インスタンスを解放したときのNVMe消去方法

すべてのインスタンスのNVMeはLUKS2ボリュームで、プロビジョニング時に生成され、そのインスタンスIDに封印された鍵がホストTPMに保持されています。インスタンスを解放すると、TPMに鍵の破棄を要求します。その時点でドライブの内容は鍵がどこにも存在しない暗号文になります。その後、名前空間にblkdiscardを実行し、30秒の検証パスで2,000個のランダムなLBAをサンプリングしてゼロとして読み取れることを確認します。それが済んで初めて、スロットは在庫に戻ります。これにより解放に約90秒追加されます。その価値はあると考えています。