AWS ParallelCluster em uma única sub-rede sem acesso à Internet

Uma sub-rede sem acesso à Internet não permite conexões de entrada ou saída com a Internet. Essa AWS ParallelCluster configuração pode ajudar os clientes preocupados com a segurança a aprimorar ainda mais a segurança de seus AWS ParallelCluster recursos. AWS ParallelCluster os nós são criados a partir AWS ParallelCluster AMIs disso, incluindo todo o software necessário para executar um cluster sem acesso à Internet. Dessa forma, é AWS ParallelCluster possível criar e gerenciar clusters com nós que não têm acesso à Internet.

Nesta seção, você aprenderá como configurar o cluster. Você também aprenderá sobre as limitações na execução de clusters sem acesso à Internet.

Configurando endpoints de VPC

Para garantir o funcionamento adequado do cluster, os nós do cluster devem ser capazes de interagir com vários AWS serviços.

Crie e configure os seguintes VPC endpoints para que os nós do cluster possam interagir com os AWS Serviços, sem acesso à Internet:

** Esse endpoint só é necessário quando DirectoryService está habilitado, caso contrário, é opcional.

*** Esses endpoints só são necessários quando LoginNodesestão habilitados, caso contrário, são opcionais.

Todas as instâncias na VPC devem ter grupos de segurança adequados para se comunicar com os endpoints. Você pode fazer isso adicionando grupos de segurança a AdditionalSecurityGroups via HeadNode e AdditionalSecurityGroups via configurações de SlurmQueues. Por exemplo, se os endpoints da VPC forem criados sem especificar explicitamente um grupo de segurança, o grupo de segurança padrão será associado aos endpoints. Ao adicionar o grupo de segurança padrão ao AdditionalSecurityGroups, você ativa a comunicação entre o cluster e os endpoints.

PolicyDocument:
  Version: 2012-10-17
  Statement:
    - Effect: Allow
      Principal: "*"
      Action:
        - "s3:PutObject"
      Resource:
        - !Sub "arn:${AWS::Partition}:s3:::cloudformation-waitcondition-${AWS::Region}/*"

Desative o Route 53 e use nomes de EC2 host da Amazon

Ao criar um Slurm cluster, AWS ParallelCluster cria uma zona hospedada privada do Route 53 que é usada para resolver os nomes de host dos nós de computação personalizados, como. {queue_name}-{st|dy}-{compute_resource}-{N} Como o Route 53 não é compatível com endpoints da VPC, esse recurso deve ser desativado. Além disso, AWS ParallelCluster deve ser configurado para usar os EC2 nomes de host padrão da Amazon, comoip-1-2-3-4. Aplique as seguintes configurações à configuração do seu cluster:

...
Scheduling:
  ...
  SlurmSettings:
    Dns:
      DisableManagedDns: true
      UseEc2Hostnames: true

Configuração do cluster

Saiba como configurar seu cluster para ser executado em uma sub-rede sem conexão com a Internet.

A configuração para essa arquitetura requer as seguintes definições:

# Note that all values are only provided as examples
...
HeadNode:
  ...
  Networking:
    SubnetId: subnet-1234567890abcdef0 # the VPC of the subnet needs to have VPC endpoints
    AdditionalSecurityGroups:
      - sg-abcdef01234567890 # optional, the security group that enables the communication between the cluster and the VPC endpoints
LoginNodes: # optional, if enabled, requires creation and configuration of VPC endpoints for AWS Elastic Load Balancing (ELB) and Auto Scaling services
  Pools:
    - ...
      Networking:
        SubnetIds:
          - subnet-1234567890abcdef0 # the VPC of the subnet needs to have VPC endpoints attached
        AdditionalSecurityGroups:
          - sg-1abcdef01234567890 # optional, the security group that enables the communication between the cluster and the VPC endpoints
Scheduling:
  Scheduler: Slurm # Cluster in a subnet without internet access is supported only when the scheduler is Slurm.
  SlurmSettings:
    Dns:
      DisableManagedDns: true
      UseEc2Hostnames: true
  SlurmQueues:
    - ...
      Networking:
        SubnetIds:
          - subnet-1234567890abcdef0 # the VPC of the subnet needs to have VPC endpoints attached
        AdditionalSecurityGroups:
          - sg-1abcdef01234567890 # optional, the security group that enables the communication between the cluster and the VPC endpoints 

Limitações