הגדרות נתמכות

כדי ליצור מכונת VM חסויה, צריך מכונה וירטואלית עם המאפיינים הבאים:

אתם יכולים להגדיר מכונה וירטואלית חסויה משלכם באופן ידני, או לאשר את ההגדרות המוצעות כשמפעילים את שירות המכונות הווירטואליות החסויות במסוףGoogle Cloud .

מגבלות

המגבלות הבאות חלות בהתאם לאופן שבו הגדרתם את מופע ה-VM החסוי.

כל המופעים של Confidential VM

  • כדי להפעיל מכונת VM חסויה, צריך ליצור מכונת VM חדשה. אי אפשר להמיר מופעים קיימים למופעי מכונות וירטואליות חסויות.

  • אי אפשר לצרף יחידות TPU למופעי מכונות וירטואליות חסויות.

  • מכונות וירטואליות סודיות צריכות ממשק NVMe לדיסקים. ‫SCSI לא נתמך.

  • אפשר לפרמט ל-XFS רק דיסקים חדשים בגרסאות ליבה של Linux שקודמות לגרסה 5.10. כדי לפרמט דיסקים קיימים ל-XFS, צריך להשתמש בליבה בגרסה 5.10 ומעלה.

  • אי אפשר לצרף יותר מ-40 דיסקים למופע של מכונה וירטואלית חסויה. אפשר לבקש חריגה דרך ערוץ תמיכה, אבל יכול להיות שמופעים עם יותר מ-40 דיסקים ייכשלו בלי להציג הודעה.

  • זמן האתחול פרופורציונלי לכמות הזיכרון שמוקצה למופע. יכול להיות שתבחינו בזמני אתחול ארוכים יותר במכונות וירטואליות מסוג Confidential VM עם כמויות גדולות של זיכרון.

  • יצירת חיבורי SSH למכונות וירטואליות מסוג Confidential VM אורכת זמן רב יותר מאשר יצירת חיבורי SSH למכונות וירטואליות רגילות.

  • מיגרציה פעילה נתמכת רק בסוגי מכונות N2D עם פלטפורמות CPU של AMD EPYC Milan שמריצות AMD SEV.

  • יכול להיות שרוחב הפס של הרשת במכונות וירטואליות סודיות יהיה נמוך יותר וזמן האחזור יהיה גבוה יותר בהשוואה למכונות וירטואליות לא סודיות.

  • למכונות וירטואליות סודיות עם Hyperdisk Throughput יש גודל מקסימלי מוגבל להעברת נתונים (MDTS), מה שמפחית את הביצועים. כדי למזער את הפגיעה בביצועים, צריך להימנע מבקשות לקריאה מראש שחורגות מהמגבלה של MDTS. לשם כך, מגדירים את read_ahead_kb ל-124 KiB כשמשתמשים ב-I/O עם מאגר זמני.

AMD SEV

  • יש מגבלות על AMD SEV בסוגי המכונות C4D ו-C3D:

    • יכול להיות שבמכונות וירטואליות מסוג Confidential VM שמשתמשות בסוגי מכונות C4D ו-C3D, רוחב הפס ברשת יהיה נמוך יותר מאשר במכונות וירטואליות לא סודיות מקבילות, גם אם מופעלת האפשרות per VM Tier_1 networking performance.

    • מכונות וירטואליות עם יותר מ-255 מעבדים וירטואליים ומופעי Bare Metal לא נתמכים.

    • התמונה rhel-8-4-sap-ha שתויגה כ-SEV_CAPABLE לא פועלת עם AMD SEV במכונות C4D ו-C3D עם יותר מ-8 vCPU. בתמונה הזו חסר תיקון נדרש שמגדיל את הגודל של מאגר SWIOTLB עבור תורים גדולים ברשת.

    • מכונות וירטואליות סודיות עם AMD SEV בסוגי מכונות C3D לא תומכות ב-Hyperdisk Balanced וב-Hyperdisk Throughput.

AMD SEV-SNP

  • ב-Debian 12 אין תמיכה באימות של AMD SEV-SNP בגלל חוסר בחבילה /dev/sev-guest.

  • בסוגי מכונות N2D עם AMD SEV-SNP, מספר התורים המקסימלי של vNIC הוא 8.

  • מכונות וירטואליות לא תומכות ב-kdump. במקום זאת, משתמשים ביומני המסוף של האורח.

  • מכונות וירטואליות חסויות עם AMD SEV-SNP לא תומכות בהזמנות.

Intel TDX

  • לא ניתן להשתמש בסוגי מכונות עם SSD מקומי.

  • הזמן שלוקח למכונות וירטואליות מסוג VM להיסגר ארוך יותר בהשוואה למכונות וירטואליות רגילות. ההשהיה הזו גדלה ככל שגודל הזיכרון של המכונה הווירטואלית גדול יותר.

  • נתמכים רק דיסקים לאחסון מתמיד מאוזן שמשתמשים בממשק NVMe.

  • אי אפשר להקצות מופעי מכונות וירטואליות לקבוצות של שרתים לדייר יחיד.

  • בגלל אילוצי אבטחה נוספים, יכול להיות שההוראה CPUID תחזיר פרטים מוגבלים או לא תחזיר פרטים בכלל על ארכיטקטורת ה-CPU. יכול להיות שהדבר ישפיע על הביצועים של עומסי עבודה שתלויים בערכי ה-CPUID האלה.

  • מכונות וירטואליות לא תומכות ב-kdump. במקום זאת, משתמשים ביומני המסוף של האורח.

  • יכול להיות שמשך ההשהיה של תמונות אורח ללא תיקונים להשהיית TDX יהיה ארוך יותר, וכתוצאה מכך הביצועים יורעו. כדי למנוע את הירידה בביצועים, צריך לוודא שהתיקונים האלה מותקנים בגרסת הליבה של האורח.

  • מכונות וירטואליות סודיות עם Intel TDX לא תומכות בהזמנות.

NVIDIA Confidential Computing

למכונות וירטואליות חסויות שפועלות על סוגי מכונות A3 High, שמצורפים אליהן מעבדי GPU מסוג NVIDIA H100, יש את המגבלות הבאות:

  • מופעים של מכונות וירטואליות כאלה לא תומכים ביצירת אשכולות לעומסי עבודה של כמה צמתים.

  • במקרים הבאים אי אפשר להשתמש בהזמנות של מכונות וירטואליות.

  • מכונות ה-VM האלה לא תומכות ב-Hyperdisk Extreme.

כל המגבלות האחרות של סוגי המכונות A3 High חלות גם על מכונות וירטואליות חסויות שפועלות על סוגי המכונות A3 High.

סוגי מכונות, מעבדים מרכזיים ואזורים

מכונות וירטואליות חסויות נתמכות בסוגי המכונות ובהגדרות הבאות.

סוג המכונה פלטפורמת המעבד (CPU) טכנולוגיית Confidential Computing תמיכה במיגרציה פעילה תמיכה ב-GPU

a3-highgpu-1g

צפייה בשמות של סוגי מכונות

  • Intel Sapphire Rapids
 לא נתמך נתמך

c4-standard-* (תצוגה מקדימה)

צפייה בשמות של סוגי מכונות

  • Intel Granite Rapids
 לא נתמך לא נתמך

C4D

צפייה בשמות של סוגי מכונות

  • AMD EPYC Turin
 לא נתמך לא נתמך

c3-standard-*

צפייה בשמות של סוגי מכונות

  • Intel Sapphire Rapids
 לא נתמך לא נתמך

C3D

צפייה בשמות של סוגי מכונות

  • AMD EPYC Genoa
 לא נתמך לא נתמך

C2D

צפייה בשמות של סוגי מכונות

  • AMD EPYC Milan
 לא נתמך לא נתמך

N2D

צפייה בשמות של סוגי מכונות

  • AMD EPYC Milan
 מכונות וירטואליות של AMD SEV רק ב-Milan לא נתמך

צפייה באזורים הנתמכים

אפשר לראות באילו אזורים יש תמיכה בסוגי המכונות האלה ובטכנולוגיית Confidential Computing באחת מהשיטות הבאות.

AMD SEV

טבלת הפניה

כדי לראות באילו אזורים יש תמיכה ב-SEV במכונות וירטואליות חסויות, מבצעים את השלבים הבאים.

  1. כאן תוכלו לבדוק באילו אזורים ותחומים אפשר להשתמש ב-Cloud CDN.

  2. לוחצים על Select a machine type (בחירת סוג מכונה) ובוחרים באפשרות N2D,‏ C2D,‏ C3D ו-C4D.

  3. לוחצים על Select a CPU (בחירת מעבד) ואז בוחרים באפשרות AMD EPYC Milan,‏ AMD EPYC Genoa או AMD EPYC Turin.

gcloud

כדי להציג את האזורים שזמינים ב- Google Cloud, מריצים את הפקודה הבאה:

gcloud compute zones list \
    --format="value(NAME)"

כדי לראות את פלטפורמות המעבדים שזמינות באזור מסוים, מריצים את הפקודה הבאה ובודקים אם יש תמיכה ב-AMD Milan, ב-AMD Genoa או ב-AMD Turin:

gcloud compute zones describe ZONE_NAME \
    --format="value(availableCpuPlatforms)"

AMD SEV-SNP

‫AMD SEV-SNP נתמך באזורים הבאים, בסוגי מכונות N2D עם פלטפורמות AMD Milan CPU:

  • ‫asia-southeast1-a

  • asia-southeast1-b

  • asia-southeast1-c

  • europe-west3-a

  • europe-west3-b

  • europe-west3-c

  • europe-west4-a

  • europe-west4-b

  • europe-west4-c

  • us-central1-a

  • us-central1-b

  • us-central1-c

Intel TDX

c3-standard-*

‫Intel TDX נתמך בתחומים הבאים, בסוגי המכונות c3-standard-*.

  • ‫asia-northeast1-b

  • ‫asia-south1-b

  • ‫asia-southeast1-a

  • asia-southeast1-b

  • asia-southeast1-c

  • europe-west4-a

  • europe-west4-b

  • europe-west4-c

  • europe-west9-a

  • europe-west9-b

  • us-central1-a

  • us-central1-b

  • us-central1-c

  • us-east1-c

  • us-east1-d

  • us-east4-a

  • us-east4-c

  • us-east5-b

  • us-east5-c

  • us-west1-a

  • us-west1-b

c4-standard-*‎

‫Intel TDX נתמך באזורים הבאים, בסוגי המכונות c4-standard-* (Preview).

  • ‫asia-southeast1-a

  • asia-southeast1-b

  • asia-southeast1-c

  • europe-west1-b

  • europe-west3-a

  • europe-west3-b

  • europe-west4-a

  • europe-west4-b

  • us-central1-a

  • us-central1-b

  • us-central1-f

  • us-east4-a

  • us-east4-b

  • us-east4-c

NVIDIA Confidential Computing

‫NVIDIA Confidential Computing נתמך בתחומים הבאים, במכונות וירטואליות חסויות עם GPU מצורף בסוגי המכונות a3-highgpu-1g.

  • europe-west4-c

  • us-central1-a

  • us-east5-a

מערכות הפעלה

במאמר פרטים על מערכת ההפעלה מפורטות תמונות מערכת ההפעלה של מכונות וירטואליות חסויות שזמינות לשימוש. מחפשים את ההפצה הרצויה ולוחצים על הכרטיסייה תכונות אבטחה כדי לבדוק אם יש תמיכה ב-Confidential VM.

אפשר גם להציג קובצי אימג' של מערכות הפעלה נתמכות באמצעות הפקודה gcloud, או ליצור קובץ אימג' משלכם של Linux.

הצגת תמונות של מערכות הפעלה נתמכות באמצעות gcloud

תמונות מערכת ההפעלה שבהן אפשר להשתמש נקבעות לפי הטכנולוגיה של Confidential Computing שבחרתם.

כדי לקבל רשימה של תמונות מערכת ההפעלה, משפחות התמונות והגרסאות שלהן שתומכות בטכנולוגיות של AMD ו-Intel Confidential Computing, מריצים את הפקודה הבאה:

gcloud compute images list \
    --filter="guestOsFeatures[].type:(OS_FEATURE)"

מציינים את הערך הבא:

‫OS_FEATURE: סוג התמיכה ב-Confidential Computing שרוצים. הערכים הקבילים הם:

  • ‫SEV_CAPABLE: מערכות הפעלה שתומכות ב-AMD SEV.

  • ‫SEV_LIVE_MIGRATABLE_V2: מערכות הפעלה שתומכות ב-AMD SEV ובמיגרציה פעילה.

  • ‫SEV_SNP_CAPABLE: מערכות הפעלה שתומכות בבידוד ובאימות של AMD SEV-SNP.

  • ‫TDX_CAPABLE: מערכות הפעלה שתומכות בבידוד ובאימות של Intel TDX.

כדי להגביל את התוצאות למשפחת תמונות ספציפית, לפרויקט או לטקסט אחר שסופק בתגובה לפקודה הקודמת, משתמשים באופרטור AND ומחליפים את STRING בהתאמה חלקית של טקסט, כמו בדוגמה הבאה:

gcloud compute images list \
    --filter="guestOsFeatures[].type:(OS_FEATURE) AND STRING"

כדי לראות פרטים על תמונה ספציפית, מריצים את הפקודה הבאה עם פרטים מהתגובות של הפקודות הקודמות:

gcloud compute images describe IMAGE_NAME \
    --project=IMAGE_PROJECT

תמונות נתמכות למכונת VM סודית עם GPU

למכונה וירטואלית מסוג Confidential VM מסדרת מכונות A3 עם Intel TDX ויחידת GPU מסוג H100 שמצורפת אליה, מומלץ להשתמש במשפחות הבאות של קובצי אימג' של מערכת הפעלה.

  • ubuntu-2204-lts

  • cos-tdx-113-lts

יכול להיות שתמונות אחרות יתויגו כ-TDX_CAPABLE, אבל אנחנו לא מספקים תמיכה רשמית בהן כשהן בשימוש עם מעבדים גרפיים.

המאמרים הבאים