AWS ParallelCluster在无法访问互联网的单个子网中

没有互联网访问权限的子网不允许使用入站或出站互联网连接。此AWS ParallelCluster配置可以帮助关注安全的客户进一步增强其AWS ParallelCluster资源的安全性。AWS ParallelCluster节点AWS ParallelCluster AMIs 的构建基础包括运行无法访问互联网的集群所需的所有软件。通过这种方式，AWS ParallelCluster可以创建和管理带有无法访问互联网的节点的集群。

在本节中，您将了解如何配置集群。您还将了解运行无互联网访问权限的集群时的限制。

配置 VPC 端点

为确保群集正常运行，群集节点必须能够与多个AWS服务进行交互。

创建并配置以下 VPC 终端节点，以便集群节点无需访问互联网即可与AWS服务进行交互：

** 只有在启用了 DirectoryService 时才需要此端点，否则它是可选的。

*** 只有在启用时LoginNodes才需要这些端点，否则它们是可选的。

VPC 中的所有实例都必须具有适当的安全组才能与端点通信。您可以通过将安全组添加到 HeadNode 配置下面的 AdditionalSecurityGroups 和 SlurmQueues 配置下面的 AdditionalSecurityGroups 来实现这一目的。例如，如果创建了 VPC 端点而未显式指定安全组，则默认安全组将与端点关联。通过将默认安全组添加到 AdditionalSecurityGroups，即可启用集群与端点之间的通信。

PolicyDocument:
  Version: 2012-10-17
  Statement:
    - Effect: Allow
      Principal: "*"
      Action:
        - "s3:PutObject"
      Resource:
        - !Sub "arn:${AWS::Partition}:s3:::cloudformation-waitcondition-${AWS::Region}/*"

禁用 Route 53 并使用 Amazon EC2 主机名

创建Slurm集群时，AWS ParallelCluster会创建用于解析自定义计算节点主机名的私有 Route 53 托管区域，例如{queue_name}-{st|dy}-{compute_resource}-{N}。由于 Route 53 不支持 VPC 端点，因此必须禁用此功能。此外，AWS ParallelCluster必须配置为使用默认 Amazon EC2 主机名，例如ip-1-2-3-4。将以下设置应用于您的集群配置：

...
Scheduling:
  ...
  SlurmSettings:
    Dns:
      DisableManagedDns: true
      UseEc2Hostnames: true

集群配置

了解如何将集群配置为在没有互联网连接的子网中运行。

此架构的配置需要以下设置：

# Note that all values are only provided as examples
...
HeadNode:
  ...
  Networking:
    SubnetId: subnet-1234567890abcdef0 # the VPC of the subnet needs to have VPC endpoints
    AdditionalSecurityGroups:
      - sg-abcdef01234567890 # optional, the security group that enables the communication between the cluster and the VPC endpoints
LoginNodes: # optional, if enabled, requires creation and configuration of VPC endpoints for AWS Elastic Load Balancing (ELB) and Auto Scaling services
  Pools:
    - ...
      Networking:
        SubnetIds:
          - subnet-1234567890abcdef0 # the VPC of the subnet needs to have VPC endpoints attached
        AdditionalSecurityGroups:
          - sg-1abcdef01234567890 # optional, the security group that enables the communication between the cluster and the VPC endpoints
Scheduling:
  Scheduler: Slurm # Cluster in a subnet without internet access is supported only when the scheduler is Slurm.
  SlurmSettings:
    Dns:
      DisableManagedDns: true
      UseEc2Hostnames: true
  SlurmQueues:
    - ...
      Networking:
        SubnetIds:
          - subnet-1234567890abcdef0 # the VPC of the subnet needs to have VPC endpoints attached
        AdditionalSecurityGroups:
          - sg-1abcdef01234567890 # optional, the security group that enables the communication between the cluster and the VPC endpoints 

限制