Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

SSH diretto

Prima di abilitare, consulta quanto segue:

Prerequisiti

Direct SSH richiede ExternalDNS, una Amazon Route 53 Private Hosted Zone, connettività VPC dai computer client e (facoltativamente) il Load Balancer Controller. AWS Per l'elenco completo dei prerequisiti, consulta. Prerequisiti per Direct SSH

Se l'accesso tramite browser Web è già abilitato nel cluster, tutti i prerequisiti sono soddisfatti. Prima di procedere, verifica che ExternalDNS sia configurato con. --policy=sync Per informazioni dettagliate, vedi Configurazione DNS esterna.

Se l'accesso al browser Web non è ancora configurato, consulta. (Facoltativo) Impostazione dei prerequisiti Per ulteriori informazioni sull'abilitazione dell'accesso tramite browser Web, vedereInstallazione del componente aggiuntivo EKS - Jupyter K8s con WebUI.

Configura Direct SSH per il tuo cluster

Passaggio 1: aggiungere una regola del gruppo di sicurezza per SSH

L'accesso al browser Web utilizza HTTPS (443) tramite un Application Load Balancer (ALB). Poiché Direct SSH si connette direttamente agli IP del pod sulla porta configurata, è necessario aggiungere una regola in ingresso per il gruppo di sicurezza.

Verifica se il tuo gruppo di istanze del workspace ha un override SG:

aws sagemaker describe-cluster \
  --cluster-name <HYPERPOD_CLUSTER_NAME> \
  --region <AWS_REGION> \
  --query 'InstanceGroups[*].{Name:InstanceGroupName, OverrideSGs:OverrideVpcConfig.SecurityGroupIds}'

Opzione A: il gruppo di istanze ha una sostituzione del gruppo di sicurezza

Se non OverrideSGs è nullo, aggiungi la regola a quel gruppo di sicurezza:

SG_ID=<SG_ID_FROM_OVERRIDE_VPC_CONFIG>
aws ec2 authorize-security-group-ingress \
  --group-id $SG_ID \
  --protocol tcp \
  --port <SSH_PORT> \
  --cidr <SOURCE_CIDR> \
  --region <AWS_REGION>

Opzione B: il gruppo di istanze non ha alcuna sostituzione del gruppo di sicurezza

Se OverrideSGs è nullo, utilizza il gruppo di sicurezza a livello di cluster dalla configurazione del SageMaker HyperPod cluster VPC:

SG_ID=$(aws sagemaker describe-cluster --cluster-name <HYPERPOD_CLUSTER_NAME> --region <AWS_REGION> \
  --query 'VpcConfig.SecurityGroupIds[0]' --output text)
aws ec2 authorize-security-group-ingress \
  --group-id $SG_ID \
  --protocol tcp \
  --port <SSH_PORT> \
  --cidr <SOURCE_CIDR> \
  --region <AWS_REGION>

La tabella seguente mostra dove trovare ogni valore segnaposto.

Passaggio 2: abilitare Direct SSH

Aggiungi directSSH alla configurazione del tuo addon insieme a: clusterWebUI

jupyter-k8s-aws-hyperpod:
  clusterWebUI:
    enabled: true
    domain: "<DOMAIN_NAME>"
    awsCertificateArn: "<ACM_CERTIFICATE_ARN>"
    traefik:
      shouldInstall: true
  directSSH:
    enabled: true
    port: <SSH_PORT>          # default: 22
    domain: "<ROUTE53_HOSTED_ZONE_DOMAIN>"

La tabella seguente mostra dove trovare ogni valore segnaposto.

Aggiorna l'addon:

aws eks update-addon \
  --cluster-name <CLUSTER_NAME> \
  --addon-name amazon-sagemaker-spaces \
  --configuration-values file://addon-config.yaml \
  --resolve-conflicts OVERWRITE \
  --region <AWS_REGION>

Per disattivare Direct SSH, consulta. Revoca dell'accesso diretto a SSH

Passaggio 3: verifica che Direct SSH sia attivo

# Check addon status
aws eks describe-addon \
  --cluster-name <CLUSTER_NAME> \
  --addon-name amazon-sagemaker-spaces \
  --region <AWS_REGION>

# Check headless services created for workspaces
kubectl get svc -l app.kubernetes.io/component=direct-ssh

# Verify DNS record resolves (from within VPC)
dig <workspace-name>.<namespace>.<ROUTE53_HOSTED_ZONE_DOMAIN>

Connettiti al tuo spazio di lavoro usando Direct SSH

Utilizza le seguenti procedure per connetterti al tuo spazio di lavoro tramite Direct SSH, gestire le tue chiavi SSH e risolvere i problemi di connessione.

Come funziona l'autenticazione SSH

Direct SSH utilizza l'autenticazione a chiave pubblica standard. Ogni utente genera la propria coppia di chiavi SSH e aggiunge la chiave pubblica al proprio spazio di lavoro. Le chiavi private non escono mai dal computer dell'utente.

Di seguito sono riportati i fatti chiave sull'accesso SSH:

Passo 1: Genera una chiave SSH sul tuo computer client

Esegui questo comando una volta per creare la tua coppia di chiavi:

ssh-keygen -t ed25519 -f ~/.ssh/my-workspace-key

Questo crea:

Passaggio 2: aggiungi la tua chiave pubblica al tuo spazio di lavoro

Utilizza uno dei seguenti metodi per aggiungere la tua chiave pubblica. Non è necessario eseguire entrambe le operazioni.

Aggiungi la tua chiave tramite l'accesso al browser web

Aggiungi la tua chiave tramite kubectl

POD=$(kubectl get pods -n <namespace> -l workspace.jupyter.org/workspace-name=<space-name> \
  -o jsonpath='{.items[0].metadata.name}')
cat ~/.ssh/my-workspace-key.pub | kubectl exec -n <namespace> -i $POD -c workspace -- \
  bash -c "cat >> /home/sagemaker-user/.ssh/authorized_keys"

Passaggio 3: connettiti al tuo spazio di lavoro tramite SSH

ssh -p <SSH_PORT> -i ~/.ssh/my-workspace-key sagemaker-user@<space-name>.<namespace>.<domain>

Esempio:

ssh -p 2222 -i ~/.ssh/my-workspace-key sagemaker-user@my-space.default.spaces.example.com

Passaggio 4: configura SSH per un facile accesso

Questo passaggio opzionale semplifica le connessioni future. Aggiungi i seguenti elementi a ~/.ssh/config:

Host my-space
    HostName <space-name>.<namespace>.<domain>
    Port <SSH_PORT>
    User sagemaker-user
    IdentityFile ~/.ssh/my-workspace-key
    ServerAliveInterval 15
    ServerAliveCountMax 3

PortImpostato sulla porta configurata dall'amministratore. È possibile omettere questa riga se Direct SSH utilizza la porta predefinita (22). Quindi connettiti con: ssh my-space

Passaggio 5: collegare un IDE remoto

Dopo che Direct SSH funziona dal tuo terminale (passaggio 3), qualsiasi IDE Remote-SSH compatibile si connette utilizzando la stessa ~/.ssh/config voce. Non è necessaria una AWS configurazione aggiuntiva per questa connessione.

Installa l' Remote-SSH estensione

Connettiti dall'IDE

Gestione e revoca delle chiavi

Gestisci le tue chiavi SSH. Le chiavi SSH sono credenziali di lunga durata senza scadenza automatica. Una chiave consente l'accesso al tuo spazio authorized_keys di lavoro finché non lo rimuovi esplicitamente.

Per ruotare la chiave

Ti consigliamo di ruotare periodicamente i tasti.

Se la tua chiave privata è compromessa

Agisci immediatamente. Una chiave compromessa garantisce l'accesso completo all'area di lavoro fino a quando non la rimuovi. authorized_keys

Best practice

Revoca dell'accesso diretto a SSH

Per evitare di lasciare aperta una regola del gruppo di sicurezza dopo aver disabilitato Direct SSH, completa tutti e tre i passaggi in ordine. Non saltate il passaggio 2.

Passaggio 1: disabilita nel grafico Helm

Rimuovi completamente la directSSH sezione dal file di configurazione del componente aggiuntivo. L'impostazione predefinita di Helm è false quando directSSH.enabled la chiave è assente:

jupyter-k8s-aws-hyperpod:
  clusterWebUI:
    enabled: true
    domain: "<DOMAIN_NAME>"
    ...
  # directSSH section removed

In alternativa, imposta esplicitamente: enabled: false

directSSH:
  enabled: false

Passaggio 2: rimuovere la regola in entrata del gruppo di sicurezza

# Find the rule ID
aws ec2 describe-security-group-rules \
  --filters Name=group-id,Values=<SG_ID> \
  --query 'SecurityGroupRules[?IpProtocol==`tcp` && FromPort==`<SSH_PORT>`].[SecurityGroupRuleId,CidrIpv4]' \
  --output table \
  --region <AWS_REGION>

# Remove the rule
aws ec2 revoke-security-group-ingress \
  --group-id <SG_ID> \
  --security-group-rule-ids <RULE_ID> \
  --region <AWS_REGION>

Fase 3: Applica al cluster

aws eks update-addon \
  --cluster-name <CLUSTER_NAME> \
  --addon-name amazon-sagemaker-spaces \
  --configuration-values file://addon-config.yaml \
  --resolve-conflicts OVERWRITE \
  --region <AWS_REGION>

L'esecuzione di questo comando rimuove i servizi headless per tutti gli spazi di lavoro. ExternalDNS elimina quindi i record di Route 53 A entro circa 30 secondi. Dopo che ExternalDNS ha rimosso i record, le nuove connessioni SSH non possono più risolvere il nome host dello spazio di lavoro.

Cosa succede dopo la revoca

Risoluzione dei problemi

(Facoltativo) Impostazione dei prerequisiti

Utilizzate questa sezione solo se l'accesso al browser Web non è già abilitato o per verificare o aggiornare la configurazione ExternalDNS.

Installazione da zero

Se l'accesso al browser Web non è ancora configurato, è necessario quanto segue prima di abilitare Direct SSH:

Per le dipendenze aggiuntive e i passaggi di configurazione dell'accesso al browser Web, consulta. Installa SageMaker AI Spaces Add-on

AWS Load Balancer Controller: HyperPod requisito VpCID

La documentazione di installazione standard AWS del Load Balancer Controller non menziona il parametro. vpcId Nei HyperPod cluster, l'omissione vpcId causa il fallimento dell'installazione. È necessario fornirlo in modo esplicito.

Ottieni il tuo ID VPC:

aws sagemaker describe-cluster \
  --cluster-name <HYPERPOD_CLUSTER_NAME> \
  --region <AWS_REGION> \
  --query 'VpcConfig.VpcId' \
  --output text

Installa con i HyperPod parametri richiesti:

helm install aws-load-balancer-controller eks/aws-load-balancer-controller \
  -n kube-system \
  --set clusterName=<EKS_CLUSTER_NAME> \
  --set serviceAccount.create=false \
  --set serviceAccount.name=aws-load-balancer-controller \
  --set enableServiceMutatorWebhook=false \
  --set vpcId=<VPC_ID>

Crea l'account di servizio (aws-load-balancer-controller) con l'annotazione del ruolo IAM appropriata prima di eseguire questo comando. Per ulteriori informazioni sulla policy IAM e sui passaggi per la creazione dell'account di servizio, consulta la configurazione IRSA di Amazon EKS Load Balancer Controller nella Amazon EKS User Guide.

Configurazione DNS esterna

ExternalDNS sincronizza i servizi Kubernetes con i provider DNS. Configura ExternalDNS con le seguenti impostazioni quando lo usi con Amazon Route 53 in un ambiente di produzione.

Per impostazione predefinita, ExternalDNS utilizza. --policy=upsert-only Questo crea e aggiorna i record DNS ma non li elimina mai. Quando elimini uno spazio di lavoro, i record A e TXT in Amazon Route 53 rimangono come voci non aggiornate.

Utilizzali --policy=upsert-only solo per i test e modificali per --policy=sync la produzione. È inoltre necessario impostare il --txt-owner-id flag, che indica a ExternalDNS quali record possiede e quali record eliminare durante la pulizia.

Configura la tua distribuzione ExternalDNS con i seguenti argomenti:

--provider=aws
--source=service                          # watches Services (required for headless Services)
--domain-filter=<ROUTE53_HOSTED_ZONE>     # restricts ExternalDNS to your hosted zone only
--policy=sync                             # enables deletion of stale records on space deletion
--txt-owner-id=<CLUSTER_NAME>             # identifies which records this ExternalDNS instance owns

Negli argomenti precedenti, sostituisci i seguenti valori:

Per verificare la tua attuale politica ExternalDNS, esegui il seguente comando:

kubectl get deployment -n kube-system external-dns \
  -o jsonpath='{.spec.template.spec.containers[0].args}' | tr ',' '\n' | grep -E 'policy|owner|source|domain'