PCS AWS でのクラスターシークレットローテーションに関するよくある質問

クラスターシークレットは、Slurm コントローラーと AWS PCS コンピューティングノード間の安全な通信を可能にする安全な認証情報です。また、Slurm REST API 認証の JSON ウェブトークン (JWT) キーとしても機能します。

AWS PCS では、クラスターシークレットと JWT キーは同じリソースであり、さまざまな目的に対応します。クラスターシークレットは Slurm 内部通信を認証し、JWT キーは REST API 認証のトークンに署名します。ローテーションすると、両方の側面が同時に影響を受けます。

ローテーションプロセスには通常数分かかります。クラスターは ACTIVE 状態のままで、ローテーション中は請求が通常どおり続行されます。

Secrets Manager でスケジュールされたローテーションを有効にできます。ただし、最初のリリースでは、各ローテーションの前に手動で準備 (ノードグループを 0 にスケーリング) する必要があります。

いいえ。既存の JWT トークンはローテーション後に無効になります。REST API クライアントの新しいトークンを発行します。

クラスターシークレットは、Secrets Manager コンソールまたは PCS AWS コンソールから見つけることができます。詳細な手順については、AWS Secrets Manager を使用してクラスターシークレットを検索する「」および「」を参照してくださいPCS AWS を使用してクラスターシークレットを検索する。

ローテーションでは、シークレット更新プロセス中にクラスターの安定性を確保するために実行中のインスタンスは必要ありません。これにより、古いシークレットと新しいシークレット間の認証の競合が防止されます。

この機能により、PCS AWS は HIPAA や FedRAMP などの業界のコンプライアンス標準を満たすことができます。この標準では、セキュリティコントロールの一部として定期的な認証情報のローテーションが義務付けられています。

はい。クラスターシークレットは、同じ AWS アカウント と で対称ENCRYPT_DECRYPTカスタマーマネージドキーを使用して暗号化できます AWS リージョン。 AWS Secrets Manager UpdateSecret オペレーションを通じてキーをアタッチまたは変更します。シークレットの暗号化キーの AWS PCS API パラメータはありません。

キーポリシーは、PCS AWS サービスにリンクされたロール (AWSServiceRoleForPCS)、kms:Decrypt、kms:GenerateDataKeyおよび を付与する必要がありますkms:DescribeKey。詳細については、「カスタマーマネージドキーを使用してクラスターシークレットを暗号化する」を参照してください。

いいえ。 AWS PCS はシークレット値を管理します。SecretString または SecretBinaryを介して を変更しようとすると AWS Secrets Manager、リクエストは失敗します。暗号化キー ( AWS KMS キー) と説明を変更できます。

シークレットを読み取るローテーションオペレーションとノードオペレーションは失敗します。根本的な原因は、 AWS KMS AWS CloudTrail に表示されるアクセス拒否エラーであり、ローテーションは失敗したローテーションとして表面化します。クラスター自体は のままですACTIVE。