Configurazioni supportate

Per creare un'istanza Confidential VM, devi disporre di una macchina virtuale con le seguenti proprietà:

Puoi configurare manualmente la tua istanza Confidential VM o accettare le impostazioni suggerite quando attivi il servizio Confidential VM nella consoleGoogle Cloud .

Limitazioni

A seconda della configurazione dell'istanza VM confidenziale, si applicano le seguenti limitazioni.

Tutte le istanze Confidential VM

  • Per attivare Confidential VM, devi creare una nuova istanza VM. Le istanze esistenti non possono essere convertite in istanze Confidential VM.

  • Non puoi collegare TPU alle istanze Confidential VM.

  • Le istanze Confidential VM richiedono un'interfaccia NVMe per i dischi. SCSI non è supportato.

  • Solo i nuovi dischi possono essere formattati in XFS nelle versioni del kernel Linux precedenti alla 5.10. Per formattare i dischi esistenti in XFS, è necessaria la versione 5.10 o successive del kernel.

  • Non puoi collegare più di 40 dischi a un'istanza Confidential VM. Puoi richiedere un'eccezione tramite un canale di assistenza, anche se le istanze con più di 40 dischi potrebbero non riuscire in modo silenzioso.

  • Il tempo di avvio è proporzionale alla quantità di memoria assegnata a un'istanza. Potresti notare tempi di avvio più lunghi per le istanze Confidential VM con grandi quantità di memoria.

  • La creazione di connessioni SSH richiede più tempo sulle istanze Confidential VM rispetto alle istanze VM non Confidential.

  • La migrazione live è supportata solo sui tipi di macchine N2D e C3D che eseguono AMD SEV.

  • Le istanze Confidential VM potrebbero riscontrare una larghezza di banda di rete inferiore e una latenza superiore rispetto alle istanze VM non confidenziali.

  • Le istanze Confidential VM con Hyperdisk Throughput hanno una dimensione massima di trasferimento dei dati (MDTS) limitata, il che riduce le prestazioni. Per ridurre al minimo il degrado delle prestazioni, evita che le richieste di lettura anticipata superino il limite MDTS impostando read_ahead_kb su 124 KiB quando utilizzi I/O memorizzati nel buffer.

AMD SEV

  • Debian 12 non supporta l'attestazione per AMD SEV a causa della mancanza del pacchetto /dev/sev-guest.

  • AMD SEV sui tipi di macchine C2D e N2D ha un conteggio delle code vNIC massimo di 8.

  • AMD SEV sul tipo di macchina C4D e C3D presenta le seguenti limitazioni:

    • Le istanze Confidential VM che utilizzano i tipi di macchine C4D e C3D potrebbero avere una larghezza di banda di rete inferiore rispetto alle VM non confidenziali equivalenti, anche con le prestazioni di networking Tier_1 per VM attivate.

    • Le VM con più di 255 vCPU e le istanze bare metal non sono supportate.

    • L'immagine rhel-8-4-sap-ha con tag SEV_CAPABLE non funziona con AMD SEV su macchine C4D e C3D con più di 8 vCPU. In questa immagine manca una patch obbligatoria che aumenta le dimensioni del buffer SWIOTLB per le code di rete di grandi dimensioni.

    • Le istanze Confidential VM con AMD SEV sul tipo di macchina C3D non supportano Hyperdisk bilanciato e Hyperdisk Throughput.

AMD SEV-SNP

  • Debian 12 non supporta l'attestazione per AMD SEV-SNP a causa del pacchetto /dev/sev-guest mancante.

  • AMD SEV-SNP sui tipi di macchine N2D ha un numero massimo di code vNIC pari a 8.

  • Le istanze VM non supportano kdump. Utilizza invece i log della console guest.

  • Le istanze Confidential VM con AMD SEV-SNP non supportano le prenotazioni.

Intel TDX

  • L'SSD locale è supportato solo sui tipi di macchine c3-standard-*-lssd (anteprima).

  • Le istanze VM richiedono più tempo per l'arresto rispetto alle istanze VM standard. Questo ritardo aumenta con le dimensioni della memoria della VM.

  • Sono supportati solo i volumi Persistent Disk bilanciati che utilizzano l'interfaccia NVMe.

  • Non è possibile eseguire il provisioning delle istanze VM sui gruppi di nodi single-tenant.

  • A causa di ulteriori vincoli di sicurezza, l'istruzione CPUID potrebbe restituire dettagli limitati o nulli sull'architettura della CPU. Ciò potrebbe influire sulle prestazioni dei carichi di lavoro che dipendono da questi valori CPUID.

  • Le istanze VM non supportano kdump. Utilizza invece i log della console guest.

  • Le immagini guest senza le correzioni per l'arresto di TDX potrebbero subire durate di arresto prolungate, con conseguente degrado delle prestazioni. Per evitare il peggioramento delle prestazioni, verifica che queste patch siano installate nella build del kernel guest.

  • Le istanze Confidential VM con Intel TDX non supportano le prenotazioni.

NVIDIA Confidential Computing

  • Queste istanze VM non supportano la creazione di cluster per workload multinodo.

  • Queste istanze VM non supportano Hyperdisk Extreme.

  • Le istanze VM in esecuzione sul tipo di macchina A3 High con GPU NVIDIA H100 non supportano le prenotazioni.

  • Si applicano limitazioni del tipo di macchina. Consulta le limitazioni per ogni tipo di macchina:

Tipi di macchine, CPU e zone

Confidential VM è supportata sui seguenti tipi di macchine e configurazioni. Per informazioni sulle quote di GPU necessarie per creare istanze con GPU collegate, consulta Requisito di quota di GPU.

Tipo di macchina Piattaforma CPU Tecnologia di Confidential Computing Supporto della migrazione live Supporto GPU

a3-highgpu-1g

Visualizzare i tipo di macchina macchine

  • Intel Sapphire Rapids
 Non supportata Supportato

C4D

Visualizzare i tipo di macchina macchine

  • AMD EPYC Turin
 Non supportata Non supportata

c3-standard-*

Visualizzare i tipo di macchina macchine

  • Intel Sapphire Rapids
 Non supportata Non supportata

c3-standard-*-lssd (anteprima)

Visualizzare i tipo di macchina macchine

  • Intel Sapphire Rapids
 Non supportata Non supportata

C3D

Visualizzare i tipo di macchina macchine

  • AMD EPYC Genoa
 Supportato Non supportata

C2D

Visualizzare i tipo di macchina macchine

  • AMD EPYC Milan
 Non supportata Non supportata

g4-standard-48 (anteprima)

Visualizzare i tipo di macchina macchine

  • AMD EPYC Turin
 Non supportata Supportato

N2D

Visualizzare i tipo di macchina macchine

  • AMD EPYC Milan
 Supportato solo sulle istanze VM AMD SEV Non supportata

Visualizza le zone supportate

Puoi visualizzare le zone che supportano questi tipi di macchina e la tecnologia Confidential Computing con uno dei seguenti metodi.

AMD SEV

Tabella di riferimento

Per visualizzare le zone che supportano SEV su Confidential VM, completa i seguenti passaggi.

  1. Vai a Regioni e zone disponibili.

  2. Fai clic su Seleziona un tipo di macchina e poi seleziona N2D, C2D, C3D e C4D.

  3. Fai clic su Seleziona una CPU, quindi seleziona AMD EPYC Milan, AMD EPYC Genoa o AMD EPYC Turin.

gcloud

Per elencare le zone disponibili in Google Cloud, esegui questo comando:

gcloud compute zones list \
    --format="value(NAME)"

Per elencare le piattaforme CPU disponibili per una zona specifica, esegui il seguente comando e verifica il supporto di AMD Milan, AMD Genoa o AMD Turin:

gcloud compute zones describe ZONE_NAME \
    --format="value(availableCpuPlatforms)"

AMD SEV-SNP

AMD SEV-SNP è supportato nelle seguenti zone, sul tipo di macchina N2D con piattaforme CPU AMD Milan:

  • asia-southeast1-a

  • asia-southeast1-b

  • asia-southeast1-c

  • europe-west3-a

  • europe-west3-b

  • europe-west3-c

  • europe-west4-a

  • europe-west4-b

  • europe-west4-c

  • us-central1-a

  • us-central1-b

  • us-central1-c

Intel TDX

c3-standard-*

Intel TDX è supportato sui tipi di macchine c3-standard-* nelle seguenti zone:

  • asia-northeast1-b

  • asia-south1-b

  • asia-southeast1-a

  • asia-southeast1-b

  • asia-southeast1-c

  • europe-west4-a

  • europe-west4-b

  • europe-west4-c

  • europe-west9-a

  • europe-west9-b

  • us-central1-a

  • us-central1-b

  • us-central1-c

  • us-east1-c

  • us-east1-d

  • us-east4-a

  • us-east4-c

  • us-east5-b

  • us-east5-c

  • us-west1-a

  • us-west1-b

c3-standard-*-lssd

Intel TDX è supportato sui tipi di macchine c3-standard-*-lssd (anteprima) nelle seguenti zone:

  • asia-southeast1-a

  • asia-southeast1-b

  • europe-west4-a

  • europe-west4-b

  • us-central1-a

  • us-central1-b

  • us-east4-b

  • us-east4-c

NVIDIA Confidential Computing

Tipo di macchina A3 High

NVIDIA Confidential Computing è supportato nelle seguenti zone, sulle istanze Confidential VM con una GPU collegata al tipo di macchina A3 High:

  • europe-west4-c

  • us-central1-a

  • us-east5-a

Tipo di macchina G4 (anteprima)

NVIDIA Confidential Computing è supportato nelle seguenti zone, sulle istanze Confidential VM con una GPU collegata al tipo di macchina G4:

  • asia-east1-a

  • asia-east1-b

  • asia-south1-c

  • asia-south2-a

  • asia-south2-c

  • asia-southeast1-a

  • asia-southeast1-b

  • asia-southeast1-c

  • asia-southeast2-b

  • asia-southeast2-c

  • europe-north1-a

  • europe-north1-b

  • europe-north1-c

  • europe-west1-c

  • europe-west2-b

  • europe-west2-c

  • europe-west4-a

  • europe-west4-ai1a

  • europe-west4-b

  • europe-west8-b

  • europe-west10-b

  • us-central1-d

  • us-east1-b

  • us-east1-d

  • us-east4-b

  • us-east4-c

  • us-east5-a

  • us-east5-b

  • us-east5-c

  • us-south1-a

  • us-south1-b

  • us-west1-b

  • us-west1-c

  • us-west3-a

  • us-west4-a

Sistemi operativi

Per le immagini del sistema operativo Confidential VM disponibili, vedi Dettagli del sistema operativo. Trova la distribuzione che preferisci, quindi fai clic sulla scheda Funzionalità di sicurezza per verificare se Confidential VM è supportata.

In alternativa, puoi visualizzare le immagini dei sistemi operativi supportati con un comando gcloud, oppure creare la tua immagine Linux.

Visualizza le immagini del sistema operativo supportate con gcloud

Le immagini del sistema operativo che puoi utilizzare sono determinate dalla tua scelta della tecnologia Confidential Computing.

Puoi elencare le immagini del sistema operativo, le relative famiglie di immagini e le relative versioni che supportano le tecnologie di Confidential Computing AMD e Intel eseguendo il seguente comando:

gcloud compute images list \
    --filter="guestOsFeatures[].type:(OS_FEATURE)"

Fornisci il seguente valore:

OS_FEATURE: Il tipo di supporto Confidential Computing che vuoi. I valori accettati sono:

  • SEV_CAPABLE: sistemi operativi che supportano AMD SEV.

  • SEV_LIVE_MIGRATABLE_V2: sistemi operativi che supportano AMD SEV e la migrazione live.

  • SEV_SNP_CAPABLE: Sistemi operativi che supportano l'isolamento e l'attestazione AMD SEV-SNP.

  • TDX_CAPABLE: sistemi operativi che supportano l'isolamento e l'attestazione Intel TDX.

Per limitare i risultati a una famiglia di immagini, a un progetto o a un altro testo specifico fornito nella risposta del comando precedente, utilizza un operatore AND e sostituisci STRING con una corrispondenza parziale del testo, come nel seguente esempio:

gcloud compute images list \
    --filter="guestOsFeatures[].type:(OS_FEATURE) AND STRING"

Per visualizzare i dettagli di un'immagine specifica, esegui il seguente comando utilizzando i dettagli delle risposte dei comandi precedenti:

gcloud compute images describe IMAGE_NAME \
    --project=IMAGE_PROJECT

Immagini supportate per un'istanza Confidential VM con GPU

Per le istanze Confidential VM con GPU NVIDIA collegate, consigliamo di utilizzare le seguenti famiglie di immagini del sistema operativo in base al tipo di macchina:

  • Tipo di macchina A3 High:

    • ubuntu-2204-lts

    • cos-tdx-113-lts

    Sebbene altre immagini possano essere taggate come TDX_CAPABLE, non forniamo supporto ufficiale per il loro utilizzo con le GPU.

  • Tipo di macchina G4 (anteprima):

    • ubuntu-2404-lts-amd64

    • cos-125-lts

Passaggi successivi