本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

AWS 平行運算服務中的資料保護

AWS 共同責任模型適用於 AWS 平行運算服務中的資料保護。如此模型所述， AWS 負責保護執行所有 的全域基礎設施 AWS 雲端。您負責維護在此基礎設施上託管內容的控制權。您也同時負責所使用 AWS 服務 的安全組態和管理任務。如需資料隱私權的詳細資訊，請參閱資料隱私權常見問答集。如需有關歐洲資料保護的相關資訊，請參閱 AWS 安全性部落格上的 AWS 共同的責任模型和 GDPR 部落格文章。

基於資料保護目的，我們建議您保護 AWS 帳戶 登入資料，並使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 設定個別使用者。如此一來，每個使用者都只會獲得授與完成其任務所必須的許可。我們也建議您採用下列方式保護資料：

我們強烈建議您絕對不要將客戶的電子郵件地址等機密或敏感資訊，放在標籤或自由格式的文字欄位中，例如名稱欄位。這包括當您使用 AWS PCS 或使用 AWS 服務 主控台、API AWS CLI或其他 AWS SDKs 時。您在標籤或自由格式文字欄位中輸入的任何資料都可能用於計費或診斷日誌。如果您提供外部伺服器的 URL，我們強烈建議請勿在驗證您對該伺服器請求的 URL 中包含憑證資訊。

靜態加密

當您使用 AWS Management Console、、AWS PCS API 或 AWS SDKs 建立 AWS 平行運算服務 ( AWS CLI AWS PCS) 叢集時，靜態資料預設會啟用加密。 AWS PCS 使用 AWS 擁有的 KMS 金鑰來加密靜態資料。如需詳細資訊，請參閱《 AWS KMS 開發人員指南》中的客戶金鑰和 AWS 金鑰。您也可以使用客戶受管金鑰。如需詳細資訊，請參閱在 AWS PCS 中搭配加密 EBS 磁碟區使用的必要 KMS 金鑰政策。

叢集秘密存放在 中， AWS Secrets Manager 並使用 Secrets Manager 受管 KMS 金鑰加密。如需詳細資訊，請參閱在 AWS PCS 中使用叢集秘密。

在 AWS PCS 叢集中，下列資料為靜態：

對於排程器狀態資訊， AWS PCS 會在將資料和中繼資料寫入檔案系統之前自動加密資料和中繼資料。加密的檔案系統針對靜態資料使用業界標準的 AES-256 加密演算法。

傳輸中加密

無論您是否使用 AWS Command Line Interface (AWS CLI) 或 AWS SDKs， AWS PCS API 的連線都會使用 TLS 加密搭配 Signature 第 4 版簽署程序。如需詳細資訊，請參閱AWS Identity and Access Management 《 使用者指南. AWS 管理存取控制》中的簽署 API AWS 請求，該 API 具有您用於連線之安全憑證的 IAM 政策。

AWS PCS 使用 TLS 連線到其他 AWS 服務。

在 Slurm 叢集中，排程器已設定身分auth/slurm驗證外掛程式，該外掛程式為所有排程器通訊提供身分驗證。Slurm 不會在應用程式層級為其通訊提供加密，所有在叢集執行個體之間流動的資料都會保留在 EC2 VPC 本機，因此如果這些執行個體支援傳輸中加密，則受 VPC 加密約束。如需詳細資訊，請參閱《Amazon Elastic Compute Cloud 使用者指南》中的傳輸中加密。控制器 （在服務帳戶中佈建） 之間的通訊會加密您帳戶中的叢集節點。

金鑰管理

AWS PCS 使用 AWS 擁有的 KMS 金鑰來加密資料。如需詳細資訊，請參閱《 AWS KMS 開發人員指南》中的客戶金鑰和 AWS 金鑰。您也可以使用客戶受管金鑰。如需詳細資訊，請參閱在 AWS PCS 中搭配加密 EBS 磁碟區使用的必要 KMS 金鑰政策。

叢集秘密存放在 中， AWS Secrets Manager 並使用 Secrets Manager 受管 KMS 金鑰加密。如需詳細資訊，請參閱在 AWS PCS 中使用叢集秘密。

網際網路流量隱私權

AWS 叢集的 PCS 運算資源位於客戶帳戶中的 1 個 VPC 內。因此，叢集內的所有內部 AWS PCS 服務流量都會保留在 AWS 網路中，而不會在網際網路間傳輸。使用者和 AWS PCS 節點之間的通訊可以通過網際網路，我們建議您使用 SSH 或 Systems Manager 來連接到節點。如需詳細資訊，請參閱AWS Systems Manager 《 使用者指南》中的什麼是 AWS Systems Manager？。

您也可以使用下列方案，將內部部署網路連線至 AWS：

您可以存取 AWS PCS API 來執行服務的管理任務。您和您的使用者會存取 Slurm 端點連接埠，以直接與排程器互動。

加密 API 流量

若要存取 AWS PCS API，用戶端必須支援 Transport Layer Security (TLS) 1.2 或更新版本。我們需要 TLS 1.2 並建議使用 TLS 1.3。用戶端也必須支援具備完整轉寄密碼 (PFS) 的密碼套件，例如暫時性 Diffie-Hellman (DHE) 或橢圓曲線 Diffie-Hellman Ephemeral (ECDHE)。現代系統(如 Java 7 和更新版本)大多會支援這些模式。此外，請求必須使用存取金鑰 ID 和與 IAM 主體相關聯的私密存取金鑰來簽署。您也可以使用 AWS Security Token Service (AWS STS) 產生臨時安全登入資料來簽署請求。

加密資料流量

從存取排程器端點的支援 EC2 執行個體，以及從 內部的 ComputeNodeGroup 執行個體之間，啟用傳輸中的資料加密 AWS 雲端。如需詳細資訊，請參閱傳輸中加密。