Как мы очищаем NVMe при освобождении инстанса

NVMe каждого инстанса — это том LUKS2 с ключом, сгенерированным при создании и хранящимся в TPM хоста, привязанным к ID инстанса. При освобождении инстанса мы просим TPM уничтожить ключ — в этот момент содержимое диска становится шифротекстом без ключа где-либо. Затем мы выполняем blkdiscard пространства имён и запускаем 30-секундную проверку, которая берёт выборку из 2,000 случайных LBA и подтверждает, что они читаются как нули. Только после этого слот возвращается в инвентарь. Это добавляет около 90 секунд к освобождению. Мы считаем, что оно того стоит.