引导卷

创建实例时，可以指定启动卷是使用库存映像、自定义映像还是快照。 启动卷的容量取决于映像的最小预置大小或快照大小。 它必须与图像或快照的尺寸相同或大于图像或快照的尺寸。 大多数股票映像需要 100 GB 的启动盘。 某些 Linux 库存映像可安装在容量只有 10 GB 的启动卷上，而某些 Windows 库存映像则至少需要 40 GB。 如果您要导入自定义映像，其最小分配大小可在 10 至 250 GB 之间。 小于 10 GB 的图像四舍五入为 10 GB。

当您使用预置映像创建实例且未指定卷配置和容量时，系统会默认创建一个采用“general-purpose”配置的 100 GB 启动卷，并将其挂载到该实例上。

如果您使用控制台来配置实例，则启动卷的默认选项是“general-purpose”卷配置文件。 当您通过命令行界面 (CLI)、API 或 Terraform 配置启动卷时，可以指定来自 tiered、custom 或 defined performance 卷配置文件家族中的任意配置文件。 列入白名单的客户还可以使用“sdp”配置文件来配置启动卷。

使用第一代卷配置文件时，您可以将启动卷的容量设置在 10 GB 到 250 GB 之间。 使用“sdp”配置文件时，启动卷的最大容量为 32,000 GB。 请确保启动卷的容量与您要使用的映像或可启动快照的大小相等或大于其大小。

使用第一代配置文件时，启动卷可扩展至 250 GB。 使用第二代卷配置文件（如 sdp ）时，可将启动卷容量增加到 32,000 GB。 增加启动盘容量后，就不能再减少了。

大于 250 GB 的启动卷不能用于创建自定义映像。

默认情况下，启动卷由 IBM 管理型加密功能进行加密。 (可选) 您可以通过在实例创建期间选择客户管理的加密来使用自己的根密钥 (CRK) (请参阅 客户管理的加密)。

缺省情况下，删除实例时将删除引导卷。 您可以在控制台、通过命令行界面（CLI）以及使用 API 来更改“自动删除”设置。 只能通过删除引导卷所连接的实例来将其取消连接。 当实例存在时，无法从实例拆离引导卷。 更多信息，请参阅 管理 Block Storage for VPC 卷。

数据卷

Block Storage for VPC 数据卷是辅助卷，其总容量范围为：第二代卷为1 GB至32,000 GB，第一代卷为10 GB至16,000 GB。 数据卷的最大 IOPS 因卷大小和配置文件而异。 更多信息，请参阅 Block Storage for VPC 个人资料。

您可以将数据卷作为独立卷创建，也可以在为实例分配资源时创建数据卷。 独立卷始终处于未连接状态，直到将卷连接到实例为止。 在实例供应过程中创建数据卷时，卷会自动连接到实例。

缺省情况下，数据卷会使用 IBM 管理的加密进行加密。 您还可以使用自己的根密钥对数据卷进行加密。 您可以使用 Hyper Protect Virtual Servers 或 IBM Key Protect for IBM Cloud 作为密钥管理服务。

Block Storage for VPC 数据卷可根据您的客户账户和权限，在一定限制 范围内，挂载到您所在区域内的任何可用实例上。

删除实例时，默认情况下会分离这些卷。 缺省情况下，拆离操作允许数据的持久存储时间长于虚拟服务器实例生命周期。 只删除卷与实例的关联。 可以将已拆离的卷连接到正在运行的可用实例，而无需重新配置卷或实例。 或者，您也可以在数据卷被卸载后手动将其删除。

创建卷时，您可以指定在删除实例时是否要删除数据卷。 您可以在控制台、通过命令行界面（CLI）或使用 API 启用和禁用“自动删除”功能。

您也可以在控制台、CLI 或 API 中增加所连接卷的大小。 对于第一代卷，可根据卷配置文件，以 GB 为增量增加容量，最高可达 16,000 GB。 对于使用 sdp 配置文件的第二代卷，可以将容量增加到 32,000 GB。 更多信息，请参阅 扩展 Block Storage for VPC 卷容量 和 管理 Block Storage for VPC 卷。

SSD 预设性能配置文件

sdp 个人资料仅向部分客户开放。 如需申请访问权限，请联系您的 IBM 客户团队或提交 支持工单。

SSD“定义性能”配置在达拉斯（us-south ）、金奈（in-che ）、法兰克福（eu-de ）、伦敦（eu-gb ）、马德里（eu-es ）、蒙特利尔（ca-mon ）、孟买（in-mum ）、大阪（jp-osa ）、圣保罗（br-sao ）、悉尼（au-syd ）、东京（jp-tok ）、多伦多（ca-tor ）以及华盛顿（us-east ）等区域提供。 您可以为第二代卷指定自定义容量、自定义吞吐量限制和自定义 IOPS。

本版本受以下限制：

• sdp 配置文件仅适用于第二代和第三代计算资源。
• 不支持从 sdp 启动盘安全启动。 如果要使用 英特尔 Gen 3 或 保密计算 实例配置文件和 sdp 启动卷配置虚拟服务器实例，请确保不启用安全启动。
• 不支持将 加速实例配置文件 - Gen 3 用作启动盘。
• 不支持 IBM Z 平台（ s390x 架构）或 Bare Metal Servers for VPC。
• 不支持导入自定义加密图像。
• 不支持从客户管理加密的启动卷创建自定义映像。
• 不支持从大于 250 GB 的启动卷创建自定义映像。
• 不支持跨区迁移卷。
• sdp 配置文件不适用于钦奈 - Airtel (in-che)、孟买 - Airtel (in-mum) 和蒙特利尔 (ca-mon) 地区。

传统的体积曲线

在可用区中创建 Block Storage for VPC 卷时，您可以使用三种具有预定义IOPS级别的分层配置文件。 您也可以选择自定义配置文件，并根据卷容量定义自己的 IOPS 级别。 所有概要文件都由固态驱动器 (SSD) 支持。

更多信息，请参阅 Block Storage for VPC 个人资料。

您可以将卷从传统卷配置迁移到“白名单”中的 SSD 定义性能配置。 有关详细信息，请参阅 迁移块存储卷。 {: tip}一个 Block Storage for VPC 数据卷一次只能挂载到一个计算资源上。

创建和管理卷的 IAM 角色

Block Storage for VPC 需要 IAM 权限以实现基于角色的访问控制。 根据指定的角色，您可以创建和管理卷。 有关详细信息，请参阅 Block Storage for VPC 的 IAM 角色和操作。

有关更多信息，请参阅分配访问权的最佳实践。 有关完整的 IAM 过程（包括邀请用户加入帐户和分配 Cloud IAM 访问权），请参阅 IAM 入门教程。

IAM 服务对服务授权

您可以使用 Cloud Identity and Access Management （IAM）来创建或删除授权，从而允许某项服务访问另一项服务。 对于 Block Storage for VPC，您需要为配置客户管理加密和备份创建服务对服务授权。 更多信息，请参阅 为 Block Storage for VPC 建立服务对服务授权。

基于上下文的限制

您可以为块卷操作启用基于上下文的限制 (CBR)。 这些限制与基于身份的传统 IAM 策略配合使用，可提供额外的保护层。 与 IAM 策略不同，基于上下文的限制不会授予访问权限。 基于上下文的限制会检查访问请求是否来自您配置的允许上下文，例如创建数据卷。 有关详细信息，请参阅 使用基于上下文的限制保护虚拟私有云(VPC)基础设施服务。

静态和传输过程中的加密

默认情况下，所有块存储卷在静止状态下均通过 IBM 管理的加密功能进行加密。 有关 IBM Cloud® 在数据加密方面遵循的行业标准协议的更多信息，请参阅 IBM-managed encryption。

您还可以选择通过创建信封加密来保护卷，该加密使用存储在经批准的密钥管理系统（KMS）之一的自有根密钥。 在 IBM Cloud 中，KMS 可以与使用加密密钥的服务位于同一个账户或另一个账户。 这种部署模式允许企业集中管理所有企业账户的加密密钥。

您的数据在静止时以及从存储到管理程序和主机的传输过程中都会受到保护。 为卷设置加密类型后，该加密类型将无法更改。

有关数据加密的更多信息，请参阅 关于 VPC 的数据加密。

活动跟踪事件

您可以使用 IBM Cloud® Activity Tracker Event Routing 配置如何路由审计事件。 审计事件是安全运维的关键数据，也是满足合规要求的重要因素。 创建、修改或删除块卷时会触发此类事件。 更多信息，请参阅 IBM Cloud VPC 的活动跟踪事件。

用户标记

用户标签通过云资源名称（CRN）标识符进行唯一标识。 创建用户标记时，将在计费帐户中提供唯一名称。 您可以使用标签或键值格式定义用户标记。

在创建 Block Storage for VPC 卷或更新现有卷时，您可以 添加用户标签。 您还可以在 实例创建 期间向引导卷或数据卷添加标记。

备份策略 还会使用卷用户标签来为该卷创建自动备份快照。 您可以通过用户界面 (UI)、命令行界面 (CLI)、API 或 Terraform 创建、查看和管理用户标签，并可随时将其删除。

访问权管理标记

访问管理标记 通过创建灵活的资源分组来帮助组织访问控制，使 Block Storage for VPC 资源能够增长，而无需更新 IAM 策略。

您可以创建访问管理标记，然后将其应用于新卷或现有卷。 使用 IAM UI 或全局搜索和标记 API 来创建访问权管理标记。 然后，从 VPC UI 或 API 中，在创建卷或修改现有卷时添加访问管理。 在配置过程中，您无法将这些标签添加到卷上。 添加访问权管理标记后，可以使用 IAM 策略来管理对这些标记的访问权。 有关更多信息，请参阅 将访问管理标记应用于 Block Storage for VPC 卷。

有关管理帐户的标记的更多信息，请参阅 使用标记。