Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

为受限环境配置安全组

默认情况下， Amazon ParallelCluster 创建和配置允许集群节点之间的所有流量的安全组。在高度受限的环境中，您可能需要将网络访问限制为仅限集群操作所需的端口。本节介绍如何为您的 Amazon ParallelCluster 部署配置具有受限访问权限的自定义安全组。

安全组概述

Amazon ParallelCluster 使用安全组控制头节点、计算节点和登录节点（如果已配置）之间的网络流量。默认情况下，在 Amazon ParallelCluster 创建集群时，它会创建允许集群内节点之间的所有流量的安全组。在安全要求严格的环境中，您可以提供自定义安全组，将流量限制在必要的端口上。

可以在集群配置的以下部分中配置安全组：

对于每个部分，您可以指定：

集群操作所需的端口

配置自定义安全组时，必须确保在相应节点之间打开以下端口：

如果您使用的是 EFA（弹性结构适配器），则还必须允许启用 EFA 的计算节点之间的所有流量：

创建自定义安全组

要为您的 Amazon ParallelCluster 部署创建自定义安全组，请执行以下步骤：

以下是如何使用 Amazon CLI 创建安全组的示例：

# Create security group for head node
aws ec2 create-security-group \
  --group-name pcluster-head-node-sg \
  --description "Security group for ParallelCluster head node" \
  --vpc-id vpc-12345678

# Create security group for compute nodes
aws ec2 create-security-group \
  --group-name pcluster-compute-node-sg \
  --description "Security group for ParallelCluster compute nodes" \
  --vpc-id vpc-12345678

# Add rules to allow necessary traffic between head and compute nodes
# (Add specific rules based on the required ports listed above)

在集群配置中配置安全组

创建自定义安全组后，可以在集群配置文件中引用它们：

# Example cluster configuration with custom security groups
HeadNode:
  ...
  Networking:
    SubnetId: subnet-12345678
    SecurityGroups:
      - sg-headnode12345  # Custom security group for head node
    # Or use AdditionalSecurityGroups if you want to keep the default security groups
    # AdditionalSecurityGroups:
    #   - sg-additional12345
  ...

Scheduling:
  Scheduler: slurm
  SlurmQueues:
    - Name: queue1
      ...
      Networking:
        SubnetIds:
          - subnet-12345678
        SecurityGroups:
          - sg-computenode12345  # Custom security group for compute nodes
        # Or use AdditionalSecurityGroups if you want to keep the default security groups
        # AdditionalSecurityGroups:
        #   - sg-additional12345
      ...

# If using login nodes
LoginNodes:
  Pools:
    - Name: login-pool
      ...
      Networking:
        SubnetIds:
          - subnet-12345678
        SecurityGroups:
          - sg-loginnode12345  # Custom security group for login nodes
        # Or use AdditionalSecurityGroups if you want to keep the default security groups
        # AdditionalSecurityGroups:
        #   - sg-additional12345
      ...

使用时SecurityGroups， Amazon ParallelCluster 将仅使用您指定的安全组，取代默认安全组。使用时AdditionalSecurityGroups， Amazon ParallelCluster 将同时使用它创建的默认安全组和您指定的其他安全组。

在受限环境中使用 VPC 终端节点

在高度受限的环境中，您可能需要 Amazon ParallelCluster 在没有互联网访问权限的子网中进行部署。在这种情况下，您需要配置 VPC 终端节点以允许集群与 Amazon 服务通信。有关详细说明，请参阅Amazon ParallelCluster 在无法访问互联网的单个子网中。

使用 VPC 终端节点时，请确保您的安全组允许进出 VPC 终端节点的流量。为此，您可以将与 VPC 终端节点关联的安全组添加到头节点和计算节点的AdditionalSecurityGroups配置中。

HeadNode:
  ...
  Networking:
    SubnetId: subnet-1234567890abcdef0
    AdditionalSecurityGroups:
      - sg-abcdef01234567890  # Security group that enables communication with VPC endpoints
  ...

Scheduling:
  Scheduler: slurm
  SlurmQueues:
    - ...
      Networking:
        SubnetIds:
          - subnet-1234567890abcdef0
        AdditionalSecurityGroups:
          - sg-1abcdef01234567890  # Security group that enables communication with VPC endpoints

安全组配置最佳实践

Amazon ParallelCluster 在受限环境中为其配置安全组时，请考虑以下最佳实践：

对安全组问题进行故障排除

如果您在配置自定义安全组后遇到问题，请考虑以下故障排除步骤：

如果您继续遇到问题，则可以通过从集群配置文件中删除SecurityGroups配置来恢复使用创建的默认安全组。 Amazon ParallelCluster