本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 中的数据保护 AWS 并行计算服务
分 AWS [担责任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)适用于并 AWS 行计算服务中的数据保护。如本模型所述 AWS ，负责保护运行所有网络的全球基础设施 AWS Cloud。您负责维护对托管在此基础结构上的内容的控制。您还负责您所使用的 AWS 服务 的安全配置和管理任务。有关数据隐私的更多信息，请参阅[数据隐私常见问题](https://aws.amazon.com/compliance/data-privacy-faq/)。有关欧洲数据保护的信息，请参阅[通用数据保护条例（GDPR）中心](https://aws.amazon.com/compliance/gdpr-center/)。
出于数据保护的目的，我们建议您保护 AWS 账户 证书并使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 设置个人用户。这样，每个用户只获得履行其工作职责所需的权限。还建议您通过以下方式保护数据：
+ 对每个账户使用多重身份验证（MFA）。
+ 用于 SSL/TLS 与 AWS 资源通信。我们要求使用 TLS 1.2，建议使用 TLS 1.3。
+ 使用设置 API 和用户活动日志 AWS CloudTrail。有关使用 CloudTrail 跟踪捕获 AWS 活动的信息，请参阅*AWS CloudTrail 用户指南[中的](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)使用跟 CloudTrail 踪*。
+ 使用 AWS 加密解决方案以及其中的所有默认安全控件 AWS 服务。
+ 使用高级托管安全服务（例如 Amazon Macie），它有助于发现和保护存储在 Amazon S3 中的敏感数据。
+ 如果在 AWS 通过命令行接口或 API 进行访问时需要经过 FIPS 140-3 验证的加密模块，请使用 FIPS 终端节点。有关可用的 FIPS 端点的更多信息，请参阅《美国联邦信息处理标准（FIPS）第 140-3 版》[https://aws.amazon.com/compliance/fips/](https://aws.amazon.com/compliance/fips/)。
强烈建议您切勿将机密信息或敏感信息（如您客户的电子邮件地址）放入标签或自由格式文本字段（如**名称**字段）。这包括当您使用控制台、API 或 AWS SDK AWS 服务 使用 AWS PCS 或其他设备 AWS CLI时。在用于名称的标签或自由格式文本字段中输入的任何数据都可能会用于计费或诊断日志。如果您向外部服务器提供 URL，强烈建议您不要在网址中包含凭证信息来验证对该服务器的请求。
## 静态加密
使用、、PCS API 或 AWS SDK 创建 AWS 并行计算服务 (AWS PCS) 集群时 AWS 管理控制台 AWS CLI， AWS 默认情况下会为静态数据启用加密。 AWS PCS 使用**AWS 自有的 KMS 密钥**对静态数据进行加密。有关更多信息，请参阅《*AWS KMS 开发者指南》[中的](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#key-mgmt)客户 AWS 密钥和密钥*。您也可以使用客户管理的密钥。有关更多信息，请参阅 [在中使用加密 EBS 卷所需的 KMS 密钥策略 AWS 个](security-key-policy-for-encrypted-volumes.md)。
**集群密钥存储**在中 AWS Secrets Manager 并使用密钥管理器管理的 KMS 密钥进行加密。有关更多信息，请参阅 [在中使用集群密钥 AWS PCS](working-with_clusters_secrets.md)。
在 AWS PCS 集群中，以下数据*处于静态状态*：
+ **调度器状态 **-它包括有关集群中正在运行的作业和已配置节点的数据。这是 Slurm 保留在您的`StateSaveLocation`定义中的数据。`slurm.conf`有关更多信息，请参阅 Slurm 文档[StateSaveLocation](https://slurm.schedmd.com/slurm.conf.html#OPT_StateSaveLocation)中的描述。 AWS PCS 在任务完成后删除任务数据。
+ **调度器身份验证密钥 ** — AWS PCS 使用它来验证集群中的所有调度器通信。
对于调度程序状态信息， AWS PCS 在将数据和元数据写入文件系统之前会自动对其进行加密。加密文件系统对静态数据使用行业标准 AES-256 加密算法。
## 传输中加密
无论您使用 AWS Command Line Interface (AWS CLI) 还是 S AWS DK，您与 AWS PCS API 的连接均在签名版本 4 签名流程中使用 TLS 加密。有关更多信息，请参阅[《*AWS Identity and Access Management 用户指南*》](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-signing.html)中的 AWS API 请求签名。 AWS 通过 API 使用用于连接的安全证书的 IAM 策略管理访问控制。
AWS PCS 使用 TLS 连接到其他 AWS 服务。
在 Slurm 集群中，调度器使用`auth/slurm`身份验证插件进行配置，该插件为所有调度器通信提供身份验证。Slurm 不为其通信提供应用程序级别的加密，所有流经集群实例的数据都在 EC2 VPC 的本地，因此，如果这些实例支持传输中的加密，则会受到 VPC 加密。有关更多信息，请参阅《*亚马逊弹性计算云用户指南》[中的传输](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/data-protection.html#encryption-transit)加密*。控制器（在服务账户中配置）与您账户中的集群节点之间的通信是加密的。
## 密钥管理
AWS PCS 使用**AWS 自有的 KMS 密钥**来加密数据。有关更多信息，请参阅《*AWS KMS 开发者指南》[中的](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#key-mgmt)客户 AWS 密钥和密钥*。您也可以使用客户管理的密钥。有关更多信息，请参阅 [在中使用加密 EBS 卷所需的 KMS 密钥策略 AWS 个](security-key-policy-for-encrypted-volumes.md)。
**集群密钥存储**在中 AWS Secrets Manager 并使用密钥管理器管理的 KMS 密钥进行加密。有关更多信息，请参阅 [在中使用集群密钥 AWS PCS](working-with_clusters_secrets.md)。
## Inter-network 交通隐私
AWS 集群的 PCS 计算资源位于客户账户的 1 个 VPC 内。因此，集群内的所有内部 AWS PCS 服务流量都留在 AWS 网络内，不会通过互联网传输。用户和 AWS PCS 节点之间的通信可以通过互联网传输，我们建议使用 SSH 或 Systems Manager 连接到节点。有关更多信息，请参阅[什么是 AWS Systems Manager？](https://docs.aws.amazon.com/systems-manager/latest/userguide/what-is-systems-manager.html)在《*AWS Systems Manager 用户指南》中*。
您还可以使用以下产品将您的本地网络连接到 AWS：
+ AWS Site-to-Site VPN。有关更多信息，请参阅[什么是 AWS Site-to-Site VPN？](https://docs.aws.amazon.com/vpn/latest/s2svpn/VPC_VPN.html)在《*AWS Site-to-Site VPN 用户指南》中*。
+ 一个 AWS Direct Connect。有关更多信息，请参阅[什么是 AWS Direct Connect？](https://docs.aws.amazon.com/directconnect/latest/UserGuide/Welcome.html)在《*AWS Direct Connect 用户指南》中*。
您可以访问 AWS PCS API 来执行该服务的管理任务。您和您的用户访问 Slurm 端点端口，直接与调度程序进行交互。
## 加密 API 流量
要访问 AWS PCS API，客户端必须支持传输层安全 (TLS) 1.2 或更高版本。我们要求使用 TLS 1.2，建议使用 TLS 1.3。客户还必须支持具有完全向前保密 (PFS) 的密码套件，例如短暂的 (DHE) 或椭圆曲线短暂的 Diffie-Hellman (ECDHE)。 Diffie-Hellman 大多数现代系统（如 Java 7 及更高版本）都支持这些模式。此外，必须使用访问密钥 ID 和与 IAM 主体关联的秘密访问密钥来对请求进行签名。您还可以使用 AWS Security Token Service (AWS STS) 生成临时安全证书来签署请求。
## 加密数据流量
通过访问调度器终端节点的支持的 EC2 实例以及从内部的 ComputeNodeGroup 实例之间启用传输中数据的加密。 AWS Cloud有关更多信息，请参阅 [传输中加密](#encryption-transit)。