AWS ParallelCluster dans un seul sous-réseau sans accès à Internet

Un sous-réseau sans accès à Internet n'autorise pas les connexions entrantes ou sortantes vers Internet. Cette AWS ParallelCluster configuration peut aider les clients soucieux de la sécurité à renforcer davantage la sécurité de leurs ressources. AWS ParallelCluster AWS ParallelCluster les nœuds sont créés AWS ParallelCluster AMIs à partir de ceux-ci et incluent tous les logiciels nécessaires pour exécuter un cluster sans accès à Internet. De cette façon, AWS ParallelCluster vous pouvez créer et gérer des clusters avec des nœuds qui n'ont pas accès à Internet.

Dans cette section, vous découvrirez comment configurer le cluster. Vous découvrirez également les limites liées à l'exécution de clusters sans accès à Internet.

Configuration des points de VPC terminaison

Pour garantir le bon fonctionnement du cluster, les nœuds du cluster doivent être en mesure d'interagir avec un certain nombre de AWS services.

Créez et configurez les VPCpoints de terminaison suivants afin que les nœuds du cluster puissent interagir avec les AWS services, sans accès à Internet :

** Ce point de terminaison n'est requis que lorsqu'il DirectoryServiceest activé, sinon il est facultatif.

Toutes les instances du VPC doivent disposer de groupes de sécurité appropriés pour communiquer avec les points de terminaison. Vous pouvez le faire en ajoutant des groupes de sécurité AdditionalSecurityGroupssous HeadNodeet AdditionalSecurityGroupssous les SlurmQueuesconfigurations. Par exemple, si les VPC points de terminaison sont créés sans spécifier explicitement de groupe de sécurité, le groupe de sécurité par défaut est associé aux points de terminaison. En ajoutant le groupe de sécurité par défaut àAdditionalSecurityGroups, vous activez la communication entre le cluster et les points de terminaison.

PolicyDocument:
  Version: 2012-10-17
  Statement:
    - Effect: Allow
      Principal: "*"
      Action:
        - "s3:PutObject"
      Resource:
        - !Sub "arn:${AWS::Partition}:s3:::cloudformation-waitcondition-${AWS::Region}/*"

Désactivez Route 53 et utilisez les noms d'EC2hôte Amazon

Lors de la création d'un Slurm cluster, AWS ParallelCluster crée une zone hébergée Route 53 privée qui est utilisée pour résoudre les noms d'hôte des nœuds de calcul personnalisés, tels que{queue_name}-{st|dy}-{compute_resource}-{N}. Route 53 ne prenant pas en charge les VPC points de terminaison, cette fonctionnalité doit être désactivée. En outre, AWS ParallelCluster il doit être configuré pour utiliser les EC2 noms d'hôte Amazon par défaut, tels queip-1-2-3-4. Appliquez les paramètres suivants à la configuration de votre cluster :

...
Scheduling:
  ...
  SlurmSettings:
    Dns:
      DisableManagedDns: true
      UseEc2Hostnames: true

Configuration du cluster

Découvrez comment configurer votre cluster pour qu'il s'exécute dans un sous-réseau sans connexion Internet.

La configuration de cette architecture nécessite les paramètres suivants :

# Note that all values are only provided as examples
...
HeadNode:
  ...
  Networking:
    SubnetId: subnet-1234567890abcdef0 # the VPC of the subnet needs to have VPC endpoints
    AdditionalSecurityGroups:
      - sg-abcdef01234567890 # optional, the security group that enables the communication between the cluster and the VPC endpoints
Scheduling:
  Scheduler: Slurm # Cluster in a subnet without internet access is supported only when the scheduler is Slurm.
  SlurmSettings:
    Dns:
      DisableManagedDns: true
      UseEc2Hostnames: true
  SlurmQueues:
    - ...
      Networking:
        SubnetIds:
          - subnet-1234567890abcdef0 # the VPC of the subnet needs to have VPC endpoints attached
        AdditionalSecurityGroups:
          - sg-1abcdef01234567890 # optional, the security group that enables the communication between the cluster and the VPC endpoints

Limites