Mengenkripsi data workload aktif dengan Confidential GKE Node

Halaman ini menunjukkan cara menerapkan enkripsi data aktif di node dan workload menggunakan Confidential Google Kubernetes Engine Nodes. Menerapkan enkripsi dapat membantu meningkatkan keamanan workload Anda.

Halaman ini ditujukan bagi spesialis Keamanan yang menerapkan langkah-langkah keamanan di GKE. Untuk mempelajari lebih lanjut peran umum dan contoh tugas yang kami referensikan dalam konten Google Cloud , lihat Peran dan tugas pengguna GKE umum.

Sebelum membaca halaman ini, pastikan Anda memahami konsep data yang sedang digunakan.

Apa yang dimaksud dengan Confidential GKE Nodes?

Anda dapat mengenkripsi workload dengan Confidential GKE Node atau Mode rahasia untuk Hyperdisk Balanced.

Confidential GKE Nodes

Confidential GKE Node menggunakan Confidential VM Compute Engine untuk melindungi data aktif dengan enkripsi memori berbasis hardware. Confidential GKE Nodes mendukung teknologi Confidential Computing berikut:

• AMD Secure Encrypted Virtualization (SEV)
• AMD Secure Encrypted Virtualization-Secure Nested Paging (SEV-SNP)
• Ekstensi Domain Tepercaya (TDX) Intel

Untuk mengetahui informasi selengkapnya tentang teknologi ini dan bantuan dalam memilih teknologi yang optimal untuk persyaratan Anda, lihat Ringkasan Confidential VM.

Confidential GKE Node tidak mengubah tindakan keamanan yang diterapkan GKE pada bidang kontrol cluster. Untuk mempelajari langkah-langkah ini, lihat Keamanan bidang kontrol. Untuk visibilitas atas siapa yang mengakses panel kontrol di project Google Cloud Anda, gunakan Transparansi Akses.

Anda dapat mengaktifkan Confidential GKE Node untuk seluruh cluster, untuk node pool tertentu, atau untuk workload tertentu. Tabel berikut menjelaskan metode pengaktifan ini:

Mode rahasia untuk Hyperdisk Balanced

Anda juga dapat mengaktifkan Mode rahasia untuk Hyperdisk Balanced di penyimpanan disk boot Anda, yang mengenkripsi data Anda di enklave tambahan yang didukung hardware.

Anda dapat mengaktifkan Mode rahasia untuk Hyperdisk Balanced saat melakukan salah satu tindakan berikut:

• Buat cluster baru
• Membuat node pool baru

Anda tidak dapat mengupdate cluster atau node pool yang ada untuk mengubah setelan Mode rahasia untuk Hyperdisk Balanced.

Tabel berikut menunjukkan perilaku GKE yang berlaku saat Anda mengaktifkan mode Confidential untuk setelan Hyperdisk Seimbang di level cluster atau di level node pool:

Harga

Harga berikut berlaku, bergantung pada cara Anda mengonfigurasi Confidential GKE Node:

Selain itu, Confidential GKE Node mungkin menghasilkan data log yang sedikit lebih banyak saat startup daripada node yang bukan Confidential GKE Node. Untuk mengetahui informasi selengkapnya tentang harga log, lihat Harga untuk Google Cloud Observability.

Sebelum memulai

Sebelum memulai, pastikan Anda telah melakukan tugas berikut:

• Aktifkan Google Kubernetes Engine API.
Aktifkan Google Kubernetes Engine API
• Jika ingin menggunakan Google Cloud CLI untuk tugas ini, instal lalu lakukan inisialisasi gcloud CLI. Jika sebelumnya Anda telah menginstal gcloud CLI, dapatkan versi terbaru dengan menjalankan gcloud components update.

Persyaratan

Confidential GKE Nodes memiliki persyaratan berikut:

• Cluster Autopilot harus menjalankan GKE versi 1.30.2 atau yang lebih baru.

• Cluster standar harus menjalankan salah satu versi GKE berikut, bergantung pada teknologi Confidential Computing yang Anda pilih:

  • AMD SEV: versi GKE apa pun.
  • AMD SEV-SNP: 1.32.2-gke.1297000 atau yang lebih baru.
  • Intel TDX: 1.32.2-gke.1297000 atau yang lebih baru.

• Untuk mengaktifkan Confidential GKE Nodes di tingkat workload, cluster Autopilot dan Standard harus menjalankan GKE versi 1.33.3-gke.1392000 atau yang lebih baru.

• Node harus menggunakan jenis mesin yang mendukung teknologi Confidential Computing yang Anda pilih. Untuk mengetahui informasi selengkapnya, lihat Jenis mesin, CPU, dan zona.

• Bidang kontrol dan node cluster harus berada di lokasi yang mendukung teknologi Confidential Computing yang Anda pilih. Untuk mengetahui informasi selengkapnya, lihat Melihat zona yang didukung.

Mengonfigurasi Confidential GKE Node di tingkat workload

Untuk mengaktifkan Confidential GKE Node di setiap workload, Anda menggunakan ComputeClass. ComputeClass adalah resource kustom Kubernetes yang memungkinkan Anda menentukan atribut node baru yang dibuat GKE dan memungkinkan Anda mengontrol perilaku penggantian jika hardware tidak tersedia. ComputeClass mendukung semua teknologi Confidential Computing yang tersedia untuk GKE, meskipun teknologi tertentu tidak didukung di tingkat cluster atau node pool.

Untuk mengonfigurasi Confidential GKE Nodes di tingkat workload, ikuti langkah-langkah berikut:

1. Opsional: Untuk cluster GKE Standard, aktifkan penyediaan otomatis node untuk cluster. Untuk cluster Autopilot, lewati langkah ini.

   Jika memilih untuk menggunakan ComputeClass dengan hanya node pool yang dibuat secara manual, Anda juga harus mengonfigurasi taint node dan label node secara manual di node pool tersebut. Konfigurasi manual tambahan ini dapat menyebabkan Anda melihat lebih sedikit manfaat dari penggunaan ComputeClass untuk membuat Confidential GKE Node.

2. Simpan manifes ComputeClass berikut sebagai file YAML. Untuk mengetahui informasi selengkapnya tentang kolom dan nilai yang didukung untuk ComputeClass, lihat ComputeClass CustomResourceDefinition.

   apiVersion: cloud.google.com/v1
   kind: ComputeClass
   metadata:
     name: COMPUTE_CLASS
   spec:
     nodePoolConfig:
       confidentialNodeType: CONFIDENTIAL_COMPUTE_TECHNOLOGY
     nodePoolAutoCreation:
       enabled: true
     activeMigration:
       optimizeRulePriority: true
     priorityDefaults:
       location:
         zones: ['ZONE1','ZONE2']
     priorities:
     - machineFamily: MACHINE_SERIES
     - machineType: MACHINE_TYPE
     whenUnsatisfiable: DoNotScaleUp
   

   Ganti kode berikut:

   • COMPUTE_CLASS: nama untuk class komputasi baru Anda.

   • CONFIDENTIAL_COMPUTE_TECHNOLOGY: teknologi Confidential Computing yang akan digunakan. Nilai berikut didukung:

     • SEV untuk AMD SEV
     • SEV_SNP untuk AMD SEV-SNP
     • TDX untuk Intel TDX

   • ZONE1,ZONE2,...: zona tempat membuat node, seperti ['us-central1-a','us-central1-b']. Tentukan zona yang mendukung teknologi Confidential Computing yang Anda tentukan. Untuk mengetahui informasi selengkapnya, lihat Melihat zona yang didukung.

   • MACHINE_SERIES: seri mesin untuk node, seperti n2d. Tentukan seri mesin yang mendukung teknologi Confidential Computing yang Anda tentukan. Untuk mengetahui informasi selengkapnya, lihat Jenis mesin, CPU, dan zona.

   • MACHINE_TYPE jenis mesin untuk node, seperti n2d-standard-4. Tentukan jenis mesin yang mendukung teknologi Confidential Computing yang Anda tentukan. Untuk mengetahui informasi selengkapnya, lihat Jenis mesin, CPU, dan zona.

   Manifes ini mencakup kolom spec.nodePoolAutoCreation dengan nilai enabled: true, yang memungkinkan GKE membuat node pool baru dengan menggunakan penyediaan otomatis node.

3. Buat ComputeClass di cluster Anda:

   kubectl apply -f PATH_TO_COMPUTE_CLASS_MANIFEST
   

   Ganti PATH_TO_COMPUTE_CLASS_MANIFEST dengan jalur ke file manifes ComputeClass.

4. Simpan manifes Deployment berikut sebagai file YAML:

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: helloweb
     labels:
       app: hello
   spec:
     selector:
       matchLabels:
         app: hello
     template:
       metadata:
         labels:
           app: hello
       spec:
         nodeSelector:
           # Replace with the name of a compute class
           cloud.google.com/compute-class: COMPUTE_CLASS 
         containers:
         - name: hello-app
           image: us-docker.pkg.dev/google-samples/containers/gke/hello-app:1.0
           ports:
           - containerPort: 8080
           resources:
             requests:
               cpu: "250m"
               memory: "4Gi"

5. Membuat Deployment:

   kubectl apply -f PATH_TO_DEPLOYMENT_MANIFEST
   

   Ganti PATH_TO_DEPLOYMENT_MANIFEST dengan jalur ke file manifes Deployment.

Node baru yang dibuat GKE untuk workload ini menggunakan teknologi Confidential Computing yang Anda tentukan. Node ini berjalan di salah satu zona yang Anda pilih, pada jenis mesin yang Anda tentukan di ComputeClass. GKE menambahkan taint node dan label node sehingga hanya Pod yang memilih ComputeClass yang sama yang dapat berjalan di node.

Mengonfigurasi Confidential GKE Node di level cluster

Anda dapat mengaktifkan Confidential GKE Node untuk seluruh cluster Autopilot atau Standard, yang berarti setiap node di cluster menggunakan Confidential GKE Node. Akibatnya, semua workload yang Anda deploy di cluster tersebut berjalan di Confidential GKE Node. Anda tidak dapat mengganti setelan cluster di setiap workload atau node pool.

Buat cluster Autopilot baru

Cluster Autopilot hanya mendukung AMD SEV di tingkat cluster. Saat Anda mengaktifkan Confidential GKE Nodes, seri mesin default di cluster Autopilot akan berubah menjadi N2D. Semua workload Anda berjalan di node rahasia ini tanpa perlu mengubah manifes workload Anda.

• Jalankan perintah berikut:

  gcloud container clusters create-auto CLUSTER_NAME \
      --location=CONTROL_PLANE_LOCATION \
      --enable-confidential-nodes
  

  Ganti kode berikut:

  • CLUSTER_NAME: nama cluster Autopilot.
  • CONTROL_PLANE_LOCATION: region Compute Engine untuk bidang kontrol cluster, seperti us-central1.

  Cluster harus menjalankan versi 1.30.2 atau yang lebih baru. Untuk mengetahui informasi selengkapnya, lihat Membuat cluster Autopilot dengan saluran rilis dan versi tertentu.

Buat cluster Standar baru

Anda dapat menentukan teknologi Confidential Computing untuk node saat membuat cluster Standar. Menentukan teknologi saat Anda membuat cluster akan memberikan efek berikut:

• Anda hanya dapat membuat node pool atau workload yang menggunakan Confidential GKE Node di cluster tersebut.
• Anda tidak dapat mengupdate cluster untuk menonaktifkan Confidential GKE Node.
• Anda tidak dapat mengganti teknologi Confidential Computing tingkat cluster di setiap node pool atau workload.

Mengonfigurasi setelan Confidential Computing di tingkat cluster bersifat permanen. Oleh karena itu, pertimbangkan kasus penggunaan berikut sebelum Anda membuat cluster:

• Untuk menggunakan penyediaan otomatis node di cluster, Anda harus mengonfigurasi opsi tertentu dalam perintah pembuatan cluster. Untuk mengetahui informasi selengkapnya, lihat bagian Menggunakan Node GKE Rahasia dengan penyediaan otomatis node.
• Untuk menggunakan teknologi Confidential Computing yang berbeda untuk mengenkripsi node pool tertentu di cluster, lewati bagian ini dan konfigurasi Confidential GKE Node di tingkat node pool.

Untuk membuat cluster mode Standard yang menggunakan Node GKE Rahasia, pilih salah satu opsi berikut:

gcloud container clusters create CLUSTER_NAME \
    --location=LOCATION \
    --machine-type=MACHINE_TYPE \
    --node-locations=ZONE1,ZONE2,... \
    --confidential-node-type=CONFIDENTIAL_COMPUTE_TECHNOLOGY

Untuk mengetahui informasi selengkapnya tentang cara membuat cluster, lihat Membuat cluster regional.

Untuk node pool yang dibuat dengan setelan Mode rahasia untuk Hyperdisk Balanced, hanya node di node pool yang dibatasi pada konfigurasi penyiapan. Untuk setiap node pool baru yang dibuat di cluster, Anda harus menyiapkan mode rahasia saat pembuatan.

Mengonfigurasi penyediaan otomatis node

Anda dapat mengonfigurasi penyediaan otomatis node untuk menggunakan Confidential GKE Node di node pool yang disediakan secara otomatis. Penyediaan otomatis Node mendukung teknologi Confidential Computing berikut:

• AMD SEV
• AMD SEV-SNP

Untuk menggunakan Confidential GKE Node dengan penyediaan otomatis node, tentukan flag gcloud CLI --enable-confidential-nodes saat Anda membuat cluster. Pertimbangan tambahan berikut berlaku:

• Saat membuat cluster, pilih teknologi Confidential Computing yang didukung oleh penyediaan otomatis node. Pilihan ini tidak dapat diurungkan di tingkat cluster.
• Saat Anda mengaktifkan penyediaan otomatis node di cluster yang ada, cluster tersebut harus sudah menggunakan teknologi Confidential GKE Nodes yang didukung oleh penyediaan otomatis node.
• Saat men-deploy workload, pastikan workload memilih teknologi Confidential Computing cluster dan seri mesin yang kompatibel untuk teknologi tersebut.

Mengonfigurasi Confidential GKE Node di tingkat node pool

Anda dapat mengaktifkan Confidential GKE Node pada node pool tertentu jika Confidential GKE Node dinonaktifkan di tingkat cluster.

Setelan mode rahasia untuk Hyperdisk Balanced harus ditentukan selama permintaan pembuatan node pool.

Membuat node pool baru

Untuk membuat node pool baru dengan Confidential GKE Node yang diaktifkan, pilih salah satu opsi berikut:

gcloud container node-pools create NODE_POOL_NAME \
    --location=LOCATION \
    --cluster=CLUSTER_NAME \
    --machine-type=MACHINE_TYPE \
    --node-locations=ZONE1,ZONE2,... \
    --confidential-node-type=CONFIDENTIAL_COMPUTE_TECHNOLOGY

Memperbarui node pool yang ada

Perubahan ini memerlukan pembuatan ulang node, yang dapat menyebabkan gangguan pada workload yang sedang berjalan. Untuk mengetahui detail tentang perubahan khusus ini, temukan baris yang sesuai dalam tabel perubahan manual yang membuat ulang node menggunakan strategi upgrade node tanpa mematuhi kebijakan pemeliharaan. Untuk mempelajari lebih lanjut update node, lihat Merencanakan gangguan update node.

Anda dapat mengupdate node pool yang ada untuk menggunakan Confidential GKE Node atau untuk mengganti teknologi Confidential Computing yang digunakan oleh node. Kumpulan node harus memenuhi semua persyaratan berikut:

• Node menggunakan jenis mesin yang mendukung teknologi Confidential Computing yang dipilih.
• Node berjalan di zona yang mendukung teknologi Confidential Computing yang dipilih.

Karena jenis mesin dan ketersediaan lokasi dapat bervariasi di antara teknologi Confidential Computing, Anda mungkin perlu memperbarui atribut ini untuk kumpulan node sebelum mengaktifkan teknologi Confidential Computing tertentu.

Untuk mengupdate node pool yang ada agar menggunakan Confidential GKE Node, pilih salah satu opsi berikut:

Menempatkan workload hanya di node pool rahasia

Jika Anda mengaktifkan Confidential GKE Node di level cluster, semua workload Anda akan berjalan di node rahasia. Anda tidak perlu melakukan perubahan pada manifes. Namun, jika Anda mengaktifkan Confidential GKE Node hanya untuk node pool mode Standard tertentu di tingkat node pool, Anda harus menyatakan secara deklaratif bahwa workload Anda hanya boleh berjalan di node pool dengan Confidential GKE Node.

• Untuk mewajibkan workload berjalan di teknologi Confidential Computing tertentu, gunakan pemilih node dengan label cloud.google.com/gke-confidential-nodes-instance-type, seperti dalam contoh berikut:

  apiVersion: v1
  kind: Pod
  spec:
  # For readability, lines are omitted from this example manifest
    nodeSelector:
      cloud.google.com/gke-confidential-nodes-instance-type: "CONFIDENTIAL_COMPUTE_SELECTOR"
  

  Ganti CONFIDENTIAL_COMPUTE_SELECTOR dengan nama teknologi yang digunakan node pool. Kolom ini mendukung nilai berikut, yang harus Anda tentukan dalam huruf besar:

  • SEV: AMD SEV
  • SEV_SNP: AMD SEV-SNP
  • TDX: Intel TDX

• Agar workload dapat berjalan di node rahasia mana pun, terlepas dari teknologi Confidential Computing, gunakan aturan afinitas node, seperti dalam contoh berikut:

  apiVersion: v1
  kind: Pod
  spec:
    containers:
    - name: confidential-app
      image: us-docker.pkg.dev/google-samples/containers/gke/hello-app:1.0
    affinity:
      nodeAffinity:
        requiredDuringSchedulingIgnoredDuringExecution:
          nodeSelectorTerms:
          - matchExpressions:
            - key: cloud.google.com/gke-confidential-nodes-instance-type
              operator: Exists
  

• Agar workload dapat berjalan di node yang hanya menggunakan subset teknologi Confidential Computing yang tersedia, gunakan aturan afinitas node yang mirip dengan contoh berikut:

  apiVersion: v1
  kind: Pod
  spec:
    containers:
    - name: confidential-app
      image: us-docker.pkg.dev/google-samples/containers/gke/hello-app:1.0
    affinity:
      nodeAffinity:
        requiredDuringSchedulingIgnoredDuringExecution:
          nodeSelectorTerms:
          - matchExpressions:
            - key: cloud.google.com/gke-confidential-nodes-instance-type
              operator: In
              values:
              - SEV
              - SEV_SNP
              - TDX
  

  Di kolom values, tentukan hanya teknologi Confidential Computing yang ingin Anda gunakan untuk menjalankan workload.

Pastikan Confidential GKE Node diaktifkan

Anda dapat memeriksa apakah cluster atau node Anda menggunakan Confidential GKE Nodes dengan memeriksa cluster, kumpulan node, node, atau instance Compute Engine.

Verifikasi untuk cluster

Pilih salah satu opsi berikut:

gcloud container clusters describe CLUSTER_NAME \
    --location=CONTROL_PLANE_LOCATION \
    --format='yaml(confidentialNodes.confidentialInstanceType)'

confidentialNodes:
  confidentialInstanceType: CONFIDENTIAL_COMPUTE_SELECTOR

Memverifikasi untuk node pool

Pilih salah satu opsi berikut:

gcloud container node-pools describe NODE_POOL_NAME \
    --location=CONTROL_PLANE_LOCATION \
    --format='yaml(confidentialNodes.confidentialInstanceType,enableConfidentialStorage)'

confidentialNodes:
  confidentialInstanceType: CONFIDENTIAL_COMPUTE_SELECTOR

confidentialNodes:
  confidentialInstanceType: CONFIDENTIAL_COMPUTE_SELECTOR
enableConfidentialStorage: true

Memverifikasi untuk node tertentu

1. Temukan nama node:

   kubectl get nodes
   

2. Jelaskan node:

   kubectl describe NODE_NAME
   

   Ganti NODE_NAME dengan nama node yang akan diperiksa.

   Outputnya mirip dengan hal berikut ini:

   Name:               gke-cluster-1-default-pool-affsf335r-asdf
   Roles:              <none>
   Labels:             cloud.google.com/gke-boot-disk=pd-balanced
                       cloud.google.com/gke-container-runtime=containerd
                       cloud.google.com/gke-confidential-nodes-instance-type=CONFIDENTIAL_COMPUTE_SELECTOR
                       cloud.google.com/gke-nodepool=default-pool
                       cloud.google.com/gke-os-distribution=cos
                       cloud.google.com/machine-family=e2
   # lines omitted for clarity
   

   Dalam output ini, label node cloud.google.com/gke-confidential-nodes-instance-type menunjukkan bahwa node adalah node rahasia.

Menetapkan batasan kebijakan organisasi

Anda dapat menentukan batasan kebijakan organisasi untuk memastikan bahwa semua resource VM yang dibuat di seluruh organisasi adalah instance Confidential VMs. Untuk GKE, Anda dapat menyesuaikan batasan Batasi Non-Confidential Computing agar mewajibkan semua cluster baru dibuat dengan mengaktifkan salah satu teknologi Confidential Computing yang tersedia. Tambahkan nama Layanan API container.googleapis.com ke daftar tolak saat menegakkan batasan kebijakan organisasi, seperti dalam contoh berikut:

gcloud resource-manager org-policies deny \
    constraints/compute.restrictNonConfidentialComputing compute.googleapis.com container.googleapis.com \
    --project=PROJECT_ID

Ganti PROJECT_ID dengan project ID Anda.

Membuat PersistentVolume untuk Mode rahasia untuk Hyperdisk Balanced

Untuk mendapatkan panduan tentang nilai yang diizinkan untuk throughput atau IOPS, lihat Merencanakan tingkat performa untuk volume Hyperdisk.

Contoh berikut menunjukkan cara membuat mode Rahasia untuk StorageClass Hyperdisk Balanced untuk setiap jenis Hyperdisk:

Untuk menemukan nama StorageClass yang tersedia di cluster Anda, jalankan perintah berikut:

kubectl get sc

Batasan

Confidential GKE Nodes memiliki batasan berikut:

• Semua batasan instance Confidential VM Compute Engine juga berlaku untuk Confidential GKE Node.
• Confidential GKE Node tidak kompatibel dengan sole tenant node.
• Confidential GKE Node hanya mendukung penggunaan penyimpanan efemeral di SSD lokal, tetapi tidak mendukung penggunaan SSD lokal secara umum.
• Confidential GKE Nodes hanya mendukung image node Container-Optimized OS. Node Ubuntu dan Windows tidak didukung.
• Cluster Autopilot hanya mendukung AMD SEV di tingkat cluster. Untuk menggunakan teknologi Confidential Computing yang berbeda, konfigurasi Confidential GKE Node di tingkat workload.
• Penyediaan otomatis node hanya mendukung AMD SEV dan AMD SEV-SNP di tingkat node pool. Untuk menggunakan teknologi Confidential Computing yang berbeda, konfigurasi Confidential GKE Node di tingkat workload.

Mode rahasia untuk Hyperdisk Balanced memiliki batasan berikut:

• Semua batasan penggunaan kunci enkripsi yang dikelola pelanggan (CMEK) untuk mengenkripsi disk berlaku untuk mode Confidential untuk Hyperdisk Seimbang.
• Mode rahasia untuk Hyperdisk Balanced hanya didukung di Confidential GKE Node yang menggunakan AMD SEV sebagai teknologi Confidential Computing.

Batasan migrasi langsung

Confidential VM Compute Engine yang menggunakan jenis mesin N2D dan menggunakan AMD SEV sebagai teknologi Confidential Computing mendukung migrasi langsung, yang meminimalkan potensi gangguan workload dari peristiwa pemeliharaan host. Migrasi langsung terjadi di versi GKE berikut:

• 1.27.10-gke.1218000 dan yang lebih baru
• 1.28.6-gke.1393000 dan yang lebih baru
• 1.29.1-gke.1621000 dan yang lebih baru

Jika node pool Anda sudah menjalankan versi yang didukung saat migrasi langsung ditambahkan, upgrade node pool secara manual ke versi yang didukung yang sama atau berbeda. Mengupgrade node akan memicu pembuatan ulang node, dan node baru akan mengaktifkan migrasi langsung.

Untuk mengetahui detail tentang jenis mesin Compute Engine yang mendukung migrasi langsung, lihat Konfigurasi yang didukung.

Jika peristiwa pemeliharaan host terjadi pada node yang tidak mendukung migrasi langsung, node akan memasuki status NotReady. Pod yang sedang berjalan akan mengalami gangguan hingga node siap lagi. Jika pemeliharaan berlangsung lebih dari lima menit, GKE dapat mencoba membuat ulang Pod di node lain.

Menonaktifkan Confidential GKE Node

Perubahan ini memerlukan pembuatan ulang node, yang dapat menyebabkan gangguan pada workload yang sedang berjalan. Untuk mengetahui detail tentang perubahan khusus ini, temukan baris yang sesuai dalam tabel perubahan manual yang membuat ulang node menggunakan strategi upgrade node tanpa mematuhi kebijakan pemeliharaan. Untuk mempelajari lebih lanjut update node, lihat Merencanakan gangguan update node.

Anda hanya dapat menonaktifkan Confidential GKE Node di node pool mode Standard. Jika node pool berada di cluster yang menggunakan Confidential GKE Node di tingkat cluster, Anda tidak dapat menonaktifkan fitur di tingkat node pool. Untuk menonaktifkan Confidential GKE Node, pilih salah satu opsi berikut:

gcloud container node-pools update NODE_POOL_NAME \
    --cluster=CLUSTER_NAME \
    --location=CLUSTER_LOCATION \
    --no-enable-confidential-nodes

Langkah berikutnya

• Pelajari Confidential VM lebih lanjut
• Pelajari lebih lanjut Google Cloud enkripsi dalam penyimpanan
• Pelajari lebih lanjut Google Cloud enkripsi dalam transit
• Pelajari kunci enkripsi yang dikelola pelanggan (CMEK) lebih lanjut.
• Pelajari cara membuktikan dari jarak jauh bahwa workload berjalan di Confidential VM
• Pelajari cara menjalankan GPU di Confidential GKE Node