Wo ist die definierte Leistungsvolumenfamilie für die Bereitstellung verfügbar?

Verfügbarkeit auswählen Sie können Speicher mit dem Profil sdp in den Regionen Dallas, Frankfurt, London, Madrid, Osaka, São Paulo, Sydney, Tokio, Toronto und Washington, D.C. bereitstellen. Weitere Informationen finden Sie unter Über Block Storage for VPC.

Welche Funktionen werden in dieser Version des Profils sdp unterstützt?

In dieser Version können Sie die folgenden Aktionen ausführen:

• Erstellen Sie Block Storage Volumes und geben Sie zusätzlich zu Kapazität und IOPS ein benutzerdefiniertes Durchsatzlimit an.
• Fügen Sie eine vom Kunden verwaltete Verschlüsselung für Datenvolumen hinzu.
• Erweitern Sie die Kapazität der Block Storage Volumes nach ihrer Erstellung, wenn sie an eine virtuelle Serverinstanz angeschlossen oder nicht angeschlossen sind.
• Passen Sie die IOPS nach der Erstellung von Block Storage Volumes an, wenn diese an eine virtuelle Serverinstanz angeschlossen oder nicht angeschlossen sind.
• Ändern Sie die maximale Durchsatzgrenze, wenn das Volume an eine virtuelle Serverinstanz angeschlossen oder nicht angeschlossen ist.
• Verbinden Sie Block Storage Volumes mit virtuellen Service-Instanzen.
• Erstellen Sie benutzerdefinierte Bilder mit vom Anbieter verwalteter Verschlüsselung.
• Block Storage-Bände auflisten.
• Block Storage-Volumes löschen.

Kann ich das Profil sdp für mein Boot-Volume verwenden, wenn ich Secure Boot nutzen möchte?

Nein. Wenn Boot-Volumes der zweiten Generation mit dem Profil sdp verwendet werden, wird Secure Boot nicht unterstützt.

In der aktuellen Version von Block Storage for VPC können nur Volumes der ersten Generation aus den Profilfamilien Tiered und Custom Volume als Boot-Volumes für virtuelle Serverinstanzen verwendet werden, die ein Profil aus einer der folgenden Instanzprofilfamilien verwenden:

• Beschleunigte Gen 3- Gaudi, MI-300x, H100/H200 Profile.
• Allgemeine Gen 3-Profile, wenn eine sichere Boot-Option erforderlich ist.
• Vertrauliche Datenverarbeitung - Gen 3-Profile, wenn eine sichere Boot-Option erforderlich ist.

Wenn Sie eine virtuelle Serverinstanz mit Intel Gen 3 oder Confidential Computing-Instanzprofilen und einem sdp-Boot-Volume bereitstellen möchten, stellen Sie sicher, dass Sie Secure Boot nicht aktivieren.

Wie werden meine Daten auf dem profilbasierten Speichervolumen sdp geschützt?

Ihre Daten werden im Ruhezustand entweder durch die von IBM verwaltete Verschlüsselung oder durch die vom Kunden verwaltete Verschlüsselung geschützt. Die übertragenen Daten werden ebenfalls verschlüsselt.

Kann ein Block Storage Volume in eine andere Zone kopiert werden?

Nein. Sie können das Speichervolumen nicht in eine andere Zone kopieren.

Kann ich Snapshots zur Datenaufbewahrung eines definierten Leistungsvolumens erstellen?

Ja, Sie können Snapshots einzelner Volumes und Konsistenzgruppen erstellen.

Wie verhindert Block Storage for VPC einen Single Point of Failure? Durch welche Mechanismen wird die Datenpermanenz sichergestellt?

Block Storage for VPC-Datenträgerdaten werden auf mehreren physischen Platten einer Verfügbarkeitszone verteilt redundant gespeichert, um Datenverlust durch Ausfall nur einer der Komponenten zu verhindern.

Wie werden Datenträger erstellt und einer Instanz zugeordnet?

Wenn Sie eine virtuelle Serverinstanz erstellen, können Sie ein Block Storage for VPC-Volume erstellen, das dieser Instanz zugeordnet wird. Sie können auch eigenständige Datenträger erstellen und diese zu einem späteren Zeitpunkt Ihren Instanzen zuordnen.

Wie viele Instanzen können sich ein bereitgestelltes Block Storage for VPC-Volume teilen?

Ein Block Storage for VPC-Volume kann jeweils nur an eine Instanz angehängt werden. Ein Datenträger kann nicht von Instanzen gemeinsam genutzt werden.

Wie viele Datenträger können an eine Instanz angeschlossen werden?

Sie können 12 Block Storage for VPC Datenvolumen pro Instanz plus Startvolumen.

Welche Gebühr wird für die Nutzung fällig?

Die Kosten für Block Storage for VPC werden auf Basis der monatlich gespeicherten Kapazität von GiB berechnet, es sei denn, die Laufzeit beträgt weniger als einen Monat. Der Datenträger ist im Konto vorhanden, bis Sie den Datenträger löschen oder das Ende eines Abrechnungszyklus erreichen, je nachdem, was zuerst eintritt.

Die Preisgestaltung wird auch beeinflusst, wenn Sie die Volume-Kapazität erweitern oder die IOPS anpassen, indem Sie ein anderes Volume-Profil angeben. Beispielsweise führt die Erweiterung der Volume-Kapazität zu höheren Kosten, während die Umstellung eines Volume-Profils von einer Stufe mit 5 IOPS/GB auf eine Stufe mit 3 IOPS/GB die monatlichen und stündlichen Gebühren senkt. Die Abrechnung für einen aktualisierten Datenträger wird automatisch aktualisiert, um den anteilsmäßigen Unterschied des neuen Preises zum aktuellen Abrechnungszyklus hinzuzufügen. Der neue Betrag wird dann vollständig erst im nächsten Abrechnungszyklus in Rechnung gestellt.

Sie können den Kostenschätzer in der IBM Cloud-Konsole verwenden, um zu sehen, wie sich Änderungen der Kapazität und der E/A-Operationen pro Sekunde auf die Kosten auswirken. Weitere Informationen finden Sie unter Kosten schätzen.

Wo finde ich Preisinformationen?

Gehen Sie in der Konsole auf die Seite Speichervolumen für VPC-Bereitstellung blockieren und klicken Sie auf die Registerkarte Preisgestaltung. Auf der Registerkarte Preisgestaltung können Sie die Details des Preisplans für jedes Volumenprofil auf der Grundlage der ausgewählten Geografie, Region und Währung anzeigen. Sie können auch zwischen stündlichen und monatlichen Tarifen wechseln.

Sie können die Preisinformationen programmatisch abrufen, indem Sie die globale Katalog-API aufrufen. Weitere Informationen finden Sie unter Dynamische Preisgestaltung.

Wird die Speicherkapazität in GB oder GiB?

Ein verwirrender Aspekt des Speichers sind die Einheiten, in denen Speicherkapazität und Speicherbelegung dokumentiert werden. Manchmal sind GB tatsächlich Gigabyte (base-10) und manchmal stellen GB Gibibyte (base-2) dar, die mit GiBabgekürzt werden müssen.

Menschen denken und berechnen normalerweise Zahlen im Dezimalsystem (base-10). In unserer Dokumentation beziehen wir uns auf die Speicherkapazität in der Einheit GB (Gigabyte), um der Standardterminologie der Branche zu entsprechen. In der Konsole, CLI, API und Terraform sehen Sie die verwendete und angezeigte Einheit GB, wenn Sie die Kapazität abfragen. Wenn Sie einen 4-TB-Datenträger bestellen möchten, geben Sie 4.000 GB in Ihre Bereitstellungsanforderung ein.

Computer arbeiten jedoch binär, sodass es sinnvoller ist, einige Ressourcen wie Speicheradressräume in base-2darzustellen. Seit 1984 zeigen Computerdateisysteme Größen in base-2 zusammen mit dem Speicher an. Damals waren die verfügbaren Speichereinheiten kleiner und die Größendifferenz zwischen den Binär-und Dezimaleinheiten war vernachlässigbar. Nun, da die verfügbaren Speichersysteme erheblich größer sind, führt dieser Einheitenunterschied zu Verwirrung.

Die Differenz zwischen GB und GiB liegt in ihrer numerischen Darstellung:

• GB (Gigabyte) ist eine Dezimaleinheit, wobei 1 GB 1.000.000.000 Byte entspricht. Wenn Sie GB in TB konvertieren, verwenden Sie 1000 als Multiplikator.
• GiB (Gibibyte) ist eine binäre Einheit, wobei 1 GiB 1.073.741.824 Byte entspricht. Wenn Sie konvertieren GiB Zu TiB, Sie verwenden 1024 als Multiplikator.

Die folgende Tabelle zeigt dieselbe Anzahl Byte, ausgedrückt in Dezimal-und Binäreinheiten.

Das Speichersystem verwendet base-2-Einheiten für die Datenträgerzuordnung. Wenn Ihr Datenträger also als 4.000 GB bereitgestellt wird, sind das tatsächlich 4.000 GiB oder 4.294.967.296.000 Byte Speicherplatz. Der bereitgestellte Datenträger ist größer als 4 TB. Ihr Betriebssystem zeigt die Speichergröße jedoch möglicherweise als 3.9 T, weil es base-2 Konvertierung und das T steht für TiB, keine TB.

Warum stimmt die verfügbare Kapazität, die in meinem Betriebssystem angezeigt wird, nicht mit der Kapazität überein, die ich bereitgestellt habe?

Einer der Gründe kann sein, dass Ihr Betriebssystem die base-2-Konvertierung verwendet. Wenn Sie beispielsweise einen Datenträger mit 4000 GB in der Benutzerschnittstelle bereitstellen, reserviert das Speichersystem 4.000 GiB-Datenträger oder 4.294.967.296.000 Byte Speicherplatz für Sie. Der bereitgestellte Datenträger ist größer als 4 TB. Ihr Betriebssystem zeigt die Speichergröße jedoch möglicherweise als 3.9 T, weil es base-2 Konvertierung und das T steht für TiB, keine TB.

Zweitens reduziert die Partitionierung Ihres Block Storage und die Erstellung eines Dateisystems auf diesem System den verfügbaren Speicherplatz. Der Umfang, um den die Formatierung den Speicherplatz reduziert, hängt von der Art der Formatierung und der Anzahl und Größe der verschiedenen Dateien auf dem System ab.

Nehmen Sie den Datenträger docs-block-test3 als Beispiel. Wir haben während der Bereitstellung 1200 GB angegeben und wenn Sie die Details in der CLI auflisten, können Sie sehen, dass sie die Kapazität von 1200 hat.

ibmcloud is volume r006-6afe1361-b592-45ab-b23b-6cca9982e371

Getting volume r006-6afe1361-b592-45ab-b23b-6cca9982e371 under account Test Account as user test.user@ibm.com...
ID                                     r006-6afe1361-b592-45ab-b23b-6cca9982e371
Name                                   docs-block-test3
CRN                                    crn:v1:bluemix:public:is:us-south-2:a/1234567::volume:r006-6afe1361-b592-45ab-b23b-6cca9982e371
Status                                 available
Attachment state                       attached
Capacity                               1200
IOPS                                   3600
Bandwidth(Mbps)                        471
Profile                                general-purpose
Encryption key                         -
Encryption                             provider_managed
Resource group                         defaults
Created                                2023-08-24T02:32:40+00:00
Zone                                   us-south-2
Health State                           ok
Volume Attachment Instance Reference   Attachment type   Instance ID                                 Instance name        Auto delete   Attachment ID                               Attachment name
                                       data              0727_e99798c7-9783-4f92-8207-96af48561454   docs-demo-instance   false         0727-bc38ec2b-a566-412f-8f76-8eefe5fc9f2c   untaken-senior-coronary-accurate
Active                                 true
Adjustable IOPS                        false
Busy                                   false
Tags                                   dev:test

Wenn Sie Ihre Speichereinheiten über die Befehlszeile Ihres Servers auflisten, können Sie denselben Datenträger wie vdc mit einer Größe von 1.2Tanzeigen. Das T steht für Tebibyte, eine base-2-Einheit, die 2 ^ 40 ^ entspricht.

[root@docs-demo-instance ~]# lsblk
NAME   MAJ:MIN RM  SIZE RO TYPE MOUNTPOINT
vda    253:0    0  100G  0 disk
├─vda1 253:1    0  200M  0 part /boot/efi
└─vda2 253:2    0 99.8G  0 part /
vdb    253:16   0 69.9G  0 disk
vdc    253:32   0  1.2T  0 disk /myvolumedir
vdd    253:48   0  370K  0 disk
vde    253:64   0   44K  0 disk

Dasselbe vdc-Laufwerk zeigt 1181679068 K verfügbare Kapazität an, wenn es mit einem ext4-Dateisystem formatiert wird. Es ist normal und erwartet.

[root@docs-demo-instance ~]# df -hk
Filesystem      1K-blocks    Used  Available Use% Mounted on
devtmpfs          3993976       0    3993976   0% /dev
tmpfs             4004356       0    4004356   0% /dev/shm
tmpfs             4004356   33316    3971040   1% /run
tmpfs             4004356       0    4004356   0% /sys/fs/cgroup
/dev/vda2       102877120 1182048   96446100   2% /
/dev/vda1          204580   11468     193112   6% /boot/efi
/dev/vdc       1238411052   72148 1181679068   1% /myvolumedir
tmpfs              800872       0     800872   0% /run/user/0

Bestehen Begrenzungen für die Anzahl von Datenträgern, die ich erstellen kann?

Sie können pro Konto in einer Region insgesamt bis zu 300 Block Storage for VPC-Volumes (Daten- und Boot-Volumes) erstellen. Um dieses Kontingent zu erhöhen, öffnen Sie einen Supportfall und geben Sie die Zone an, in der Sie weitere Datenträger benötigen.

Kann die Kapazität eines Datenvolumens, das mit einer bestimmten Kapazität erstellt wurde, später erhöht werden?

Sie können die Kapazität von Datenträgern erhöhen, die an eine virtuelle Serverinstanz angeschlossen sind. Abhängig von Ihrem Datenträgerprofil können Sie die Kapazität in GB-Schritten auf bis zu 16.000 GB vergrößern. Weitere Informationen finden Sie unter Block Storage for VPC-Datenträgerkapazität erhöhen.

Kann ich die Kapazität eines Startvolumens erhöhen?

Die Kapazität des Bootdatenträgers kann während der Instanzbereitstellung oder später erhöht werden, indem der Bootdatenträger direkt geändert wird. Die maximale Kapazität für Boot-Volumes, die die Volume-Profile der ersten Generation wie general-purpose oder custom verwenden, beträgt 250 GB. Wenn Sie das sdp Profil der zweiten Generation verwenden, kann Ihr Boot-Volume bis zu 32.000 GB groß sein. Diese Funktion gilt für Instanzen, die aus Standard- oder benutzerdefinierten Images erstellt werden. Sie können beim Erstellen einer Instanzvorlage auch eine größere Kapazität für das Boot-Volume festlegen. Weitere Informationen finden Sie unter Erhöhen der Kapazität des Boot-Volumes.

Kann ich die Kapazität des Bootdatenträgers für eine vorhandene Instanz ändern?

Ja, die Kapazität des Bootdatenträgers kann für eine vorhandene Instanz erhöht werden. Wählen Sie beispielsweise in der Konsole ein Startvolume aus der Liste der Block Storage for VPC-Volumes aus und passen Sie anschließend die Größe des Volumes auf der Seite mit den Volume-Details an. Weitere Informationen finden Sie unter Erhöhen der Kapazität des Boot-Volumes in der Liste der Block Storage for VPC Volumes in der Konsole. Sie können auch die CLI oder die API verwenden.

Wie viele Datenträger kann ich in meinem Konto bereitstellen?

Sie können pro Konto in einer Region bis zu 300 Block Storage for VPC-Volumes bereitstellen. Sie können eine Erhöhung Ihres Kontingents beantragen, indem Sie einen Support-Fall eröffnen und die Region angeben, in der Sie mehr Speicherkapazität benötigen. Weitere Informationen zur Erstellung eines Support-Falls, wenn Sie Block Storage for VPC-Volumes bestellen oder eine Erhöhung Ihrer Volume- oder Kapazitätsgrenzen beantragen, finden Sie unter Verwalten der Volume-Anzahl und der Kapazitätsgrenzen.

Kann ich gemeinsam genutzten Speicher in einem Mehrzonencluster einrichten?

Im IBM Cloud® sind die Speicheroptionen auf eine Verfügbarkeitszone beschränkt. Versuchen Sie nicht, gemeinsam genutzten Speicher über mehrere Zonen hinweg zu verwalten.

Verwenden Sie stattdessen eine klassische IBM Cloud® Service-Option außerhalb einer VPC, z. B. das regionale Speicher-Repository oder IBM® Cloudant® for IBM Cloud®, wenn Sie Ihre Daten über mehrere Zonen und Regionen hinweg gemeinsam nutzen müssen.

Ich verfüge über Datenträger in der klassischen Infrastruktur. Kann ich diese Datenträger auf Virtual Private Cloud (VPC) umstellen?

Nein. Die VPC bietet Zugriff auf neue Verfügbarkeitszonen in Regionen mit mehreren Zonen. Die Funktionalität der Rechenressourcens-, Netz- und Speicherressourcen sind auf VPC ausgelegt.

Kann ich aus meinen vorhandenen Startvolumes benutzerdefinierte Images erstellen?

Ja, Sie können ein benutzerdefiniertes Bild direkt aus einem Block Storage for VPC Startvolume. Anschließend können Sie das benutzerdefinierte Image verwenden, um weitere virtuelle Serverinstanzen bereitzustellen. Weitere Informationen finden Sie unter Informationen zum Erstellen eines Image aus einem Datenträger.

Wie wird der Bootdatenträger für eine Instanz erstellt und in welcher Beziehung steht er zu dem Image der virtuellen Maschine?

Der Bootdatenträger wird erstellt, wenn Sie eine virtuelle Serverinstanz bereitstellen. Die Boot-Diskette einer Instanz ist eine exakte Kopie (Klon) des Images der virtuellen Maschine, die ausgewählt wurde. Die Boot-Diskette enthält das Betriebssystem und jede zusätzliche Software, die für den Start der Instanz erforderlich ist. Das Image der virtuellen Maschine ist eine Vorlage, die zur Erstellung mehrerer Instanzen verwendet werden kann. Bei den meisten Standardkonfigurationen beträgt die Kapazität des Startvolumens 100 GB. Wenn Sie ein benutzerdefiniertes Image über die Befehlszeilenschnittstelle (CLI), die API oder Terraform importieren, kann die Kapazität des Boot-Volumes 10-250 GB oder 10-32.000 GB betragen, je nach Volume-Profil und Anforderungen des Images. Images, die kleiner als 10 GB sind, werden bis auf 10 GB gerundet.

Wann kann ich ein Block Storage for VPC Volume löschen?

Sie können ein Block Storage for VPC-Volume nur löschen, wenn es nicht an eine virtuelle Serverinstanz angehängt ist.

Sie müssen das Data-Volume abhängen, bevor Sie es löschen können. Sie können die Funktion Automatisches Löschen auch in der Konsole, über die CLI oder mithilfe der API aktivieren. Wenn die automatische Löschung aktiviert ist, wird das Datenvolume zusammen mit der Instanz gelöscht.

Standardmäßig werden Boot-Volumes beim Löschen der Instanz getrennt und gelöscht. Wenn Sie Ihr Startvolume behalten möchten, deaktivieren Sie die Funktion Automatisches Löschen. Weitere Informationen finden Sie unter Block Storage for VPC-Volumes verwalten.

Was passiert mit meinen Daten, wenn ich ein Block Storage for VPC-Datenvolume lösche?

Wenn Sie ein Block Storage for VPC-Volume löschen, sind Ihre Daten sofort nicht mehr zugänglich. Alle Verweise auf die Daten auf diesem Datenträger werden entfernt. Die nicht mehr zugänglichen Daten werden irgendwann überschrieben, da neue Daten auf den Datenblock geschrieben werden. IBM garantiert, dass auf gelöschte Daten kein Zugriff möglich ist und dass gelöschte Daten letztendlich überschrieben werden. Weitere Informationen finden Sie unter Block Storage for VPC-Datentilgung.

Ich habe Compliance-Anforderungen für die Datenlöschung. Was kann ich tun, um sicherzustellen, dass meine Daten nicht zugänglich sind?

IBM Stellt sicher, dass Ihre Daten auf der physischen Festplatte nicht mehr zugänglich sind und schließlich endgültig gelöscht werden. Falls Sie zusätzlichen Compliance-Anforderungen unterliegen (z. B. NIST 800-88 Guidelines for Media Sanitization), müssen Sie vor dem Löschen Ihrer Datenträger Datenhygieneprozeduren durchführen. Weitere Informationen finden Sie in den NIST 800-88-Richtlinien zur Datenträgerbereinigung.

Welche Regeln gelten für Datenträgernamen und kann ich einen Datenträger später umbenennen?

Gültige Datenträgernamen können eine Kombination aus alphanumerischen Zeichen in Kleinschreibung (a-z, 0-9) und dem Bindestrich (-) enthalten, die bis zu 63 Zeichen umfasst. Datenträgernamen müssen mit einem Kleinbuchstaben beginnen und innerhalb der gesamten VPC-Infrastruktur eindeutig sein.

Sie können den Namen eines vorhandenen Volumes in der Konsole ändern. Weitere Informationen finden Sie unter Block Storage for VPC.

Muss das Volume vorgewärmt werden, um den erwarteten Durchsatz zu erreichen?

Es ist keine Vorlaufphase für Datenträger erforderlich. Der angegebene Durchsatz wird sofort nach der Bereitstellung des Datenträgers angezeigt, wenn Sie den Datenträger aus einem Image erstellen.

Es kann zu Leistungseinbußen kommen, wenn Sie das Volume durch Wiederherstellung von einem Gen 1-Snapshot bereitstellen. Ein Gen 1-Datenträger, der von einem Schnellwiederherstellungs-Snapshot-Klon wiederhergestellt wird, ist sofort betriebsbereit.

Was ist ein Block Storage for VPC-Snapshot?

Snapshots sind eine manuell erstellte Momentaufnahme Ihres Block Storage for VPC-Boot- oder Datenvolumes. Der erste Snapshot, den Sie erstellen, ist eine vollständige Sicherung des Datenträgers. Nachfolgende Snapshots desselben Volumes erfassen nur die Änderungen seit dem letzten Snapshot. Weitere Informationen finden Sie unter Informationen zu Block Storage for VPC Snapshots für VPC.

Was ist eine Sicherungsmomentaufnahme?

Sicherungsmomentaufnahmen, einfach "Sicherungen" genannt, sind Momentaufnahmen, die vom Backup for VPC-Service automatisch erstellt werden. Weitere Informationen finden Sie unter Informationen zu Backup for VPC.

Kann ich Datensicherungen für die Disaster-Recovery durchführen?

Block Storage for VPC schützt Ihre Daten über redundante Fehlerzonen in Ihrer Region. Mit dem Sicherungsservice können Sie Ihre Datenträgerdaten regelmäßig nach einem von Ihnen definierten Zeitplan sichern. Sie können Sicherungsmomentaufnahmen so oft wie 1 Stunde erstellen. Der Sicherungsservice stellt jedoch keine fortlaufende Sicherung mit automatischer Funktionsübernahme bereit und die Wiederherstellung eines Datenträgers aus einer Sicherung oder Momentaufnahme ist eine manuelle Operation, die Zeit in Anspruch nimmt. Wenn Sie ein höheres Service-Level für die automatische Notfallwiederherstellung benötigen, lesen Sie die Informationen unter IBM Cloud-Disaster-Recovery-Lösungen.

Kann ich ein Volume aus einem Snapshot wiederherstellen?

Die Wiederherstellung aus einem Snapshot erstellt ein neues, vollständig bereitgestelltes Boot- oder Datenvolume. Sie können Speicherdatenträger während der Instanzerstellung, Instanzänderung oder bei der Bereitstellung eines neuen eigenständigen Datenträgers zurückschreiben. Bei Datenträgern können Sie auch die volumes-API verwenden, um einen Datenträger aus einer Momentaufnahme zu erstellen. Weitere Informationen finden Sie unter Datenträger aus einem Snapshot wiederherstellen.

Für eine optimale Leistung können Sie Momentaufnahmen für die Schnellzurückschreibung aktivieren. Mit der Schnellzurückschreibungsfunktion können Sie einen Datenträger aus einem Snapshot erstellen, der vollständig bereitgestellt wird, wenn der Datenträger erstellt wird. Weitere Informationen finden Sie unter Schnellzurückschreibung von Momentaufnahmen.

Kann ich Tags zu einem Datenträger hinzufügen?

Ja, Sie können Ihren Datenträgern Benutzertags und Zugriffsmanagementtags hinzufügen. Benutzertags werden vom Sicherungsservice verwendet, um automatisch Sicherungsmomentaufnahmen des Datenträgers zu erstellen. Mithilfe von Zugriffsmanagementtags können Sie den Zugriff auf Ihre Block Storage for VPC-Datenträger organisieren. Weitere Informationen finden Sie unter Tags für Block Storage for VPC-Datenträger.

Was sind E/A-Operationen pro Sekunde und wie bezieht sie sich auf die Leistung meines Block Storage for VPC-Datenträgers?

Die Anzahl der Ein- und Ausgabevorgänge pro Sekunde (IOPS) dient zur Messung der Leistung Ihrer Block Storage for VPC-Volumes. Eine Reihe von Variablen wirkt sich auf die IOPS-Werte aus, z. B. das Gleichgewicht in Bezug auf Lese-/Schreiboperationen, Warteschlangenlänge und Datenblockgröße. Im Allgemeinen gilt: Je höher die IOPS Ihrer Block Storage for VPC-Volumes sind, desto besser ist die Leistung. Weitere Informationen zu den erwarteten IOPS für Block Storage for VPC-Profile finden Sie unter Profile. Weitere Informationen dazu, wie sich die Blockgröße auf die Leistung auswirkt, finden Sie unter Block Storage: Kapazität und Leistung.

Werden die zugeordneten E/A-Operationen pro Sekunde auf Instanz- oder Datenträgerebene umgesetzt?

IOPS werden auf Datenträgerebene durchgesetzt.

Was sind Volume-Profile und wie wirken sie sich auf die Leistung von Volumes aus?

Volumenprofile definieren die IOPS/GB-Leistung für Volumes mit unterschiedlichen Kapazitäten. Das sdp profil bietet die größte Flexibilität in Bezug auf Kapazität, benutzerdefinierte IOPS- und Bandbreitenwerte. Sie können aus drei vordefinierten IOPS-Tiers wählen, die eine zuverlässige IOPS-Leistung für Ihre Workload-Anforderungen bieten. Sie können auch das benutzerdefinierte Profil auswählen und die IOPS und die Kapazität angeben. Angepasste IOPS-Werte stellen eine gute Option dar, wenn Sie über klar strukturierte Leistungsanforderungen verfügen, die von den vordefinierten IOPS-Tiers nicht abgedeckt werden.

Die maximale IOPS-Anzahl für Datenträger variiert entsprechend der Datenträgergröße und dem Profiltyp, die Sie auswählen.

Die IOPS-Werte werden anhand eines Lastprofils aus 16-KB-Blöcken gemessen, bei dem zu 50 % zufällige Lese- und zu 50 % zufällige Schreibvorgänge stattfinden. Bei Workloads, die von diesem Profil abweichen, kann es zu einer Leistungsminderung kommen. Bei Verwendung einer kleineren Blockgröße lässt sich zwar die maximale IOPS-Rate erzielen, der Durchsatz ist jedoch geringer. Weitere Informationen bietet der Abschnitt Auswirkung der Blockgröße auf die Leistung.

Was geschieht, wenn sich ein Datenträger in einem verminderten Zustand befindet?

Der Gesundheitszustand eines Volumes gibt an, ob ein Volume entsprechend seinem Status wie erwartet funktioniert. Der Datenträgerzustand kann OK, vermindert, nicht anwendbar oder fehlerhaft sein, je nachdem, was geschieht. Ein verminderter Status wird beispielsweise angezeigt, wenn ein Datenträger aus einer Momentaufnahme zurückgeschrieben wird und der Datenträger noch nicht vollständig zurückgeschrieben wurde. Weitere Informationen zum Datenträgerzustandsstatus finden Sie in Block Storage for VPC Datenträgerzustandsstatus.

Wie sicher sind die Daten in einem Block Storage for VPC-Datenträger?

Alle Block Storage for VPC-Volumes werden im Ruhezustand mithilfe der von IBM verwalteten Verschlüsselung verschlüsselt. IBM-Verwaltete Schlüssel werden generiert und sicher in einem Block Storage for VPC-Tresor gespeichert, der auf Consul basiert und vom IBM Cloud®-Betrieb verwaltet wird. Weitere Informationen zu den Industriestandardprotokollen IBM Cloud® zur Verschlüsselung verwendet, finden Sie unter IBM-verwaltete Verschlüsselung.

Bei höheren Sicherheitsanforderungen können Sie Ihre Daten mithilfe Ihrer eigenen Kundenrootschlüssel (Customer Root Keys, CRKs) schützen. Sie können Ihre Root-Schlüssel in einen unterstützten Schlüsselverwaltungsdienst (KMS) importieren oder dort erstellen. Ihre Root-Schlüssel werden vom unterstützten KMS sicher verwaltet. Ihre Schlüsselinformationen sind sowohl bei der Übertragung als auch im gespeicherten Zustand geschützt.

Weitere Informationen hierzu finden Sie unter Unterstützte Schlüsselmanagementservices für vom Kunden verwaltete Verschlüsselung. Informationen zum Konfigurieren der kundenverwalteten Verschlüsselung finden Sie unter Block Storage for VPC-Datenträger mit vom Kunden verwalteter Verschlüsselung erstellen

Sie steuern den Zugriff auf Ihre in KMS-Instanzen innerhalb von IBM Cloud® gespeicherten Root-Schlüssel mithilfe von IBM (IAM) unter Cloud Identity and Access Management. Sie gewähren dem Dienst IBM Block Storage for VPC Zugriff auf Ihre Schlüssel. Mit der API können Sie ein primäres Konto, das einen Rootschlüssel enthält, mit einem sekundären Konto verknüpfen und diesen Schlüssel anschließend zum Verschlüsseln neuer Datenträger im sekundären Konto verwenden. Weitere Informationen finden Sie unter Kontenübergreifende Verschlüsselung für Multi-Tenant-Speicherressourcen.

Sie können den Zugriff auch jederzeit widerrufen, beispielsweise wenn Sie den Verdacht haben, dass Ihre Schlüssel kompromittiert worden sein könnten. Außerdem können Sie einen Rootschlüssel inaktivieren oder löschen oder den Zugriff auf die zugehörigen Daten des Schlüssels in der Cloud vorübergehend widerrufen. Weitere Informationen finden Sie unter Verwalten der Datenverschlüsselung.

Welche Vorteile bietet die Verwendung einer vom Kunden verwalteten Verschlüsselung gegenüber einer vom Provider verwalteten Verschlüsselung?

Die vom Kunden verwaltete Verschlüsselung erstellt eine Umschlagverschlüsselung für Ihre Block Storage for VPC-Volumes mit Ihren eigenen Stammschlüsseln. Sie haben die vollständige Kontrolle über Ihre Datensicherheit, können den Zugriff auf Ihre Schlüssel verwalten und Schlüssel nach Belieben rotieren und widerrufen. Weitere Informationen finden Sie unter Vorteile von vom Kunden verwalteter Verschlüsselung.

Welche Verschlüsselungstechnologie wird für vom Kunden verwaltete Verschlüsselung verwendet?

Virtuelle Plattenimages für VPC verwenden das Dateiformat QCOW2 (QEMU Copy On Write Version 2). Die Dateien im Format QCOW2 werden über das LUKS-Verschlüsselungsformat geschützt. IBM verwendet derzeit die Cipher Suite AES-256 und die XTS-Verschlüsselungsmodusoptionen mit LUKS. Diese Kombination bietet ein deutlich höheres Maß an Sicherheit als AES-CBC sowie eine bessere Verwaltung der Kennphrasen für die Schlüsselrotation und Schlüsselaustauschoptionen für den Fall, dass ein Schlüssel in falsche Hände gerät.

Was sind Hauptverschlüsselungsschlüssel und wie werden sie meinen Block Storage for VPC-Volumes zugewiesen?

Jedem Volume wird ein eindeutiger Hauptverschlüsselungsschlüssel zugewiesen, der so genannte DEK (Data Encryption Key), der vom Host-Hypervisor der Instanz generiert wird. Der Hauptschlüssel für jedes Block Storage for VPC-Volume wird mit einer eindeutigen, vom KMS generierten LUKS-Passphrase verschlüsselt, die anschließend mit Ihrem Kunden-Root-Schlüssel (CRK) verschlüsselt und im KMS gespeichert wird. Passphrasen sind AES-256-Verschlüsselungsschlüssel, was bedeutet, dass sie 32 Byte lang sind und nicht auf druckbare Zeichen beschränkt sind. Sie können den Cloud-Ressourcennamen (CRN) für das CRK anzeigen, das zur Verschlüsselung eines Volumes verwendet wird. Kundenrootschlüssel, LUKS-Kennphrase und Masterverschlüsselungsschlüssel eines Datenträgers werden jedoch niemals offengelegt. Weitere Informationen zu allen Schlüsseln, die IBM VPC verwendet, um Ihre Daten zu schützen, finden Sie unter IBM Verschlüsselungstechnologie - So werden Ihre Daten geschützt.

Ich nutze vom Kunden verwaltete Verschlüsselung für meine Datenträger. Was passiert, wenn ich meinen Rootschlüssel inaktiviere oder lösche?

Bei diesen Aktionen handelt es sich um zwei separate Vorgänge. Bei der Inaktivierung eines Rootschlüssels in Ihrer KMS werden die zugehörigen Verschlüsselungs- und Entschlüsselungsoperationen ausgesetzt, wodurch der Schlüssel in den Status 'Ausgesetzt' versetzt wird. Die Workloads werden weiterhin in virtuellen Serverinstanzen ausgeführt, und die Boot-Volumes bleiben verschlüsselt. Datenträger bleiben angehängt. Wenn Sie jedoch die VM herunterfahren und anschließend erneut starten, werden Instanzen mit verschlüsselten Bootdatenträgern nicht gestartet. Sie können einen Rootschlüssel, der sich im Aussetzstatus befindet, wieder aktivieren und so den normalen Betrieb wiederaufnehmen. Weitere Informationen finden Sie unter Rootschlüssel inaktivieren.

Das Löschen eines Rootschlüssels hat weiterreichende Konsequenzen. Beim Löschen eines Rootschlüssels wird die Verwendung des Schlüssels für sämtliche Ressourcen in der VPC gelöscht. Standardmäßig verhindert das KMS, dass Sie einen Rootschlüssel löschen, der eine Ressource aktiv schützt. Sie können die Löschung eines Rootschlüssels jedoch erzwingen. Innerhalb eines begrenzten Zeitraums besteht die Möglichkeit, einen gelöschten Rootschlüssel wiederherzustellen, wenn dieser in den Schlüsselmanagementservice (KMS) importiert wurde. Weitere Informationen hierzu finden Sie unter Rootschlüssel löschen.

Kann ich die IAM-Autorisierung von Cloud- Block Storage for VPC n für den KMS entfernen und trotzdem meine Block Storage for VPC-Volumes mit kundenverwalteter Verschlüsselung löschen?

Wenn Sie die IAM-Berechtigung entfernen, bevor Sie Ihren BYOK-Datenträger (oder Image) löschen, wird die Löschoperation abgeschlossen, ohne die Registrierung der Rootschlüssel in der KMS-Instanz aufzuheben. Mit anderen Worten: Der Root-Schlüssel bleibt für eine Ressource registriert, die nicht existiert. Achten Sie darauf, dass Sie eine BYOK-Ressource stets löschen, bevor Sie die IAM-Autorisierung entfernen. Weitere Informationen zum sicheren Entfernen der Serviceautorisierung finden Sie in Serviceautorisierung für einen Rootschlüssel entfernen.

Was kann ich tun, wenn mein Root-Schlüssel kompromittiert wurde?

Führen Sie wie üblich ein Backup für Ihre Daten durch. Löschen Sie anschließend den kompromittierten Root-Schlüssel und fahren Sie die Instanz mit den Volumes herunter, die mit diesem Schlüssel verschlüsselt sind.

Ziehen Sie auch in Betracht, eine Richtlinie für die Schlüsselrotation festzulegen, durch die eine automatische Schlüsselrotation nach einem Zeitplan durchgeführt wird. Weitere Informationen finden Sie unter Schlüsselrotation für VPC-Ressourcen.

Was ist eine Schlüsselrotation?

Bei IBM Cloud VPC-Ressourcen wie Block Storage for VPC-Volumes, die durch Ihren Kunden-Root-Schlüssel (CRK) geschützt sind, können Sie die Root-Schlüssel aus Sicherheitsgründen regelmäßig wechseln. Wenn Sie einen Rootschlüssel unter Verwendung eines Zeitplans oder auf Anforderung turnusgemäß wechseln, werden die ursprünglichen Schlüsselinformationen ersetzt. Der alte Schlüssel bleibt zum Entschlüsseln vorhandener Datenträger aktiv, kann aber nicht zum Verschlüsseln neuer Datenträger verwendet werden. Weitere Informationen finden Sie unter Schlüsselrotation für VPC-Ressourcen.

Wie funktioniert eine Schlüsselrotation?

Vom Kunden verwaltete verschlüsselte Ressourcen wie Block Storage for VPC-Volumes verwenden Ihren Root-Schlüssel (CRK) als Root-of-Trust-Schlüssel, der eine LUKS-Passphrase verschlüsselt, die wiederum einen Hauptschlüssel verschlüsselt, der das Volume schützt. Sie können den Rootschlüssel für den Kunden (CRK) in eine Instanz eines Schlüsselmanagementservice (Key Management Service, KMS) importieren oder den KMS anweisen, einen CRK zu generieren. Rootschlüssel werden in der KMS-Instanz turnusgemäß gewechselt.

Wenn Sie einen Rootschlüssel turnusmäßig wechseln, wird durch das Erstellen oder Importieren neuer Verschlüsselungsschlüsselinformationen eine neue Version des Schlüssels erstellt. Der alte Rootschlüssel wird außer Kraft gesetzt und bleibt zum Entschlüsseln vorhandener Datenträger verfügbar; er ist jedoch nicht zum Verschlüsseln neuer Datenträger verfügbar. Neue Ressourcen werden durch den neuesten Schlüssel geschützt. Weitere Informationen finden Sie unter Funktionsweise der Schlüsselrotation.

Wird mir die Verwendung von vom Kunden verwalteter Verschlüsselung in Rechnung gestellt?

Für das Erstellen von Datenträgern mit vom Kunden verwalteter Verschlüsselung werden keine zusätzlichen Gebühren berechnet. Die Einrichtung einer Key Protect-Instanz zum Importieren, Erstellen und Verwalten Ihrer Root-Schlüssel ist jedoch nicht kostenlos. Nähere Informationen erhalten Sie bei Ihren Ansprechpartner beim IBM Kundenservice.

Kann ich bei meinen Datenträgern von vom Provider verwalteter Verschlüsselung zu vom Kunden verwalteter Verschlüsselung wechseln?

Nein. Wenn Sie einen Datenträger bereitgestellt und den Verschlüsselungstyp angegeben haben, ist eine Änderung des Verschlüsselungstyps nicht mehr möglich.