Cloud KMS 鍵を使用してリソースを保護する

コンソール

1. Google Cloud コンソールで、[ディスク] ページに移動します。

   [ディスク] に移動

2. [ディスクを作成] をクリックし、新しいディスクのプロパティを入力します。
3. [暗号化] で、[顧客管理の暗号鍵] を選択します。
4. プルダウン メニューで、このディスクの暗号化に使用する Cloud KMS 鍵を選択します。
5. ディスクを作成するには、[作成] をクリックします。

gcloud

gcloud compute disks create コマンドを使用して暗号化されたディスクを作成し、--kms-key フラグを使用して鍵を指定します。

gcloud compute disks create DISK_NAME \
  --kms-key projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY

次のように置き換えます。

• DISK_NAME: 新しいディスクの名前
• KMS_PROJECT_ID: Cloud KMS 鍵を所有するプロジェクト
• REGION: 鍵が配置されているリージョン
• KEY_RING: 鍵を含むキーリングの名前
• KEY: ディスクの暗号化に使用された鍵の名前

REST

instances.insert メソッドに対して POST リクエストを作成します。ディスクを暗号化するには、diskEncryptionKey プロパティで kmsKeyName プロパティを使用します。たとえば、VM の作成時に Cloud KMS 鍵を使用して新しいディスクを暗号化するには、次のコマンドを使用します。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
"machineType": "zones/ZONE/machineTypes/MACHINE_TYPE",
"disks": [
 {
  "type": "PERSISTENT",
  "diskEncryptionKey": {
    "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  },
  "initializeParams": {
   "sourceImage": "SOURCE_IMAGE"
  },
  "boot": true
 }
],
...
}

以下を置き換えます。

• PROJECT_ID: Compute Engine を実行する Google Cloud プロジェクトの ID
• ZONE: VM を作成するゾーン
• MACHINE_TYPE: マシンタイプ（例: c3-standard-4）。
• KMS_PROJECT_ID: Cloud KMS 鍵を所有するプロジェクト
• REGION: ディスクが配置されるリージョン
• KEY_RING: 鍵を含むキーリングの名前
• KEY: ディスクの暗号化に使用された鍵の名前
• SOURCE_IMAGE: VM の作成時に使用するイメージ（例: projects/debian-cloud/global/images/debian-11-bullseye-v20231115）

同様に、disks.insert メソッドを使用して新しいスタンドアロン Persistent Disk を作成し、Cloud KMS 鍵で暗号化できます。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks?sourceImage=SOURCE_IMAGE
{
 "name": "DISK_NAME",
 "diskEncryptionKey": {
   "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  },
 "type": "projects/PROJECT_ID/zones/ZONE/diskTypes/DISK_TYPE"
}

次のように置き換えます。

• PROJECT_ID: Compute Engine を実行する Google Cloud プロジェクトの ID
• ZONE: ディスクを作成するゾーン
• SOURCE_IMAGE: ディスクの作成時に使用するイメージ（例: projects/debian-cloud/global/images/debian-11-bullseye-v20231115）
• DISK_NAME: 新しいディスクの名前
• KMS_PROJECT_ID: Cloud KMS 鍵を所有するプロジェクト
• REGION: ディスクが配置されるリージョン
• KEY_RING: 鍵を含むキーリングの名前
• KEY: ディスクの暗号化に使用された鍵の名前
• DISK_TYPE: 作成するディスクのタイプ。

Console

1. Google Cloud コンソールで、[ディスク] ページに移動します。

   [ディスク] に移動

2. [ディスクを作成] をクリックし、新しいディスクのプロパティを入力します。
3. [ディスクの設定] セクションで、ディスクタイプに [Hyperdisk Balanced] を選択します。
4. 省略可。ディスクのデフォルトのディスクの [サイズ]、[プロビジョニングされた IOPS]、[プロビジョニングされたスループット] の設定を変更します。
5. [暗号化] セクションで、[Cloud KMS 鍵] を選択します。
6. 鍵のリストで、このディスクの暗号化に使用する Cloud HSM 鍵を選択します。
7. [Confidential Computing] セクションで、[Confidential Computing サービスを有効にする] を選択します。
8. ディスクを作成するには、[作成] をクリックします。

gcloud

gcloud compute disks create コマンドを使用して、Hyperdisk Balanced の情報保護モードで新しいディスクを暗号化します。--confidential-compute フラグを使用して情報保護モードを有効にし、--kms-key フラグを使用して鍵を指定します。

gcloud compute disks create DISK_NAME \
  --type=hyperdisk-balanced \
  --kms-key projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY \
  --confidential-compute

次のように置き換えます。

• DISK_NAME: 新しいディスクの名前
• KMS_PROJECT_ID: Cloud HSM 鍵を所有するプロジェクト
• REGION: 鍵が配置されているリージョン
• KEY_RING: 鍵を含むキーリングの名前
• KEY: ディスクの暗号化に使用された鍵の名前

REST

instances.insert メソッドに対して POST リクエストを作成します。Hyperdisk Balanced の情報保護モードでディスクを暗号化するには、diskEncryptionKey プロパティで kmsKeyName プロパティを使用し、enableConfidentialCompute フラグを設定します。たとえば、VM の作成時に Cloud HSM 鍵を使用して新しいディスクを暗号化するには、次のコマンドを使用します。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
"machineType": "zones/ZONE/machineTypes/MACHINE_TYPE",
"disks": [
 {
  "type": "DISK_TYPE",
  "diskEncryptionKey": {
    "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  },
  "initializeParams": {
   "sourceImage": "SOURCE_IMAGE",
   "enableConfidentialCompute": true
  },
  "boot": true
 }
],
"networkInterfaces": [
  {
   "network": "global/networks/default"
  }
]
}

次のように置き換えます。

• DISK_TYPE: 作成するディスクのタイプ。例: hyperdisk-balanced
• PROJECT_ID: Compute Engine を実行する Google Cloud プロジェクトの ID
• ZONE: VM を作成するゾーン
• MACHINE_TYPE: マシンタイプ。例: n2d-standard-4
• KMS_PROJECT_ID: Cloud HSM 鍵を所有するプロジェクト
• REGION: ディスクが配置されるリージョン
• KEY_RING: 鍵を含むキーリングの名前
• KEY: ディスクの暗号化に使用された鍵の名前
• SOURCE_IMAGE: VM の作成時に使用する Confidential VM をサポートするイメージ（例: projects/debian-cloud/global/images/debian-11-bullseye-v20231115）

同様に、disks.insert メソッドを使用して、Hyperdisk Balanced の新しい Confidential モードを作成できます。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks?sourceImage=SOURCE_IMAGE
{
 "name": "DISK_NAME",
 "diskEncryptionKey": {
   "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  },
 "type": "projects/PROJECT_ID/zones/ZONE/diskTypes/DISK_TYPE",
 "enableConfidentialCompute": true
}

次のように置き換えます。

• PROJECT_ID: Compute Engine を実行する Google Cloud プロジェクトの ID
• ZONE: ディスクを作成するゾーン
• SOURCE_IMAGE: ディスクの作成時に Confidential VM をサポートするイメージ。例: projects/debian-cloud/global/images/debian-11-bullseye-v20231115
• DISK_NAME: 新しいディスクの名前
• KMS_PROJECT_ID: Cloud HSM 鍵を所有するプロジェクト
• REGION: ディスクが配置されるリージョン
• KEY_RING: 鍵を含むキーリングの名前
• KEY: ディスクの暗号化に使用された鍵の名前
• DISK_TYPE: 作成するディスクのタイプ。例: hyperdisk-balanced

コンソール

1. Google Cloud コンソールで、[スナップショット] ページに移動します。

   [スナップショット] に移動

2. [スナップショットを作成] をクリックします。
3. [ソースディスク] で、スナップショットのソースディスクを選択します。スナップショットは、ソースディスクと同じ鍵で自動的に暗号化されます。

gcloud

顧客管理の暗号化では、ディスクの暗号化に使用された Cloud KMS 鍵が、スナップショットの暗号化にも使用されます。

スナップショットは、スナップショット設定で定義された保存場所ポリシー内に作成するか、別の保存場所を使用して作成できます。詳細については、スナップショットの保存場所を選択するをご覧ください。

• スナップショット設定で構成した事前定義またはカスタマイズされたデフォルトの場所にスナップショットを作成するには、gcloud compute snapshots create コマンドを使用します。

  gcloud compute snapshots create SNAPSHOT_NAME \
      --source-disk-zone=SOURCE_ZONE \
      --source-disk=SOURCE_DISK_NAME \
      --snapshot-type=SNAPSHOT_TYPE
  

• また、スナップショット設定をオーバーライドしてスナップショットをカスタマイズされた保存場所に作成するには、--storage-location フラグを含めて、スナップショットの保存先を指定します。

  gcloud compute snapshots create SNAPSHOT_NAME \
      --source-disk-zone=SOURCE_ZONE \
      --source-disk=SOURCE_DISK_NAME \
      --snapshot-type=SNAPSHOT_TYPE \
      --storage-location=STORAGE_LOCATION
  

  次のように置き換えます。

  • SNAPSHOT_NAME: スナップショットの名前。
  • SOURCE_ZONE: ソースディスクのゾーン。
  • SOURCE_DISK_NAME: スナップショットを作成するディスク ボリュームの名前。
  • SNAPSHOT_TYPE: スナップショットの種類（標準またはアーカイブ）。スナップショットの種類が指定されていない場合は、STANDARD（標準）スナップショットが作成されます。

  • STORAGE_LOCATION: スナップショットを保存する Cloud Storage マルチリージョンまたは Cloud Storage リージョン（オプション）。保存場所は 1 つだけ指定できます。

    --storage-location パラメータは、スナップショット設定で構成した事前定義またはカスタマイズされたデフォルトの保存場所をオーバーライドする場合にのみ使用します。

REST

スナップショットは、スナップショット設定で定義された保存場所ポリシー内に作成することも、別のお好きな保存場所を使用して作成することもできます。詳細については、スナップショットの保存場所を選択するをご覧ください。

• スナップショット設定で構成した事前定義またはカスタマイズされたデフォルトの場所にスナップショットを作成するには、snapshots.insert メソッドに POST リクエストを発行します。

  POST https://compute.googleapis.com/compute/v1/projects/DESTINATION_PROJECT_ID/global/snapshots
  {
      "name": "SNAPSHOT_NAME",
      "sourceDisk": "projects/SOURCE_PROJECT_ID/zones/SOURCE_ZONE/disks/SOURCE_DISK_NAME",
      "snapshotEncryptionKey":  {
       "kmsKeyName": "projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeys/SNAPSHOT_KEY"
      },
      "snapshotType": "SNAPSHOT_TYPE"
  }
  

• または、スナップショット設定をオーバーライドしてカスタマイズされた保存場所にスナップショットを作成するには、snapshots.insert メソッドに POST リクエストを storageLocations プロパティを含めて送信します。

  POST https://compute.googleapis.com/compute/v1/projects/DESTINATION_PROJECT_ID/global/snapshots
  {
      "name": "SNAPSHOT_NAME",
      "sourceDisk": "projects/SOURCE_PROJECT_ID/zones/SOURCE_ZONE/disks/SOURCE_DISK_NAME",
      "snapshotEncryptionKey":  {
       "kmsKeyName": "projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeys/SNAPSHOT_KEY"
      },
      "snapshotType": "SNAPSHOT_TYPE",
      "storageLocations": [
          "STORAGE_LOCATION"
      ],
  }
  

次のように置き換えます。

• DESTINATION_PROJECT_ID: スナップショットを作成するプロジェクトの ID。
• SNAPSHOT_NAME: スナップショットの名前。
• SOURCE_PROJECT_ID: ソースディスク プロジェクトの ID。
• SOURCE_ZONE: ソースディスクのゾーン。
• SOURCE_DISK_NAME: スナップショットを作成するディスクの名前。
• KMS_PROJECT_ID: Cloud Key Management Service に保存されている暗号鍵を含むプロジェクト。
• KEY_REGION: Cloud KMS 鍵が配置されているリージョン。
• KEY_RING: Cloud KMS 鍵を含むキーリングの名前。
• SNAPSHOT_KEY: ソースディスクの暗号化に使用した Cloud KMS 鍵の名前。
• SNAPSHOT_TYPE: スナップショットの種類（標準またはアーカイブ）。 スナップショットの種類が指定されていない場合は、STANDARD（標準）スナップショットが作成されます。

• STORAGE_LOCATION: スナップショットを保存する Cloud Storage マルチリージョンまたは Cloud Storage リージョン（オプション）。保存場所は 1 つだけ指定できます。

  storageLocations パラメータは、スナップショット設定で構成した事前定義またはカスタマイズされたデフォルトの保存場所をオーバーライドする場合にのみ使用します。

コンソール

1. Google Cloud コンソールで、[イメージ] ページに移動します。

   [イメージ] に移動

2. [イメージを作成] をクリックします。
3. [ソースディスク] で、イメージを作成するディスクを選択します。
4. [暗号化] で、[顧客管理の暗号鍵] を選択します。
5. プルダウン メニューで、このイメージの暗号化に使用する Cloud KMS 鍵を選択します。
6. イメージ作成プロセスを続けます。

gcloud

イメージをインポートして暗号化するには、gcloud compute images create コマンドを使用します。顧客管理の暗号化の場合は、イメージの Cloud KMS 鍵を指定します。

gcloud compute images create IMAGE_NAME \
    --source-disk=SOURCE_DISK  \
    --kms-key projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY

次のように置き換えます。

• IMAGE_NAME: 作成するイメージの名前
• SOURCE_DISK: スナップショットを作成するディスクの名前
• KMS_PROJECT_ID: Cloud KMS 鍵を含むプロジェクト
• REGION: Cloud KMS 鍵が配置されているリージョン
• KEY_RING: Cloud KMS 鍵を含むキーリング
• KEY: 新しいディスクの暗号化に使用する鍵の名前

REST

インポートしたイメージを暗号化するには、images.insert メソッドに対する POST リクエストを作成します。圧縮されたファイルの URI を指定し、イメージ作成リクエストに imageEncryptionKey プロパティを追加して、イメージを暗号化するための鍵を kmsKeyName プロパティに指定します。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/images

{
 "rawDisk": {
  "source": "http://storage.googleapis.com/example-image/example-image.tar.gz"
  },
 "name": "IMAGE_NAME",
 "sourceType": "RAW",
 "imageEncryptionKey": {
   "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
   }
}

次のように置き換えます。

• PROJECT_ID: 暗号化されたイメージを作成するプロジェクト
• IMAGE_NAME: 作成するイメージの名前
• KMS_PROJECT_ID: Cloud KMS 鍵を含むプロジェクト
• REGION: Cloud KMS 鍵が配置されているリージョン
• KEY_RING: Cloud KMS 鍵を含むキーリング
• KEY: ソースディスクの暗号化に使用した鍵の名前

コンソール

1. Google Cloud コンソールで、[ディスク] ページに移動します。

   [ディスク] に移動

2. [ディスクを作成] をクリックし、新しいディスクのプロパティを入力します。
3. [ソースの種類] で使用するスナップショットまたはイメージを選択します。

4. 省略可: 新しい暗号鍵を指定する場合は、[暗号化] で使用する暗号鍵のタイプを指定し、暗号鍵の情報を入力します。

   顧客管理の暗号鍵または顧客指定の暗号鍵を削除するには、[暗号化] でデフォルト値の [Google が管理する暗号鍵] を使用します。

5. Persistent Disk の作成プロセスを続けます。

gcloud

暗号化されたスナップショットから新しいスタンドアロン Persistent Disk を作成するには、gcloud compute disks create コマンドを使用します。

gcloud compute disks create DISK_NAME \
    --source-snapshot SNAPSHOT_NAME \
    --kms-key projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY

次のように置き換えます。

• DISK_NAME: 新しいディスクの名前

• SNAPSHOT_NAME: 暗号化されたスナップショットの名前

  スナップショットの代わりにイメージを使用するには、--source-snapshot SNAPSHOT_NAME を --image IMAGE_NAME に置き換えます。

• KMS_PROJECT_ID: 省略可。Cloud KMS 鍵を含むプロジェクト

• REGION: 省略可。Cloud KMS 鍵が配置されているリージョン

• KEY_RING: 省略可。Cloud KMS 鍵を含むキーリング

• KEY: 省略可。新しいディスクの暗号化に使用する Cloud KMS 鍵の名前

  新しいディスクを暗号化するには、次のいずれかを行います。

  • 新しい顧客管理の暗号鍵を指定するには、--kms-key フラグを使用します。
  • Google が所有し管理するデフォルトの鍵を使用するには、--kms-key フラグを指定しないでください。

REST

暗号化されたスナップショットから新しいスタンドアロン Persistent Disk を作成するため、compute.disks.insert メソッドに対する POST リクエストを作成します。sourceSnapshot プロパティを使用してスナップショットを指定します。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks

{
  "name": "DISK_NAME",
  "sourceSnapshot": "projects/SNAPSHOT_PROJECT_ID/global/snapshots/SNAPSHOT_NAME",
  "diskEncryptionKey": {
     "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  }
}

次のように置き換えます。

• PROJECT_ID: 新しいディスクを作成するプロジェクト
• ZONE: 新しいディスクを作成するゾーン。
• DISK_NAME: 新しいディスクの名前
• SNAPSHOT_PROJECT_ID: スナップショットを含むプロジェクト

• SNAPSHOT_NAME: 暗号化されたスナップショットの名前

  スナップショットの代わりにイメージを使用するには、sourceSnapshot を sourceImage に置き換えます。

• KMS_PROJECT_ID: 省略可。Cloud KMS 鍵を含むプロジェクト

• REGION: 省略可。Cloud KMS 鍵が配置されているリージョン

• KEY_RING: 省略可。Cloud KMS 鍵を含むキーリング

• KEY: 省略可。新しいディスクの暗号化に使用する Cloud KMS 鍵の名前

  diskEncryptionKey を指定すると、指定された Cloud KMS 鍵を使用してディスクが暗号化されます。diskEncryptionKey を指定しない場合、Google が所有し、Google が管理する鍵を使用してディスクが暗号化されます。

Console

1. Google Cloud コンソールで、[インスタンスの作成] ページに移動します。

   [インスタンスの作成] に移動

2. VM の詳細を指定し、[ブートディスク] セクションで [変更] をクリックします。次に、以下の操作を行います。

   1. [既存のディスク] をクリックします。
   2. [ディスク] リストで、VM にアタッチする既存のディスクを選択します。
   3. [選択] をクリックします。

3. VM 作成プロセスを続行します。

gcloud

新しい VM を作成するときに暗号化されたディスクをアタッチするには、gcloud compute instances create コマンドを使用します。暗号化されたブートディスクを指定するには、次の例のように --disk フラグを使用します。

gcloud compute instances create VM_NAME \
  ...
  --disk name=DISK_NAME,boot=yes

次のように置き換えます。

• VM_NAME: 作成する VM の名前
• DISK_NAME: 暗号化されたディスクの名前

REST

compute.instances.insert メソッドに対して POST リクエストを作成します。次の例に示すように、disks プロパティを使用して、暗号化されたブートディスクを指定します。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances
{
  ...
  "disks": [
    {
      "deviceName": "DISK_ALIAS",
      "source": "projects/PROJECT_ID/zones/ZONE/disks/DISK_NAME"
    }
  ]
}

次のように置き換えます。

• PROJECT_ID: 新しい VM を作成するプロジェクト
• ZONE: 新しい VM を作成するゾーン
• DISK_ALIAS: Linux オペレーティング システムを実行する VM の /dev/disk/by-id/google-* ディレクトリでディスク エイリアスとして使用する一意のデバイス名。この名前を使用して、インスタンス内からマウントやサイズ変更などのオペレーションでディスクを参照できます。デバイス名を指定しない場合、VM はこのディスクに適用するデフォルトのデバイス名を選択します。このデバイス名の形式は persistent-disk-x であり、x は Compute Engine により割り当てられた番号です。このフィールドは、Persistent Disk ボリュームにのみ適用されます。
• DISK_NAME: 暗号化されたディスクの名前

Console

Cloud KMS 鍵が取り消されたときにシャットダウンするように VM を構成するには、次の操作を行います。

1. Cloud KMS 鍵で保護されているディスクを含む VM の作成を開始します。
2. [ネットワーキング、ディスク、セキュリティ、管理、単一テナンシー] メニューを開きます。
3. [管理] セクションを開きます。
4. [顧客管理の暗号鍵（CMEK）の取り消しポリシー] で [シャットダウン] を選択します。

gcloud

VM を作成するには gcloud compute instances create コマンドを使用し、--key-revocation-action-type=stop を指定します。

gcloud compute instances create VM_NAME \
  --image IMAGE \
  --key-revocation-action-type=stop

REST

instances.insert メソッドを使用して VM を作成し、プロパティ "keyRevocationActionType" を "STOP" に設定します。次の例では、公開イメージから VM を作成します。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
  "machineType": "zones/MACHINE_TYPE_ZONE/machineTypes/MACHINE_TYPE",
  "name": "VM_NAME",
  "disks": [
    {
      "initializeParams": {
        "sourceImage": "projects/IMAGE_PROJECT/global/images/IMAGE"
      },
      "boot": true
    }
  ],
  "keyRevocationActionType": "STOP"
}

コンソール

インスタンス テンプレートを使用して、Cloud KMS 鍵の取り消し時にシャットダウンされる VM を作成できます。

1. Cloud KMS 鍵で保護されているディスクを含む新しいインスタンス テンプレートの作成を開始します。
2. [ネットワーキング、ディスク、セキュリティ、管理、単一テナンシー] メニューを開きます。
3. [管理] セクションを開きます。
4. [顧客管理の暗号鍵（CMEK）の取り消しポリシー] で [シャットダウン] を選択します。

gcloud

gcloud compute instance-templates create コマンドを使用してインスタンス テンプレートを作成し、--key-revocation-action-type=stop を指定します。

gcloud compute instance-templates create INSTANCE_TEMPLATE_NAME \
  --key-revocation-action-type=stop

REST

instanceTemplates.insert メソッドに対する POST リクエストを作成します。リクエスト本文で、必要なすべての構成フィールドを明示的に定義する必要があります。このテンプレートから作成された VM を鍵取り消し時にシャットダウンする場合は、"keyRevocationActionType":"STOP" を指定します。 たとえば、鍵取り消し時にシャットダウンされる VM を作成するために最小限必要なフィールドを持つインスタンス テンプレートは、次のようになります。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instanceTemplates

{
  "name": "example-template",
  "properties": {
  "machineType": "e2-standard-4",
  "networkInterfaces": [
    {
      "network": "global/networks/default",
      "accessConfigs": [
        {
          "name": "external-IP",
          "type": "ONE_TO_ONE_NAT"
        }
      ]
    }
  ],
  "disks":
  [
    {
      "type": "PERSISTENT",
      "boot": true,
      "mode": "READ_WRITE",
      "initializeParams":
      {
        "sourceImage": "projects/debian-cloud/global/images/family/debian-11"
      }
    }
  ],
  "keyRevocationActionType": "STOP"
  }
}