OpenStack 2026.2 Hibiscus добавляет конфиденциальные вычисления и поддержку vGPU

Сообщество OpenStack выпустило OpenStack 2026.2 (Hibiscus) 30 сентября 2026 года, 34‑й релиз программного обеспечения с открытым исходным кодом для облачной инфраструктуры, добавив поддержку конфиденциальных вычислений для платформ AMD и Intel, новые варианты управления нагрузками с ускорением GPU и улучшения эффективности для крупномасштабных развертываний.

Около 600 участников сотрудничали в течение шестимесячного цикла разработки Hibiscus, что на 21 % больше по сравнению с OpenStack 2026.1 Gazpacho, и они внесли 11 500 изменений кода, что на 28 % больше от релиза к релизу, согласно проекту. За тот же период система непрерывной интеграции OpenDev Zuul выполнила примерно 1,6 млн заданий по сборке, тестированию и публикации программного обеспечения в экосистеме OpenStack; за последние пять лет Zuul выполнил более 14,2 млн заданий, поддерживая разработку OpenStack.

Конфиденциальные вычисления и безопасность

Конфиденциальные вычисления являются ключевой областью инвестиций в этом релизе, согласно объявлению. основные изменения по отдельным проектам, сообщённые непосредственно командами проекта, указывают, что Nova теперь может запускать экземпляры с шифрованием памяти AMD SEV‑SNP, третьим поколением Secure Encrypted Virtualization от AMD. Примечания к релизу описывают SEV‑SNP как обеспечивающий более сильную защиту целостности по сравнению с SEV‑ES и позволяющий аттестацию платформы, что даёт владельцам гостевых машин возможность проверять целостность своих виртуальных машин через подписанные отчёты аттестации. Операторы запрашивают экземпляры SEV‑SNP с помощью hw:mem_encryption_model=amd-sev-snp дополнительной спецификации flavor или эквивалентного свойства образа.

Nova также теперь поддерживает Intel Trust Domain Extensions (TDX) для конфиденциальных вычислений на платформах Intel, конкретно процессоры 5‑го поколения Xeon Scalable и новее. Согласно примечаниям к релизу, TDX обеспечивает аппаратно принудительное шифрование памяти и изоляцию состояния ЦП, защищая гостевые системы от гипервизора и другого привилегированного программного обеспечения, а аттестация поддерживается через Quote Generation Service.

Designate, сервис DNS, добавил поддержку записей TLSA, определённых в RFC 6698, которые используются для привязки сертификатов DANE, и получил инструменты готовности к постквантовой криптографии, включая настраиваемый режим проверки, который может блокировать запуск службы при использовании квантово‑уязвимых алгоритмов сертификатов или устаревших версий TLS. Designate также исправил OSSA‑2026‑034, уязвимость обхода владения зоной между арендаторами, позволяющую арендатору создать подзону, суперзону или дубликат зоны другого арендатора, планируя её в другой пул, что позволяло перехватить DNS‑трафик и вызвать отказ в обслуживании. Теперь проверки конфликтов владения зонами выполняются во всех пулах.

Cyborg устранил уязвимости CVE‑2026‑40213 и CVE‑2026‑40214, ограничив запросы проектами, требуя проверки токена службы и ужесточив доступ к API управления оборудованием, а также добавил опцию включения политик по ролям по умолчанию для читателя, участника, менеджера, службы и администратора в преддверии планируемого изменения по умолчанию в релизе 2027.1. Glance, сервис образов, выпустил исправления для CVE‑2026‑71196, CVE‑2026‑71197, CVE‑2026‑71198 и OSSA‑2026‑038.

Во всём проекте в 2026 году уже выпущено 42 рекомендации по безопасности OpenStack и 13 заметок по безопасности OpenStack, согласно странице релиза, а команда управления уязвимостями OpenStack координирует ответственное обращение и раскрытие уязвимостей безопасности.

Поддержка ИИ и ускоренных нагрузок

Драйвер libvirt Nova теперь поддерживает управляемые Cyborg медиированные устройства, такие как виртуальные GPU, через новый тип привязки запросов ускорителя MDEV. Примечания к релизу указывают, что операторы могут управлять жизненным циклом vGPU через Cyborg как альтернативу встроенной поддержке Nova, с новой характеристикой OWNER_NOVA, предотвращающей конфликты планирования между устройствами, управляемыми Nova, и устройствами, управляемыми Cyborg.

Manila, сервис совместного использования файловых систем, добавил новые драйверы шаринга для параллельных файловых систем Weka и Lustre, расширив поддержку нагрузок высокопроизводительных параллельных файловых систем, таких как ИИ, машинное обучение и HPC. Ironic, сервис работы с физическими серверами, скоординировал работу с Nova для значительного улучшения производительности отслеживания ресурсов в службах nova-compute, работающих с драйвером Ironic, согласно основным моментам релиза. Команда Ironic сообщила, что в цикле 2026.2 она обработала больше уязвимостей безопасности, чем за любой другой шестимесячный период в истории проекта, что привело к серии улучшений стабильности и укрепления, а её специализированный интерфейс прошивки теперь рекомендуется как основной путь управления обновлениями прошивки устройств.

Эффективность в масштабе

Neutron, сервис сетей, сократил объём памяти в развертываниях ML2/OVS HA‑маршрутизаторов более чем в 15 раз, согласно основным моментам релиза, заменив демон скриптом оболочки для мониторинга изменений состояния keepalived. Neutron также добавил плагин службы EVPN и расширение агента OVN для предоставления объявлений маршрутов BGP EVPN Type‑5, а также плагин службы Private VLAN, который обеспечивает изоляцию портов через промискуитетные, изолированные и общие порты.

Стратегия консолидации нагрузок виртуальных машин Watcher теперь учитывает зарезервированную ёмкость наряду с текущим использованием при консолидации нагрузок, а два новых действия расширяют её автоматизацию: delete навсегда удаляет экземпляр и его ресурсы, тогда как shelve освобождает вычислительные ресурсы хоста, сохраняя данные экземпляра. Glance добавил поддержку параллельного импорта образов, загрузки из предпочтительных хранилищ и новые API для очистки кэша, его обрезки и перечисления кэшированных узлов. Horizon, панель проекта, по умолчанию включил настройки oslo.policy enforce_scope и enforce_new_defaults в соответствии с безопасной моделью RBAC OpenStack, официально поддерживает Python 3.14 и прекратил поддержку Python 3.9 и 3.10.

Путь обновления и следующий релиз

Hibiscus — это релиз, не относящийся к SLURP. Процесс обновления Skip Level Upgrade, введённый в 2022 году, даёт операторам возможность обновляться раз в год вместо каждых шести месяцев, сохраняя шести‑месячный график выпусков OpenStack. Операторы, использующие OpenStack 2026.1 Gazpacho, предыдущий SLURP‑релиз, выпущенный в апреле 2026 года, могут выбрать пропустить Hibiscus и перейти напрямую к OpenStack 2027.1 Indri, который ожидается в марте 2027 года.

Примечания к выпуску и исходный код Hibiscus доступны на официальном сайте релизов OpenStack. Руководители сообщества OpenStack запланировали обсуждение новых функций и текущих разработок в эпизоде OpenInfra Live 1 октября 2026 года в 14:00 UTC, где примут участие представители проектов Nova, Neutron, Manila, Ironic, Watcher и Freezer, Технический комитет OpenStack и команда управления уязвимостями.