View a markdown version of this page

Perlindungan data di AWS Layanan Komputasi Paralel - AWS PCS
Enkripsi saat diamEnkripsi saat bergerakManajemen kunciInter-network privasi lalu lintasMengenkripsi lalu lintas APIMengenkripsi lalu lintas data

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Perlindungan data di AWS Layanan Komputasi Paralel

Model tanggung jawab AWS bersama model tanggung jawab berlaku untuk perlindungan data di Layanan Komputasi AWS Paralel. Seperti yang dijelaskan dalam model AWS ini, bertanggung jawab untuk melindungi infrastruktur global yang menjalankan semua AWS Cloud. Anda bertanggung jawab untuk mempertahankan kendali atas konten yang di-host pada infrastruktur ini. Anda juga bertanggung jawab atas tugas-tugas konfigurasi dan manajemen keamanan untuk Layanan AWS yang Anda gunakan. Untuk informasi selengkapnya tentang privasi data, lihat FAQ Privasi Data Ket . Untuk informasi tentang perlindungan data di Eropa, lihat Pusat Peraturan Umum Perlindungan Data (GDPR).

Untuk tujuan perlindungan data, kami menyarankan Anda melindungi Akun AWS kredenSIAL dan mengatur pengguna individu dengan AWS IAM Identity Center atau AWS Identity and Access Management (IAM). Dengan cara itu, setiap pengguna hanya diberi izin yang diperlukan untuk memenuhi tanggung jawab tugasnya. Kami juga menyarankan supaya Anda mengamankan data dengan cara-cara berikut:

  • Gunakan autentikasi multi-faktor (MFA) pada setiap akun.

  • Gunakan SSL/TLS untuk berkomunikasi dengan AWS sumber daya. Kami mensyaratkan TLS 1.2 dan menganjurkan TLS 1.3.

  • Siapkan API dan pencatatan aktivitas pengguna dengan AWS CloudTrail. Untuk informasi tentang menggunakan CloudTrail jalur untuk menangkap AWS aktivitas, lihat Bekerja dengan CloudTrail jejak di Panduan AWS CloudTrail Pengguna.

  • Gunakan solusi AWS enkripsi, bersama dengan semua kontrol keamanan default di dalamnya Layanan AWS.

  • Gunakan layanan keamanan terkelola tingkat lanjut seperti Amazon Macie, yang membantu menemukan dan mengamankan data sensitif yang disimpan di Amazon S3.

  • Jika Anda memerlukan modul kriptografi tervalidasi FIPS 140-3 saat mengakses AWS melalui antarmuka baris perintah atau API, gunakan titik akhir FIPS. Lihat informasi selengkapnya tentang titik akhir FIPS yang tersedia di Standar Pemrosesan Informasi Federal (FIPS) 140-3.

Kami sangat merekomendasikan agar Anda tidak pernah memasukkan informasi identifikasi yang sensitif, seperti nomor rekening pelanggan Anda, ke dalam tanda atau bidang isian bebas seperti bidang Nama. Ini termasuk saat Anda bekerja dengan AWS PCS atau lainnya Layanan AWS menggunakan konsol, API AWS CLI, atau AWS SDK. Data apa pun yang Anda masukkan ke dalam tanda atau bidang isian bebas yang digunakan untuk nama dapat digunakan untuk log penagihan atau log diagnostik. Saat Anda memberikan URL ke server eksternal, kami sangat menganjurkan supaya Anda tidak menyertakan informasi kredensial di dalam URL untuk memvalidasi permintaan Anda ke server itu.

Enkripsi saat diam

Enkripsi diaktifkan secara default untuk data diam saat Anda membuat cluster AWS Parallel Computing Service (AWS PCS) dengan Konsol Manajemen AWS, AWS CLI, AWS PCS API, atau AWS SDK. AWS PCS menggunakan kunci KMS yang AWS dimiliki untuk mengenkripsi data saat diam. Untuk informasi selengkapnya, lihat Kunci dan AWS kunci Pel anggan di Panduan AWS KMS Pengembang. Anda juga dapat menggunakan kunci yang dikelola pelanggan. Untuk informasi selengkapnya, lihat Kebijakan kunci KMS yang diperlukan untuk digunakan dengan volume EBS terenkripsi di AWS PCS.

Rahasia cluster disimpan AWS Secrets Manager dan dienkripsi dengan kunci KMS yang dikelola oleh Secrets Manager. Untuk informasi selengkapnya, lihat Bekerja dengan rahasia cluster di AWS PCS.

Dalam cluster AWS PCS, data berikut sedang diam:

  • Status penjadwal — Ini mencakup data tentang pekerjaan yang sedang berjalan dan node yang disediakan di cluster. Ini adalah data yang disimpan Slurm dalam yang StateSaveLocation ditentukan di Anda. slurm.conf Untuk informasi selengkapnya, lihat deskripsi StateSaveLocation dalam dokumentasi Slurm. AWS PCS menghapus data pekerjaan setelah pekerjaan selesai.

  • Rahasia autentikasi Scheduler - AWS PCS menggunakannya untuk mengotentikasi semua komunikasi penjadwal di cluster.

Untuk informasi status penjadwal, AWS PCS secara otomatis mengenkripsi data dan metadata sebelum menulisnya ke sistem file. Sistem file terenkripsi menggunakan algoritma AES-256 enkripsi standar industri untuk data yang diam.

Enkripsi saat bergerak

Koneksi Anda ke API AWS PCS menggunakan enkripsi TLS dengan proses penandatanganan Signature Version 4, terlepas dari apakah Anda menggunakan AWS Command Line Interface (AWS CLI) atau AWS SDK. Untuk informasi selengkapnya, lihat AWS Men andatangani permintaan API di Panduan AWS Identity and Access Management Pengguna. AWS mengelola kontrol akses melalui API dengan kebijakan IAM untuk kredentif keamanan yang Anda gunakan untuk terhubung.

AWS PCS menggunakan TLS untuk terhubung ke AWS layanan lain.

Dalam cluster Slurm, penjadwal dikonfigurasi dengan plug-in auth/slurm otentikasi yang menyediakan otentikasi untuk semua komunikasi penjadwal. Slurm tidak menyediakan enkripsi di tingkat aplikasi untuk komunikasinya, semua data yang mengalir melintasi instans cluster tetap lokal ke VPC EC2 dan oleh karena itu tunduk pada enkripsi VPC jika instans tersebut mendukung enkripsi dalam transit. Untuk informasi selengkapnya, lihat Enkripsi dalam transit di Panduan Pengguna Amazon Elastic Compute Cloud. Komunikasi dienkripsi antara pengontrol (disediakan dalam akun layanan) dengan node cluster di akun Anda.

Manajemen kunci

AWS PCS menggunakan kunci KMS yang AWS dimiliki untuk mengenkripsi data. Untuk informasi selengkapnya, lihat Kunci dan AWS kunci Pel anggan di Panduan AWS KMS Pengembang. Anda juga dapat menggunakan kunci yang dikelola pelanggan. Untuk informasi selengkapnya, lihat Kebijakan kunci KMS yang diperlukan untuk digunakan dengan volume EBS terenkripsi di AWS PCS.

Rahasia cluster disimpan AWS Secrets Manager dan dienkripsi dengan kunci KMS yang dikelola oleh Secrets Manager. Untuk informasi selengkapnya, lihat Bekerja dengan rahasia cluster di AWS PCS.

Inter-network privasi lalu lintas

AWS Sumber daya komputasi PCS untuk cluster berada dalam 1 VPC di akun pelanggan. Oleh karena itu, semua lalu lintas layanan AWS PCS internal dalam cluster tetap berada di dalam AWS jaringan dan tidak melakukan perjalanan melintasi internet. Komunikasi antara pengguna dan node AWS PCS dapat berjalan melintasi internet dan kami sarankan menggunakan SSH atau Systems Manager untuk terhubung ke node. Untuk informasi lebih lanjut, lihat Apa itu AWS Systems Manager? dalam Panduan AWS Systems Manager Pengguna.

Anda juga dapat menggunakan penawaran berikut untuk menghubungkan jaringan lokal Anda ke: AWS

Anda mengakses API AWS PCS untuk melakukan tugas administratif untuk layanan. Anda dan pengguna mengakses port endpoint Slurm untuk berinteraksi dengan penjadwal secara langsung.

Mengenkripsi lalu lintas API

Untuk mengakses API AWS PCS, klien harus mendukung Transport Layer Security (TLS) 1.2 atau yang lebih baru. Kami mensyaratkan TLS 1.2 dan menganjurkan TLS 1.3. Klien juga harus mendukung suite sandi dengan Perfect Forward Secrecy (PFS), seperti Ephemeral (DHE) atau Elliptic Curve Ephemeral Diffie-Hellman (ECDHE). Diffie-Hellman Sebagian besar sistem modern seperti Java 7 dan versi lebih baru mendukung mode-mode ini. Selain itu, permintaan harus ditandatangani menggunakan ID kunci akses dan kunci akses rahasia yang terkait dengan principal IAM. Anda juga dapat menggunakan AWS Security Token Service (AWS STS) untuk membuat kredenSIAL keamanan sementara untuk menandatangani permintaan.

Mengenkripsi lalu lintas data

Enkripsi data dalam transit diaktifkan dari instans EC2 yang didukung yang mengakses titik akhir penjadwal dan antar ComputeNodeGroup instans dari dalam. AWS Cloud Untuk informasi selengkapnya, lihat Enkripsi saat bergerak.