サポートされている構成

機密 VM インスタンスを作成するには、以下のプロパティを持つ仮想マシンが必要です。

独自の機密 VM インスタンスを手動で構成することも、Google Cloud コンソールで機密 VM サービスを有効にする際に提案された設定を受け入れることもできます。

制限事項

機密 VM インスタンスの設定方法によっては、以下の制限事項が適用されます。

すべての機密 VM インスタンス

  • 機密 VM を有効にするには、新しい VM インスタンスを作成する必要があります。既存のインスタンスを機密 VM インスタンスに変換することはできません。

  • 機密 VM インスタンスにTPUをアタッチすることはできません。

  • 機密性の高い VM インスタンスには、ディスク用の NVMe インターフェースが必要です。SCSI はサポートされていません。

  • Linux カーネルバージョン 5.10 より前のバージョンでは、新しいディスクのみ XFS 形式でフォーマットできます。既存のディスクを XFS 形式でフォーマットするには、カーネルバージョン 5.10 以降が必要です。

  • 機密 VM インスタンスには、40 台を超えるディスクを接続することはできません。 サポートチャネルを通じて例外を要求することはできますが、40 台を超えるディスクを持つインスタンスはサイレントに失敗する可能性があります。

  • 起動時間は、インスタンスに割り当てられたメモリ量に比例します。 メモリ容量が大きい機密 VM インスタンスでは、起動時間が長くなる場合があります。

  • 機密 VM インスタンスでは、非機密 VM インスタンスに比べて SSH 接続の確立に時間がかかります。

  • ライブマイグレーションは、AMD SEV を実行している N2D および C3D マシンタイプでサポートされています。

  • 機密情報を含む VM インスタンスは、機密情報を含まない VM インスタンスと比較して、ネットワーク帯域幅が低く、レイテンシが高くなる可能性があります。

  • Hyperdisk Throughput を使用する機密 VM インスタンスは、最大データ転送サイズ (MDTS) が制限されているため、パフォーマンスが低下します。パフォーマンスの低下を最小限に抑えるため、バッファリングされた I/O を使用する場合は、MDTS 制限を超える先読み要求を回避し、read_ahead_kb～124 KiB に設定してください。

AMD SEV

  • Debian 12 は /dev/sev-guest パッケージが欠落しているため、AMD SEV のアテステーションをサポートしていません。

  • C2D および N2D マシンタイプの AMD SEV は、最大vNIC キュー数が8です。

  • C4D および C3D マシンタイプにおける AMD SEV には、以下の制限事項があります。

    • C4D および C3D マシン タイプを使用する機密 VM インスタンスは、ごとの VM Tier_1 ネットワーク パフォーマンス が有効になっている場合でも、同等の非機密 VM インスタンスよりもネットワーク帯域幅が低くなる可能性があります。

    • ベアメタルインスタンスはサポートされていません。

    • タグが SEV_CAPABLE の rhel-8-4-sap-ha イメージは、8 個以上の vCPU を搭載した C4D および C3D マシン上の AMD SEV では動作しません。 このイメージには、ネットワークキューが多い場合に SWIOTLB バッファのサイズを増やすために必要な patch が欠落しています。

    • C3D マシンタイプ上の AMD SEV を搭載した機密 VM インスタンスは、Hyperdisk Balanced および Hyperdisk Throughput をサポートしていません。

AMD SEV-SNP

  • Debian 12 には /dev/sev-guest パッケージがないため、AMD SEV-SNP のアテステーション サポートがありません。

  • N2D マシンタイプの AMD SEV-SNP の最大 vNIC キュー数 は 8 です。

  • VM インスタンスはkdumpをサポートしていません。代わりに、ゲストコンソールのログを使用してください。

  • AMD SEV-SNP を持つ機密 VM インスタンスは 予約 をサポートしていません。

  • ゲストカーネルの移行とセキュリティアップデートのため、AMD SEV-SNP を搭載した機密 VM インスタンスでは、2026 年 8 月から 2026 年 11 月の間に起動時間の延長やパフォーマンスの変化が発生する可能性があります。

インテル TDX

  • ローカル SSDはc3-standard-*-lssdマシンタイプでのみサポートされています。

  • VM インスタンスは、標準の VM インスタンスと比較してシャットダウンに時間がかかります。 この遅延は、VM のメモリサイズが大きくなるにつれて増加します。

  • NVMe インターフェースを使用するバランス型永続ディスクボリュームのみがサポートされます。

  • VM インスタンスは、単一テナントのノードグループにはプロビジョニングできません。

  • 追加のセキュリティ上の制約により、CPUID 命令は CPU アーキテクチャの詳細情報の一部または全部を返さない場合があります。これは、これらの CPUID 値に依存するワークロードのパフォーマンスに影響を与える可能性があります。

  • VM インスタンスはkdumpをサポートしていません。代わりに、ゲストコンソールのログを使用してください。

  • TDX 停止修正 が適用されていないゲストイメージでは、停止時間が長くなり、パフォーマンスが低下する可能性があります。パフォーマンスの低下を避けるため、これらのパッチがゲストカーネルビルドにインストールされていることを確認してください。

  • Intel TDX を搭載した機密 VM インスタンスは 予約 をサポートしていません。

NVIDIA 機密コンピューティング

  • これらの VM インスタンスは、マルチノードワークロード用のクラスタの作成をサポートしていません。

  • これらの VM インスタンスは Hyperdisk Extreme をサポートしていません。

  • NVIDIA H100 GPU を搭載したA3 High マシンタイプで実行されている VM インスタンスは予約をサポートしていません。

  • 機械の種類に制限があります。各機種の制限事項については、以下をご覧ください。

マシンタイプ、CPU、ゾーン

機密 VM は、以下のマシンタイプおよび構成でサポートされています。 GPU を搭載したインスタンスを作成するために必要な GPU クォータについては、GPU クォータ要件 を参照してください。

マシンタイプ CPU プラットフォーム 機密コンピューティング技術 ライブ移行サポート GPU のサポート

a3-highgpu-1g

マシンタイプ名を表示する

  • Intel Sapphire Rapids
 非対応 サポート対象

c4-standard-*（プレビュー）

マシンタイプ名を表示する

  • Intel Granite Rapids
 非対応 非対応

C4D

マシンタイプ名を表示する

  • AMD EPYC Turin
 非対応 非対応

c3-standard-*

マシンタイプ名を表示する

  • Intel Sapphire Rapids
 非対応 非対応

c3-standard-*-lssd

マシンタイプ名を表示する

  • Intel Sapphire Rapids
 非対応 非対応

C3D

マシンタイプ名を表示する

  • AMD EPYC Genoa
 サポート対象 非対応

C2D

マシンタイプ名を表示する

  • AMD EPYC Milan
 非対応 非対応

g4-standard-48

マシンタイプ名を表示する

  • AMD EPYC Turin
 非対応 サポート対象

N2D

マシンタイプ名を表示する

  • AMD EPYC Milan
 AMD SEV VM インスタンスでのみサポートされています 非対応

サポートされているゾーンを表示する

以下のいずれかの方法で、これらのマシンタイプと機密コンピューティング技術をサポートしているゾーンを確認できます。

AMD SEV

参照表

機密 VM 上で SEV をサポートするゾーンを確認するには、以下の手順を実行してください。

  1. 利用可能な地域とゾーンへ移動します。

  2. 「機械タイプを選択」をクリックし、次に「N2D」、「C2D」、「C3D」、「C4D」を選択します。

  3. 「CPU を選択」をクリックし、次に「AMD EPYC Milan」、「AMD EPYC Genoa」、または「AMD EPYC Turin」を選択します。

gcloud

Google Cloudで利用可能なゾーンの一覧を表示するには、次のコマンドを実行します。

gcloud compute zones list \
    --format="value(NAME)"

特定の地域で使用可能な CPU プラットフォームの一覧を表示するには、次のコマンドを実行し、AMD Milan、AMD Genoa、または AMD Turin のサポート状況を確認してください。

gcloud compute zones describe ZONE_NAME \
    --format="value(availableCpuPlatforms)"

AMD SEV-SNP

AMD SEV-SNP は、AMD Milan CPU プラットフォームを搭載した N2D マシンタイプにおいて、以下のゾーンでサポートされています。

  • asia-southeast1-a

  • asia-southeast1-b

  • asia-southeast1-c

  • europe-west3-a

  • europe-west3-b

  • europe-west3-c

  • europe-west4-a

  • europe-west4-b

  • europe-west4-c

  • us-central1-a

  • us-central1-b

  • us-central1-c

インテル TDX

c3-標準-*

Intel TDX は、c3-standard-* マシンタイプにおいて、以下のゾーンでサポートされています。

  • asia-northeast1-b

  • asia-south1-b

  • asia-southeast1-a

  • asia-southeast1-b

  • asia-southeast1-c

  • europe-west4-a

  • europe-west4-b

  • europe-west4-c

  • europe-west9-a

  • europe-west9-b

  • us-central1-a

  • us-central1-b

  • us-central1-c

  • us-east1-c

  • us-east1-d

  • us-east4-a

  • us-east4-c

  • us-east5-b

  • us-east5-c

  • us-west1-a

  • us-west1-b

c3-standard-*-lssd

インテル TDX は、次のゾーンの c3-standard-*-lssd マシンタイプでサポートされています。

  • asia-southeast1-a

  • asia-southeast1-b

  • europe-west4-a

  • europe-west4-b

  • southamerica-east1-a

  • us-central1-a

  • us-central1-b

  • us-east4-b

  • us-east4-c

  • us-east5-b

  • us-east5-c

  • us-west1-b

c4-標準-*

Intel TDX は、c4-standard-* マシンタイプ (プレビュー) の以下のゾーンでサポートされています。

  • asia-southeast1-a

  • asia-southeast1-b

  • asia-southeast1-c

  • europe-west1-b

  • europe-west3-a

  • europe-west3-b

  • europe-west4-a

  • europe-west4-b

  • us-central1-a

  • us-central1-b

  • us-central1-f

  • us-east4-a

  • us-east4-b

  • us-east4-c

NVIDIA 機密コンピューティング

A3 ハイマシンタイプ

NVIDIA Confidential Computing は、A3 High マシンタイプ上で GPU が接続された Confidential VM インスタンスにおいて、以下のゾーンでサポートされています。

  • europe-west4-c

  • us-central1-a

  • us-east5-a

G4 型機械

NVIDIA Confidential Computing は、G4 マシンタイプの GPU が接続された Confidential VM インスタンスにおいて、以下のゾーンでサポートされています。

  • asia-east1-a

  • asia-east1-b

  • asia-south1-c

  • asia-south2-a

  • asia-south2-c

  • asia-southeast1-a

  • asia-southeast1-b

  • asia-southeast1-c

  • asia-southeast2-b

  • asia-southeast2-c

  • europe-north1-a

  • europe-north1-b

  • europe-north1-c

  • europe-west1-c

  • europe-west2-b

  • europe-west2-c

  • europe-west4-a

  • ヨーロッパ西部 4-ai1a

  • europe-west4-b

  • europe-west8-b

  • europe-west10-b

  • us-central1-d

  • us-central1-f

  • us-east1-b

  • us-east1-d

  • us-east4-b

  • us-east4-c

  • us-east5-a

  • us-east5-b

  • us-east5-c

  • us-south1-a

  • us-south1-b

  • us-west1-b

  • us-west1-c

  • us-west3-a

  • us-west4-a

オペレーティング システム

利用可能な機密 VM オペレーティングシステムイメージについては、オペレーティングシステムの詳細を参照してください。お好みの分布を見つけて、クリックしてください。セキュリティ機能タブをクリックして、機密 VM がサポートされているかどうかを確認してください。

あるいは、サポートされているオペレーティングシステムイメージを表示するgcloud指示、 または独自の Linux イメージを作成する。

gcloud を使用してサポートされているオペレーティングシステムイメージを表示する

使用できるオペレーティングシステムイメージは、機密コンピューティング技術の選択によって決まります。

以下のコマンドを実行すると、AMD および Intel の機密コンピューティング技術をサポートするオペレーティングシステムイメージ、イメージファミリー、およびバージョンの一覧を表示できます。

gcloud compute images list \
    --filter="guestOsFeatures[].type:(OS_FEATURE)"

次の値を指定します。

OS_FEATURE: ご希望の機密コンピューティングサポートの種類。次の値が利用できます。

  • SEV_CAPABLE: AMD SEV をサポートするオペレーティングシステム。

  • SEV_LIVE_MIGRATABLE_V2: AMD SEV とライブマイグレーションをサポートするオペレーティングシステム。

  • SEV_SNP_CAPABLE: AMD SEV-SNP の分離と認証をサポートするオペレーティングシステム。

  • TDX_CAPABLE: Intel TDX 分離および認証をサポートするオペレーティングシステム。

結果を特定の画像ファミリー、プロジェクト、または前のコマンドの応答で指定されたその他のテキストに限定するには、AND 演算子を使用し、STRING を部分一致テキストに置き換えます。次の例を参照してください。

gcloud compute images list \
    --filter="guestOsFeatures[].type:(OS_FEATURE) AND STRING"

特定の画像の詳細を表示するには、前のコマンドの応答から得られた詳細情報を使用して、次のコマンドを実行します。

gcloud compute images describe IMAGE_NAME \
    --project=IMAGE_PROJECT

GPU 搭載の機密 VM インスタンスでサポートされているイメージ

NVIDIA GPU を搭載した機密 VM インスタンスの場合、マシンタイプに基づいて、以下のオペレーティングシステムイメージファミリーを使用することをお勧めします。

  • A3 High マシンタイプ:

    • ubuntu-2204-lts

    • cos-tdx-113-lts

    他の画像にはTDX_CAPABLEというタグが付いている場合がありますが、GPU で使用する場合、公式にはサポートしていません。

  • G4 マシンタイプ:

    • ubuntu-2404-lts-amd64

    • cos-125-lts

ローカル SSD を搭載した C3 でサポートされているイメージ

c3-standard-*-lssd マシンタイプで Intel TDX を使用する機密 VM インスタンスの場合、以下のオペレーティングシステム イメージ ファミリーがサポートされます。

  • cos-117-lts

  • cos-121-lts

次のステップ