インターネットアクセスのない 1 つのサブネット内の AWS ParallelCluster

インターネットアクセスのないサブネットでは、インターネットへのインバウンド接続またはアウトバウンド接続は許可されていません。この AWS ParallelCluster 設定は、セキュリティを重視するお客様が AWS ParallelCluster リソースのセキュリティをさらに強化するのに役立ちます。AWS ParallelCluster ノードは、インターネットアクセスのない状態でクラスターを実行するために必要なすべてのソフトウェアを含む AWS ParallelCluster AMI から構築されます。これにより、AWS ParallelCluster は、インターネットにアクセスできないノードを含むクラスターを作成および管理できます。

このセクションでは、クラスターの設定方法について説明します。また、インターネットにアクセスせずにクラスターを実行する場合の制限についても説明します。

VPC エンドポイントの設定

クラスターが正常に機能するためには、クラスターノードが多数の AWS のサービスとやり取りできる必要があります。

クラスターノードがインターネットにアクセスせずに AWS のサービスとやり取りできるように、次の VPC エンドポイントを作成して設定します。

** このエンドポイントは DirectoryService が有効な場合にのみ必要で、それ以外の場合はオプションです。

VPC 内のすべてのインスタンスには、エンドポイントと通信するための適切なセキュリティグループが必要です。これを行うには、セキュリティグループを HeadNode の下にある AdditionalSecurityGroups と SlurmQueues 設定の下にある AdditionalSecurityGroups に追加します。たとえば、セキュリティグループを明示的に指定せずに VPC エンドポイントを作成すると、デフォルトのセキュリティグループがエンドポイントに関連付けられます。デフォルトのセキュリティグループを AdditionalSecurityGroups に追加することで、クラスターとエンドポイント間の通信が可能になります。

PolicyDocument:
  Version: 2012-10-17
  Statement:
    - Effect: Allow
      Principal: "*"
      Action:
        - "s3:PutObject"
      Resource:
        - !Sub "arn:${AWS::Partition}:s3:::cloudformation-waitcondition-${AWS::Region}/*"

Route 53 を無効にし、Amazon EC2 ホスト名を使用する

Slurm クラスターを作成する場合、AWS ParallelCluster はカスタムコンピューティングノードのホスト名 ({queue_name}-{st|dy}-{compute_resource}-{N} など) を解決するために使用するプライベート Route 53 ホストゾーンを作成します。Route 53 は VPC エンドポイントをサポートしていないため、この機能を無効にする必要があります。さらに、AWS ParallelCluster はデフォルトの Amazon EC2 ホスト名 (ip-1-2-3-4 など) を使用するように設定する必要があります。以下の設定をクラスター設定に適用します。

...
Scheduling:
  ...
  SlurmSettings:
    Dns:
      DisableManagedDns: true
      UseEc2Hostnames: true

クラスターの設定

インターネットにアクセスしていないサブネットで実行するようにクラスターを構成する方法について説明します。

このアーキテクチャの設定には、次の設定が必要です。

# Note that all values are only provided as examples
...
HeadNode:
  ...
  Networking:
    SubnetId: subnet-1234567890abcdef0 # the VPC of the subnet needs to have VPC endpoints
    AdditionalSecurityGroups:
      - sg-abcdef01234567890 # optional, the security group that enables the communication between the cluster and the VPC endpoints
Scheduling:
  Scheduler: Slurm # Cluster in a subnet without internet access is supported only when the scheduler is Slurm.
  SlurmSettings:
    Dns:
      DisableManagedDns: true
      UseEc2Hostnames: true
  SlurmQueues:
    - ...
      Networking:
        SubnetIds:
          - subnet-1234567890abcdef0 # the VPC of the subnet needs to have VPC endpoints attached
        AdditionalSecurityGroups:
          - sg-1abcdef01234567890 # optional, the security group that enables the communication between the cluster and the VPC endpoints

制約事項