OpenStack 2026.2 Hibiscus dodaje przetwarzanie poufne i wsparcie vGPU

Społeczność OpenStack wydała OpenStack 2026.2 (Hibiscus) 30 września 2026 r., 34. wydanie oprogramowania chmurowego open source, dodając obsługę przetwarzania poufnego dla platform AMD i Intel, nowe opcje zarządzania obciążeniami przyspieszonymi GPU oraz usprawnienia wydajności dla dużych wdrożeń.

W trakcie sześciomiesięcznego cyklu rozwoju Hibiscus współpracowało około 600 kontrybutorów, co stanowi 21 % wzrost w porównaniu z OpenStack 2026.1 Gazpacho, a dostarczyli 11 500 zmian w kodzie, co oznacza 28 % wzrost z wydania na wydanie, według projektu. W tym samym cyklu system ciągłej integracji OpenDev Zuul wykonał około 1,6 miliona zadań, aby budować, testować i publikować oprogramowanie w całym ekosystemie OpenStack; w ciągu ostatnich pięciu lat Zuul uruchomił ponad 14,2 miliona zadań wspierających rozwój OpenStack.

Przetwarzanie poufne i bezpieczeństwo

kluczowe informacje o wydaniu per‑project, raportowane bezpośrednio przez zespoły projektowe, stwierdzają, że Nova może teraz uruchamiać instancje z szyfrowaniem pamięci AMD SEV‑SNP, trzecią generacją Secure Encrypted Virtualization firmy AMD. Notatki wydania opisują SEV‑SNP jako zapewniające silniejszą ochronę integralności niż SEV‑ES oraz umożliwiające atestację platformy, co pozwala właścicielom gości weryfikować integralność ich maszyn wirtualnych za pomocą podpisanych raportów atestacyjnych. Operatorzy żądają instancji SEV‑SNP przy użyciu hw:mem_encryption_model=amd-sev-snp dodatkowa specyfikacja flavor lub równoważna własność obrazu.

Nova obsługuje teraz także Intel Trust Domain Extensions (TDX) dla przetwarzania poufnego na platformach Intel, konkretnie procesorach 5. generacji Xeon Scalable lub nowszych. Według notatek wydania, TDX zapewnia szyfrowanie pamięci wymuszone sprzętowo oraz izolację stanu CPU, chroniąc gości przed hypervisorem i innym oprogramowaniem uprzywilejowanym, a atestacja jest obsługiwana przez usługę Quote Generation Service.

Designate, usługa DNS, dodała obsługę rekordów TLSA, zdefiniowanych w RFC 6698, które są używane do przypinania certyfikatów DANE, oraz uzyskała narzędzia gotowości na post‑quantum‑cryptography, w tym konfigurowalny tryb sprawdzania, który może blokować uruchamianie usługi przy algorytmach certyfikatów podatnych na ataki kwantowe lub przestarzałych wersjach TLS. Designate naprawiło także OSSA‑2026‑034, obejście własności strefy między najemcami, które pozwalało najemcy utworzyć podstrefę, superstrefę lub duplikat strefy innego najemcy, przydzielając ją do innego puli, umożliwiając przechwycenie ruchu DNS i odmowę usługi. Kontrole konfliktów własności strefy teraz przeszukują wszystkie pule.

Cyborg rozwiązał CVE‑2026‑40213 i CVE‑2026‑40214, ograniczając żądania do projektów, wymagając weryfikacji tokenu usługi i zaostrzając dostęp do interfejsów API zarządzania sprzętem, oraz dodał domyślne polityki oparte na osobach (persona) dla ról czytelnika, członka, menedżera, usługi i administratora w trybie opt‑in, przed planowaną zmianą domyślną w wydaniu 2027.1. Glance, usługa obrazów, wydała poprawki dla CVE‑2026‑71196, CVE‑2026‑71197, CVE‑2026‑71198 oraz OSSA‑2026‑038.

W całym projekcie wydano dotychczas w 2026 roku 42 komunikaty bezpieczeństwa OpenStack oraz 13 notatek bezpieczeństwa OpenStack, według strony wydania, a Zespół Zarządzania Luki w OpenStack koordynuje odpowiedzialne postępowanie i ujawnianie podatności bezpieczeństwa.

Wsparcie dla AI i przyspieszonych obciążeń

Sterownik libvirt Nova obsługuje teraz urządzenia pośredniczące zarządzane przez Cyborg, takie jak wirtualne GPU, poprzez nowy typ wiązania żądania akceleratora MDEV. Notatki wydania stwierdzają, że operatorzy mogą zarządzać cyklem życia vGPU za pośrednictwem Cyborg jako alternatywę dla natywnej obsługi Nova, z nową cechą OWNER_NOVA zapobiegającą kolizjom przy planowaniu między urządzeniami zarządzanymi przez Nova a tymi zarządzanymi przez Cyborg.

Manila, usługa współdzielonych systemów plików, dodała nowe sterowniki udziałów dla równoległych systemów plików Weka i Lustre, rozszerzając wsparcie dla obciążeń wysokowydajnych równoległych systemów plików, takich jak AI, uczenie maszynowe i HPC. Ironic, usługa bare‑metal, współpracował z Nova, aby znacząco poprawić wydajność śledzenia zasobów w usługach nova‑compute uruchamiających sterownik Ironic, według kluczowych informacji o wydaniu. Zespół Ironic zgłosił, że w cyklu 2026.2 obsłużył więcej błędów bezpieczeństwa niż w jakimkolwiek innym sześciomiesięcznym okresie w historii projektu, co doprowadziło do serii usprawnień stabilności i wzmocnienia, a dedykowany interfejs firmware jest teraz zalecaną ścieżką zarządzania aktualizacjami firmware urządzeń.

Wydajność w skali

Neutron, usługa sieciowa, zmniejszył zużycie pamięci w wdrożeniach routerów HA ML2/OVS ponad 15‑krotnie, według kluczowych informacji o wydaniu, poprzez zastąpienie demona skryptem powłoki monitorującym zmiany stanu keepalived. Neutron dodał także wtyczkę usługi EVPN oraz rozszerzenie agenta OVN umożliwiające provisionowanie reklamacji tras BGP EVPN typu 5, a także wtyczkę usługi Private VLAN, która zapewnia izolację portów poprzez porty w trybie promiscuous, izolowane i społecznościowe.

Strategia konsolidacji obciążeń VM w Watcher teraz uwzględnia zarezerwowaną pojemność oprócz bieżącego użycia przy konsolidacji obciążeń, a dwie nowe akcje rozszerzają jej automatyzację: akcja delete trwale usuwa instancję i jej zasoby, natomiast akcja shelve odzyskuje moc obliczeniową hosta, zachowując jednocześnie dane instancji. Glance dodał wsparcie równoległego importu obrazów, pobierania z preferowanych repozytoriów oraz nowe API do czyszczenia pamięci podręcznej, przycinania pamięci podręcznej i wyświetlania buforowanych węzłów. Horizon, pulpit projektu, włączył domyślnie ustawienia enforcescope and enforcenew_defaults w oslo.policy, zgodnie z bezpiecznym modelem RBAC OpenStack, oficjalnie wspiera Python 3.14 i zrezygnował ze wsparcia dla Pythona 3.9 i 3.10.

Ścieżka aktualizacji i następne wydanie

Hibiscus jest wydaniem nie‑SLURP. Proces aktualizacji Skip Level Upgrade Release Process, wprowadzony w 2022 roku, daje operatorom możliwość aktualizacji raz w roku zamiast co sześć miesięcy, przy zachowaniu sześciomiesięcznego cyklu wydań OpenStack. Operatorzy korzystający z OpenStack 2026.1 Gazpacho, poprzedniego wydania SLURP opublikowanego w kwietniu 2026, mogą zdecydować się pominąć Hibiscus i zaktualizować bezpośrednio do OpenStack 2027.1 Indri, które ma pojawić się w marcu 2027.

Notatki wydania i kod źródłowy Hibiscus są dostępne na oficjalnej stronie wydań OpenStack. Liderzy społeczności OpenStack planują omówić nowe funkcje i prace rozwojowe w odcinku OpenInfra Live w dniu 1 października 2026 o 14:00 UTC, z panelistami z projektów Nova, Neutron, Manila, Ironic, Watcher i Freezer, Komitetu Technicznego OpenStack oraz Zespołu Vulnerability Management Team.