从控制台代理的 EC2 User Data 中删除客户端和密钥 ID 是否安全？
适用于
- NetApp Console
- Amazon Web Services (AWS)
- EC2 user-data
回答
- 是的，删除 AWS NetApp Console Agent 的 EC2 用户数据上设置的客户端密钥是安全的。
- 此 IAM 客户端密钥仅用于在部署后的租户上初始注册 NetApp Console Agent。
合作伙伴备注
合作伙伴备注文本
追加信息
如果需要删除客户端密钥以实现安全合规性，可以按照以下步骤操作：
- 停止 NetApp Console Agent 虚拟机的 EC2 实例。
- 实例停止后，单击 "Edit User Data"：
- 删除整个用户数据内容，然后单击保存。
- 启动 NetApp Console Agent 的 EC2 实例
内部参考
控制台调用 agent-mgmt API (POST /agents-mgmt/organizations/{orgId}/agents)，该 API 向 Auth0 注册代理。Auth0 返回一个 clientId 和 clientSecret.
这些凭据将传递到 EC2 实例的用户数据中，以便 Service Manager (SM2) 可以在首次启动时读取它们，而无需任何手动登录或文件传输。
SM2 读取值，将其写入config.json（将客户端密钥加密为enc_clientSecret），使用 clientId/clientSecret 对生成 JWT 服务令牌，并调用 agent-mgmt PATCH API 以更新回调 URI 并完成注册。
注册完成后，OCCM 容器上线（约 10–15 分钟），代理完全正常运行。
在代理注册过程完成（在审核时间轴上可见）并且 occm 容器启动后，可以删除 userdata。
SM2 密钥不会轮换。
在初始配置期间，SM2 从用户数据中读取客户端 ID 和客户端密钥后，会将其写入 /opt/application/netapp/service-manager-2/config.json（其中密钥以加密形式存储为 enc_clientSecret）。 从那时起，该代理将专门使用 config.json 来为 API 调用生成 JWT 服务令牌，而不会重新读取 EC2 用户数据。
在实验室环境中，从 AWS Console 的 EC2 User Data 中删除客户端和密钥 ID 似乎没有任何重大影响，如果需要删除，请在删除之前咨询 EE。