建立自訂機密 VM 映像檔

您可以根據自己的自訂 Linux 映像檔建立機密 VM 執行個體。 這項程序與為 Compute Engine 建立自訂 Linux 映像檔相同，但有額外規定。

Confidential VM 自訂映像檔需求

為 Confidential VM 執行個體建構自訂映像檔時，請務必遵守下列規定。

Linux 核心詳細資料

AMD SEV 和 SEV-SNP

機密 VM 的最低核心版本需求取決於您需要的技術。

  • 如要使用 SEV，請使用 5.11 以上版本的核心。

  • 如要使用 SEV 搭配即時遷移功能，請使用 6.6 以上版本的核心版本。如要使用長期支援 (LTS) 核心，請使用 6.1 LTS 以上版本。

  • 如為 SEV-SNP，請使用 6.1LTS 以上版本。

此外，請確認已啟用下列核心選項：

  • CONFIG_AMD_MEM_ENCRYPT

  • CONFIG_GVE

  • CONFIG_NET_VENDOR_GOOGLE

  • CONFIG_PCI_MSI

  • CONFIG_SWIOTLB

如需使用舊版核心版本，可能需要執行額外作業來安裝裝置驅動程式。

Intel TDX

如要支援 Intel TDX，請使用核心版本 6.6 或更新版本。

如需在核心中新增 TDX 支援的操作說明，請參閱「設定 TDX 主機和訪客的操作說明」。

此外，請確認已啟用下列核心選項：

  • CONFIG_GVE

  • CONFIG_NET_VENDOR_GOOGLE

  • CONFIG_PCI_MSI

  • CONFIG_SWIOTLB

Google 虛擬網路介面控制器 (gVNIC) 裝置驅動程式

請使用 1.01 以上版本的 gVNIC 驅動程式。如需其他操作說明，請參閱「使用 Google 虛擬 NIC」。

NVMe 介面

在訪客作業系統啟動期間，必須提供 NVMe 介面，才能使用永久磁碟和連結的 SSD。

核心和 initramfs 映像檔 (如有使用) 必須包含 NVMe 驅動程式模組，才能掛接根目錄。

作業系統功能標記

建立 Confidential VM 執行個體時，映像檔必須具備下列其中一個客體 OS 功能標記，具體取決於使用的機密運算技術：

  • SEV_CAPABLE

  • SEV_LIVE_MIGRATABLE_V2

  • SEV_SNP_CAPABLE

  • TDX_CAPABLE

此外，也應新增下列 OS 功能標記：

  • GVNIC

  • UEFI_COMPATIBLE

  • VIRTIO_SCSI_MULTIQUEUE

請參閱「在自訂映像檔上啟用訪客作業系統功能」，瞭解如何使用 --guest-os-features 旗標新增標記。

後續步驟

進一步瞭解如何使用作業系統映像檔，為 Compute Engine 執行個體建立開機磁碟。