AWS PCS 中叢集秘密輪換的常見問題

叢集秘密是一種安全登入資料，可啟用 Slurm 控制器和 AWS PCS 運算節點之間的安全通訊。它也可以做為 Slurm REST API 身分驗證的 JSON Web Token (JWT) 金鑰。

在 AWS PCS 中，叢集秘密和 JWT 金鑰是提供不同用途的相同資源。叢集秘密會驗證 Slurm 內部通訊，而 JWT 金鑰會簽署字符以進行 REST API 身分驗證。輪換時，兩個層面都會同時受到影響。

輪換程序通常需要幾分鐘的時間。您的叢集會保持 ACTIVE 狀態，並在輪換期間繼續正常計費。

您可以在 Secrets Manager 中啟用排程輪換。不過，初始版本需要在每次輪換之前手動準備 （將節點群組擴展至 0)。

否，現有的 JWT 權杖在輪換後會變成無效。為 REST API 用戶端發行新權杖。

您可以在 Secrets Manager 主控台或透過 AWS PCS 主控台找到叢集秘密。如需詳細說明，請參閱 使用 AWS Secrets Manager 尋找叢集秘密和 使用 AWS PCS 尋找叢集秘密。

輪換不需要執行中的執行個體，以確保秘密更新程序期間的叢集穩定性。這可防止舊秘密和新秘密之間的身分驗證衝突。

此功能可讓 AWS PCS 符合產業合規標準，包括 HIPAA 和 FedRAMP，其要求定期輪換登入資料，作為其安全控制的一部分。

是。您可以使用相同 AWS 帳戶 和 中的對稱ENCRYPT_DECRYPT客戶受管金鑰來加密叢集秘密 AWS 區域。您可以透過 AWS Secrets Manager UpdateSecret操作連接或變更金鑰。秘密的加密金鑰沒有 AWS PCS API 參數。

金鑰政策必須授予 AWS PCS 服務連結角色 (AWSServiceRoleForPCS)kms:GenerateDataKey、 kms:Decrypt和 kms:DescribeKey。如需詳細資訊，請參閱使用客戶受管金鑰來加密叢集秘密。

No. AWS PCS 會管理秘密值。如果您嘗試SecretBinary透過 變更 SecretString或 AWS Secrets Manager，請求會失敗。您可以變更加密金鑰 ( AWS KMS 金鑰） 和描述。

讀取秘密的輪換和節點操作失敗。根本原因是 AWS KMS AWS CloudTrail 中可見的存取遭拒錯誤，而輪換表面則表示輪換失敗。叢集本身會保持 ACTIVE。