,2 miliona zadań wspierających rozwój OpenStack.

Poufne przetwarzanie i bezpieczeństwo

Poufne przetwarzanie jest kluczowym obszarem inwestycji w tym wydaniu, zgodnie z ogłoszeniem. najważniejsze informacje o wydaniu dla każdego projektu, zgłoszone bezpośrednio przez zespoły projektowe, stwierdzają, że Nova może teraz uruchamiać instancje z szyfrowaniem pamięci AMD SEV‑SNP, trzecią generacją Secure Encrypted Virtualization firmy AMD. Notatki wydania opisują SEV‑SNP jako zapewniające silniejszą ochronę integralności niż SEV‑ES oraz umożliwiające atestację platformy, co pozwala właścicielom gości weryfikować integralność ich maszyn wirtualnych poprzez podpisane raporty atestacyjne. Operatorzy żądają instancji SEV‑SNP przy użyciu dodatkowego parametru typu instancji (flavor) hw:mem_encryption_model=amd-sev-snp lub równoważnej właściwości obrazu.

Nova obsługuje również teraz Intel Trust Domain Extensions (TDX) dla poufnego przetwarzania na platformach Intel, konkretnie procesorach 5. generacji Xeon Scalable lub nowszych. Według notatek wydania, TDX zapewnia szyfrowanie pamięci wymuszone sprzętowo oraz izolację stanu CPU, chroniąc gości przed hypervisorem i innym oprogramowaniem uprzywilejowanym, a atestacja jest obsługiwana przez usługę Quote Generation Service.

Designate, usługa DNS, dodała wsparcie dla rekordów TLSA, zdefiniowanych w RFC 6698, które są używane do przypinania certyfikatów DANE, oraz uzyskała narzędzia gotowości na post‑kwantową kryptografię, w tym konfigurowalny tryb sprawdzania, który może blokować uruchomienie usługi przy algorytmach certyfikatów podatnych na kwanty lub przestarzałych wersjach TLS. Designate naprawiło także OSSA‑2026‑034, obejście własności strefy między najemcami, które pozwalało najemcy utworzyć podstrefę, superstrefę lub duplikat strefy innego najemcy poprzez przydzielenie jej do innej puli, umożliwiając przechwycenie ruchu DNS i odmowę usługi. Kontrole konfliktów własności strefy teraz przeszukują wszystkie pule.

Cyborg rozwiązał CVE‑2026‑40213 i CVE‑2026‑40214, ograniczając żądania do projektów, wymagając weryfikacji tokenu usługi oraz zaostrzając dostęp do interfejsów API zarządzania sprzętem, i dodał domyślne polityki oparte na osobach (persona) dla ról czytelnika, członka, menedżera, usługi i administratora w trybie opt‑in, przed planowaną zmianą domyślną w wydaniu 2027.1. Glance, usługa obrazów, wydała poprawki dla CVE‑2026‑71196, CVE‑2026‑71197, CVE‑2026‑71198 oraz OSSA‑2026‑038.

W całym projekcie wydano do tej pory w 2026 roku 42 Komunikaty Bezpieczeństwa OpenStack oraz 13 Notatek Bezpieczeństwa OpenStack, według strony wydania, a Zespół Zarządzania Podatnościami OpenStack koordynuje odpowiedzialne postępowanie i ujawnianie luk bezpieczeństwa.

Wsparcie dla AI i przyspieszonych obciążeń

Sterownik libvirt w Nova obsługuje teraz urządzenia pośredniczące zarządzane przez Cyborg, takie jak wirtualne GPU, poprzez nowy typ powiązania żądania akceleratora MDEV. Notatki wydania stwierdzają, że operatorzy mogą zarządzać cyklem życia vGPU za pośrednictwem Cyborg jako alternatywę dla natywnego wsparcia Nova, z nową cechą OWNER_NOVA zapobiegającą kolizjom w planowaniu między urządzeniami zarządzanymi przez Nova a tymi zarządzanymi przez Cyborg.

Manila, usługa współdzielonych systemów plików, dodała nowe sterowniki udziałów dla równoległych systemów plików Weka i Lustre, rozszerzając wsparcie dla obciążeń wymagających wysokowydajnych równoległych systemów plików, takich jak AI, uczenie maszynowe i HPC. Ironic, usługa bare‑metal, współpracował z Nova, aby znacząco poprawić wydajność śledzenia zasobów w usługach nova‑compute uruchamiających sterownik Ironic, według najważniejszych informacji o wydaniu. Zespół Ironic poinformował, że w cyklu 2026.2 obsłużył więcej błędów bezpieczeństwa niż w jakimkolwiek innym sześciomiesięcznym okresie w historii projektu, co spowodowało szereg ulepszeń stabilności i wzmocnień, a jego dedykowany interfejs firmware jest teraz zalecaną ścieżką do zarządzania aktualizacjami firmware urządzeń.

Efektywność w dużej skali

Neutron, usługa sieciowa, zmniejszył zużycie pamięci we wdrożeniach routerów HA ML2/OVS ponad 15‑krotnie, według najważniejszych informacji o wydaniu, poprzez zastąpienie demona skryptem powłoki do monitorowania zmian stanu keepalived. Neutron dodał także wtyczkę usługi EVPN oraz rozszerzenie agenta OVN do rozgłaszania tras BGP EVPN typu 5, a także wtyczkę usługi Private VLAN, która zapewnia izolację portów poprzez porty typu promiscuous, isolated i community.

Strategia konsolidacji obciążeń VM Watchera teraz uwzględnia zarezerwowaną pojemność oprócz bieżącego użycia przy konsolidacji obciążeń, a dwie nowe akcje rozszerzają jej automatyzację: delete trwale usuwa instancję i jej zasoby, podczas gdy shelve odzyskuje pojemność obliczeniową hosta, zachowując dane instancji. Glance dodał wsparcie równoległego importu obrazów, pobierania z preferowanych repozytoriów oraz nowe API do czyszczenia pamięci podręcznej, przycinania pamięci podręcznej i wyświetlania zbuforowanych węzłów. Horizon, pulpit projektu, włączył ustawienia oslo.policy enforce_scope i enforce_new_defaults domyślnie zgodnie z bezpiecznym modelem RBAC OpenStacka, oficjalnie wspiera Python 3.14 i zrezygnował ze wsparcia dla Pythona 3.9 i 3.10.

Ścieżka aktualizacji i następna wersja

Hibiscus jest wydaniem nie‑SLURP. Proces aktualizacji pomijającej poziom, wprowadzony w 2022 roku, daje operatorom możliwość aktualizacji raz w roku zamiast co sześć miesięcy, przy zachowaniu sześciomiesięcznego cyklu wydań OpenStacka. Operatorzy korzystający z OpenStack 2026.1 Gazpacho, poprzedniego wydania SLURP opublikowanego w kwietniu 2026, mogą zdecydować się pominąć Hibiscus i zaktualizować bezpośrednio do OpenStack 2027.1 Indri, którego premiera planowana jest na marzec 2027.

Notatki wydania i kod źródłowy Hibiscus są dostępne na oficjalnej stronie wydań OpenStack. Liderzy społeczności OpenStack planują omówić nowe funkcje i prace rozwojowe w odcinku OpenInfra Live 1 października 2026 o 14:00 UTC, z panelistami z projektów Nova, Neutron, Manila, Ironic, Watcher i Freezer, Komitetu Technicznego OpenStack oraz Zespołu Zarządzania Podatnościami.