OpenStack 2026.2 Hibiscus Thêm Hỗ Trợ Tính Toán Bảo Mật, vGPU

Cộng đồng OpenStack đã phát hành OpenStack 2026.2 (Hibiscus) vào ngày 30 tháng 9 năm 2026, là phiên bản thứ 34 của phần mềm hạ tầng đám mây mã nguồn mở, thêm hỗ trợ tính toán bảo mật cho các nền tảng AMD và Intel, các tùy chọn quản lý mới cho các khối lượng công việc tăng tốc bằng GPU, và cải thiện hiệu suất cho các triển khai quy mô lớn.

Khoảng 600 người đóng góp đã hợp tác trong chu kỳ phát triển sáu tháng của Hibiscus, tăng 21% so với OpenStack 2026.1 Gazpacho, và họ đã đưa ra 11,500 thay đổi mã, tăng 28% so với mỗi phiên bản, theo dự án. Trong cùng chu kỳ, hệ thống tích hợp liên tục OpenDev Zuul đã chạy khoảng 1,6 triệu công việc để xây dựng, kiểm thử và xuất bản phần mềm trên toàn bộ hệ sinh thái OpenStack; trong năm năm qua, Zuul đã chạy hơn 14,2 triệu công việc hỗ trợ phát triển OpenStack.

Tính Toán Bảo Mật và An Ninh

Tính toán bảo mật là một lĩnh vực đầu tư then chốt trong phiên bản này, theo thông báo. điểm nổi bật phát hành theo dự án, được báo cáo trực tiếp từ các nhóm dự án, cho biết Nova hiện có thể khởi chạy các phiên bản với mã hóa bộ nhớ AMD SEV‑SNP, thế hệ thứ ba của Secure Encrypted Virtualization của AMD. Các ghi chú phát hành mô tả SEV‑SNP cung cấp bảo vệ tính toàn vẹn mạnh hơn so với SEV‑ES và cho phép xác thực nền tảng, cho phép chủ khách xác minh tính toàn vẹn của máy ảo thông qua các báo cáo xác thực có chữ ký. Các nhà vận hành yêu cầu các phiên bản SEV‑SNP bằng hw:mem_encryption_model=amd-sev-snp đặc tả phụ flavor hoặc thuộc tính hình ảnh tương đương.

Nova cũng hiện hỗ trợ Intel Trust Domain Extensions (TDX) cho tính toán bảo mật trên các nền tảng Intel, cụ thể là bộ xử lý Xeon Scalable thế hệ 5 trở lên. Theo các ghi chú phát hành, TDX cung cấp mã hóa bộ nhớ được thực thi bằng phần cứng và cô lập trạng thái CPU, bảo vệ các khách khỏi hypervisor và các phần mềm có quyền ưu tiên cao, và xác thực được hỗ trợ thông qua Quote Generation Service.

Designate, dịch vụ DNS, đã thêm hỗ trợ cho các bản ghi TLSA, được định nghĩa trong RFC 6698, được dùng cho việc gắn chứng chỉ DANE, và nó đã có công cụ chuẩn bị cho mật mã hậu lượng tử, bao gồm một chế độ kiểm tra có thể cấu hình để chặn khởi động dịch vụ khi gặp các thuật toán chứng chỉ dễ bị tấn công bởi lượng tử hoặc các phiên bản TLS lỗi thời. Designate cũng đã sửa lỗi OSSA-2026-034, một lỗ hổng cho phép một tenant tạo subzone, superzone hoặc bản sao của zone của tenant khác bằng cách lên lịch nó vào một pool khác, cho phép tấn công chiếm hướng lưu lượng DNS và từ chối dịch vụ. Kiểm tra xung đột sở hữu zone hiện nay tìm kiếm trên tất cả các pool.

Cyborg đã giải quyết CVE-2026-40213 và CVE-2026-40214 bằng cách giới hạn các yêu cầu theo dự án, yêu cầu xác thực token dịch vụ và thắt chặt quyền truy cập vào các API quản lý phần cứng, và nó đã thêm các mặc định chính sách dựa trên persona cho các vai trò reader, member, manager, service và admin theo chế độ opt‑in, trước một thay đổi mặc định dự kiến trong phiên bản 2027.1. Glance, dịch vụ hình ảnh, đã phát hành các bản sửa lỗi cho CVE-2026-71196, CVE-2026-71197, CVE-2026-71198 và OSSA-2026-038.

Trên toàn bộ dự án, tính đến năm 2026, đã phát hành 42 Bản Cảnh Báo Bảo Mật OpenStack và 13 Ghi Chú Bảo Mật OpenStack, theo trang phát hành, và Nhóm Quản Lý Lỗ Hổng OpenStack điều phối việc xử lý và công bố có trách nhiệm các lỗ hổng bảo mật.

Hỗ Trợ AI và Các Khối Lượng Công Việc Tăng Tốc

Trình điều khiển libvirt của Nova hiện hỗ trợ các thiết bị trung gian do Cyborg quản lý, chẳng hạn như GPU ảo, thông qua một loại ràng buộc yêu cầu tăng tốc MDEV mới. Các ghi chú phát hành cho biết các nhà vận hành có thể quản lý vòng đời vGPU thông qua Cyborg như một lựa chọn thay thế cho hỗ trợ gốc của Nova, với một đặc tính OWNER_NOVA mới ngăn ngừa xung đột lập lịch giữa các thiết bị do Nova quản lý và do Cyborg quản lý.

Manila, dịch vụ hệ thống tệp chia sẻ, đã thêm các trình điều khiển chia sẻ mới cho các hệ thống tệp song song Weka và Lustre, mở rộng hỗ trợ cho các khối lượng công việc hệ thống tệp song song hiệu năng cao như AI, máy học và HPC. Ironic, dịch vụ bare‑metal, đã phối hợp với Nova để cải thiện đáng kể hiệu năng theo dõi tài nguyên trong các dịch vụ nova‑compute chạy trình điều khiển Ironic, theo các điểm nổi bật của phiên bản. Nhóm Ironic báo cáo rằng họ đã xử lý nhiều lỗi bảo mật hơn trong chu kỳ 2026.2 so với bất kỳ khoảng thời gian sáu tháng nào khác trong lịch sử dự án, dẫn đến một loạt các cải tiến về ổn định và tăng cường, và giao diện firmware chuyên dụng hiện là con đường được khuyến nghị để quản lý cập nhật firmware thiết bị.

Hiệu Suất ở Quy Mô Lớn

Neutron, dịch vụ mạng, đã giảm dung lượng bộ nhớ trong các triển khai router HA ML2/OVS hơn 15 lần, theo các điểm nổi bật của phiên bản, bằng cách thay thế một daemon bằng một script shell để giám sát thay đổi trạng thái keepalived. Neutron cũng đã thêm một plugin dịch vụ EVPN và phần mở rộng agent OVN để cung cấp quảng cáo định tuyến BGP EVPN Type‑5, cộng với một plugin dịch vụ Private VLAN cung cấp cách cô lập cổng thông qua các cổng promiscuous, isolated và community.

Chiến lược Tối ưu Hóa Khối Lượng Công Việc VM của Watcher hiện xem xét dung lượng dự trữ bên cạnh việc sử dụng thực tế khi hợp nhất các khối lượng công việc, và hai hành động mới mở rộng khả năng tự động hoá: xóa vĩnh viễn sẽ loại bỏ một phiên bản và các tài nguyên của nó, trong khi tạm dừng (shelve) sẽ thu hồi dung lượng tính toán của máy chủ đồng thời bảo tồn dữ liệu phiên bản. Glance đã bổ sung hỗ trợ nhập ảnh song song, tải xuống từ các kho ưu tiên và các API mới cho việc làm sạch bộ nhớ đệm, cắt tỉa bộ nhớ đệm và liệt kê các nút đã được lưu trong bộ nhớ đệm. Horizon, bảng điều khiển dự án, đã bật các cài đặt enforcescope và enforcenew_defaults của oslo.policy theo mặc định, phù hợp với mô hình RBAC bảo mật của OpenStack, chính thức hỗ trợ Python 3.14 và ngừng hỗ trợ Python 3.9 và 3.10.

Lộ Trình Nâng Cấp và Phiên Bản Tiếp Theo

Hibiscus là một phiên bản không thuộc SLURP. Quy trình Nâng Cấp Bỏ Qua Cấp Độ, được giới thiệu vào năm 2022, cho phép các nhà vận hành lựa chọn nâng cấp một lần mỗi năm thay vì mỗi sáu tháng, đồng thời duy trì chu kỳ phát hành sáu tháng của OpenStack. Các nhà vận hành đang chạy OpenStack 2026.1 Gazpacho, phiên bản SLURP trước đó được phát hành vào tháng 4 năm 2026, có thể chọn bỏ qua Hibiscus và nâng cấp trực tiếp lên OpenStack 2027.1 Indri, dự kiến ra mắt vào tháng 3 năm 2027.

Ghi chú phát hành và mã nguồn cho Hibiscus có sẵn qua trang phát hành chính thức của OpenStack. Các nhà lãnh đạo cộng đồng OpenStack đã lên lịch thảo luận về các tính năng mới và công việc phát triển trong một tập phim OpenInfra Live vào ngày 1 tháng 10 năm 2026, lúc 14:00 UTC, với các diễn giả đến từ các dự án Nova, Neutron, Manila, Ironic, Watcher và Freezer, Ủy ban Kỹ thuật OpenStack và Nhóm Quản lý Lỗ hổng.