在你释放实例时，我们如何擦除 NVMe

每个实例的 NVMe 都是一个 LUKS2 卷，密钥在开通时生成并保存在主机 TPM 中，并密封到该实例 ID。释放实例时，会要求 TPM 销毁密钥——此时硬盘内容就只是密文，任何地方都不存在密钥。然后我们对命名空间执行 blkdiscard，并运行 30 秒的校验过程，抽样 2,000 个随机 LBA，确认读取结果为零。只有在这之后，该槽位才会回到库存。这会给释放过程增加约 90 秒。我们认为这值得。