OpenStack 2026.2 Hibiscus 引入机密计算和 vGPU 支持

OpenStack 社区于 2026 年 9 月 30 日发布了 OpenStack 2026.2 (Hibiscus)，这是开源云基础设施软件的第 34 次发布，新增了对 AMD 和 Intel 平台的机密计算支持、对 GPU 加速工作负载的全新管理选项，以及针对大规模部署的效率改进。

在为期六个月的 Hibiscus 开发周期中，约有 600 名贡献者协作，比 OpenStack 2026.1 Gazpacho 增长了 21%，他们提交了 11,500 项代码变更，较上一次发布增长了 28%，项目方称。在同一周期内，OpenDev 的 Zuul 持续集成系统运行了约 160 万个作业，以构建、测试和发布 OpenStack 生态系统中的软件；在过去五年里，Zuul 已运行超过 1420 万个作业，支持 OpenStack 的开发。

机密计算与安全

机密计算是本次发布的重点投资领域，正如公告所述。各项目发布亮点直接来自项目团队，指出 Nova 现在可以使用 AMD SEV‑SNP 内存加密启动实例，这是 AMD 安全加密虚拟化的第三代。发布说明将 SEV‑SNP 描述为提供比 SEV‑ES 更强的完整性保护，并实现平台验证，使租户能够通过签名的验证报告确认其虚拟机的完整性。运营商可通过实例规格的额外属性或等效的镜像属性请求 SEV‑SNP 实例。 hw:mem_encryption_model=amd-sev-snp 实例规格的额外属性或等效的镜像属性。

Nova 现在还支持 Intel 平台的可信域扩展（TDX）进行机密计算，适用于第 5 代及更高版本的 Xeon Scalable 处理器。发布说明指出，TDX 提供硬件强制的内存加密和 CPU 状态隔离，防止来宾受到 hypervisor 和其他特权软件的侵害，并且通过 Quote Generation Service 支持验证。

DNS 服务 Designate 添加了对 TLSA 记录的支持（定义于 RFC 6698），该记录用于 DANE 证书固定，并引入了后量子密码学就绪工具，包括可配置的检查模式，可在使用量子易受攻击的证书算法或过时的 TLS 版本时阻止服务启动。Designate 还修复了 OSSA-2026-034，这是一项跨租户的区域所有权绕过漏洞，攻击者可通过将租户的子域、超域或复制的区域调度到不同的资源池，从而实现 DNS 流量劫持和拒绝服务。现在，区域所有权冲突检查会跨所有资源池进行搜索。

Cyborg 通过将请求范围限制到项目、要求服务令牌验证以及收紧对硬件管理 API 的访问，修复了 CVE-2026-40213 和 CVE-2026-40214，并在计划于 2027.1 版本进行的默认策略变更之前，新增了面向读取者、成员、管理员、服务和管理员角色的可选基于角色的策略默认值。镜像服务 Glance 则发布了针对 CVE-2026-71196、CVE-2026-71197、CVE-2026-71198 以及 OSSA-2026-038 的修复。

根据发布页面，2026 年迄今为止，整个项目已发布了 42 条 OpenStack 安全通告和 13 条 OpenStack 安全说明，OpenStack 漏洞管理团队负责协调安全漏洞的妥善处理和披露。

对 AI 与加速工作负载的支持

Nova 的 libvirt 驱动现已通过全新的 MDEV 加速器请求绑定类型，支持由 Cyborg 管理的中介设备（如虚拟 GPU）。发布说明指出，运营商可以通过 Cyborg 管理 vGPU 生命周期，作为 Nova 原生支持的替代方案，并通过新建的 OWNER_NOVA 特性防止 Nova 管理的设备与 Cyborg 管理的设备在调度时发生冲突。

共享文件系统服务 Manila 为 Weka 和 Lustre 并行文件系统新增了共享驱动，扩展了对 AI、机器学习和高性能计算等高性能并行文件系统工作负载的支持。裸金属服务 Ironic 与 Nova 协同工作，显著提升了运行 Ironic 驱动的 nova-compute 服务的资源跟踪性能，正如发布要点所示。Ironic 团队报告称，在 2026.2 周期中处理的安全漏洞数量超过了项目历史上任何其他六个月期间，促使一系列稳定性和加固改进，并且其专用固件接口现已成为管理设备固件更新的推荐路径。

规模化效率

网络服务 Neutron 通过用 shell 脚本替代守护进程来监控 keepalived 状态变化，使 ML2/OVS HA 路由器部署的内存占用降低了超过 15 倍，正如发布要点所示。Neutron 还新增了 EVPN 服务插件和 OVN 代理扩展，以提供 BGP EVPN Type‑5 路由通告，并加入了 Private VLAN 服务插件，通过混杂、隔离和社区端口实现端口隔离。

Watcher 的 VM 工作负载合并策略现在在合并工作负载时不仅考虑实时使用量，还会考虑预留容量；另外，两项新操作扩展了其自动化功能：delete 永久删除实例及其资源，而 shelve 在保留实例数据的同时回收主机的计算容量。Glance 添加了并行镜像导入支持、从首选存储下载以及用于缓存清理、缓存修剪和列出缓存节点的新 API。Horizon 项目仪表盘默认启用了 oslo.policy 的 enforce范围和强制new_defaults 设置，以符合 OpenStack 的安全 RBAC 模型，正式支持 Python 3.14，并停止支持 Python 3.9 和 3.10。

升级路径与下一个发行版

Hibiscus 是一个非 SLURP 发行版。Skip Level Upgrade Release Process（跳级升级发布流程），于 2022 年推出，允许运营商每年升级一次，而不是每六个月一次，同时保持 OpenStack 的六个月发布节奏。运行于 2026 年 4 月发布的前一个 SLURP 发行版 OpenStack 2026.1 Gazpacho 的运营商，可以选择跳过 Hibiscus，直接升级到 OpenStack 2027.1 Indri，后者预计于 2027 年 3 月发布。

Hibiscus 的发行说明和源代码可通过官方 OpenStack 发布站点获取。OpenStack 社区领袖计划在 2026 年 10 月 1 日 14:00 UTC 的一次 OpenInfra Live 节目中讨论新特性和开发工作，届时将有来自 Nova、Neutron、Manila、Ironic、Watcher 和 Freezer 项目、OpenStack 技术委员会以及漏洞管理团队的嘉宾。