기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

직접 SSH

활성화하기 전에 다음을 검토합니다.

사전 조건

Direct SSH에는 ExternalDNS, Amazon Route 53 Private Hosted Zone, 클라이언트 시스템의 VPC 연결 및 (선택 사항) AWS Load Balancer Controller가 필요합니다. 사전 조건의 전체 목록은 섹션을 참조하세요Direct SSH의 사전 조건.

클러스터에서 웹 브라우저 액세스가 이미 활성화된 경우 모든 사전 조건이 적용됩니다. 계속하기 전에 ExternalDNS가 로 구성되어 있는지 확인합니다--policy=sync. 자세한 내용은 ExternalDNS 구성을 참조하세요.

웹 브라우저 액세스가 아직 구성되지 않은 경우 섹션을 참조하세요(선택 사항) 사전 조건 설정. 웹 브라우저 액세스 활성화에 대한 자세한 내용은 섹션을 참조하세요EKS 추가 기능 설치 - WebUI를 사용하는 Jupyter K8s.

클러스터에 대한 Direct SSH 구성

1단계: SSH에 대한 보안 그룹 규칙 추가

웹 브라우저 액세스는 Application Load Balancer(ALB)를 통해 HTTPS(443)를 사용합니다. Direct SSH는 구성된 포트의 포드 IPs에 직접 연결되므로 보안 그룹 인바운드 규칙을 추가해야 합니다.

워크스페이스 인스턴스 그룹에 SG 재정의가 있는지 확인합니다.

aws sagemaker describe-cluster \
  --cluster-name <HYPERPOD_CLUSTER_NAME> \
  --region <AWS_REGION> \
  --query 'InstanceGroups[*].{Name:InstanceGroupName, OverrideSGs:OverrideVpcConfig.SecurityGroupIds}'

옵션 A: 인스턴스 그룹에 보안 그룹 재정의가 있음

OverrideSGs가 null이 아닌 경우 해당 보안 그룹에 규칙을 추가합니다.

SG_ID=<SG_ID_FROM_OVERRIDE_VPC_CONFIG>
aws ec2 authorize-security-group-ingress \
  --group-id $SG_ID \
  --protocol tcp \
  --port <SSH_PORT> \
  --cidr <SOURCE_CIDR> \
  --region <AWS_REGION>

옵션 B: 인스턴스 그룹에 보안 그룹 재정의가 없음

OverrideSGs가 null인 경우 SageMaker HyperPod 클러스터 VPC 구성의 클러스터 수준 보안 그룹을 사용합니다.

SG_ID=$(aws sagemaker describe-cluster --cluster-name <HYPERPOD_CLUSTER_NAME> --region <AWS_REGION> \
  --query 'VpcConfig.SecurityGroupIds[0]' --output text)
aws ec2 authorize-security-group-ingress \
  --group-id $SG_ID \
  --protocol tcp \
  --port <SSH_PORT> \
  --cidr <SOURCE_CIDR> \
  --region <AWS_REGION>

다음 표에는 각 자리 표시자 값을 찾을 수 있는 위치가 나와 있습니다.

2단계: 직접 SSH 활성화

와 함께 추가 기능 구성directSSH에를 추가합니다clusterWebUI.

jupyter-k8s-aws-hyperpod:
  clusterWebUI:
    enabled: true
    domain: "<DOMAIN_NAME>"
    awsCertificateArn: "<ACM_CERTIFICATE_ARN>"
    traefik:
      shouldInstall: true
  directSSH:
    enabled: true
    port: <SSH_PORT>          # default: 22
    domain: "<ROUTE53_HOSTED_ZONE_DOMAIN>"

다음 표에는 각 자리 표시자 값을 찾을 수 있는 위치가 나와 있습니다.

추가 기능을 업데이트합니다.

aws eks update-addon \
  --cluster-name <CLUSTER_NAME> \
  --addon-name amazon-sagemaker-spaces \
  --configuration-values file://addon-config.yaml \
  --resolve-conflicts OVERWRITE \
  --region <AWS_REGION>

Direct SSH를 비활성화하려면 섹션을 참조하세요직접 SSH 액세스 취소.

3단계: Direct SSH가 활성 상태인지 확인

# Check addon status
aws eks describe-addon \
  --cluster-name <CLUSTER_NAME> \
  --addon-name amazon-sagemaker-spaces \
  --region <AWS_REGION>

# Check headless services created for workspaces
kubectl get svc -l app.kubernetes.io/component=direct-ssh

# Verify DNS record resolves (from within VPC)
dig <workspace-name>.<namespace>.<ROUTE53_HOSTED_ZONE_DOMAIN>

Direct SSH를 사용하여 워크스페이스에 연결

다음 절차에 따라 Direct SSH를 사용하여 워크스페이스에 연결하고, SSH 키를 관리하고, 연결 문제를 해결합니다.

SSH 인증 작동 방식

Direct SSH는 표준 퍼블릭 키 인증을 사용합니다. 각 사용자는 자체 SSH 키 페어를 생성하고 워크스페이스에 퍼블릭 키를 추가합니다. 프라이빗 키는 사용자의 머신을 벗어나지 않습니다.

다음은 SSH 액세스에 대한 주요 사실입니다.

1단계: 클라이언트 시스템에서 SSH 키 생성

이 명령을 한 번 실행하여 키 페어를 생성합니다.

ssh-keygen -t ed25519 -f ~/.ssh/my-workspace-key

이렇게 하면 다음이 생성됩니다.

2단계: 워크스페이스에 퍼블릭 키 추가

다음 방법 중 하나를 사용하여 퍼블릭 키를 추가합니다. 둘 다 수행할 필요는 없습니다.

웹 브라우저 액세스를 통해 키 추가

kubectl을 통해 키 추가

POD=$(kubectl get pods -n <namespace> -l workspace.jupyter.org/workspace-name=<space-name> \
  -o jsonpath='{.items[0].metadata.name}')
cat ~/.ssh/my-workspace-key.pub | kubectl exec -n <namespace> -i $POD -c workspace -- \
  bash -c "cat >> /home/sagemaker-user/.ssh/authorized_keys"

3단계: SSH를 사용하여 워크스페이스에 연결

ssh -p <SSH_PORT> -i ~/.ssh/my-workspace-key sagemaker-user@<space-name>.<namespace>.<domain>

예제:

ssh -p 2222 -i ~/.ssh/my-workspace-key sagemaker-user@my-space.default.spaces.example.com

4단계: 쉽게 액세스할 수 있도록 SSH 구성

이 선택적 단계는 향후 연결을 간소화합니다. 다음을 ~/.ssh/config로 추가하세요:

Host my-space
    HostName <space-name>.<namespace>.<domain>
    Port <SSH_PORT>
    User sagemaker-user
    IdentityFile ~/.ssh/my-workspace-key
    ServerAliveInterval 15
    ServerAliveCountMax 3

관리자가 구성한 포트Port로를 설정합니다. Direct SSH가 기본 포트(22)를 사용하는 경우이 줄을 생략할 수 있습니다. 그런 다음에 연결합니다. ssh my-space

5단계: 원격 IDE 연결

Direct SSH가 터미널에서 작동한 후(3단계) 원격 SSH 지원 IDE는 동일한 ~/.ssh/config 항목을 사용하여 연결됩니다. 이 연결에는 추가 AWS 구성이 필요하지 않습니다.

원격 SSH 확장 설치

IDE에서 연결

키 관리 및 해지

SSH 키를 관리합니다. SSH 키는 자동 만료 없이 수명이 긴 자격 증명입니다. 의 키는 사용자가 명시적으로 제거할 때까지 워크스페이스에 대한 액세스 권한을 authorized_keys 부여합니다.

키를 교체하려면

키를 주기적으로 교체하는 것이 좋습니다.

프라이빗 키가 손상된 경우

즉시 조치를 취합니다. 손상된 키는에서 제거할 때까지 전체 워크스페이스 액세스 권한을 부여합니다authorized_keys.

모범 사례

직접 SSH 액세스 취소

Direct SSH를 비활성화한 후 열린 보안 그룹 규칙을 벗어나지 않으려면 세 단계를 순서대로 모두 완료하세요. 2단계를 건너뛰지 마십시오.

1단계: 차트 Helm에서 비활성화

추가 기능 구성 파일에서 directSSH 섹션을 완전히 제거합니다. Helm은 키가 없는 false 경우 기본적으로 directSSH.enabled로 설정됩니다.

jupyter-k8s-aws-hyperpod:
  clusterWebUI:
    enabled: true
    domain: "<DOMAIN_NAME>"
    ...
  # directSSH section removed

또는를 명시적으로 설정합니다enabled: false.

directSSH:
  enabled: false

2단계: 보안 그룹 인바운드 규칙 제거

# Find the rule ID
aws ec2 describe-security-group-rules \
  --filters Name=group-id,Values=<SG_ID> \
  --query 'SecurityGroupRules[?IpProtocol==`tcp` && FromPort==`<SSH_PORT>`].[SecurityGroupRuleId,CidrIpv4]' \
  --output table \
  --region <AWS_REGION>

# Remove the rule
aws ec2 revoke-security-group-ingress \
  --group-id <SG_ID> \
  --security-group-rule-ids <RULE_ID> \
  --region <AWS_REGION>

3단계: 클러스터에 적용

aws eks update-addon \
  --cluster-name <CLUSTER_NAME> \
  --addon-name amazon-sagemaker-spaces \
  --configuration-values file://addon-config.yaml \
  --resolve-conflicts OVERWRITE \
  --region <AWS_REGION>

이 명령을 실행하면 모든 워크스페이스에 대한 헤드리스 서비스가 제거됩니다. 그런 다음 ExternalDNS는 약 30초 이내에 Route 53 A 레코드를 삭제합니다. ExternalDNS가 레코드를 제거한 후에는 새 SSH 연결이 더 이상 워크스페이스 호스트 이름을 확인할 수 없습니다.

취소 후 발생하는 일

문제 해결

(선택 사항) 사전 조건 설정

웹 브라우저 액세스가 아직 활성화되지 않았거나 ExternalDNS 구성을 확인하거나 업데이트하는 경우에만이 섹션을 사용합니다.

처음부터 설치

웹 브라우저 액세스가 아직 구성되지 않은 경우 Direct SSH를 활성화하기 전에 다음이 필요합니다.

추가 종속성 및 웹 브라우저 액세스 구성 단계는 섹션을 참조하세요SageMaker AI Spaces 추가 기능 설치.

AWS Load Balancer서 컨트롤러: HyperPod vpcId 요구 사항

standard AWS Load Balancer Controller 설치 설명서에는 vpcId 파라미터가 언급되어 있지 않습니다. HyperPod 클러스터에서를 생략vpcId하면 설치가 실패합니다. 명시적으로 제공해야 합니다.

VPC ID를 가져옵니다.

aws sagemaker describe-cluster \
  --cluster-name <HYPERPOD_CLUSTER_NAME> \
  --region <AWS_REGION> \
  --query 'VpcConfig.VpcId' \
  --output text

필요한 HyperPod 파라미터를 사용하여를 설치합니다.

helm install aws-load-balancer-controller eks/aws-load-balancer-controller \
  -n kube-system \
  --set clusterName=<EKS_CLUSTER_NAME> \
  --set serviceAccount.create=false \
  --set serviceAccount.name=aws-load-balancer-controller \
  --set enableServiceMutatorWebhook=false \
  --set vpcId=<VPC_ID>

이 명령을 실행하기 전에 적절한 IAM 역할 주석을 사용하여 서비스 계정(aws-load-balancer-controller)을 생성합니다. IAM 정책 및 서비스 계정 생성 단계에 대한 자세한 내용은 Amazon EKS 사용 설명서의 Amazon EKS Load Balancer Controller IRSA 설정을 참조하세요.

ExternalDNS 구성

ExternalDNS는 Kubernetes 서비스를 DNS 공급자와 동기화합니다. 프로덕션 환경에서 Amazon Route 53과 함께 사용할 때 다음 설정으로 ExternalDNS를 구성합니다.

기본적으로 ExternalDNS는를 사용합니다--policy=upsert-only. 이렇게 하면 DNS 레코드가 생성 및 업데이트되지만 삭제되지는 않습니다. 워크스페이스를 삭제하면 Amazon Route 53의 A 및 TXT 레코드가 오래된 항목으로 유지됩니다.

테스트--policy=upsert-only에만를 사용하고 프로덕션--policy=sync에는 로 변경합니다. 또한 플래그를 설정해야 합니다.이 --txt-owner-id 플래그는 자신이 소유한 레코드와 정리 시 삭제할 레코드를 ExternalDNS에 지시합니다.

다음 인수를 사용하여 ExternalDNS 배포를 구성합니다.

--provider=aws
--source=service                          # watches Services (required for headless Services)
--domain-filter=<ROUTE53_HOSTED_ZONE>     # restricts ExternalDNS to your hosted zone only
--policy=sync                             # enables deletion of stale records on space deletion
--txt-owner-id=<CLUSTER_NAME>             # identifies which records this ExternalDNS instance owns

앞의 인수에서 다음 값을 바꿉니다.

현재 ExternalDNS 정책을 확인하려면 다음 명령을 실행합니다.

kubectl get deployment -n kube-system external-dns \
  -o jsonpath='{.spec.template.spec.containers[0].args}' | tr ',' '\n' | grep -E 'policy|owner|source|domain'