Konfigurasi yang didukung

Untuk membuat instance VM Rahasia, Anda memerlukan mesin virtual yang memiliki properti berikut:

Anda dapat mengkonfigurasi instance VM Rahasia Anda sendiri secara manual, atau menerima pengaturan yang disarankan saat Anda mengaktifkan layanan VM Rahasia di konsolGoogle Cloud .

Batasan

Batasan-batasan berikut berlaku tergantung pada bagaimana Anda mengkonfigurasi instance VM Rahasia Anda.

Semua instance VM rahasia

  • Anda harus membuat instance VM baru untuk mengaktifkan VM Rahasia. Instans yang sudah ada tidak dapat dikonversi menjadi instans VM Rahasia.

  • Anda tidak dapat melampirkan TPU ke instance VM Rahasia.

  • Instans VM rahasia memerlukan antarmuka NVMe untuk disk. SCSI tidak didukung.

  • Hanya disk baru yang dapat diformat ke XFS pada versi kernel Linux sebelum 5.10. Untuk memformat disk yang sudah ada ke XFS, Anda memerlukan kernel versi 5.10 atau yang lebih baru.

  • Anda tidak dapat memasang lebih dari 40 disk ke instance VM Rahasia. Anda dapat meminta pengecualian melaluisaluran dukungan, meskipun kasus dengan lebih dari 40 disk mungkin gagal tanpa pemberitahuan.

  • Waktu booting berbanding lurus dengan jumlah memori yang dialokasikan untuk sebuah instance. Anda mungkin akan melihat waktu booting yang lebih lama untuk instance VM Rahasia dengan jumlah memori yang besar.

  • Membangun koneksi SSH membutuhkan waktu lebih lama pada instance VM Rahasia dibandingkan dengan instance VM non-Rahasia.

  • Migrasi langsung didukung pada tipe mesin N2D dan C3D yang menjalankan AMD SEV.

  • Instans VM rahasia mungkin mengalami bandwidth jaringan yang lebih rendah dan latensi yang lebih tinggi dibandingkan dengan instans VM non-rahasia.

  • Instans VM rahasia dengan Hyperdisk Throughput memiliki ukuran transfer data maksimum (MDTS) yang dibatasi, yang mengurangi kinerja. Untuk meminimalkan penurunan kinerja, hindari permintaan baca-maju yang melebihi batas MDTS dengan mengatur read_ahead_kb menjadi 124 KiB saat menggunakan I/O buffer.

AMD SEV

  • Debian 12 tidak memiliki dukungan pengesahan untuk AMD SEV karena paket /dev/sev-guest tidak ada.

  • AMD SEV pada jenis mesin C2D dan N2D memiliki jumlah antrean vNIC maksimum sebesar 8.

  • AMD SEV pada jenis mesin C4D dan C3D memiliki batasan berikut:

    • Instance VM Rahasia yang menggunakan jenis mesin C4D dan C3D mungkin mengalami bandwidth jaringan yang lebih rendah daripada instance VM non-rahasia yang setara, meskipun dengan performa jaringan Tier_1 per VM yang diaktifkan.

    • Instance bare metal tidak didukung.

    • Image rhel-8-4-sap-ha yang diberi tag SEV_CAPABLE tidak berfungsi dengan AMD SEV di mesin C4D dan C3D dengan lebih dari 8 vCPU. Gambar ini tidak memiliki patch yang diperlukan untuk meningkatkan ukuran buffer SWIOTLB untuk antrean jaringan tinggi.

    • Instance Confidential VM dengan AMD SEV pada jenis mesin C3D tidak mendukung Hyperdisk Balanced dan Hyperdisk Throughput.

AMD SEV-SNP

  • Debian 12 tidak memiliki dukungan pengesahan untuk AMD SEV-SNP karena paket /dev/sev-guest tidak ada.

  • AMD SEV-SNP pada jenis mesin N2D memiliki jumlah antrean vNIC maksimum sebesar 8.

  • Instance VM tidak mendukung kdump. Sebagai gantinya, gunakan log konsol tamu.

  • Instance Confidential VM dengan AMD SEV-SNP tidak mendukung reservasi.

  • Karena migrasi kernel tamu dan update keamanan, instance Confidential VM dengan AMD SEV-SNP mungkin memiliki waktu booting yang lebih lama dan perubahan performa antara Agustus 2026 dan November 2026.

Intel TDX

  • SSD Lokal hanya didukung pada jenis mesin c3-standard-*-lssd.

  • Instance VM memerlukan waktu lebih lama untuk dimatikan dibandingkan dengan instance VM standar. Penundaan ini meningkat seiring dengan ukuran memori VM.

  • Hanya volume Balanced Persistent Disk yang menggunakan antarmuka NVMe yang didukung.

  • Instance VM tidak dapat disediakan di grup node tenant tunggal.

  • Karena adanya batasan keamanan tambahan, instruksi CPUID mungkin hanya mengembalikan detail arsitektur CPU yang terbatas atau bahkan tidak mengembalikan sama sekali. Hal ini dapat berdampak pada kinerja beban kerja yang bergantung pada nilai CPUID tersebut.

  • Instance VM tidak mendukung kdump. Sebagai gantinya, gunakan log konsol tamu.

  • Citra tamu tanpa perbaikan penghentian TDX mungkin mengalami durasi penghentian yang lebih lama, yang mengakibatkan penurunan kinerja. Untuk menghindari penurunan kinerja, pastikan patch ini terpasang di kernel guest yang Anda gunakan.

  • Instansi VM rahasia dengan Intel TDX tidak mendukung reservasi.

NVIDIA Confidential Computing

  • Instance VM ini tidak mendukung pembuatan klaster untuk beban kerja multi-node.

  • Instansi VM ini tidak mendukung Hyperdisk Extreme.

  • Instansi VM yang berjalan pada tipe mesin A3 High dengan GPU NVIDIA H100 tidak mendukung reservasi.

  • Terdapat batasan jenis mesin. Lihat batasan untuk setiap jenis mesin:

Jenis mesin, CPU, dan zona

VM rahasia didukung pada tipe dan konfigurasi mesin berikut. Untuk informasi mengenai kuota GPU yang diperlukan untuk membuat instance dengan GPU terpasang, lihat Persyaratan kuota GPU.

Jenis mesin CPU platform Teknologi Confidential Computing Dukungan migrasi langsung Dukungan GPU

a3-highgpu-1g

Melihat nama jenis mesin

  • Intel Sapphire Rapids
 Tidak didukung Didukung

c4-standard-* (Pratinjau)

Melihat nama jenis mesin

  • Intel Granite Rapids
 Tidak didukung Tidak didukung

C4D

Melihat nama jenis mesin

  • AMD EPYC Turin
 Tidak didukung Tidak didukung

c3-standard-*

Melihat nama jenis mesin

  • Intel Sapphire Rapids
 Tidak didukung Tidak didukung

c3-standard-*-lssd

Melihat nama jenis mesin

  • Intel Sapphire Rapids
 Tidak didukung Tidak didukung

C3D

Melihat nama jenis mesin

  • AMD EPYC Genoa
 Didukung Tidak didukung

C2D

Melihat nama jenis mesin

  • AMD EPYC Milan
 Tidak didukung Tidak didukung

g4-standard-48

Melihat nama jenis mesin

  • AMD EPYC Turin
 Tidak didukung Didukung

N2D

Lihat nama tipe mesin

  • AMD EPYC Milan
 Hanya didukung pada instance VM AMD SEV. Tidak didukung

Lihat zona yang didukung

Anda dapat melihat zona mana yang mendukung jenis mesin ini dan teknologi Komputasi Rahasia dengan salah satu metode berikut.

AMD SEV

Tabel referensi

Untuk melihat zona mana yang mendukung SEV pada VM Rahasia, ikuti langkah-langkah berikut.

  1. Buka Wilayah dan zona yang tersedia.

  2. Klik Pilih jenis mesin, lalu pilih N2D, C2D, C3D, dan C4D.

  3. Klik Pilih CPU, lalu pilih AMD EPYC Milan, AMD EPYC Genoa, atau AMD EPYC Turin.

gcloud

Untuk melihat daftar zona yang tersedia di Google Cloud, jalankan perintah berikut:

gcloud compute zones list \
    --format="value(NAME)"

Untuk melihat daftar platform CPU yang tersedia untuk zona tertentu, jalankan perintah berikut dan periksa apakah ada dukungan untuk AMD Milan, AMD Genoa, atau AMD Turin:

gcloud compute zones describe ZONE_NAME \
    --format="value(availableCpuPlatforms)"

AMD SEV-SNP

AMD SEV-SNP didukung di zona berikut, pada tipe mesin N2D dengan platform CPU AMD Milan:

  • asia-southeast1-a

  • Asia Tenggara 1-B

  • asia-southeast1-c

  • Eropa-Barat3-A

  • Eropa-Barat3-B

  • Eropa Barat3-C

  • Eropa-Barat4-A

  • Eropa-Barat4-B

  • Eropa Barat 4 C

  • us-central1-a

  • us-central1-b

  • us-central1-c

Intel TDX

c3-standar-*

Intel TDX didukung di zona berikut, pada tipe mesin c3-standard-*.

  • asia-timur-laut1-b

  • asia-selatan1-b

  • asia-southeast1-a

  • Asia Tenggara 1-B

  • asia-southeast1-c

  • Eropa-Barat4-A

  • Eropa-Barat4-B

  • Eropa Barat 4 C

  • Eropa-Barat9-A

  • Eropa Barat 9B

  • us-central1-a

  • us-central1-b

  • us-central1-c

  • us-east1-c

  • us-east1-d

  • us-east4-a

  • us-east4-c

  • us-east5-b

  • us-east5-c

  • us-west1-a

  • us-west1-b

c3-standard-*-lssd

Intel TDX didukung pada tipe mesin c3-standard-*-lssd di zona berikut:

  • asia-southeast1-a

  • Asia Tenggara 1-B

  • Eropa-Barat4-A

  • Eropa-Barat4-B

  • amerika selatan-timur1-a

  • us-central1-a

  • us-central1-b

  • us-timur4-b

  • us-east4-c

  • us-east5-b

  • us-east5-c

  • us-west1-b

c4-standar-*

Intel TDX didukung di zona berikut, pada tipe mesin c4-standard-* (Pratinjau).

  • asia-southeast1-a

  • Asia Tenggara 1-B

  • asia-southeast1-c

  • europe-west1-b

  • Eropa-Barat3-A

  • Eropa-Barat3-B

  • Eropa-Barat4-A

  • Eropa-Barat4-B

  • us-central1-a

  • us-central1-b

  • us-central1-f

  • us-east4-a

  • us-timur4-b

  • us-east4-c

NVIDIA Confidential Computing

Tipe mesin tinggi A3

NVIDIA Confidential Computing didukung di zona-zona berikut, pada instance VM Confidential dengan GPU terpasang pada tipe mesin A3 High:

  • Eropa Barat 4 C

  • us-central1-a

  • us-east5-a

tipe mesin G4

NVIDIA Confidential Computing didukung di zona-zona berikut, pada instance VM Confidential dengan GPU terpasang pada tipe mesin G4:

  • asia-east1-a

  • asia-east1-b

  • asia-south1-c

  • asia-south2-a

  • asia-selatan2-c

  • asia-southeast1-a

  • Asia Tenggara 1-B

  • Asia Tenggara 1-c

  • asia-tenggara2-b

  • asia-tenggara2-c

  • Eropa Utara 1-A

  • Eropa Utara 1-B

  • Eropa Utara 1 C

  • europe-west1-c

  • europe-west2-b

  • europe-west2-c

  • Eropa-Barat4-A

  • Eropa-Barat4-AI1A

  • Eropa-Barat4-B

  • Eropa-Barat8-B

  • Eropa Barat 10-B

  • us-central1-d

  • us-central1-f

  • us-east1-b

  • us-east1-d

  • us-timur4-b

  • us-east4-c

  • us-east5-a

  • us-east5-b

  • us-east5-c

  • us-selatan1-a

  • us-selatan1-b

  • us-west1-b

  • us-west1-c

  • us-west3-a

  • us-west4-a

Sistem operasi

Untuk citra sistem operasi VM Rahasia yang tersedia, lihat Detail sistem operasi. Temukan distribusi Linux pilihan Anda, lalu klik tab Fitur keamanan untuk memeriksa apakah Confidential VM didukung.

Alternatifnya, Anda dapat melihat citra sistem operasi yang didukung dengan perintah gcloud, atau membuat citra Linux Anda sendiri.

Lihat citra sistem operasi yang didukung dengan gcloud

Citra sistem operasi yang dapat Anda gunakan ditentukan oleh pilihan teknologi Komputasi Rahasia Anda.

Anda dapat melihat daftar citra sistem operasi, keluarga citra, dan versinya yang mendukung teknologi Komputasi Rahasia AMD dan Intel dengan menjalankan perintah berikut:

gcloud compute images list \
    --filter="guestOsFeatures[].type:(OS_FEATURE)"

Berikan nilai berikut:

OS_FEATURE: Jenis dukungan Komputasi Rahasia yang Anda inginkan. Nilai yang diterima adalah:

  • SEV_CAPABLE: Sistem operasi yang mendukung AMD SEV.

  • SEV_LIVE_MIGRATABLE_V2: Sistem operasi yang mendukung AMD SEV dan migrasi langsung.

  • SEV_SNP_CAPABLE: Sistem operasi yang mendukung isolasi dan pengesahan AMD SEV-SNP.

  • TDX_CAPABLE: Sistem operasi yang mendukung isolasi dan pengesahan Intel TDX.

Untuk membatasi hasil ke keluarga gambar, proyek, atau teks lain yang diberikan dalam respons perintah sebelumnya, gunakan operator AND, dan ganti STRING dengan kecocokan teks sebagian, mirip dengan contoh berikut:

gcloud compute images list \
    --filter="guestOsFeatures[].type:(OS_FEATURE) AND STRING"

Untuk melihat detail tentang gambar tertentu, jalankan perintah berikut menggunakan detail dari respons perintah sebelumnya:

gcloud compute images describe IMAGE_NAME \
    --project=IMAGE_PROJECT

Gambar yang didukung untuk instance VM Rahasia dengan GPU

Untuk instance VM Rahasia dengan GPU NVIDIA terpasang, kami merekomendasikan penggunaan keluarga citra sistem operasi berikut berdasarkan jenis mesin:

  • Jenis mesin A3 High:

    • ubuntu-2204-lts

    • cos-tdx-113-lts

    Meskipun gambar lain mungkin diberi tag TDX_CAPABLE, kami tidak menyediakan dukungan resmi untuk gambar tersebut saat digunakan dengan GPU.

  • Jenis mesin G4:

    • ubuntu-2404-lts-amd64

    • cos-125-lts

Gambar yang didukung untuk C3 dengan SSD Lokal

Untuk instance VM Rahasia yang menggunakan Intel TDX pada tipe mesin c3-standard-*-lssd, keluarga citra sistem operasi berikut didukung:

  • cos-117-lts

  • cos-121-lts

Langkah berikutnya