Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

SSH langsung

Sebelum mengaktifkan, tinjau hal-hal berikut:

Prasyarat

Direct SSH memerlukan ExternalDNS, Amazon Route 53 Private Hosted Zone, konektivitas VPC dari mesin klien, dan (opsional) Load Balancer Controller. AWS Untuk daftar lengkap prasyarat, lihat. Prasyarat untuk SSH Langsung

Jika akses browser web sudah diaktifkan di cluster Anda, semua prasyarat sudah ada. Sebelum Anda melanjutkan, verifikasi ExternalDNS Anda dikonfigurasi dengan. --policy=sync Lihat perinciannya di Konfigurasi ExternalDNS.

Jika akses browser web belum dikonfigurasi, lihat(Opsional) Menyiapkan prasyarat. Untuk informasi selengkapnya tentang mengaktifkan akses browser web, lihatInstalasi EKS Addon - Jupyter K8s dengan WebUI.

Konfigurasikan Direct SSH untuk klaster Anda

Langkah 1: Tambahkan aturan grup keamanan untuk SSH

Akses browser web menggunakan HTTPS (443) melalui Application Load Balancer (ALB). Karena Direct SSH terhubung langsung ke IP pod pada port yang dikonfigurasi, Anda perlu menambahkan aturan masuk grup keamanan.

Periksa apakah grup instans ruang kerja Anda memiliki penggantian SG:

aws sagemaker describe-cluster \
  --cluster-name <HYPERPOD_CLUSTER_NAME> \
  --region <AWS_REGION> \
  --query 'InstanceGroups[*].{Name:InstanceGroupName, OverrideSGs:OverrideVpcConfig.SecurityGroupIds}'

Opsi A: Grup instance memiliki penggantian grup keamanan

Jika OverrideSGs non-null, tambahkan aturan ke Grup Keamanan tersebut:

SG_ID=<SG_ID_FROM_OVERRIDE_VPC_CONFIG>
aws ec2 authorize-security-group-ingress \
  --group-id $SG_ID \
  --protocol tcp \
  --port <SSH_PORT> \
  --cidr <SOURCE_CIDR> \
  --region <AWS_REGION>

Opsi B: Grup instance tidak memiliki penggantian grup keamanan

Jika OverrideSGs nol, gunakan Grup Keamanan tingkat cluster dari konfigurasi VPC cluster SageMaker HyperPod :

SG_ID=$(aws sagemaker describe-cluster --cluster-name <HYPERPOD_CLUSTER_NAME> --region <AWS_REGION> \
  --query 'VpcConfig.SecurityGroupIds[0]' --output text)
aws ec2 authorize-security-group-ingress \
  --group-id $SG_ID \
  --protocol tcp \
  --port <SSH_PORT> \
  --cidr <SOURCE_CIDR> \
  --region <AWS_REGION>

Tabel berikut menunjukkan di mana untuk menemukan setiap nilai placeholder.

Langkah 2: Aktifkan SSH Langsung

Tambahkan directSSH ke konfigurasi addon Anda di sampingclusterWebUI:

jupyter-k8s-aws-hyperpod:
  clusterWebUI:
    enabled: true
    domain: "<DOMAIN_NAME>"
    awsCertificateArn: "<ACM_CERTIFICATE_ARN>"
    traefik:
      shouldInstall: true
  directSSH:
    enabled: true
    port: <SSH_PORT>          # default: 22
    domain: "<ROUTE53_HOSTED_ZONE_DOMAIN>"

Tabel berikut menunjukkan di mana untuk menemukan setiap nilai placeholder.

Perbarui addon:

aws eks update-addon \
  --cluster-name <CLUSTER_NAME> \
  --addon-name amazon-sagemaker-spaces \
  --configuration-values file://addon-config.yaml \
  --resolve-conflicts OVERWRITE \
  --region <AWS_REGION>

Untuk menonaktifkan Direct SSH, lihatMencabut akses SSH Langsung.

Langkah 3: Verifikasi Direct SSH aktif

# Check addon status
aws eks describe-addon \
  --cluster-name <CLUSTER_NAME> \
  --addon-name amazon-sagemaker-spaces \
  --region <AWS_REGION>

# Check headless services created for workspaces
kubectl get svc -l app.kubernetes.io/component=direct-ssh

# Verify DNS record resolves (from within VPC)
dig <workspace-name>.<namespace>.<ROUTE53_HOSTED_ZONE_DOMAIN>

Connect ke ruang kerja Anda menggunakan Direct SSH

Gunakan prosedur berikut untuk terhubung ke ruang kerja Anda menggunakan Direct SSH, mengelola kunci SSH Anda, dan memecahkan masalah koneksi.

Cara kerja otentikasi SSH

Direct SSH menggunakan otentikasi kunci publik standar. Setiap pengguna menghasilkan key pair SSH mereka sendiri dan menambahkan kunci publik ke ruang kerja mereka. Kunci pribadi tidak pernah meninggalkan mesin pengguna.

Berikut ini adalah fakta-fakta kunci tentang akses SSH:

Langkah 1: Buat kunci SSH di mesin klien Anda

Jalankan perintah ini sekali untuk membuat key pair Anda:

ssh-keygen -t ed25519 -f ~/.ssh/my-workspace-key

Ini menciptakan:

Langkah 2: Tambahkan kunci publik Anda ke ruang kerja Anda

Gunakan salah satu metode berikut untuk menambahkan kunci publik Anda. Anda tidak perlu melakukan keduanya.

Tambahkan kunci Anda melalui akses browser web

Tambahkan kunci Anda melalui kubectl

POD=$(kubectl get pods -n <namespace> -l workspace.jupyter.org/workspace-name=<space-name> \
  -o jsonpath='{.items[0].metadata.name}')
cat ~/.ssh/my-workspace-key.pub | kubectl exec -n <namespace> -i $POD -c workspace -- \
  bash -c "cat >> /home/sagemaker-user/.ssh/authorized_keys"

Langkah 3: Connect ke ruang kerja Anda menggunakan SSH

ssh -p <SSH_PORT> -i ~/.ssh/my-workspace-key sagemaker-user@<space-name>.<namespace>.<domain>

Contoh:

ssh -p 2222 -i ~/.ssh/my-workspace-key sagemaker-user@my-space.default.spaces.example.com

Langkah 4: Konfigurasikan SSH untuk akses mudah

Langkah opsional ini menyederhanakan koneksi future. Tambahkan berikut ini ke ~/.ssh/config:

Host my-space
    HostName <space-name>.<namespace>.<domain>
    Port <SSH_PORT>
    User sagemaker-user
    IdentityFile ~/.ssh/my-workspace-key
    ServerAliveInterval 15
    ServerAliveCountMax 3

Setel Port ke port yang dikonfigurasi administrator Anda. Anda dapat menghilangkan baris ini jika Direct SSH menggunakan port default (22). Kemudian terhubung dengan: ssh my-space

Langkah 5: Hubungkan IDE jarak jauh

Setelah Direct SSH bekerja dari terminal Anda (Langkah 3), setiap IDE yang Remote-SSH mampu terhubung menggunakan ~/.ssh/config entri yang sama. Anda tidak memerlukan AWS konfigurasi tambahan untuk koneksi ini.

Instal Remote-SSH ekstensi

Connect dari IDE

Manajemen kunci dan pencabutan

Anda mengelola kunci SSH Anda. Kunci SSH adalah kredensil berumur panjang tanpa kedaluwarsa otomatis. Kunci dalam authorized_keys memberikan akses ke ruang kerja Anda sampai Anda menghapusnya secara eksplisit.

Untuk memutar kunci Anda

Kami merekomendasikan memutar kunci Anda secara berkala.

Jika kunci pribadi Anda dikompromikan

Bertindak segera. Kunci yang dikompromikan memberikan akses ruang kerja penuh hingga Anda menghapusnya. authorized_keys

Praktik terbaik

Mencabut akses SSH Langsung

Untuk menghindari meninggalkan aturan grup keamanan terbuka setelah Anda menonaktifkan Direct SSH, selesaikan ketiga langkah secara berurutan. Jangan lewati Langkah 2.

Langkah 1: Nonaktifkan di bagan Helm

Hapus directSSH bagian dari file konfigurasi addon Anda sepenuhnya. Helm default false ketika kunci directSSH.enabled tidak ada:

jupyter-k8s-aws-hyperpod:
  clusterWebUI:
    enabled: true
    domain: "<DOMAIN_NAME>"
    ...
  # directSSH section removed

Atau, atur secara eksplisit: enabled: false

directSSH:
  enabled: false

Langkah 2: Hapus aturan masuk grup keamanan

# Find the rule ID
aws ec2 describe-security-group-rules \
  --filters Name=group-id,Values=<SG_ID> \
  --query 'SecurityGroupRules[?IpProtocol==`tcp` && FromPort==`<SSH_PORT>`].[SecurityGroupRuleId,CidrIpv4]' \
  --output table \
  --region <AWS_REGION>

# Remove the rule
aws ec2 revoke-security-group-ingress \
  --group-id <SG_ID> \
  --security-group-rule-ids <RULE_ID> \
  --region <AWS_REGION>

Langkah 3: Terapkan ke cluster

aws eks update-addon \
  --cluster-name <CLUSTER_NAME> \
  --addon-name amazon-sagemaker-spaces \
  --configuration-values file://addon-config.yaml \
  --resolve-conflicts OVERWRITE \
  --region <AWS_REGION>

Menjalankan perintah ini menghapus Layanan tanpa kepala untuk semua ruang kerja. ExternalDNS kemudian menghapus catatan Route 53 A dalam waktu sekitar 30 detik. Setelah ExternalDNS menghapus catatan, koneksi SSH baru tidak dapat lagi menyelesaikan nama host ruang kerja.

Apa yang terjadi setelah pencabutan

Pemecahan masalah

(Opsional) Menyiapkan prasyarat

Gunakan bagian ini hanya jika akses browser web belum diaktifkan, atau untuk memverifikasi atau memperbarui konfigurasi ExternalDNS Anda.

Instalasi dari awal

Jika akses browser web belum dikonfigurasi, Anda memerlukan yang berikut ini sebelum mengaktifkan Direct SSH:

Untuk dependensi tambahan dan langkah-langkah konfigurasi akses browser web, lihat. Instal SageMaker AI Spaces Add-on

AWS Load Balancer Controller: persyaratan HyperPod vPCID

Dokumentasi instalasi AWS Load Balancer Controller standar tidak menyebutkan parameternya. vpcId Pada HyperPod cluster, menghilangkan vpcId menyebabkan instalasi gagal. Anda harus memberikannya secara eksplisit.

Dapatkan ID VPC Anda:

aws sagemaker describe-cluster \
  --cluster-name <HYPERPOD_CLUSTER_NAME> \
  --region <AWS_REGION> \
  --query 'VpcConfig.VpcId' \
  --output text

Instal dengan HyperPod parameter yang diperlukan:

helm install aws-load-balancer-controller eks/aws-load-balancer-controller \
  -n kube-system \
  --set clusterName=<EKS_CLUSTER_NAME> \
  --set serviceAccount.create=false \
  --set serviceAccount.name=aws-load-balancer-controller \
  --set enableServiceMutatorWebhook=false \
  --set vpcId=<VPC_ID>

Buat akun layanan (aws-load-balancer-controller) dengan anotasi peran IAM yang sesuai sebelum menjalankan perintah ini. Untuk informasi selengkapnya tentang kebijakan IAM dan langkah pembuatan akun layanan, lihat Pengaturan IRSA Pengontrol Load Balancer Amazon EKS di Panduan Pengguna Amazon EKS.

Konfigurasi ExternalDNS

ExternalDNS menyinkronkan Layanan Kubernetes dengan penyedia DNS. Konfigurasikan ExternalDNS dengan pengaturan berikut saat Anda menggunakannya dengan Amazon Route 53 di lingkungan produksi.

Secara default, ExternalDNS menggunakan. --policy=upsert-only Ini membuat dan memperbarui catatan DNS tetapi tidak pernah menghapusnya. Saat Anda menghapus ruang kerja, catatan A dan TXT di Amazon Route 53 tetap sebagai entri basi.

Gunakan --policy=upsert-only hanya untuk pengujian, dan ubah menjadi --policy=sync untuk produksi. Anda juga harus menyetel --txt-owner-id bendera, yang memberi tahu ExternalDNS catatan mana yang dimilikinya dan catatan mana yang akan dihapus saat pembersihan.

Konfigurasikan penerapan ExternalDNS Anda dengan argumen berikut:

--provider=aws
--source=service                          # watches Services (required for headless Services)
--domain-filter=<ROUTE53_HOSTED_ZONE>     # restricts ExternalDNS to your hosted zone only
--policy=sync                             # enables deletion of stale records on space deletion
--txt-owner-id=<CLUSTER_NAME>             # identifies which records this ExternalDNS instance owns

Dalam argumen sebelumnya, ganti nilai-nilai berikut:

Untuk memverifikasi kebijakan ExternalDNS Anda saat ini, jalankan perintah berikut:

kubectl get deployment -n kube-system external-dns \
  -o jsonpath='{.spec.template.spec.containers[0].args}' | tr ',' '\n' | grep -E 'policy|owner|source|domain'