Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Protezione dei dati in AWS Parallel Computing Service
Il modello di responsabilità AWS condivisa modello
Ai fini della protezione dei dati, consigliamo di proteggere Account AWS le credenziali e configurare i singoli utenti con AWS IAM Identity Center or AWS Identity and Access Management (IAM). In tal modo, a ogni utente verranno assegnate solo le autorizzazioni necessarie per svolgere i suoi compiti. Ti suggeriamo, inoltre, di proteggere i dati nei seguenti modi:
-
Utilizza l'autenticazione a più fattori (MFA) con ogni account.
-
SSL/TLS Da utilizzare per comunicare con AWS le risorse. È richiesto TLS 1.2 ed è consigliato TLS 1.3.
-
Configura l'API e la registrazione delle attività degli utenti con AWS CloudTrail. Per informazioni sull'utilizzo dei CloudTrail percorsi per acquisire AWS le attività, consulta Lavorare con i CloudTrail percorsi nella Guida per l'AWS CloudTrail utente.
-
Utilizza soluzioni di AWS crittografia, insieme a tutti i controlli di sicurezza predefiniti all'interno Servizi AWS.
-
Utilizza i servizi di sicurezza gestiti avanzati, come Amazon Macie, che aiutano a individuare e proteggere i dati sensibili archiviati in Amazon S3.
-
Se hai bisogno di moduli crittografici convalidati FIPS 140-3 per accedere AWS tramite un'interfaccia a riga di comando o un'API, usa un endpoint FIPS. Per ulteriori informazioni sugli endpoint FIPS disponibili, consulta il Federal Information Processing Standard (FIPS) 140-3
.
Ti consigliamo di non inserire mai informazioni riservate o sensibili, ad esempio gli indirizzi e-mail dei clienti, nei tag o nei campi di testo in formato libero, ad esempio nel campo Nome. Ciò include quando lavori con AWS PCS o altri dispositivi Servizi AWS utilizzando la console, l'API o. AWS CLI AWS SDKs I dati inseriti nei tag o nei campi di testo in formato libero utilizzati per i nomi possono essere utilizzati per i la fatturazione o i log di diagnostica. Quando fornisci un URL a un server esterno, ti suggeriamo vivamente di non includere informazioni sulle credenziali nell'URL per convalidare la tua richiesta al server.
Crittografia dei dati a riposo
La crittografia è abilitata per impostazione predefinita per i dati inattivi quando si crea un cluster AWS PCS ( AWS Parallel Computing Service) con AWS Management Console AWS CLI,, AWS PCS API o AWS SDKs. AWS PCS utilizza una chiave KMS AWS di proprietà per crittografare i dati inattivi. Per ulteriori informazioni, consulta Customer keys and AWS keys nella AWS KMS Developer Guide. Puoi anche utilizzare una chiave gestita dal cliente. Per ulteriori informazioni, consulta Politica di chiave KMS richiesta per l'uso con volumi EBS crittografati in PCS AWS.
Il segreto del cluster viene archiviato AWS Secrets Manager e crittografato con la chiave KMS gestita da Secrets Manager. Per ulteriori informazioni, consulta Utilizzo dei segreti del cluster in AWS PCS.
In un cluster AWS PCS, i seguenti dati sono inattivi:
-
Stato dell'utilità di pianificazione: include i dati sui processi in esecuzione e sui nodi a cui è stato assegnato il provisioning nel cluster. Questi sono i dati in cui Slurm persiste nei dati definiti nel tuo.
StateSaveLocationslurm.confPer ulteriori informazioni, consulta la descrizione contenuta StateSaveLocationnella documentazione di Slurm. AWS PCS elimina i dati del lavoro dopo il completamento di un lavoro. -
Segreto di autenticazione dello scheduler: AWS PCS lo utilizza per autenticare tutte le comunicazioni dello scheduler nel cluster.
Per quanto riguarda le informazioni sullo stato dello scheduler, AWS PCS crittografa automaticamente i dati e i metadati prima di scriverli nel file system. Il file system crittografato utilizza l'algoritmo di crittografia AES-256 standard del settore per i dati inattivi.
Crittografia in transito
Le tue connessioni all'API AWS PCS utilizzano la crittografia TLS con il processo di firma Signature Version 4, indipendentemente dal fatto che utilizzi AWS Command Line Interface ()AWS CLI o. AWS SDKs Per ulteriori informazioni, consulta Firmare le richieste AWS API nella Guida per l'AWS Identity and Access Management utente. AWS gestisce il controllo degli accessi tramite l'API con le politiche IAM per le credenziali di sicurezza utilizzate per la connessione.
AWS PCS utilizza TLS per connettersi ad altri AWS servizi.
All'interno di un cluster Slurm, lo scheduler è configurato con il plug-in di autenticazione che fornisce l'auth/slurmautenticazione per tutte le comunicazioni dello scheduler. Slurm non fornisce la crittografia a livello di applicazione per le sue comunicazioni, tutti i dati che fluiscono tra le istanze del cluster rimangono locali rispetto al VPC e quindi sono soggetti alla crittografia EC2 VPC se tali istanze supportano la crittografia in transito. Per ulteriori informazioni, consulta Encryption in transit nella Amazon Elastic Compute Cloud User Guide. La comunicazione è crittografata tra il controller (fornito in un account di servizio) e i nodi del cluster del tuo account.
Gestione delle chiavi
AWS PCS utilizza una chiave KMS AWS di proprietà per crittografare i dati. Per ulteriori informazioni, consulta Customer keys and AWS keys nella AWS KMS Developer Guide. Puoi anche utilizzare una chiave gestita dal cliente. Per ulteriori informazioni, consulta Politica di chiave KMS richiesta per l'uso con volumi EBS crittografati in PCS AWS.
Il segreto del cluster viene archiviato AWS Secrets Manager e crittografato con la chiave KMS gestita da Secrets Manager. Per ulteriori informazioni, consulta Utilizzo dei segreti del cluster in AWS PCS.
Riservatezza del traffico Internet
AWS Le risorse di calcolo PCS per un cluster risiedono all'interno di 1 VPC nell'account del cliente. Pertanto, tutto il traffico del servizio AWS PCS interno all'interno di un cluster rimane all'interno della AWS rete e non viaggia su Internet. La comunicazione tra l'utente e i nodi AWS PCS può viaggiare su Internet e consigliamo di utilizzare SSH o Systems Manager per connettersi ai nodi. Per ulteriori informazioni, consulta Cos'è AWS Systems Manager? nella Guida AWS Systems Manager per l'utente.
Puoi anche utilizzare le seguenti offerte per connettere la tua rete locale a: AWS
-
AWS Site-to-Site VPN. Per ulteriori informazioni, vedi Cos'è AWS Site-to-Site VPN? nella Guida AWS Site-to-Site VPN per l'utente.
-
Un AWS Direct Connect. Per ulteriori informazioni, vedi Cos'è AWS Direct Connect? nella Guida AWS Direct Connect per l'utente.
Si accede all'API AWS PCS per eseguire attività amministrative per il servizio. Tu e i tuoi utenti accedete alle porte degli endpoint Slurm per interagire direttamente con lo scheduler.
Crittografia del traffico API
Per accedere all'API AWS PCS, i client devono supportare Transport Layer Security (TLS) 1.2 o versione successiva. È richiesto TLS 1.2 ed è consigliato TLS 1.3. I client devono inoltre supportare le suite di cifratura con PFS (Perfect Forward Secrecy), ad esempio Ephemeral Diffie-Hellman (DHE) o Elliptic Curve Diffie-Hellman Ephemeral (ECDHE). La maggior parte dei sistemi moderni, come Java 7 e versioni successive, supporta tali modalità. Inoltre, le richieste devono essere firmate utilizzando un ID chiave di accesso e una chiave di accesso segreta associata a un principale IAM. È inoltre possibile utilizzare AWS Security Token Service (AWS STS) per generare credenziali di sicurezza temporanee per firmare le richieste.
Crittografia del traffico dati
La crittografia dei dati in transito è abilitata dalle EC2 istanze supportate che accedono all'endpoint dello scheduler e tra le ComputeNodeGroup istanze dall'interno di. Cloud AWS Per ulteriori informazioni, consulta Crittografia in transito.
