O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Criar uma instância de VM confidencial com GPU

Para usar GPUs com instâncias de VM confidenciais, é necessário criar uma instância de VM usando um tipo de máquina e um modelo de provisionamento de instância compatíveis. Depois de criar a instância de VM, ative o modo de computação confidencial na GPU anexada.

As instâncias de VM confidenciais com GPUs NVIDIA estão disponíveis nos seguintes tipos de máquina:

Tipo de máquina A3 High: GPUs NVIDIA H100 com Intel TDX. Oferece suporte a modelos de provisionamento spot e de início flexível.
Tipo de máquina G4: NVIDIA RTX PRO 6000 com AMD SEV. Oferece suporte a modelos de provisionamento padrão (on demand), spot e de início flexível, além de reservas.

O uso de GPUs NVIDIA RTX Pro 6000 com instâncias de VM G4 confidenciais gera automaticamente uma taxa de licença para softwares e serviços de computação confidencial da NVIDIA. Para mais detalhes, consulte Preços da computação confidencial com GPUs.

Antes de criar uma instância de VM confidencial com GPU, verifique se você tem cota suficiente. Para mais informações, consulte Cotas.

Criar uma instância de VM confidencial com GPU

Para criar uma instância de VM confidencial com uma GPU anexada, use um dos seguintes modelos de provisionamento:

Padrão (on demand): crie uma instância de VM padrão (on demand) otimizada para aceleradores VM. Esse modelo está disponível apenas para o tipo de máquina G4. Para etapas detalhadas, consulte Modelo padrão (on demand) ou spot.
Spot: crie uma instância de VM spot otimizada para aceleradores para os tipos de máquina A3 High ou G4. Para etapas detalhadas, consulte Modelo padrão (on demand) ou spot.
Início flexível: crie um grupo gerenciado de instâncias (MIG) para os tipos de máquina A3 High ou G4. Para etapas detalhadas, consulte Modelo de início flexível.

Modelo padrão (on demand) ou spot

gcloud

Para criar uma instância de VM padrão (on demand) ou spot otimizada para aceleradores com a CLI gcloud, use o instances create subcomando com a --provisioning-model flag.

gcloud compute instances create INSTANCE_NAME \
    --provisioning-model=PROVISIONING_MODEL \
    --confidential-compute-type=CONFIDENTIAL_COMPUTING_TECHNOLOGY \
    --machine-type=MACHINE_TYPE_NAME \
    --maintenance-policy=TERMINATE \
    --zone=ZONE_NAME \
    --image-project=IMAGE_PROJECT \
    --image-family=IMAGE_FAMILY_NAME \
    --boot-disk-size=30G

Para ativar a Inicialização segura, use a flag --shielded-secure-boot para inicializações de instâncias de VM.

Forneça os valores a seguir:

INSTANCE_NAME: o nome da nova instância de VM.
PROVISIONING_MODEL: o modelo de provisionamento com suporte para o tipo de máquina. Escolha uma destas opções:
- Tipo de máquina A3 High: SPOT para instâncias de VM spot.
- Tipo de máquina G4: STANDARD para instâncias de VM padrão (on demand) ou SPOT para instâncias de VM spot. Se não for especificado, esse valor será definido como STANDARD por padrão.
CONFIDENTIAL_COMPUTING_TECHNOLOGY: o tipo de tecnologia de computação confidencial a ser usada. Escolha uma destas opções:
- Tipo de máquina A3 High (a3-highgpu-1g): TDX
- Tipo de máquina G4 (g4-standard-48): SEV
MACHINE_TYPE_NAME: o tipo de máquina da VM. Escolha uma destas opções:
- a3-highgpu-1g
- g4-standard-48
ZONE_NAME: a zona com suporte para criar a VM.
IMAGE_PROJECT: o projeto que contém a imagem do sistema operacional com suporte para VM confidencial para GPU.
IMAGE_FAMILY_NAME: a família da imagem do sistema operacional com suporte para VM confidencial para GPU.

REST

Para criar uma instância de VM padrão (on demand) ou spot, envie a seguinte solicitação POST com o conteúdo do corpo apropriado.

Use o seguinte método HTTP e URL:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

Inclua o corpo da solicitação JSON a seguir:

{
  "name": "INSTANCE_NAME",
  "machineType": "zones/ZONE/machineTypes/MACHINE_TYPE_NAME",
  "confidentialInstanceConfig": {
    "confidentialInstanceType": "CONFIDENTIAL_COMPUTING_TECHNOLOGY"
  },
  "scheduling": {
    "onHostMaintenance": "TERMINATE",
    "automaticRestart": true,
    "provisioningModel": "PROVISIONING_MODEL"
  },
  "disks": [
    {
      "boot": true,
      "autoDelete": true,
      "initializeParams": {
        "sourceImage": "projects/IMAGE_PROJECT/global/images/family/IMAGE_FAMILY",
        "diskSizeGb": "30"
      }
    }
  ],
  "networkInterfaces": [
    {
      "network": "global/networks/default"
    }
  ]
}

Forneça os valores a seguir:

PROJECT_ID: opcional. O ID do projeto em que a VM será criada.
ZONE: a zona com suporte para criar a VM.
INSTANCE_NAME: o nome da nova instância de VM.
MACHINE_TYPE_NAME: o tipo de máquina da VM. Escolha uma destas opções:
- a3-highgpu-1g
- g4-standard-48
CONFIDENTIAL_COMPUTING_TECHNOLOGY: o tipo de tecnologia de computação confidencial a ser usada. Escolha uma destas opções:
- Tipo de máquina A3 High (a3-highgpu-1g): TDX
- Tipo de máquina G4 (g4-standard-48): SEV
PROVISIONING_MODEL: o modelo de provisionamento com suporte para a série de máquinas. Escolha uma destas opções:
- Tipo de máquina A3 High: SPOT para instâncias de VM spot.
- Tipo de máquina G4: STANDARD para instâncias de VM padrão (on demand) ou SPOT para instâncias de VM spot. Se não for especificado, esse valor será definido como STANDARD por padrão.
IMAGE_PROJECT: o projeto que contém a imagem do sistema operacional com suporte para VM confidencial para GPU.
IMAGE_FAMILY: a família da imagem do sistema operacional com suporte para VM confidencial para GPU.

Modelo de início flexível

Para usar o modelo de início flexível, primeiro crie um modelo de instância e use-o para criar um grupo gerenciado de instâncias (MIG). Em seguida, adicione instâncias de VM de GPU ao MIG usando solicitações de redimensionamento.

O uso de uma solicitação de redimensionamento de MIG com o modelo de provisionamento de início flexível melhora a capacidade de acesso de instâncias de VM de GPU. Para mais informações, consulte Sobre solicitações de redimensionamento em um MIG.

Antes de começar

Para criar um MIG, consulte os pré-requisitos do MIG.
Para criar uma solicitação de redimensionamento em um MIG, consulte as limitações da solicitação de redimensionamento.

Criar um MIG com instâncias de VM de GPU

Para criar um modelo de instância e usá-lo para criar um MIG, siga estas etapas.

Criar um modelo de instância.

gcloud

gcloud beta compute instance-templates create INSTANCE_TEMPLATE_NAME \
    --provisioning-model=FLEX_START \
    --confidential-compute-type=CONFIDENTIAL_COMPUTING_TECHNOLOGY \
    --machine-type=MACHINE_TYPE_NAME \
    --maintenance-policy=TERMINATE \
    --image-project=IMAGE_PROJECT \
    --image-family=IMAGE_FAMILY_NAME \
    --boot-disk-size=30G \
    --instance-termination-action=DELETE \
    --max-run-duration=RUN_DURATION \
    --project=PROJECT_ID

Forneça os valores a seguir:

INSTANCE_TEMPLATE_NAME: o nome do novo modelo de instância de VM.
CONFIDENTIAL_COMPUTING_TECHNOLOGY: o tipo de tecnologia de computação confidencial a ser usada. Escolha uma destas opções:
- Tipo de máquina A3 High (a3-highgpu-1g): TDX
- Tipo de máquina G4 (g4-standard-48): SEV
MACHINE_TYPE_NAME: o tipo de máquina da VM. Escolha uma destas opções:
- a3-highgpu-1g
- g4-standard-48
IMAGE_PROJECT: o projeto que contém a imagem do sistema operacional com suporte para VM confidencial para GPU.
IMAGE_FAMILY_NAME: a família da imagem do sistema operacional com suporte para VM confidencial para GPU a ser usada.
RUN_DURATION: a duração em que você quer que as instâncias de VM solicitadas sejam executadas. É necessário formatar o valor como o número de dias, horas, minutos ou segundos, seguido de d, h, m, e s, respectivamente. Exemplo: 6d8h44m.
PROJECT_ID: o ID do projeto em que a VM será criada.

REST

Para criar um modelo de instância de VM confidencial, envie a seguinte solicitação POST com o conteúdo do corpo apropriado.

Use o seguinte método HTTP e URL:

POST https://compute.googleapis.com/compute/beta/projects/PROJECT_ID/regions/REGION/instanceTemplates

Inclua o corpo da solicitação JSON a seguir:

{
  "name": "INSTANCE_TEMPLATE_NAME",
  "properties": {
    "confidentialInstanceConfig": {
      "confidentialInstanceType": "CONFIDENTIAL_COMPUTING_TECHNOLOGY"
    },
    "machineType": "MACHINE_TYPE_NAME",
    "scheduling": {
      "instanceTerminationAction": "DELETE",
      "maxRunDuration": {
        "seconds": "RUN_DURATION_IN_SECONDS"
      },
      "automaticRestart": true,
      "onHostMaintenance": "TERMINATE",
      "provisioningModel": "FLEX_START",
      "preemptible": false
    },
    "disks": [
      {
        "autoDelete": true,
        "index": 0,
        "boot": true,
        "kind": "compute#attachedDisk",
        "mode": "READ_WRITE",
        "initializeParams": {
          "sourceImage": "projects/IMAGE_PROJECT/global/images/family/IMAGE_FAMILY_NAME",
          "diskSizeGb": "30"
        },
        "type": "PERSISTENT"
      }
    ],
    "networkInterfaces": [
      {
        "accessConfigs": [
          {
            "kind": "compute#accessConfig",
            "name": "external-nat",
            "networkTier": "PREMIUM",
            "type": "ONE_TO_ONE_NAT"
          }
        ],
        "kind": "compute#networkInterface",
        "name": "nic0",
        "network": "projects/PROJECT_ID/global/networks/default"
      }
    ],
    "canIpForward": false
  }
}

Para ativar a Inicialização segura, inclua o objeto a seguir para inicializações de instâncias de VM.

"shieldedInstanceConfig": {
  "enableIntegrityMonitoring": true,
  "enableSecureBoot": true,
  "enableVtpm": true
}

Forneça os valores a seguir:

PROJECT_ID: o ID do projeto em que o modelo será criado.
REGION: a região em que o modelo será criado.
INSTANCE_TEMPLATE_NAME: o nome do novo modelo de instância de VM.
CONFIDENTIAL_COMPUTING_TECHNOLOGY: o tipo de tecnologia de computação confidencial a ser usada. Escolha uma destas opções:
- Tipo de máquina A3 High (a3-highgpu-1g): TDX
- Tipo de máquina G4 (g4-standard-48): SEV
MACHINE_TYPE_NAME: o tipo de máquina da VM. Escolha uma destas opções:
- a3-highgpu-1g
- g4-standard-48
RUN_DURATION_IN_SECONDS: a duração, em segundos, em que você quer que as instâncias de VM solicitadas sejam executadas. O valor precisa estar entre 600 e 604800 segundos.
IMAGE_PROJECT: o projeto que contém a imagem do sistema operacional com suporte para VM confidencial para GPU.
IMAGE_FAMILY_NAME: a família da imagem do sistema operacional com suporte para VM confidencial para GPU a ser usada.

Crie um MIG e uma solicitação de redimensionamento para adicionar instâncias de VM de GPU de uma só vez.
Liste as instâncias presentes no MIG.
gcloud
gcloud compute instance-groups managed list-instances INSTANCE_GROUP_NAME \ --zone=ZONE_NAME \ --project=PROJECT_ID
Forneça os valores a seguir:
- INSTANCE_GROUP_NAME: o nome do MIG.
- ZONE_NAME: a zona com suporte para receber uma lista de instâncias de VM.
- PROJECT_ID: opcional. O ID do projeto para receber uma lista de instâncias de VM.
REST
Para listar todos os modelos, envie a seguinte solicitação GET.

Use o seguinte método HTTP e URL:
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/instanceTemplates
Para restringir a lista de instâncias a uma zona específica, envie a seguinte solicitação GET.

Use o seguinte método HTTP e URL:
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/ZONE_NAME/instanceTemplates
Forneça os valores a seguir:
- ZONE_NAME: a zona com suporte para receber uma lista de instâncias de VM.
- PROJECT_ID: o ID do projeto para receber uma lista de instâncias de VM.

Usar reservas com instâncias de VM confidenciais

É possível usar reservas para garantir que você tenha capacidade para suas instâncias de VM confidenciais apenas com o tipo de máquina G4.

Para usar uma reserva na instância de VM confidencial:

Crie uma reserva padrão na zona com suporte. É possível controlar como as instâncias consomem essa reserva usando a flag --require-specific-reservation durante a criação da reserva.
Crie uma instância de VM confidencial para usar a reserva. Ao criar a instância de VM, inclua a flag --confidential-compute-type=SEV para torná-la uma instância de VM confidencial. A forma como essa instância consome a reserva depende das configurações de afinidade da reserva.

Os exemplos a seguir mostram como usar reservas com instâncias de VM confidenciais. O método de consumo da reserva depende de como ela foi criada:

Consumo automático: se uma reserva for criada sem a --require-specific-reservation flag, você poderá criar uma instância de VM confidencial G4 com propriedades correspondentes (como tipo de máquina ou zona) para usar a reserva automaticamente.
Consumo específico: se uma reserva for criada com a --require-specific-reservation flag, você precisará segmentar a reserva usando as --reservation-affinity=specific e --reservation=RESERVATION_NAME flags ao criar a instância:
```
gcloud compute instances create INSTANCE_NAME \
    --project=PROJECT_ID \
    --zone=ZONE_NAME \
    --machine-type=g4-standard-48 \
    --confidential-compute-type=SEV \
    --image-project=ubuntu-os-cloud \
    --image-family=ubuntu-2404-lts-amd64 \
    --reservation-affinity=specific \
    --reservation=RESERVATION_NAME
```
Forneça os valores a seguir:
- INSTANCE_NAME: o nome da nova instância de VM.
- PROJECT_ID: opcional. O ID do projeto em que a VM será criada.
- ZONE_NAME: a zona com suporte para criar a VM.
- RESERVATION_NAME: o nome da reserva.

Para saber como as instâncias de VM consomem reservas e como a afinidade funciona, consulte Consumir reservas.

Ativar o modo de computação confidencial na GPU

Conecte-se a uma instância de VM no MIG usando o comando gcloud compute ssh.
```
gcloud compute ssh
```

Atualize a lista de pacotes e instale as ferramentas e bibliotecas necessárias.

sudo apt-get update --yes
sudo apt-get install linux-headers-$(uname -r)
sudo apt install -y build-essential libxml2 libncurses5-dev pkg-config libvulkan1 gcc-12

Instale os drivers de GPU apropriados na instância de VM. Para instâncias de VM com a Inicialização segura ativada, consulte Instalar drivers de GPU (VMs com Inicialização segura). Recomendamos usar a versão 580 ou mais recente dos drivers do módulo do kernel aberto da NVIDIA.

Para configurar a comunicação segura entre a GPU e o driver de GPU, ative a API de criptografia do kernel do Linux (LKCA, na sigla em inglês).

echo "install nvidia /sbin/modprobe ecdsa_generic; /sbin/modprobe ecdh; /sbin/modprobe --ignore-install nvidia" | sudo tee /etc/modprobe.d/nvidia-lkca.conf
sudo update-initramfs -u

Ative o modo de persistência para estabelecer uma conexão segura de protocolo de segurança e modelo de dados (SPDM, na sigla em inglês) entre a GPU e o driver de GPU.

sudo test -f /usr/lib/systemd/system/nvidia-persistenced.service && sudo sed -i "s/no-persistence-mode/uvm-persistence-mode/g" /usr/lib/systemd/system/nvidia-persistenced.service
sudo systemctl daemon-reload

Reinicie a instância de VM para aplicar as configurações do LKCA e do modo de persistência.
```
sudo reboot
```
Conecte-se a uma instância de VM no MIG usando o comando gcloud compute ssh.
```
gcloud compute ssh
```

(Opcional) Instale os exemplos de CUDA que oferecem suporte à versão do driver necessária.

wget -O cuda-samples.tar.gz https://github.com/NVIDIA/cuda-samples/archive/refs/tags/v12.9.tar.gz
tar xzvf cuda-samples.tar.gz

A seguir

Saiba como verificar se o modo confidencial está ativado nas GPUs.
Saiba mais sobre a cota de GPU.
Para entender o consumo de cota, consulte VMs de GPU e cotas de alocação preemptivas.

Criar uma instância de VM confidencial com GPU Mantenha tudo organizado com as coleções Salve e categorize o conteúdo com base nas suas preferências.

Criar uma instância de VM confidencial com GPU

Modelo padrão (on demand) ou spot

gcloud

REST

Modelo de início flexível

Antes de começar

Criar um MIG com instâncias de VM de GPU

gcloud

REST

gcloud

REST

Usar reservas com instâncias de VM confidenciais

Ativar o modo de computação confidencial na GPU

A seguir

Criar uma instância de VM confidencial com GPU