ブート・ボリューム

インスタンスの作成時に、ブートボリュームにストックイメージ、カスタムイメージ、スナップショットのいずれを使用するかを指定できます。 ブートボリュームの容量は、イメージの最小プロビジョニングサイズまたはスナップショットのサイズに依存します。 画像やスナップショットのサイズと同じかそれ以上でなければなりません。 ほとんどのストックイメージは100GBのブートボリュームを必要とする。 Linux ストック・イメージの中には、わずか10GBの容量のブート・ボリュームにインストールできるものもありますが、Windows ストック・イメージの中には、最低40GBが必要なものもあります。 カスタムイメージをインポートする場合、その最小プロビジョニングサイズは 10 ～ 250 GB です。 10 GB より小さいイメージは、10 GB に切り上げられます。

ストックイメージを使用してインスタンスを作成する際、ボリュームプロファイルと容量を指定しない場合、デフォルトで「 general-purpose 」プロファイルの100 GBのブートボリュームが作成され、インスタンスにアタッチされます。

コンソールを使用してインスタンスをプロビジョニングする場合、ブートボリュームのデフォルトの選択肢は「 general-purpose 」ボリュームプロファイルになります。 CLI、API、またはTerraformを使用してブートボリュームをプロビジョニングする際は、「 tiered 」、「 custom 」、または「 defined performance 」の各ボリュームプロファイルファミリーに含まれるプロファイルを任意に指定できます。 許可リストに登録された顧客は、 sdp プロファイルを使用してブートボリュームをプロビジョニングすることもできます。

第1世代のボリュームプロファイルのいずれかを使用する場合、ブートボリュームの容量は10 GBから250 GBの間で指定できます。 sdp プロファイルを使用する場合、ブートボリュームの最大容量は32,000 GBとなります。 ブートボリュームの容量が、使用したいイメージまたは起動可能なスナップショットのサイズと同等か、それ以上であることを確認してください。

第一世代のプロファイルを使用している場合、ブートボリュームは最大250GBまで拡張できる。 第 2 世代のボリューム・プロファイル（ sdp など）を使用する場合、ブート・ ボリュームの容量を最大 32,000 GB まで増やすことができます。 ブートボリューム容量を増やした後、減らすことはできません。

250GBを超えるブートボリュームはカスタムイメージの作成に使用できません。

デフォルトでは、ブート・ボリュームは IBM 管理の暗号化を使用して暗号化されます。 オプションで、インスタンスの作成時にお客様管理の暗号化を選択してお客様所有のルート鍵 (CRK) を使用することもできます (お客様管理の暗号化を参照)。

デフォルトでは、インスタンスを削除すると、ブート・ボリュームは削除されます。 自動削除の設定は、コンソール、CLI、およびAPIから変更できます。 ブート・ボリュームを接続解除するには、そのボリュームが接続されているインスタンスを削除する必要があります。 インスタンスが存在している間は、そのインスタンスからブート・ボリュームを切り離すことはできません。 詳細については、 Block Storage for VPC ボリュームの管理を 参照。

データ・ボリューム

Block Storage for VPC データボリュームはセカンダリボリュームであり、第2世代ボリュームの総容量範囲は1 GBから32,000 GB、第1世代ボリュームは10 GBから16,000 GBです。 データボリュームの最大IOPSは、ボリュームサイズとプロファイルによって異なります。 詳しくは、Block Storage for VPC プロファイルを参照してください。

データ・ボリュームは、スタンドアロン・ボリュームとして作成するか、インスタンスのプロビジョン時に作成することができます。 スタンドアロン・ボリュームは、ユーザーによりインスタンスに接続されるまで未接続の状態になります。 インスタンスのプロビジョニングの一部としてデータ・ボリュームを作成する場合は、そのボリュームはインスタンスに自動的に接続されます。

デフォルトでは、データ・ボリュームは IBM 管理の暗号化を使用して暗号化されます。 また、独自のルートキーを使用してデータボリュームを暗号化することもできます。 鍵管理サービスには、 Hyper Protect Virtual Servers または IBM Key Protect for IBM Cloud を使用できます。

Block Storage for VPC データボリュームは、 お客様 アカウントおよび権限に基づき、 一定の制限の 範囲内で、ゾーン内の利用可能なインスタンスにアタッチすることができます。

インスタンスが削除されると、これらのボリュームはデフォルトで切り離される。 デフォルトで切り離されることにより、仮想サーバー・インスタンスのライフサイクルを超えてデータを保持できます。 インスタンスとのボリュームの関連付けのみが削除される。 切り離されたボリュームは、実行中の使用可能なインスタンスに接続できます。ボリュームもインスタンスも再プロビジョンする必要はありません。 あるいは、データボリュームをアンマウントした後、手動で削除することもできます。

ボリュームを作成する際、インスタンスが削除された際にデータボリュームも削除するかどうかを指定できます。 コンソール、CLI、またはAPIを使用して、自動削除機能を有効または無効にすることができます。

コンソール、CLI、またはAPIを使用して、アタッチされたボリュームのサイズを増やすこともできます。 第1世代のボリュームについては、ボリュームプロファイルに応じて、1 GB単位で容量を増やし、最大16,000 GBまで拡張できます。 sdp プロファイルを使用する第 2 世代ボリュームでは、最大 32,000 GB まで容量を増やすことができます。 詳細については、 Block Storage for VPC ボリューム容量の拡張 および Block Storage for VPC ボリュームの 管理を参照してください。

SSDの定義済みパフォーマンスプロファイル

sdp プロファイルは、一部のお客様のみご利用いただけます。 アクセスをご希望の場合は、 IBM アカウント担当チームにお問い合わせいただくか、 サポートチケットをご登録ください。

SSDの「Defined Performance」プロファイルは、ダラス（us-south ）、 チェンナイ (in-che)、フランクフルト (eu-de)、ロンドン (eu-gb)、マドリード (eu-es)、モントリオール (ca-mon)、ムンバイ (in-mum)、大阪 (jp-osa)、サンパウロ (br-sao)、シドニー (au-syd)、東京 (jp-tok)、トロント (ca-tor)、およびワシントン (us-east) の各リージョンで利用可能です。 第2世代ボリュームについては、カスタム容量、カスタムスループット制限、およびカスタムIOPSを指定できます。

このリリースには、以下の制限が適用されます。

• sdp プロファイルは、第2世代および第3世代のComputeリソースでのみ使用可能です。
• sdp ブートボリュームからのセキュアブートはサポートされていません。 Intel Gen 3 または Confidential Computing の インスタンスプロファイルと sdp ブートボリュームを使用して仮想サーバーインスタンスをプロビジョニングする場合は、セキュアブートを有効にしないことを確認してください。
• Accelerated instance profiles - Gen 3での ブートボリュームとしての使用はサポートされません。
• IBM Z プラットフォーム ( s390x アーキテクチャー ) または Bare Metal Servers for VPC には対応していません。
• カスタム暗号化画像のインポートはサポートされていません。
• 顧客が管理する暗号化されたブートボリュームからカスタムイメージを作成することはサポートされていません。
• 250GBを超えるブートボリュームからのカスタムイメージの作成はサポートされていません。
• ゾーン間でのボリュームの移行はサポートされていません。
• sdp プロファイルは、チェンナイ - エアテル (in-che)、ムンバイ - エアテル (in-mum)、モントリオール (ca-mon) リージョンではご利用いただけません。

従来の出来高プロファイル

アベイラビリティゾーン内に Block Storage for VPC ボリュームを作成する際、あらかじめ定義されたIOPSレベルを持つ3種類の階層型プロファイルを利用できます。 または、カスタムプロファイルを選択し、ボリューム容量に基づいて独自のIOPSレベルを定義することもできます。 すべてのプロファイルは、ソリッド・ステート・ドライブ (SSD) を基盤としています。

詳しくは、Block Storage for VPC プロファイルを参照してください。

ボリュームを、従来のボリュームプロファイルから、許可リストに登録された「SSD Defined Performance」プロファイルへ移行することができます。 詳細については、 ブロック・ストレージ・ボリュームの移行を 参照してください。 {: tip} Block Storage for VPC のデータボリュームは、一度に1つのコンピューティングリソースにのみアタッチできます。

ボリュームの作成および管理のためのIAMロール

Block Storage for VPC ロールベースのアクセス制御（RBAC）には、IAMの権限が必要です。 割り当てられたロールに応じて、ボリュームを作成および管理できます。 詳細については、 IAMのロールとアクションBlock Storage for VPC。

詳しくは、アクセス権限を割り当てるためのベスト・プラクティスを参照してください。 アカウントへのユーザーの招待や Cloud IAM アクセス権限の割り当てを含め、IAM プロセス全体については、IAM 入門チュートリアルを参照してください。

IAMサービス間認証

Cloud Identity and Access Management （IAM）を使用すると、あるサービスが別のサービスにアクセスできるようにする承認を作成または削除することができます。 Block Storage for VPC では、顧客が管理する暗号化とバックアップを構成するためのサービス間認証を作成する必要がある。 詳細については、 Block Storage for VPC のサービス間認可の確立を 参照。

コンテキスト・ベースの制約事項

ブロック・ボリューム操作でコンテキスト・ベースの制限（CBR）を有効にできます。 これらの制限は、ID に基づく従来の IAM ポリシーと連携して、追加の保護レイヤーを提供します。 IAMポリシーとは異なり、コンテキストベースの制限ではアクセス権は付与されません。 コンテキストベースの制限は、アクセス要求が、データボリュームの作成など、設定した許可されたコンテキストから来たものであることをチェックします。 詳細については、 コンテキストベースの制限による仮想プライベートクラウド（VPC）インフラストラクチャサービスの保護を 参照してください。

静止時と輸送時の暗号化

すべてのブロックストレージボリュームは、デフォルトで IBM による管理下での暗号化により、保存時に暗号化されます。 IBM Cloud® がデータ暗号化において採用している業界標準のプロトコルに関する詳細については、 IBM-managed encryption を 参照してください。

また、承認済みのキー管理システム（KMS）のいずれかに保存されている独自のルートキーを使用して、エンベロープ暗号化を設定することで、ボリュームを保護することも可能です。 でIBM Cloud KMS は、暗号化キーを使用しているサービスと同じアカウントに配置することも、別のアカウントに配置することもできます。 この展開パターンにより、企業はすべての企業アカウントの暗号化キーを一元管理できます。

データは保存中だけでなく、ストレージからハイパーバイザーやホストへの転送中でも保護されます。 ボリュームの暗号化方式を設定すると、その暗号化方式を変更することはできません。

データ暗号化について詳しくは、VPC のデータ暗号化についてを参照してください。

アクティビティー・トラッキング・イベント

IBM Cloud® Activity Tracker Event Routing、監査イベントのルーティング方法を設定できます。 監査イベントは、セキュリティ運用にとって極めて重要なデータであり、コンプライアンス要件を満たすための重要な要素です。 このようなイベントは、ブロック・ボリュームを作成、変更、または削除したときにトリガーされます。 詳しくは、 IBM Cloud VPC のアクティビティ追跡 イベントをご覧ください。

ユーザー・タグ

ユーザータグは、Cloud Resource Name（CRN）識別子によって一意に識別されます。 ユーザータグを作成する際は、ご自身のアカウント内で一意の名前を指定します。 ユーザータグは、ラベル形式またはキー・バリュー形式で定義できます。

Block Storage for VPC ボリュームを作成するとき、または既存のボリュームを更新するときに、 ユーザータグを追加 できます。 インスタンスの作成 時に、ブート・ボリュームまたはデータ・ボリュームにタグを追加することもできます。

ボリュームユーザータグは、 バックアップポリシー でも使用され、ボリュームの自動バックアップスナップショットを作成するために利用されます。 UI、CLI、API、またはTerraformからユーザータグを作成、表示、管理し、いつでも削除することができます。

アクセス管理タグ

アクセス管理タグ は、柔軟なリソース・グループを作成することでアクセス制御を編成し、IAM ポリシーを更新することなく Block Storage for VPC リソースを拡張できるようにします。

アクセス管理タグを作成し、それらを新規または既存のボリュームに適用することができます。 アクセス管理タグを作成するには、IAM UI またはグローバル検索とタグ付け API を使用します。 次に、VPC UI または API から、ボリュームの作成時または既存のボリュームの変更時にアクセス管理を追加します。 プロビジョニング中は、ボリュームにこれらのタグを追加することはできません。 アクセス管理タグを追加した後、IAM ポリシーを使用してそれらのタグへのアクセスを管理できます。 詳しくは、 Block Storage for VPC ボリュームへのアクセス管理タグの適用 を参照してください。

アカウントのタグの管理について詳しくは、タグの処理を参照してください。