OpenStack 2026.2 Hibiscus adaugă calcul confidențial și suport vGPU

Comunitatea OpenStack a lansat OpenStack 2026.2 (Hibiscus) pe 30 septembrie 2026, a 34‑a versiune a software‑ului de infrastructură cloud open source, adăugând suport pentru calcul confidențial pe platformele AMD și Intel, noi opțiuni de gestionare pentru sarcini accelerate cu GPU și îmbunătățiri de eficiență pentru implementări la scară largă.

În jur de 600 de contribuitori au colaborat în timpul ciclului de dezvoltare de șase luni al lui Hibiscus, o creștere de 21 % față de OpenStack 2026.1 Gazpacho, și au livrat 11.500 de modificări de cod, o creștere de 28 % de la o versiune la alta, potrivit proiectului. În același ciclu, sistemul de integrare continuă OpenDev Zuul a rulat aproximativ 1,6 milioane de joburi pentru a construi, testa și publica software în întregul ecosistem OpenStack; în ultimii cinci ani, Zuul a rulat peste 14,2 milioane de joburi susținând dezvoltarea OpenStack.

Calcul confidențial și securitate

Calculul confidențial este un domeniu cheie de investiție în această versiune, conform anunțului. reperele de lansare pe proiect, raportate direct de echipele de proiect, indică faptul că Nova poate acum să pornească instanțe cu criptare a memoriei AMD SEV‑SNP, a treia generație a Secure Encrypted Virtualization de la AMD. Notele de lansare descriu SEV‑SNP ca oferind o protecție a integrității mai puternică decât SEV‑ES și permițând atestarea platformei, ceea ce permite proprietarilor de mașini virtuale să verifice integritatea VM‑urilor prin rapoarte de atestare semnate. Operatorii solicită instanțe SEV‑SNP cu hw:mem_encryption_model=amd-sev-snp specificația suplimentară a tipului (flavor) sau proprietatea echivalentă a imaginii.

De asemenea, Nova suportă acum Intel Trust Domain Extensions (TDX) pentru calcul confidențial pe platformele Intel, în special procesoarele Xeon Scalable de a 5‑a generație sau ulterioare. Conform notelor de lansare, TDX oferă criptare a memoriei și izolare a stării CPU impuse de hardware, protejând gazdele de hipervizor și alte programe privilegiate, iar atestarea este suportată prin serviciul Quote Generation Service.

Designate, serviciul DNS, a adăugat suport pentru înregistrări TLSA, definite în RFC 6698, care sunt utilizate pentru fixarea certificatelor DANE, și a obținut instrumente de pregătire pentru criptografie post‑cuantică, inclusiv un mod de verificare configurabil care poate bloca pornirea serviciului în cazul algoritmilor de certificat vulnerabili la quantum sau a versiunilor TLS învechite. Designate a corectat, de asemenea, OSSA-2026-034, o vulnerabilitate de ocolire a proprietății zonei între chiriași care permitea unui chiriaș să creeze o subzonă, superzonă sau duplicat al zonei altui chiriaș programând-o într-un pool diferit, permițând deturnarea traficului DNS și refuzul de serviciu. Verificările de conflict de proprietate a zonei caută acum în toate pool‑urile.

Cyborg a rezolvat CVE-2026-40213 și CVE-2026-40214 prin restricționarea cererilor la proiecte, impunând validarea token‑ului de serviciu și întărind accesul la API‑urile de gestionare a hardware‑ului, și a adăugat valori implicite de politică bazate pe persona, opționale, pentru rolurile de cititor, membru, manager, serviciu și administrator, în vederea unei schimbări planificate a valorilor implicite în versiunea 2027.1. Glance, serviciul de imagini, a livrat remedieri pentru CVE-2026-71196, CVE-2026-71197, CVE-2026-71198 și OSSA-2026-038.

În întregul proiect, până în 2026 au fost emise 42 de Avisuri de Securitate OpenStack și 13 note de securitate OpenStack, conform paginii de lansare, iar Echipa de Management al Vulnerabilităților OpenStack coordonează gestionarea responsabilă și divulgarea vulnerabilităților de securitate.

Suport pentru AI și sarcini accelerate

Driverul libvirt al lui Nova suportă acum dispozitive mediate gestionate de Cyborg, cum ar fi GPU‑uri virtuale, printr-un nou tip de legare a cererii de accelerator MDEV. Notele de lansare precizează că operatorii pot gestiona ciclul de viață al vGPU‑urilor prin Cyborg ca alternativă la suportul nativ al lui Nova, cu un nou atribut OWNER_NOVA care previne coliziunile de programare între dispozitivele gestionate de Nova și cele gestionate de Cyborg.

Manila, serviciul de sisteme de fișiere partajate, a adăugat noi drivere de partajare pentru sistemele de fișiere paralele Weka și Lustre, extinzând suportul pentru sarcini de sistem de fișiere paralele de înaltă performanță, cum ar fi AI, învățarea automată și HPC. Ironic, serviciul de bare‑metal, a colaborat cu Nova pentru a îmbunătăți semnificativ performanța urmăririi resurselor în serviciile nova‑compute care rulează driverul Ironic, conform reperele de lansare. Echipa Ironic a raportat că a gestionat mai multe buguri de securitate în ciclul 2026.2 decât în orice altă perioadă de șase luni din istoria proiectului, declanșând o serie de îmbunătățiri de stabilitate și consolidare, iar interfața sa dedicată de firmware este acum calea recomandată pentru gestionarea actualizărilor de firmware ale dispozitivelor.

Eficiență la scară largă

Neutron, serviciul de rețea, a redus amprenta de memorie în implementările de routere HA ML2/OVS cu peste 15 ori, conform reperele de lansare, prin înlocuirea unui daemon cu un script shell pentru monitorizarea schimbărilor de stare keepalived. Neutron a adăugat, de asemenea, un plugin de serviciu EVPN și o extensie de agent OVN pentru a furniza anunțuri de rută BGP EVPN de tip‑5, plus un plugin de serviciu Private VLAN care oferă izolare a porturilor prin porturi promiscuous, izolate și comunitare.

Strategia de consolidare a încărcăturii de lucru VM a Watcher consideră acum capacitatea rezervată pe lângă utilizarea în timp real atunci când consolidează sarcini, iar două acțiuni noi extind automatizarea: delete elimină permanent o instanță și resursele sale, în timp ce shelve recuperează capacitatea de calcul a unui host păstrând datele instanței. Glance a adăugat suport pentru import paralel de imagini, descărcări din depozite preferate și API‑uri noi pentru curățarea cache‑ului, reducerea cache‑ului și listarea nodurilor în cache. Horizon, tabloul de bord al proiectului, a activat setările enforcescope și enforcenew_defaults ale oslo.policy în mod implicit, în conformitate cu modelul RBAC securizat al OpenStack, suportă oficial Python 3.14 și a renunțat la suportul pentru Python 3.9 și 3.10.

Cale de actualizare și următoarea versiune

Hibiscus este o versiune non‑SLURP. Procesul de actualizare Skip Level, introdus în 2022, oferă operatorilor opțiunea de a actualiza o dată pe an în loc de la fiecare șase luni, menținând în același timp ritmul de lansare la fiecare șase luni al OpenStack. Operatorii care rulează OpenStack 2026.1 Gazpacho, versiunea SLURP anterioară emisă în aprilie 2026, pot alege să sară peste Hibiscus și să actualizeze direct la OpenStack 2027.1 Indri, care este așteptat în martie 2027.

Notele de lansare și codul sursă pentru Hibiscus sunt disponibile prin site‑ul oficial de lansări OpenStack. Liderii comunității OpenStack sunt programați să discute noile funcționalități și munca de dezvoltare într-un episod OpenInfra Live pe 1 octombrie 2026, la ora 14:00 UTC, cu paneliști din proiectele Nova, Neutron, Manila, Ironic, Watcher și Freezer, Comitetul Tehnic OpenStack și Echipa de Management al Vulnerabilităților.