Bootdatenträger

Wenn Sie eine Instanz erstellen, können Sie angeben, ob das Boot-Volume mit einem Standard- oder benutzerdefinierten Image oder einem Snapshot bestückt werden soll. Die Kapazität des Startvolumens ist abhängig von der Mindestgröße des Images oder der Größe des Snapshots. Sie muss gleich groß oder größer sein als die Größe des Bildes oder Schnappschusses. Die meisten Stock-Images erfordern ein 100 GB großes Startvolumen. Einige Linux Stock-Images können auf einem Boot-Volume mit einer Kapazität von nur 10 GB installiert werden, während einige Windows Stock-Images ein Minimum von 40 GB erfordern. Wenn Sie ein benutzerdefiniertes Image importieren, kann dessen minimale bereitgestellte Größe zwischen 10 und 250 GB liegen. Images, die kleiner als 10 GB sind, werden auf 10 GB aufgerundet.

Wenn Sie eine Instanz mit einem Standard-Image erstellen und weder das Volume-Profil noch die Kapazität angeben, wird standardmäßig ein 100-GB-Boot-Volume mit dem Profil general-purpose erstellt und an die Instanz angehängt.

Wenn Sie die Instanz über die Konsole bereitstellen, ist das general-purpose Volume-Profil die Standardauswahl für das Startvolume. Wenn Sie ein Startvolume über die CLI, die API oder Terraform bereitstellen, können Sie eines der Profile aus den defined performance Volume-Profilfamilien tiered, custom, oder angeben. Kunden auf der Whitelist können das Profil sdp auch zur Bereitstellung von Startvolumes nutzen.

Bei Verwendung eines der Volume-Profile der ersten Generation können Sie eine Boot-Volume-Kapazität zwischen 10 GB und 250 GB festlegen. Wenn Sie das Profil sdp verwenden, beträgt die maximale Kapazität des Startvolumens 32.000 GB. Stellen Sie sicher, dass die Kapazität des Startvolumens mindestens der Größe des Images oder des bootfähigen Snapshots entspricht, das bzw. den Sie verwenden möchten.

Boot-Volumes können auf bis zu 250 GB erweitert werden, wenn Sie eines der Profile der ersten Generation verwenden. Wenn Sie ein Volume-Profil der zweiten Generation verwenden, wie z. B. sdp, können Sie die Kapazität des Boot-Volumes auf bis zu 32.000 GB erhöhen. Nachdem die Kapazität des Startvolumens erhöht wurde, kann sie nicht mehr verringert werden.

Boot-Volumes, die größer als 250 GB sind, können nicht zur Erstellung eines benutzerdefinierten Images verwendet werden.

Bootdatenträger werden standardmäßig mithilfe der von IBM verwalteten Verschlüsselung verschlüsselt. Sie können optional Ihre eigenen Rootschlüssel (Customer Root Keys, CRKs) verwenden, indem Sie sich bei der Instanzerstellung für vom Kunden verwaltete Verschlüsselung entscheiden (siehe Vom Kunden verwaltete Verschlüsselung).

Bootdatenträger werden standardmäßig gelöscht, wenn Sie eine Instanz löschen. Sie können die Einstellung Automatisches Löschen in der Konsole, über die CLI und mithilfe der API ändern. Die Zuordnung eines Bootdatenträgers kann nur aufgehoben werden, indem die Instanz gelöscht wird, der er zugeordnet ist. Die Zuordnung eines Bootdatenträgers zu einer Instanz kann nicht aufgehoben werden, solange die Instanz vorhanden ist. Weitere Informationen finden Sie unter Verwalten von Block Storage for VPC volumes.

Datenvolumen

Block Storage for VPC Datenvolumes sind sekundäre Volumes mit einer Gesamtkapazität von 1 GB bis 32.000 GB für Volumes der zweiten Generation und von 10 GB bis 16.000 GB für Volumes der ersten Generation. Die maximale IOPS für Datenvolumes variiert je nach Volumegröße und Profil. Weitere Informationen finden Sie unter Block Storage for VPC-Profile.

Sie können Datendatenträger als eigenständige Datenträger oder bei der Instanzbereitstellung erstellen. Eigenständige Datenträger befinden sich so lange im nicht zugeordneten Status, bis Sie den Datenträger einer Instanz zuordnen. Wenn Sie einen Datenträger während der Instanzbereitstellung erstellen, dann wird der Datenträger der Instanz automatisch zugeordnet.

Datendatenträger werden standardmäßig mit von IBM verwalteter Verschlüsselung verschlüsselt. Sie können Datenvolumes auch mit Ihren eigenen Root-Schlüsseln verschlüsseln. Sie können Hyper Protect Virtual Servers oder IBM Key Protect for IBM Cloud als Ihren Schlüsselverwaltungsdienst verwenden.

Block Storage for VPC Datenvolumes können an jede verfügbare Instanz in Ihrer Zone angehängt werden, je nach Ihrem Kundenkonto und Ihren Berechtigungen sowie innerhalb bestimmter Grenzen.

Wenn die Instanz gelöscht wird, werden diese Volumes standardmäßig abgetrennt. Durch die standardmäßige Aufhebung der Zuordnung können Ihre Daten weiterhin gespeichert werden, auch wenn der Lebenszyklus der Virtual Server-Instanz beendet ist. Nur die Zuordnung des Volumes zur Instanz wird aufgehoben. Abgehängte Datenträger können an eine verfügbare aktive Instanz angehängt (zugeordnet) werden, ohne den Datenträger oder die Instanz erneut bereitzustellen. Alternativ können Sie Datenvolumes auch manuell löschen, nachdem sie getrennt wurden.

Beim Erstellen von Volumes können Sie festlegen, ob die Datenvolumes beim Löschen der Instanz ebenfalls gelöscht werden sollen. Sie können die Funktion Automatisches Löschen in der Konsole, über die CLI oder mithilfe der API aktivieren und deaktivieren.

Sie können die Größe eines angeschlossenen Volumes auch in der Konsole, über die Befehlszeilenschnittstelle oder die API erhöhen. Bei Volumes der ersten Generation können Sie die Kapazität je nach Ihrem Volume-Profil in GB-Schritten auf bis zu 16.000 GB erhöhen. Für Volumes der zweiten Generation, die das Profil sdp verwenden, können Sie die Kapazität auf bis zu 32.000 GB erhöhen. Weitere Informationen finden Sie unter Block Storage for VPC volume capacity erweitern und Block Storage for VPC volumes verwalten.

SSD Defined – Leistungsprofil

Das Profil sdp steht ausgewählten Kunden zur Verfügung. Um Zugriff zu beantragen, wenden Sie sich an Ihr IBM-Kundenteam oder eröffnen Sie einen Support-Fall.

Das SSD Defined Performance-Profil ist in den Regionen Dallas (us-south), Chennai (in-che), Frankfurt (eu-de), London (eu-gb), Madrid (eu-es), Montreal (ca-mon), Mumbai (in-mum), Osaka (jp-osa), São Paulo (br-sao), Sydney (au-syd), Tokio (jp-tok), Toronto (ca-tor) und Washington (us-east) verfügbar. Sie können für Ihre Volumes der zweiten Generation benutzerdefinierte Kapazitäten, benutzerdefinierte Durchsatzgrenzen und benutzerdefinierte IOPS festlegen.

Für dieses Release gelten die folgenden Einschränkungen:

• Das Profil sdp ist nur für die Verwendung mit Compute-Ressourcen der 2. und 3. Generation verfügbar.
• Sicheres Booten vom sdp Boot-Volume wird nicht unterstützt. Wenn Sie eine virtuelle Serverinstanz mit Intel Gen 3 oder Confidential Computing-Instanzprofilen und einem sdp-Boot-Volume bereitstellen möchten, stellen Sie sicher, dass Sie Secure Boot nicht aktivieren.
• Keine Unterstützung für die Verwendung als Boot-Volume mit Accelerated Instance Profiles - Gen 3.
• Keine Unterstützung für die Plattform IBM Z ( s390x Architektur) oder Bare Metal Servers for VPC.
• Der Import von benutzerdefinierten verschlüsselten Bildern wird nicht unterstützt.
• Das Erstellen eines benutzerdefinierten Images von einem Boot-Volume mit vom Kunden verwalteter Verschlüsselung wird nicht unterstützt.
• Das Erstellen eines benutzerdefinierten Images von einem Boot-Volume, das größer als 250 GB ist, wird nicht unterstützt.
• Die zonenübergreifende Migration von Volumes wird nicht unterstützt.
• Das Profil sdp ist in den Regionen Chennai - Airtel (in-che), Mumbai - Airtel (in-mum) und Montreal (ca-mon) nicht verfügbar.

Traditionelle Volumenprofile

Wenn Sie ein Block Storage for VPC-Volume in Ihrer Verfügbarkeitszone erstellen, können Sie drei verschiedene, nach Leistungsstufen gegliederte Profile mit vordefinierten IOPS-Werten verwenden. Sie können auch ein benutzerdefiniertes Profil auswählen und Ihr eigenes IOPS-Niveau auf der Grundlage der Volume-Kapazität festlegen. Alle Profile werden durch Solid-State-Laufwerke (SSDs) gestützt.

Weitere Informationen finden Sie unter Block Storage for VPC-Profile.

Sie können Ihr Volume von einem herkömmlichen Volume-Profil auf das SSD Defined Performance-Profil mit Zulassungsliste migrieren. Weitere Informationen finden Sie unter Migrieren von Blockspeicher-Volumes. {: tip}Ein Block Storage for VPC-Datenspeicher kann jeweils nur an eine Rechenressource angehängt werden.

IAM-Rollen zum Erstellen und Verwalten von Volumes

Block Storage for VPC Erfordert IAM-Berechtigungen für die rollenbasierte Zugriffskontrolle. Abhängig von der Ihnen zugewiesenen Rolle können Sie Volumes erstellen und verwalten. Weitere Informationen finden Sie unter IAM-Rollen und -Aktionen für Block Storage for VPC.

Weitere Informationen finden Sie unter Bewährte Verfahren für die Zuweisung von Zugriff. Informationen zum vollständigen IAM-Prozess, der die Einladung der Benutzer zu Ihrem Konto und die Zuweisung des Cloud IAM-Zugriffs umfasst, finden Sie im IAM-Lernprogramm mit der Einführung.

IAM-Dienst-zu-Dienst-Berechtigungen

Mit dem Cloud Identity and Access Management (IAM) können Sie eine Autorisierung erstellen oder entfernen, die einem Dienst Zugriff auf einen anderen Dienst gewährt. Für Block Storage for VPC müssen Sie eine Dienst-zu-Dienst-Autorisierung für die Konfiguration der vom Kunden verwalteten Verschlüsselung und der Backups erstellen. Weitere Informationen finden Sie unter Einrichtung von Dienst-zu-Dienst-Berechtigungen für Block Storage for VPC.

Kontextbasierte Einschränkungen

Sie können kontextbasierte Beschränkungen (CBR) für Blockvolumenoperationen aktivieren. Diese Einschränkungen können mit herkömmlichen, auf der Identität basierenden IAM-Richtlinien kombiniert werden und so eine zusätzliche Schutzebene bieten. Im Gegensatz zu IAM-Richtlinien vergeben kontextbasierte Einschränkungen keine Zugriffsrechte. Kontextbasierte Beschränkungen prüfen, ob eine Zugriffsanfrage aus einem von Ihnen konfigurierten zulässigen Kontext stammt, z. B. der Erstellung eines Datenvolumens. Weitere Informationen finden Sie unter Schutz von Virtual Private Cloud(VPC)-Infrastrukturdiensten mit kontextbasierten Einschränkungen.

Verschlüsselung im Ruhezustand und bei der Übertragung

Alle Blockspeichervolumes werden standardmäßig im Ruhezustand mit der von IBM verwalteten Verschlüsselung verschlüsselt. Weitere Informationen zu den branchenüblichen Protokollen, die IBM Cloud® für die Datenverschlüsselung befolgt, finden Sie unter IBM-Managed Encryption.

Sie können Ihre Volumes auch schützen, indem Sie eine Umschlagverschlüsselung mit Ihren eigenen Root-Schlüsseln erstellen, die in einem der zugelassenen Schlüsselverwaltungssysteme (KMS) gespeichert sind. In IBM Cloud kann sich das KMS entweder im gleichen oder in einem anderen Konto befinden wie der Dienst, der einen Verschlüsselungsschlüssel verwendet. Dieses Bereitstellungsmuster ermöglicht Unternehmen die zentrale Verwaltung von Verschlüsselungsschlüsseln für alle Unternehmenskonten.

Ihre Daten sind sowohl im Ruhezustand als auch bei der Übertragung vom Speicher zum Hypervisor und Host geschützt. Nachdem Sie den Verschlüsselungstyp für ein Volume festgelegt haben, kann dieser nicht mehr geändert werden.

Weitere Informationen zur Datenverschlüsselung finden Sie unter Informationen zur Datenverschlüsselung für VPC.

Activity Tracker-Ereignisse

Sie können IBM Cloud® Activity Tracker Event Routing verwenden, um zu konfigurieren, wie Auditing-Ereignisse weitergeleitet werden sollen. Audit-Ereignisse sind wichtige Daten für den Sicherheitsbetrieb und ein wesentlicher Bestandteil zur Erfüllung von Compliance-Anforderungen. Solche Ereignisse werden ausgelöst, wenn Sie ein Blockvolumen erstellen, ändern oder löschen. Weitere Informationen finden Sie unter Ereignisse zur Aktivitätsverfolgung für IBM Cloud VPC.

Benutzertags

Benutzer-Tags werden durch eine CRN-Kennung (Cloud Resource Name) eindeutig identifiziert. Wenn Sie ein Benutzer-Tag erstellen, vergeben Sie einen eindeutigen Namen innerhalb Ihres Abrechnungskontos. Sie können Benutzer-Tags im Label- oder Schlüssel-Wert-Format definieren.

Sie können Benutzer-Tags hinzufügen, wenn Sie ein Block Storage for VPC-Volume erstellen oder ein bestehendes Volume aktualisieren. Sie können einem Boot-oder Datendatenträger auch während der Instanzerstellung Tags hinzufügen.

Volume-Benutzer-Tags werden auch von Sicherungsrichtlinien verwendet, um automatische Sicherungs-Snapshots des Volumes zu erstellen. Erstellen, anzeigen und verwalten Sie Benutzer-Tags über die Benutzeroberfläche, die Befehlszeilenschnittstelle (CLI), die API oder Terraform und entfernen Sie sie jederzeit.

Zugriffsverwaltungstags

Zugriffsmanagementtags unterstützen Sie bei der Organisation der Zugriffssteuerung, indem Sie flexible Ressourcengruppierungen erstellen, die es Ihren Block Storage for VPC-Ressourcen ermöglichen, zu wachsen, ohne dass Aktualisierungen an IAM-Richtlinien erforderlich sind.

Sie können Zugriffsmanagementtags erstellen und sie dann auf neue oder vorhandene Datenträger anwenden. Verwenden Sie die IAM-Benutzerschnittstelle oder die API für globale Suche und Tagging, um den Zugriffsmanagementtag zu erstellen. Fügen Sie anschließend über die VPC-Benutzerschnittstelle oder -API das Zugriffsmanagement hinzu, wenn Sie einen Datenträger erstellen oder ändern. Diese Tags können während der Bereitstellung nicht zu Volumes hinzugefügt werden. Nachdem Sie die Zugriffsmanagementtags hinzugefügt haben, können Sie den Zugriff auf sie mithilfe der IAM-Richtlinien verwalten. Weitere Informationen finden Sie unter Zugriffsmanagementtags auf einen Block Storage for VPC-Datenträger anwenden.

Weitere Informationen zum Verwalten von Tags für Ihr Konto finden Sie unter Mit Tags arbeiten.