הגדרות נתמכות

כדי ליצור Confidential VMs, צריך מכונה וירטואלית עם המאפיינים הבאים:

אתם יכולים להגדיר ידנית מכונה וירטואלית חסויה משלכם, או לאשר את ההגדרות המוצעות כשמפעילים את שירות המכונות הווירטואליות החסויות במסוףGoogle Cloud .

מגבלות

המגבלות הבאות חלות בהתאם לאופן שבו הגדרתם את מופע ה-Confidential VM.

כל המכונות הווירטואליות הסודיות

  • כדי להפעיל את Confidential VM, צריך ליצור מכונה וירטואלית חדשה. אי אפשר להמיר מכונות קיימות ל-Confidential VMs.

  • אי אפשר לצרף יחידות TPU למכונות וירטואליות חסויות.

  • Confidential VMs צריכות ממשק NVMe לדיסקים. אין תמיכה ב-SCSI.

  • אפשר לפרמט רק דיסקים חדשים ל-XFS בגרסאות ליבה של Linux שקודמות ל-5.10. כדי לפרמט דיסקים קיימים ל-XFS, צריך ליבה בגרסה 5.10 ואילך.

  • אי אפשר לצרף יותר מ-40 דיסקים למופע של Confidential VMs. אפשר לבקש חריגה דרך ערוץ תמיכה, אבל יכול להיות שמופעים עם יותר מ-40 דיסקים ייכשלו בלי להציג הודעה.

  • זמן ההפעלה הוא פרופורציונלי לכמות הזיכרון שהוקצתה למכונה. יכול להיות שתבחינו בזמני אתחול ארוכים יותר במכונות וירטואליות מסוג Confidential VM עם כמויות גדולות של זיכרון.

  • יצירת חיבורי SSH למכונות וירטואליות חסויות אורכת זמן רב יותר מאשר יצירת חיבורים למכונות וירטואליות לא חסויות.

  • מיגרציה פעילה נתמכת בסוגי מכונות N2D ו-C3D שמריצות AMD SEV.

  • Confidential VMs עשויות לחוות רוחב פס נמוך יותר של הרשת וזמן אחזור גבוה יותר בהשוואה ל-Confidential VMs שאינן כאלה.

  • למכונות וירטואליות מסוג Confidential VM עם Hyperdisk Throughput יש גודל מקסימלי מוגבל להעברת נתונים (MDTS), מה שמפחית את הביצועים. כדי למזער את הפגיעה בביצועים, כדאי להימנע מבקשות קריאה מראש שחורגות ממגבלת ה-MDTS, על ידי הגדרת read_ahead_kb ל-124 KiB כשמשתמשים בקלט/פלט במאגר נתונים זמני.

AMD SEV

  • ל-AMD SEV במכונות מסוג C4D ו-C3D יש את המגבלות הבאות:

    • יכול להיות שבמכונות וירטואליות מסוג Confidential VM שמשתמשות בסוגי מכונות C4D ו-C3D, רוחב הפס ברשת יהיה נמוך יותר בהשוואה למכונות וירטואליות מקבילות שאינן מסוג Confidential VM, גם אם מופעלת האפשרות per VM Tier_1 networking performance.

    • אין תמיכה במכונות Bare Metal.

    • התמונה rhel-8-4-sap-ha עם התג SEV_CAPABLE לא פועלת עם AMD SEV במכונות C4D ו-C3D עם יותר מ-8 מעבדי vCPU. בתמונה הזו חסר תיקון נדרש שמגדיל את מאגר הנתונים הזמני של SWIOTLB לתורי רשת גבוהים.

    • במכונות וירטואליות חסויות עם AMD SEV מסוג C3D, אי אפשר להשתמש ב-Hyperdisk Balanced וב-Hyperdisk Throughput.

AMD SEV-SNP

  • ב-Debian 12 אין תמיכה באימות ל-AMD SEV-SNP כי חסרה החבילה /dev/sev-guest.

  • ב-AMD SEV-SNP במכונות מסוג N2D, מספר התורים המקסימלי של vNIC הוא 8.

  • מכונות וירטואליות לא תומכות ב-kdump. במקום זאת, צריך להשתמש ביומני המסוף של האורח.

  • Confidential VMs עם AMD SEV-SNP לא תומכות במקום שמור.

  • בגלל מיגרציה של ליבת אורח ועדכוני אבטחה, יכול להיות שבין אוגוסט 2026 לנובמבר 2026 זמני ההפעלה של Confidential VMs עם AMD SEV-SNP יהיו ארוכים יותר ויהיו שינויים בביצועים.

Intel TDX

  • ‫Intel TDX תומך בעד 192 מעבדים וירטואליים.

  • אפשר להשתמש ב-Local SSD רק במכונות מסוג c3-standard-*-lssd.

  • לוקח יותר זמן לכבות מכונות וירטואליות בהשוואה למכונות וירטואליות רגילות. ההשהיה הזו גדלה ככל שגודל הזיכרון של המכונה הווירטואלית גדל.

  • אפשר להשתמש רק בנפחים של דיסק אחסון מתמיד מאוזן שמשתמשים בממשק NVMe.

  • אי אפשר להקצות מכונות וירטואליות בקבוצות של שרתים לדייר יחיד.

  • בגלל אילוצי אבטחה נוספים, יכול להיות שההוראה CPUID תחזיר פרטים מוגבלים או לא תחזיר פרטים בכלל על ארכיטקטורת ה-CPU. יכול להיות שזה ישפיע על הביצועים של עומסי עבודה שתלויים בערכי ה-CPUID האלה.

  • מכונות וירטואליות לא תומכות ב-kdump. במקום זאת, צריך להשתמש ביומני המסוף של האורח.

  • יכול להיות שדימויים של אורחים ללא תיקונים של עצירת TDX יחוו עצירות ממושכות יותר, מה שיוביל לירידה בביצועים. כדי למנוע את הירידה בביצועים, צריך לוודא שהתיקונים האלה מותקנים בגרסת ליבת האורח.

  • Confidential VMs עם Intel TDX אי אפשר להשתמש במקומות שמורים.

NVIDIA Confidential Computing

  • במכונות הווירטואליות האלה אי אפשר ליצור אשכולות לעומסי עבודה עם כמה צמתים.

  • במכונות הווירטואליות האלה אין תמיכה ב-Hyperdisk Extreme.

  • מופעים של מכונות וירטואליות שפועלים בסוג המכונה A3 High עם מעבדי GPU של NVIDIA H100 לא תומכים בהזמנות.

  • חלות מגבלות על סוגי המכונות. מגבלות לכל סוג מכונה:

סוגי מכונות, מעבדים ואזורים

Confidential VMs נתמכות בסוגי המכונות ובהגדרות הבאות. מידע על מכסות GPU שנדרשות ליצירת מכונות עם GPU מצורף זמין במאמר בנושא מכסות.

סוג המכונה פלטפורמת המעבד (CPU) טכנולוגיית Confidential Computing תמיכה במיגרציה פעילה תמיכה ב-GPU

a3-highgpu-1g

הצגת השמות של סוגי המכונות

  • Intel Sapphire Rapids
 לא נתמך נתמך

C2D

הצגת השמות של סוגי המכונות

  • AMD EPYC Milan
 לא נתמך לא נתמך

c3-standard-*

הצגת השמות של סוגי המכונות

  • Intel Sapphire Rapids
 לא נתמך לא נתמך

c3-standard-*-lssd

הצגת השמות של סוגי המכונות

  • Intel Sapphire Rapids
 לא נתמך לא נתמך

C3D

הצגת השמות של סוגי המכונות

  • AMD EPYC Genoa
 נתמך לא נתמך

c4-standard-*

הצגת השמות של סוגי המכונות

  • Intel Granite Rapids
 לא נתמך לא נתמך

C4D

הצגת השמות של סוגי המכונות

  • AMD EPYC Turin
 לא נתמך לא נתמך

g4-standard-48

הצגת השמות של סוגי המכונות

  • AMD EPYC Turin
 לא נתמך נתמך

N2D

הצגת השמות של סוגי המכונות

  • AMD EPYC Milan
 נתמך רק במכונות וירטואליות של AMD SEV לא נתמך

הצגת האזורים הנתמכים

כדי לראות אילו אזורים תומכים בסוגי המכונות האלה ובטכנולוגיית Confidential Computing, אתם יכולים להשתמש באחת מהשיטות הבאות.

AMD SEV

טבלת עזר

כדי לראות באילו אזורים יש תמיכה ב-SEV ב-Confidential VM, מבצעים את השלבים הבאים.

  1. אזורים ותחומים זמינים

  2. לוחצים על Select a machine type (בחירת סוג מכונה) ובוחרים באפשרות N2D,‏ C2D,‏ C3D ו-C4D.

  3. לוחצים על Select a CPU ובוחרים באפשרות AMD EPYC Milan,‏ AMD EPYC Genoa או AMD EPYC Turin.

gcloud

כדי להציג את האזורים שזמינים ב- Google Cloud, מריצים את הפקודה הבאה:

gcloud compute zones list \
    --format="value(NAME)"

כדי לראות אילו פלטפורמות CPU זמינות באזור מסוים, מריצים את הפקודה הבאה ובודקים אם יש תמיכה ב-AMD Milan, ב-AMD Genoa או ב-AMD Turin:

gcloud compute zones describe ZONE_NAME \
    --format="value(availableCpuPlatforms)"

AMD SEV-SNP

‫AMD SEV-SNP נתמך באזורים הבאים, בסוג המכונה N2D עם פלטפורמות מעבד (CPU) של AMD Milan:

  • asia-southeast1-a

  • asia-southeast1-b

  • asia-southeast1-c

  • europe-west2-b

  • europe-west2-c

  • europe-west3-a

  • europe-west3-b

  • europe-west3-c

  • europe-west4-a

  • europe-west4-b

  • europe-west4-c

  • us-central1-a

  • us-central1-b

  • us-central1-c

Intel TDX

c3-standard-*‎

אפשר להשתמש ב-Intel TDX באזורים הבאים, במכונות מסוג c3-standard-*.

  • asia-northeast1-b

  • asia-south1-b

  • ‫asia-southeast1-a

  • asia-southeast1-b

  • asia-southeast1-c

  • europe-west3-a

  • europe-west3-b

  • europe-west4-a

  • europe-west4-b

  • europe-west4-c

  • europe-west9-a

  • europe-west9-b

  • us-central1-a

  • us-central1-b

  • us-central1-c

  • us-east1-b

  • us-east1-c

  • us-east4-a

  • us-east4-b

  • us-east4-c

  • us-east5-b

  • us-east5-c

  • us-west1-a

  • us-west1-b

c3-standard-*-lssd

‫Intel TDX נתמך בסוגי מכונות c3-standard-*-lssd באזורים הבאים:

  • asia-southeast1-a

  • asia-southeast1-b

  • europe-west4-a

  • europe-west4-b

  • southamerica-east1-a

  • us-central1-a

  • us-central1-b

  • us-east4-b

  • us-east4-c

  • us-east5-b

  • us-east5-c

  • us-west1-b

c4-standard-*‎

אפשר להשתמש ב-Intel TDX באזורים הבאים, במכונות מסוג c4-standard-*:

  • asia-southeast1-a

  • asia-southeast1-b

  • asia-southeast1-c

  • europe-west1-b

  • europe-west3-a

  • europe-west3-b

  • europe-west4-a

  • europe-west4-b

  • us-central1-a

  • us-central1-b

  • us-central1-f

  • us-east4-a

  • us-east4-b

  • us-east4-c

  • us-west1-a

NVIDIA Confidential Computing

סוג המכונה A3 High

‫NVIDIA Confidential Computing נתמך באזורים הבאים, במופעים של Confidential VMs עם מעבד גרפי מצורף בסוג המכונה A3 High:

  • europe-west4-c

  • us-central1-a

  • us-east5-a

סוג המכונה G4

‫NVIDIA Confidential Computing נתמך באזורים הבאים, במופעי Confidential VM עם GPU מצורף בסוג המכונה G4:

  • asia-east1-a

  • asia-east1-b

  • asia-south1-c

  • asia-south2-a

  • asia-south2-c

  • asia-southeast1-a

  • asia-southeast1-b

  • asia-southeast1-c

  • asia-southeast2-b

  • ‫asia-southeast2-c

  • europe-north1-a

  • europe-north1-b

  • europe-north1-c

  • ‫europe-west1-c

  • europe-west2-b

  • europe-west2-c

  • europe-west4-a

  • europe-west4-ai1a

  • europe-west4-b

  • europe-west8-b

  • europe-west10-b

  • us-central1-d

  • us-central1-f

  • us-east1-b

  • us-east1-d

  • us-east4-b

  • us-east4-c

  • us-east5-a

  • us-east5-b

  • us-east5-c

  • us-south1-a

  • us-south1-b

  • us-west1-b

  • us-west1-c

  • us-west3-a

  • us-west4-a

מערכות הפעלה

במאמר פרטי מערכת ההפעלה תוכלו לקרוא על קובצי האימג' של מערכות ההפעלה שזמינים ל-Confidential VM. מוצאים את ההפצה הרצויה ולוחצים על הכרטיסייה אמצעי אבטחה כדי לבדוק אם יש תמיכה ב-Confidential VM.

לחלופין, אפשר להציג קובצי אימג' של מערכות הפעלה נתמכות באמצעות פקודת gcloud או ליצור קובץ אימג' משלכם של Linux.

הצגת תמונות של מערכות הפעלה נתמכות באמצעות gcloud

התמונות של מערכת ההפעלה שבהן אתם יכולים להשתמש נקבעות לפי הטכנולוגיה שבחרתם ל-Confidential Computing.

כדי להציג את רשימת קובצי האימג' של מערכת ההפעלה, משפחות קובצי האימג' והגרסאות שלהם שתומכות בטכנולוגיות AMD ו-Intel Confidential Computing, מריצים את הפקודה הבאה:

gcloud compute images list \
    --filter="guestOsFeatures[].type:(OS_FEATURE)"

מציינים את הערך הבא:

‫OS_FEATURE: סוג התמיכה שרוצים ב-Confidential Computing. הערכים הקבילים הם:

  • ‫SEV_CAPABLE: מערכות הפעלה שתומכות ב-AMD SEV.

  • ‫SEV_LIVE_MIGRATABLE_V2: מערכות הפעלה שתומכות ב-AMD SEV ובמיגרציה פעילה.

  • ‫SEV_SNP_CAPABLE: מערכות הפעלה שתומכות בבידוד ובאימות של AMD SEV-SNP.

  • ‫TDX_CAPABLE: מערכות הפעלה שתומכות בבידוד ובאימות של Intel TDX.

כדי להגביל את התוצאות למשפחה ספציפית של תמונות, לפרויקט או לטקסט אחר שסופק בתגובה של הפקודה הקודמת, משתמשים באופרטור AND ומחליפים את STRING בהתאמה חלקית של טקסט, כמו בדוגמה הבאה:

gcloud compute images list \
    --filter="guestOsFeatures[].type:(OS_FEATURE) AND STRING"

כדי לראות פרטים על קובץ אימג' ספציפי, מריצים את הפקודה הבאה באמצעות הפרטים מהתשובות של הפקודות הקודמות:

gcloud compute images describe IMAGE_NAME \
    --project=IMAGE_PROJECT

תמונות נתמכות ל-Confidential VM עם GPU

במכונות וירטואליות חסויות עם יחידות GPU של NVIDIA, מומלץ להשתמש בפרויקטים ובמשפחות של קובצי אימג' של מערכת ההפעלה הבאים, בהתאם לסוג המכונה:

  • סוג המכונה A3 High:

    • מערכת הפעלה שמותאמת לקונטיינרים (פרויקט confidential-vm-images): cos-tdx-113-lts

    • ‫Ubuntu (פרויקט ubuntu-os-cloud): ubuntu-2204-lts

    יכול להיות שתמונות אחרות יתויגו כ-TDX_CAPABLE, אבל אנחנו לא מספקים תמיכה רשמית בהן כשמשתמשים בהן עם GPUs.

  • ‫G4 machine type:

    • מערכת הפעלה שמותאמת לקונטיינרים (פרויקט cos-cloud): cos-125-lts

    • ‫Ubuntu (פרויקט ubuntu-os-cloud):

      • ubuntu-2204-lts

      • ubuntu-minimal-2204-lts

      • ubuntu-2404-lts-amd64

      • ubuntu-minimal-2404-lts-amd64

    • ‫Ubuntu Pro (פרויקט ubuntu-os-pro-cloud):

      • ubuntu-pro-2204-lts

      • ubuntu-pro-2404-lts-amd64

תמונות נתמכות ל-C3 עם Local SSD

במכונות של Confidential VM שמשתמשות ב-Intel TDX בסוגי המכונות c3-standard-*-lssd, אפשר להשתמש במשפחות הבאות של קובצי אימג' של מערכת ההפעלה:

  • cos-117-lts

  • cos-121-lts

המאמרים הבאים