OpenStack 2026.2 Hibiscus Thêm Tính Toán Bảo Mật, Hỗ Trợ vGPU

Cộng đồng OpenStack đã phát hành OpenStack 2026.2 (Hibiscus) vào ngày 30 tháng 9 năm 2026, bản phát hành thứ 34 của phần mềm hạ tầng đám mây mã nguồn mở, bổ sung hỗ trợ tính toán bảo mật cho các nền tảng AMD và Intel, các tùy chọn quản lý mới cho các khối lượng công việc tăng tốc bằng GPU, và cải thiện hiệu suất cho các triển khai quy mô lớn.

Khoảng 600 cộng tác viên đã hợp tác trong chu kỳ phát triển sáu tháng của Hibiscus, tăng 21% so với OpenStack 2026.1 Gazpacho, và họ đã đưa ra 11.500 thay đổi mã, tăng 28% so với mỗi bản phát hành, theo dự án. Trong cùng chu kỳ, hệ thống tích hợp liên tục OpenDev Zuul đã chạy khoảng 1,6 triệu công việc để biên dịch, kiểm thử và công bố phần mềm trên toàn bộ hệ sinh thái OpenStack; trong năm năm qua, Zuul đã thực hiện hơn 14,2 triệu công việc hỗ trợ phát triển OpenStack.

Tính Toán Bảo Mật và An Ninh

Theo thông báo, tính toán bảo mật là một lĩnh vực đầu tư trọng tâm trong bản phát hành này. những điểm nổi bật phát hành theo dự án, được báo cáo trực tiếp từ các nhóm dự án, cho biết Nova hiện có thể khởi chạy các máy ảo với mã hóa bộ nhớ AMD SEV‑SNP, thế hệ thứ ba của Secure Encrypted Virtualization của AMD. Các ghi chú phát hành mô tả SEV‑SNP cung cấp khả năng bảo vệ tính toàn vẹn mạnh hơn so với SEV‑ES và cho phép xác thực nền tảng, cho phép chủ sở hữu máy ảo xác minh tính toàn vẹn của máy ảo thông qua các báo cáo xác thực có chữ ký. Các nhà vận hành yêu cầu các máy ảo SEV‑SNP bằng đặc tả bổ sung của flavor hw:mem_encryption_model=amd-sev-snp hoặc thuộc tính ảnh tương đương.

Nova hiện cũng hỗ trợ Intel Trust Domain Extensions (TDX) cho tính toán bảo mật trên các nền tảng Intel, cụ thể là bộ xử lý Xeon Scalable thế hệ 5 trở lên. Theo các ghi chú phát hành, TDX cung cấp mã hóa bộ nhớ được phần cứng thực thi và cô lập trạng thái CPU, bảo vệ các máy ảo khỏi hypervisor và phần mềm có đặc quyền khác, và việc xác thực được hỗ trợ thông qua Dịch vụ Tạo Báo cáo (Quote Generation Service).

Designate, dịch vụ DNS, đã bổ sung hỗ trợ cho các bản ghi TLSA, được định nghĩa trong RFC 6698, được dùng cho việc gắn chứng chỉ DANE, và nó đã có công cụ chuẩn bị cho mật mã hậu lượng tử, bao gồm chế độ kiểm tra có thể cấu hình có thể chặn khởi động dịch vụ khi thuật toán chứng chỉ dễ bị tấn công lượng tử hoặc phiên bản TLS đã lỗi thời. Designate cũng đã sửa lỗi OSSA-2026-034, một lỗ hổng cho phép một tenant tạo subzone, superzone hoặc sao chép vùng của tenant khác bằng cách lên lịch nó vào một pool khác, cho phép tấn công chiếm đoạt lưu lượng DNS và từ chối dịch vụ. Kiểm tra xung đột quyền sở hữu vùng hiện nay tìm kiếm trên tất cả các pool.

Cyborg đã giải quyết CVE-2026-40213 và CVE-2026-40214 bằng cách giới hạn các yêu cầu theo dự án, yêu cầu xác thực token dịch vụ và thắt chặt quyền truy cập vào các API quản lý phần cứng, đồng thời thêm các chính sách mặc định dựa trên persona cho các vai trò reader, member, manager, service và admin theo mô hình opt‑in, chuẩn bị cho việc thay đổi mặc định dự kiến trong bản phát hành 2027.1. Glance, dịch vụ ảnh, đã phát hành các bản sửa lỗi cho CVE-2026-71196, CVE-2026-71197, CVE-2026-71198 và OSSA-2026-038.

Trong toàn bộ dự án, tính đến thời điểm này trong năm 2026, đã phát hành 42 Bản Khuyến cáo Bảo mật OpenStack và 13 Ghi chú Bảo mật OpenStack, theo trang phát hành, và Nhóm Quản lý Lỗ hổng OpenStack điều phối việc xử lý và công bố các lỗ hổng bảo mật một cách có trách nhiệm.

Hỗ Trợ AI và Các Khối Lượng Công Việc Tăng Tốc

Trình điều khiển libvirt của Nova hiện hỗ trợ các thiết bị trung gian do Cyborg quản lý, chẳng hạn như GPU ảo, thông qua một kiểu ràng buộc yêu cầu tăng tốc MDEV mới. Các ghi chú phát hành cho biết các nhà vận hành có thể quản lý vòng đời vGPU thông qua Cyborg như một giải pháp thay thế cho hỗ trợ gốc của Nova, với đặc tính OWNER_NOVA mới ngăn ngừa xung đột lên lịch giữa các thiết bị do Nova quản lý và do Cyborg quản lý.

Manila, dịch vụ hệ thống tệp chia sẻ, đã thêm các driver chia sẻ mới cho các hệ thống tệp song song Weka và Lustre, mở rộng hỗ trợ cho các khối lượng công việc hệ thống tệp song song hiệu năng cao như AI, học máy và HPC. Ironic, dịch vụ bare‑metal, đã phối hợp với Nova để cải thiện đáng kể hiệu suất theo dõi tài nguyên trong các dịch vụ nova‑compute chạy driver Ironic, theo các điểm nổi bật của bản phát hành. Nhóm Ironic báo cáo rằng họ đã xử lý nhiều lỗi bảo mật hơn trong chu kỳ 2026.2 so với bất kỳ khoảng thời gian sáu tháng nào khác trong lịch sử dự án, dẫn đến một loạt cải tiến về ổn định và tăng cường bảo mật, và giao diện firmware chuyên dụng hiện là con đường được khuyến nghị để quản lý cập nhật firmware cho thiết bị.

Hiệu Suất Khi Mở Rộng Quy Mô

Neutron, dịch vụ mạng, đã giảm mức sử dụng bộ nhớ trong các triển khai router HA ML2/OVS hơn 15 lần, theo các điểm nổi bật của bản phát hành, bằng cách thay thế daemon bằng một script shell để giám sát thay đổi trạng thái keepalived. Neutron cũng đã thêm một plugin dịch vụ EVPN và phần mở rộng agent OVN để cung cấp quảng bá các tuyến BGP EVPN Type‑5, cùng với một plugin dịch vụ Private VLAN cung cấp khả năng cô lập cổng thông qua các cổng promiscuous, isolated và community.

Chiến lược Tối ưu tải công việc VM của Watcher hiện nay xem xét dung lượng dự trữ bên cạnh việc sử dụng thực tế khi hợp nhất các tải công việc, và hai hành động mới mở rộng tự động hoá: delete vĩnh viễn loại bỏ một instance và các tài nguyên của nó, trong khi shelve thu hồi dung lượng tính toán của host đồng thời giữ lại dữ liệu instance. Glance đã thêm hỗ trợ nhập ảnh song song, tải xuống từ các kho ưa thích và các API mới cho việc làm sạch bộ nhớ đệm, tỉa bộ nhớ đệm và liệt kê các nút đã được lưu trong bộ nhớ đệm. Horizon, bảng điều khiển dự án, đã kích hoạt các cài đặt của oslo.policy enforce_scope và enforce_new_defaults theo mặc định phù hợp với mô hình RBAC bảo mật của OpenStack, chính thức hỗ trợ Python 3.14 và ngừng hỗ trợ Python 3.9 và 3.10.

Lộ Trình Nâng Cấp và Bản Phát Hành Tiếp Theo

Hibiscus là một bản phát hành không thuộc SLURP. Quy trình Nâng Cấp Bỏ Cấp Độ, được giới thiệu vào năm 2022, cho phép các nhà vận hành lựa chọn nâng cấp một lần mỗi năm thay vì mỗi sáu tháng, đồng thời duy trì chu kỳ phát hành sáu tháng của OpenStack. Các nhà vận hành đang chạy OpenStack 2026.1 Gazpacho, bản phát hành SLURP trước đó được phát hành vào tháng 4 năm 2026, có thể chọn bỏ qua Hibiscus và nâng cấp trực tiếp lên OpenStack 2027.1 Indri, dự kiến ra mắt vào tháng 3 năm 2027.

Ghi chú phát hành và mã nguồn của Hibiscus có sẵn qua trang web chính thức của các bản phát hành OpenStack. Các lãnh đạo cộng đồng OpenStack dự kiến sẽ thảo luận về các tính năng mới và công việc phát triển trong một tập OpenInfra Live vào ngày 1 tháng 10 năm 2026, lúc 14:00 UTC, với các diễn giả đến từ các dự án Nova, Neutron, Manila, Ironic, Watcher và Freezer, Ủy ban Kỹ thuật OpenStack và Nhóm Quản lý Lỗ hổng.