无互联网访问权限的单个子网中的 AWS ParallelCluster

没有互联网访问权限的子网不允许使用入站或出站互联网连接。此 AWS ParallelCluster 配置可以帮助关注安全的客户进一步增强其 AWS ParallelCluster 资源的安全性。AWS ParallelCluster 节点基于 AWS ParallelCluster AMI 构建，这些 AMI 包含运行无互联网访问权限的集群所需的所有软件。通过这种方式，AWS ParallelCluster 可以创建和管理包含无互联网访问权限的节点的集群。

在本节中，您将了解如何配置集群。您还将了解运行无互联网访问权限的集群时的限制。

配置 VPC 端点

为确保集群正常运行，集群节点必须能够与多项 AWS 服务进行交互。

请创建并配置以下 VPC 端点，以便集群节点可以在没有互联网访问权限的情况下与 AWS 服务进行交互：

** 只有在启用了 DirectoryService 时才需要此端点，否则它是可选的。

VPC 中的所有实例都必须具有适当的安全组才能与端点通信。您可以通过将安全组添加到 HeadNode 配置下面的 AdditionalSecurityGroups 和 SlurmQueues 配置下面的 AdditionalSecurityGroups 来实现这一目的。例如，如果创建了 VPC 端点而未显式指定安全组，则默认安全组将与端点关联。通过将默认安全组添加到 AdditionalSecurityGroups，即可启用集群与端点之间的通信。

PolicyDocument:
  Version: 2012-10-17
  Statement:
    - Effect: Allow
      Principal: "*"
      Action:
        - "s3:PutObject"
      Resource:
        - !Sub "arn:${AWS::Partition}:s3:::cloudformation-waitcondition-${AWS::Region}/*"

禁用 Route 53 并使用 Amazon EC2 主机名

创建 Slurm 集群时，AWS ParallelCluster 会创建一个用于解析自定义计算节点主机名（例如 {queue_name}-{st|dy}-{compute_resource}-{N}）的私有 Route 53 托管区。由于 Route 53 不支持 VPC 端点，因此必须禁用此功能。此外，AWS ParallelCluster 必须配置为使用默认 Amazon EC2 主机名，例如 ip-1-2-3-4。将以下设置应用于您的集群配置：

...
Scheduling:
  ...
  SlurmSettings:
    Dns:
      DisableManagedDns: true
      UseEc2Hostnames: true

集群配置

了解如何将集群配置为在没有互联网连接的子网中运行。

此架构的配置需要以下设置：

# Note that all values are only provided as examples
...
HeadNode:
  ...
  Networking:
    SubnetId: subnet-1234567890abcdef0 # the VPC of the subnet needs to have VPC endpoints
    AdditionalSecurityGroups:
      - sg-abcdef01234567890 # optional, the security group that enables the communication between the cluster and the VPC endpoints
Scheduling:
  Scheduler: Slurm # Cluster in a subnet without internet access is supported only when the scheduler is Slurm.
  SlurmSettings:
    Dns:
      DisableManagedDns: true
      UseEc2Hostnames: true
  SlurmQueues:
    - ...
      Networking:
        SubnetIds:
          - subnet-1234567890abcdef0 # the VPC of the subnet needs to have VPC endpoints attached
        AdditionalSecurityGroups:
          - sg-1abcdef01234567890 # optional, the security group that enables the communication between the cluster and the VPC endpoints

限制