OpenStack 2026.2 Hibiscus додає конфіденційні обчислення та підтримку vGPU

Спільнота OpenStack випустила OpenStack 2026.2 (Hibiscus) 30 вересня 2026 року, 34‑й випуск програмного забезпечення з відкритим кодом для хмарної інфраструктури, додавши підтримку конфіденційних обчислень для платформ AMD і Intel, нові параметри керування навантаженнями, що прискорюються GPU, та покращення ефективності для масштабних розгортань.

Близько 600 учасників співпрацювали протягом шести‑місячного циклу розробки Hibiscus, що на 21 % більше, ніж у OpenStack 2026.1 Gazpacho, і вони внесли 11 500 змін коду, що на 28 % більше порівняно з попереднім випуском, згідно з даними проєкту. За той самий цикл система безперервної інтеграції OpenDev Zuul виконала приблизно 1,6 мільйона завдань зі складання, тестування та публікації програмного забезпечення по всій екосистемі OpenStack; за останні п’ять років Zuul виконав понад 14,2 мільйона завдань, підтримуючи розробку OpenStack.

Конфіденційні обчислення та безпека

Конфіденційні обчислення є ключовою сферою інвестицій у цьому випуску, згідно з оголошенням. основні моменти випуску за проектами, повідомлені безпосередньо командами проєктів, вказують, що Nova тепер може запускати інстанси з шифруванням пам’яті AMD SEV‑SNP, третім поколінням Secure Encrypted Virtualization від AMD. У нотатках про випуск SEV‑SNP описується як забезпечуючий сильніший захист цілісності порівняно з SEV‑ES та дозволяє атестацію платформи, що дає змогу власникам гостьових систем перевіряти цілісність своїх віртуальних машин за допомогою підписаних звітів атестації. Оператори запитують інстанси SEV‑SNP за допомогою hw:mem_encryption_model=amd-sev-snp додаткової специфікації flavor або відповідної властивості образу.

Nova також тепер підтримує Intel Trust Domain Extensions (TDX) для конфіденційних обчислень на платформах Intel, зокрема процесори 5‑го покоління Xeon Scalable та новіші. За даними нотаток про випуск, TDX забезпечує апаратне шифрування пам’яті та ізоляцію стану CPU, захищаючи гостьові системи від гіпервізора та іншого привілейованого програмного забезпечення, а атестація підтримується через сервіс Quote Generation Service.

Designate, сервіс DNS, додав підтримку записів TLSA, визначених у RFC 6698, які використовуються для DANE‑закріплення сертифікатів, і отримав інструменти готовності до постквантової криптографії, включаючи конфігурований режим перевірки, який може блокувати запуск сервісу при використанні квантово‑вразливих алгоритмів сертифікатів або застарілих версій TLS. Designate також виправив OSSA‑2026‑034, уразливість обходу власності зони між орендарями, яка дозволяла орендарю створити підзону, надзону або копію зони іншого орендаря, плануючи її до іншого пулу, що давало можливість перехоплення DNS‑трафіку та відмови в обслуговуванні. Перевірки конфліктів власності зон тепер здійснюються по всіх пулах.

Cyborg вирішив CVE‑2026‑40213 та CVE‑2026‑40214, обмеживши запити проектами, ввівши перевірку service‑token та посиливши обмеження доступу до API управління апаратурою, а також додав типові політики на основі ролей (читач, учасник, менеджер, сервіс, адміністратор) за принципом opt‑in перед запланованою зміною типових налаштувань у випуску 2027.1. Glance, сервіс образів, випустив виправлення для CVE‑2026‑71196, CVE‑2026‑71197, CVE‑2026‑71198 та OSSA‑2026‑038.

У межах проєкту у 2026 році, згідно зі сторінки випуску, випущено 42 рекомендації з безпеки OpenStack та 13 нотаток з безпеки OpenStack, а команда управління вразливостями OpenStack координує відповідальне оброблення та розкриття вразливостей безпеки.

Підтримка ШІ та прискорених навантажень

Драйвер libvirt у Nova тепер підтримує керовані Cyborg проміжні пристрої, такі як віртуальні GPU, через новий тип прив’язки запиту акселератора MDEV. У нотатках про випуск зазначено, що оператори можуть керувати життєвим циклом vGPU через Cyborg як альтернативу вбудованій підтримці Nova, з новою ознакою OWNER_NOVA, що запобігає конфліктам планування між пристроями, керованими Nova, та пристроями, керованими Cyborg.

Manila, сервіс спільної файлової системи, додав нові драйвери спільного доступу для паралельних файлових систем Weka та Lustre, розширюючи підтримку навантажень високопродуктивних паралельних файлових систем, таких як ШІ, машинне навчання та HPC. Ironic, сервіс bare‑metal, координувався з Nova для значного підвищення продуктивності відстеження ресурсів у службах nova‑compute, що працюють з драйвером Ironic, згідно з основними моментами випуску. Команда Ironic повідомила, що у циклі 2026.2 вона обробила більше вразливостей безпеки, ніж у будь‑який інший шести‑місячний період в історії проєкту, що спонукало до ряду покращень стабільності та зміцнення, а її спеціальний інтерфейс прошивки тепер є рекомендованим шляхом управління оновленнями прошивки пристроїв.

Ефективність у масштабах

Neutron, сервіс мереж, зменшив використання пам’яті у розгортаннях маршрутизаторів ML2/OVS HA більш ніж у 15 разів, згідно з основними моментами випуску, замінивши демон скриптом оболонки для моніторингу змін стану keepalived. Neutron також додав плагін сервісу EVPN та розширення агента OVN для створення оголошень маршрутів BGP EVPN типу 5, а також плагін сервісу Private VLAN, який забезпечує ізоляцію портів через проміскуїтні, ізольовані та спільні порти.

Стратегія консолідації робочих навантажень VM у Watcher тепер враховує зарезервовану потужність разом із поточним використанням під час консолідації навантажень, і дві нові дії розширюють її автоматизацію: delete назавжди видаляє інстанс і його ресурси, тоді як shelve звільняє обчислювальну потужність хоста, зберігаючи дані інстанса. Glance додав підтримку паралельного імпорту образів, завантаження з уподобаних сховищ та нові API для очищення кешу, його обрізки та переліку кешованих вузлів. Horizon, панель проєкту, за замовчуванням увімкнув налаштування oslo.policy enforce_scope і enforce_new_defaults у відповідності до безпечної моделі RBAC OpenStack, офіційно підтримує Python 3.14 і припинив підтримку Python 3.9 і 3.10.

Шлях оновлення та наступний випуск

Hibiscus — це випуск, що не є SLURP. Процес оновлення Skip Level Upgrade, впроваджений у 2022 році, дає операторам можливість оновлюватися раз на рік замість кожних шести місяців, зберігаючи шістьмісяцевий графік випусків OpenStack. Оператори, які працюють на OpenStack 2026.1 Gazpacho, попередньому SLURP‑випуску, випущеному у квітні 2026, можуть пропустити Hibiscus і оновитися безпосередньо до OpenStack 2027.1 Indri, який очікується у березні 2027.

Примітки до випуску та вихідний код Hibiscus доступні на офіційному сайті випусків OpenStack. Лідери спільноти OpenStack запланували обговорення нових функцій та розробок у випуску OpenInfra Live 1 жовтня 2026 о 14:00 UTC, з панелістами з проєктів Nova, Neutron, Manila, Ironic, Watcher та Freezer, Технічного комітету OpenStack і Команди управління вразливостями.