Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Direktes SSH

Überprüfen Sie vor der Aktivierung Folgendes:

Voraussetzungen

Direct SSH erfordert externalDNS, eine Amazon Route 53 Private Hosted Zone, VPC-Konnektivität von Client-Computern und (optional) den Load Balancer Controller. AWS Die vollständige Liste der Voraussetzungen finden Sie unter. Voraussetzungen für Direct SSH

Wenn der Webbrowser-Zugriff auf Ihrem Cluster bereits aktiviert ist, sind alle Voraussetzungen erfüllt. Bevor Sie fortfahren, überprüfen Sie, ob Ihr externalDNS mit konfiguriert ist. --policy=sync Details hierzu finden Sie unter Externe DNS-Konfiguration.

Wenn der Webbrowser-Zugriff noch nicht konfiguriert ist, finden Sie weitere Informationen unter. (Optional) Voraussetzungen einrichten Weitere Informationen zum Aktivieren des Webbrowserzugriffs finden Sie unterInstallation des EKS-Addons — Jupyter K8s mit WebUI.

Konfigurieren Sie Direct SSH für Ihren Cluster

Schritt 1: Sicherheitsgruppenregel für SSH hinzufügen

Für den Webbrowser-Zugriff wird HTTPS (443) über einen Application Load Balancer (ALB) verwendet. Da Direct SSH eine direkte Verbindung zu Pod-IPs auf dem konfigurierten Port herstellt, müssen Sie eine Sicherheitsgruppen-Regel für eingehenden Datenverkehr hinzufügen.

Überprüfe, ob deine Workspace-Instanzgruppe eine SG-Override hat:

aws sagemaker describe-cluster \
  --cluster-name <HYPERPOD_CLUSTER_NAME> \
  --region <AWS_REGION> \
  --query 'InstanceGroups[*].{Name:InstanceGroupName, OverrideSGs:OverrideVpcConfig.SecurityGroupIds}'

Option A: Die Instanzgruppe hat eine Sicherheitsgruppen-Override

Wenn sie ungleich Null OverrideSGs ist, fügen Sie die Regel zu dieser Sicherheitsgruppe hinzu:

SG_ID=<SG_ID_FROM_OVERRIDE_VPC_CONFIG>
aws ec2 authorize-security-group-ingress \
  --group-id $SG_ID \
  --protocol tcp \
  --port <SSH_PORT> \
  --cidr <SOURCE_CIDR> \
  --region <AWS_REGION>

Option B: Für die Instanzgruppe gibt es keine Sicherheitsgruppenüberschreibung

Wenn Null OverrideSGs ist, verwenden Sie die Sicherheitsgruppe auf Clusterebene aus der SageMaker HyperPod Cluster-VPC-Konfiguration:

SG_ID=$(aws sagemaker describe-cluster --cluster-name <HYPERPOD_CLUSTER_NAME> --region <AWS_REGION> \
  --query 'VpcConfig.SecurityGroupIds[0]' --output text)
aws ec2 authorize-security-group-ingress \
  --group-id $SG_ID \
  --protocol tcp \
  --port <SSH_PORT> \
  --cidr <SOURCE_CIDR> \
  --region <AWS_REGION>

Die folgende Tabelle zeigt, wo die einzelnen Platzhalterwerte zu finden sind.

Schritt 2: Direct SSH aktivieren

Fügen Sie directSSH Ihrer Addon-Konfiguration hinzu und fügen Sie Folgendes hinzu: clusterWebUI

jupyter-k8s-aws-hyperpod:
  clusterWebUI:
    enabled: true
    domain: "<DOMAIN_NAME>"
    awsCertificateArn: "<ACM_CERTIFICATE_ARN>"
    traefik:
      shouldInstall: true
  directSSH:
    enabled: true
    port: <SSH_PORT>          # default: 22
    domain: "<ROUTE53_HOSTED_ZONE_DOMAIN>"

Die folgende Tabelle zeigt, wo die einzelnen Platzhalterwerte zu finden sind.

Aktualisiere das Addon:

aws eks update-addon \
  --cluster-name <CLUSTER_NAME> \
  --addon-name amazon-sagemaker-spaces \
  --configuration-values file://addon-config.yaml \
  --resolve-conflicts OVERWRITE \
  --region <AWS_REGION>

Informationen zur Deaktivierung von Direct SSH finden Sie unterWiderrufen des direkten SSH-Zugriffs.

Schritt 3: Vergewissern Sie sich, dass Direct SSH aktiv ist

# Check addon status
aws eks describe-addon \
  --cluster-name <CLUSTER_NAME> \
  --addon-name amazon-sagemaker-spaces \
  --region <AWS_REGION>

# Check headless services created for workspaces
kubectl get svc -l app.kubernetes.io/component=direct-ssh

# Verify DNS record resolves (from within VPC)
dig <workspace-name>.<namespace>.<ROUTE53_HOSTED_ZONE_DOMAIN>

Stelle mithilfe von Direct SSH eine Verbindung zu deinem Workspace her

Verwende die folgenden Verfahren, um mithilfe von Direct SSH eine Verbindung zu deinem Workspace herzustellen, deine SSH-Schlüssel zu verwalten und Verbindungsprobleme zu beheben.

Wie funktioniert die SSH-Authentifizierung

Direct SSH verwendet die Standardauthentifizierung mit öffentlichen Schlüsseln. Jeder Benutzer generiert sein eigenes SSH-Schlüsselpaar und fügt den öffentlichen Schlüssel zu seinem Workspace hinzu. Private Schlüssel verlassen niemals den Computer des Benutzers.

Im Folgenden sind die wichtigsten Fakten zum SSH-Zugriff aufgeführt:

Schritt 1: Generieren Sie einen SSH-Schlüssel auf Ihrem Client-Computer

Führen Sie diesen Befehl einmal aus, um Ihr Schlüsselpaar zu erstellen:

ssh-keygen -t ed25519 -f ~/.ssh/my-workspace-key

Dadurch entsteht:

Schritt 2: Füge deinen öffentlichen Schlüssel zu deinem Workspace hinzu

Verwende eine der folgenden Methoden, um deinen öffentlichen Schlüssel hinzuzufügen. Sie müssen nicht beides tun.

Fügen Sie Ihren Schlüssel über den Webbrowser hinzu

Füge deinen Schlüssel über kubectl hinzu

POD=$(kubectl get pods -n <namespace> -l workspace.jupyter.org/workspace-name=<space-name> \
  -o jsonpath='{.items[0].metadata.name}')
cat ~/.ssh/my-workspace-key.pub | kubectl exec -n <namespace> -i $POD -c workspace -- \
  bash -c "cat >> /home/sagemaker-user/.ssh/authorized_keys"

Schritt 3: Stellen Sie mithilfe von SSH eine Verbindung zu Ihrem Workspace her

ssh -p <SSH_PORT> -i ~/.ssh/my-workspace-key sagemaker-user@<space-name>.<namespace>.<domain>

Beispiel:

ssh -p 2222 -i ~/.ssh/my-workspace-key sagemaker-user@my-space.default.spaces.example.com

Schritt 4: Konfigurieren Sie SSH für den einfachen Zugriff

Dieser optionale Schritt vereinfacht zukünftige Verbindungen. Fügen Sie Folgendes zu ~/.ssh/config hinzu:

Host my-space
    HostName <space-name>.<namespace>.<domain>
    Port <SSH_PORT>
    User sagemaker-user
    IdentityFile ~/.ssh/my-workspace-key
    ServerAliveInterval 15
    ServerAliveCountMax 3

Stellen Sie Port den Port ein, den Ihr Administrator konfiguriert hat. Sie können diese Zeile weglassen, wenn Direct SSH den Standardport (22) verwendet. Stellen Sie dann eine Verbindung her mit: ssh my-space

Schritt 5: Verbinden Sie eine Remote-IDE

Nachdem Direct SSH von Ihrem Terminal aus funktioniert (Schritt 3), stellt jede Remote-SSH fähige IDE über denselben ~/.ssh/config Eintrag eine Verbindung her. Für diese Verbindung benötigen Sie keine zusätzliche AWS Konfiguration.

Installieren Sie die Remote-SSH Erweiterung

Stellen Sie von der IDE aus eine Verbindung her

Verwaltung und Widerruf von Schlüsseln

Sie verwalten Ihre SSH-Schlüssel. SSH-Schlüssel sind langlebige Anmeldeinformationen, die nicht automatisch ablaufen. Ein Schlüssel authorized_keys gewährt Zugriff auf deinen Workspace, bis du ihn explizit entfernst.

Um deinen Schlüssel zu drehen

Wir empfehlen, die Schlüssel regelmäßig zu wechseln.

Wenn dein privater Schlüssel kompromittiert ist

Handeln Sie sofort. Ein kompromittierter Schlüssel gewährt vollen Zugriff auf den Workspace, bis du ihn wieder entfernst. authorized_keys

Bewährte Methoden

Widerrufen des direkten SSH-Zugriffs

Um zu vermeiden, dass nach der Deaktivierung von Direct SSH eine Sicherheitsgruppenregel geöffnet bleibt, führen Sie alle drei Schritte der Reihe nach aus. Überspringen Sie Schritt 2 nicht.

Schritt 1: Im Helm-Diagramm deaktivieren

Entfernen Sie den directSSH Abschnitt vollständig aus Ihrer Addon-Konfigurationsdatei. Helm verwendet standardmäßigdirectSSH.enabled, false wenn der Schlüssel fehlt:

jupyter-k8s-aws-hyperpod:
  clusterWebUI:
    enabled: true
    domain: "<DOMAIN_NAME>"
    ...
  # directSSH section removed

Alternativ explizit gesetztenabled: false:

directSSH:
  enabled: false

Schritt 2: Entfernen Sie die Regel für eingehenden Sicherheitsgruppenverkehr

# Find the rule ID
aws ec2 describe-security-group-rules \
  --filters Name=group-id,Values=<SG_ID> \
  --query 'SecurityGroupRules[?IpProtocol==`tcp` && FromPort==`<SSH_PORT>`].[SecurityGroupRuleId,CidrIpv4]' \
  --output table \
  --region <AWS_REGION>

# Remove the rule
aws ec2 revoke-security-group-ingress \
  --group-id <SG_ID> \
  --security-group-rule-ids <RULE_ID> \
  --region <AWS_REGION>

Schritt 3: Auf Cluster anwenden

aws eks update-addon \
  --cluster-name <CLUSTER_NAME> \
  --addon-name amazon-sagemaker-spaces \
  --configuration-values file://addon-config.yaml \
  --resolve-conflicts OVERWRITE \
  --region <AWS_REGION>

Wenn Sie diesen Befehl ausführen, werden die Headless-Dienste für alle Workspaces entfernt. ExternalDNS löscht dann die Route 53 A-Datensätze innerhalb von etwa 30 Sekunden. Nachdem ExternalDNS die Datensätze entfernt hat, können neue SSH-Verbindungen den Workspace-Hostnamen nicht mehr auflösen.

Was passiert nach dem Widerruf

Fehlerbehebung

(Optional) Voraussetzungen einrichten

Verwenden Sie diesen Abschnitt nur, wenn der Webbrowser-Zugriff noch nicht aktiviert ist, oder um Ihre ExternalDNS-Konfiguration zu überprüfen oder zu aktualisieren.

Von Grund auf neu installieren

Wenn der Webbrowser-Zugriff noch nicht konfiguriert ist, benötigen Sie Folgendes, bevor Sie Direct SSH aktivieren können:

Die zusätzlichen Abhängigkeiten und die Schritte zur Konfiguration des Webbrowserzugriffs finden Sie unter. Installieren Sie SageMaker AI Spaces Add-on

AWS Load Balancer Controller: HyperPod vpCID-Anforderung

In der Standardinstallationsdokumentation für den AWS Load Balancer Controller wird der Parameter nicht erwähnt. vpcId Bei HyperPod Clustern vpcId führt das Auslassen dazu, dass die Installation fehlschlägt. Sie müssen es explizit angeben.

Holen Sie sich Ihre VPC-ID:

aws sagemaker describe-cluster \
  --cluster-name <HYPERPOD_CLUSTER_NAME> \
  --region <AWS_REGION> \
  --query 'VpcConfig.VpcId' \
  --output text

Installieren Sie mit den erforderlichen HyperPod Parametern:

helm install aws-load-balancer-controller eks/aws-load-balancer-controller \
  -n kube-system \
  --set clusterName=<EKS_CLUSTER_NAME> \
  --set serviceAccount.create=false \
  --set serviceAccount.name=aws-load-balancer-controller \
  --set enableServiceMutatorWebhook=false \
  --set vpcId=<VPC_ID>

Erstellen Sie das Dienstkonto (aws-load-balancer-controller) mit der entsprechenden IAM-Rollenannotation, bevor Sie diesen Befehl ausführen. Weitere Informationen zur IAM-Richtlinie und zu den Schritten zur Erstellung eines Dienstkontos finden Sie unter Amazon EKS Load Balancer Controller IRSA-Setup im Amazon EKS-Benutzerhandbuch.

Externe DNS-Konfiguration

ExternalDNS synchronisiert Kubernetes-Dienste mit DNS-Anbietern. Konfigurieren Sie ExternalDNS mit den folgenden Einstellungen, wenn Sie es mit Amazon Route 53 in einer Produktionsumgebung verwenden.

Standardmäßig verwendet ExternalDNS. --policy=upsert-only Dadurch werden DNS-Einträge erstellt und aktualisiert, aber niemals gelöscht. Wenn Sie einen Workspace löschen, bleiben die A- und TXT-Einträge in Amazon Route 53 als veraltete Einträge erhalten.

Verwenden Sie es --policy=upsert-only nur für Testzwecke und ändern Sie es in --policy=sync für die Produktion. Sie müssen auch das --txt-owner-id Flag setzen, das ExternalDNS mitteilt, welche Datensätze es besitzt und welche Datensätze bei der Bereinigung gelöscht werden sollen.

Konfigurieren Sie Ihre ExternalDNS-Bereitstellung mit den folgenden Argumenten:

--provider=aws
--source=service                          # watches Services (required for headless Services)
--domain-filter=<ROUTE53_HOSTED_ZONE>     # restricts ExternalDNS to your hosted zone only
--policy=sync                             # enables deletion of stale records on space deletion
--txt-owner-id=<CLUSTER_NAME>             # identifies which records this ExternalDNS instance owns

Ersetzen Sie in den vorangegangenen Argumenten die folgenden Werte:

Führen Sie den folgenden Befehl aus, um Ihre aktuelle ExternalDNS-Richtlinie zu überprüfen:

kubectl get deployment -n kube-system external-dns \
  -o jsonpath='{.spec.template.spec.containers[0].args}' | tr ',' '\n' | grep -E 'policy|owner|source|domain'