AWS ParallelCluster 在單一子網路中，沒有網際網路存取

沒有網際網路存取權的子網路不允許網際網路的傳入或傳出連線。此 AWS ParallelCluster 組態可協助安全考量的客戶進一步增強其 AWS ParallelCluster resources. AWS ParallelCluster nodes AWS ParallelCluster AMIs 的安全性，其中包含在無網際網路存取的情況下執行叢集所需的所有軟體。如此一來， AWS ParallelCluster 可以使用沒有網際網路存取權的節點建立和管理叢集。

在本節中，您將了解如何設定叢集。您也會了解在沒有網際網路存取的情況下執行叢集的限制。

設定VPC端點

為了確保叢集正常運作，叢集節點必須能夠與許多 AWS 服務互動。

建立並設定下列VPC端點，讓叢集節點可以與 AWS 服務互動，無需網際網路存取：

** 只有在啟用DirectoryService時才需要此端點，否則為選用。

中的所有執行個體VPC都必須具有適當的安全群組，才能與端點通訊。您可以將安全群組新增至 AdditionalSecurityGroups 和 SlurmQueues組態HeadNodeAdditionalSecurityGroups下的 。例如，如果建立VPC端點時未明確指定安全群組，則預設安全群組會與端點建立關聯。透過將預設安全群組新增至 AdditionalSecurityGroups，您可以啟用叢集與端點之間的通訊。

PolicyDocument:
  Version: 2012-10-17
  Statement:
    - Effect: Allow
      Principal: "*"
      Action:
        - "s3:PutObject"
      Resource:
        - !Sub "arn:${AWS::Partition}:s3:::cloudformation-waitcondition-${AWS::Region}/*"

停用 Route 53 並使用 Amazon EC2主機名稱

建立 時 Slurm 叢集會 AWS ParallelCluster 建立私有 Route 53 託管區域，用於解析自訂運算節點主機名稱，例如 {queue_name}-{st|dy}-{compute_resource}-{N}。由於 Route 53 不支援VPC端點，因此必須停用此功能。此外， AWS ParallelCluster 必須設定為使用預設的 Amazon EC2主機名稱，例如 ip-1-2-3-4。將下列設定套用至叢集組態：

...
Scheduling:
  ...
  SlurmSettings:
    Dns:
      DisableManagedDns: true
      UseEc2Hostnames: true

叢集組態

了解如何將叢集設定為在沒有網際網路連線的子網路中執行。

此架構的組態需要下列設定：

# Note that all values are only provided as examples
...
HeadNode:
  ...
  Networking:
    SubnetId: subnet-1234567890abcdef0 # the VPC of the subnet needs to have VPC endpoints
    AdditionalSecurityGroups:
      - sg-abcdef01234567890 # optional, the security group that enables the communication between the cluster and the VPC endpoints
Scheduling:
  Scheduler: Slurm # Cluster in a subnet without internet access is supported only when the scheduler is Slurm.
  SlurmSettings:
    Dns:
      DisableManagedDns: true
      UseEc2Hostnames: true
  SlurmQueues:
    - ...
      Networking:
        SubnetIds:
          - subnet-1234567890abcdef0 # the VPC of the subnet needs to have VPC endpoints attached
        AdditionalSecurityGroups:
          - sg-1abcdef01234567890 # optional, the security group that enables the communication between the cluster and the VPC endpoints

限制