OpenStack 2026.2 Hibiscus 增加机密计算和 vGPU 支持

OpenStack 社区于 2026 年 9 月 30 日发布了 OpenStack 2026.2 (Hibiscus)，这是开源云基础设施软件的第 34 次发布，新增了对 AMD 和 Intel 平台的机密计算支持、GPU 加速工作负载的新管理选项，以及针对大规模部署的效率提升。

在为期六个月的 Hibiscus 开发周期中，大约有 600 名贡献者协作，比 OpenStack 2026.1 Gazpacho 增长了 21%，他们提交了 11,500 项代码更改，较上一次发布增长了 28%，项目方称。在同一周期内，OpenDev Zuul 持续集成系统运行了约 160 万个作业，以在整个 OpenStack 生态系统中构建、测试和发布软件；在过去五年中，Zuul 已运行超过 1420 万个作业，支持 OpenStack 开发。

机密计算与安全

机密计算是本次发布的重点投资领域，正如公告所述。各项目发布亮点由项目团队直接报告，指出 Nova 现在可以使用 AMD SEV‑SNP 内存加密启动实例，这是 AMD 安全加密虚拟化的第三代。发布说明将 SEV‑SNP 描述为提供比 SEV‑ES 更强的完整性保护，并支持平台证明，允许租户通过签名的证明报告验证其虚拟机的完整性。运营商通过 hw:mem_encryption_model=amd-sev-snp flavor 额外规格或等效的镜像属性来请求此类实例。

Nova 现在也支持 Intel Trust Domain Extensions（TDX）在 Intel 平台上的机密计算，特别是第 5 代及以后 Xeon Scalable 处理器。根据发布说明，TDX 提供硬件强制的内存加密和 CPU 状态隔离，保护来宾免受 hypervisor 和其他特权软件的影响，并且通过 Quote Generation Service 支持证明。

Designate（DNS 服务）新增了对 TLSA 记录的支持（定义于 RFC 6698），该记录用于 DANE 证书固定，并且加入了后量子密码学就绪工具，包括可配置的检查模式，可在使用量子易受攻击的证书算法或过时的 TLS 版本时阻止服务启动。Designate 还修复了 OSSA-2026-034，这是一种跨租户区域所有权绕过漏洞，该漏洞允许租户通过将区域调度到不同的池，创建另一个租户区域的子区域、上级区域或重复区域，从而导致 DNS 流量劫持和拒绝服务。现在，区域所有权冲突检查会跨所有池进行搜索。

Cyborg 通过将请求范围限定到项目、要求服务令牌验证并收紧对硬件管理 API 的访问权限，解决了 CVE-2026-40213 和 CVE-2026-40214，并在计划于 2027.1 版进行的默认更改之前，新增了面向读取者、成员、管理者、服务和管理员角色的可选的基于角色类型的策略默认值。Glance（镜像服务）发布了针对 CVE-2026-71196、CVE-2026-71197、CVE-2026-71198 和 OSSA-2026-038 的修复。

根据发布页面，2026 年截至目前，整个项目已发布了 42 条 OpenStack 安全通告和 13 条 OpenStack 安全说明，OpenStack 漏洞管理团队负责协调安全漏洞的负责任处理和披露。

对 AI 和加速工作负载的支持

Nova 的 libvirt 驱动现在通过一种新的 MDEV 加速器请求绑定类型，支持由 Cyborg 管理的中介设备，例如虚拟 GPU。发布说明指出，运营商可以通过 Cyborg 管理 vGPU 生命周期，作为 Nova 原生支持的替代方案，并且新增的 OWNER_NOVA 特性可防止 Nova 管理的设备与 Cyborg 管理的设备之间的调度冲突。

Manila（共享文件系统服务）新增了针对 Weka 和 Lustre 并行文件系统的共享驱动，扩展了对 AI、机器学习和高性能计算等高性能并行文件系统工作负载的支持。Ironic（裸金属服务）与 Nova 协同工作，显著提升了运行 Ironic 驱动的 nova-compute 服务中资源跟踪的性能，正如发布亮点所述。Ironic 团队报告称，在 2026.2 周期中处理的安全漏洞数量超过了项目历史上任何其他六个月期间，促使了一系列稳定性和加固改进，并且其专用固件接口现已成为管理设备固件更新的推荐路径。

规模化效率

Neutron（网络服务）通过将守护进程替换为用于 keepalived 状态变化监控的 shell 脚本，将 ML2/OVS HA 路由器部署的内存占用降低了超过 15 倍，正如发布亮点所示。Neutron 还新增了 EVPN 服务插件和 OVN 代理扩展，以提供 BGP EVPN Type-5 路由通告，并加入了 Private VLAN 服务插件，通过混杂、隔离和社区端口实现端口隔离。

Watcher 的 VM Workload Consolidation 策略现在在合并工作负载时不仅考虑实时使用情况，还会考虑保留容量，并且两个新操作扩展了其自动化功能：delete 永久删除实例及其资源，而 shelve 在保留实例数据的同时回收主机的计算容量。Glance 添加了并行镜像导入支持、从首选存储下载以及用于缓存清理、缓存修剪和列出缓存节点的新 API。Horizon 项目仪表板默认启用了 oslo.policy 的 enforce_scope 和 enforce_new_defaults 设置，符合 OpenStack 的安全 RBAC 模型，正式支持 Python 3.14，并已停止对 Python 3.9 和 3.10 的支持。

升级路径与下一个发行版

Hibiscus 是一个非 SLURP 发行版。2022 年推出的跳级升级发布流程为运营商提供了每年升级一次的选项，而不是每六个月一次，同时保持 OpenStack 的六个月发布节奏。运行 OpenStack 2026.1 Gazpacho（2026 年 4 月发布的前一个 SLURP 发行版）的运营商可以选择跳过 Hibiscus，直接升级到预计于 2027 年 3 月发布的 OpenStack 2027.1 Indri。

Hibiscus 的发行说明和源代码可通过官方 OpenStack 发行站点获取。OpenStack 社区领袖计划在 2026 年 10 月 1 日 UTC 时间 14:00 的 OpenInfra Live 节目中讨论新特性和开发工作，届时将有来自 Nova、Neutron、Manila、Ironic、Watcher 和 Freezer 项目、OpenStack 技术委员会以及漏洞管理团队的嘉宾。