Udostępnij za pośrednictwem

Zarządzanie tożsamościami i dostępem platformy Azure na potrzeby obliczeń HPC w produkcji

  • Artykuł

W tym artykule omówiono zagadnienia i zalecenia opisane w artykule Projekt zarządzania tożsamościami i dostępem na platformie Azure. Może to pomóc w zbadania zagadnień projektowych dotyczących zarządzania tożsamościami i dostępem specyficznych dla wdrożenia na platformie Azure aplikacji HPC przeznaczonych dla branży produkcyjnej.

Microsoft Entra Domain Services (Microsoft Entra Domain Services ) udostępnia zarządzane usługi domenowe, takie jak przyłączania do domeny i zasady grupy. Zapewnia również dostęp do starszych protokołów uwierzytelniania, takich jak uproszczony protokół dostępu do katalogów (LDAP) i uwierzytelnianie Kerberos/NTLM. Usługi Microsoft Entra Domain Services integrują się z istniejącą dzierżawą firmy Microsoft Entra. Ta integracja umożliwia użytkownikom logowanie się do usług i aplikacji połączonych z domeną zarządzaną przy użyciu istniejących poświadczeń w usłudze Microsoft Entra ID. Możesz również użyć istniejących grup i kont użytkowników, aby ułatwić zabezpieczanie dostępu do zasobów. Te funkcje zapewniają bezproblemowe przenoszenie zasobów lokalnych na platformę Azure, szczególnie w środowiskach hybrydowych.

Aby uzyskać więcej informacji, zobacz zalecenia dotyczące projektowania dotyczące dostępu do platformy i tożsamości platformy Azure oraz dostępu do stref docelowych.

Zagadnienia dotyczące projektowania HPC

W zależności od używanego koordynatora zasobów obliczeniowych HPC obsługiwane są różne metody uwierzytelniania, zgodnie z opisem w tym miejscu.

  • Azure CycleCloud. Usługa CycleCloud udostępnia trzy metody uwierzytelniania: wbudowaną bazę danych z szyfrowaniem, usługą Active Directory i protokołem LDAP.
  • Azure Batch. Dostęp do konta usługi Batch obsługuje dwie metody uwierzytelniania: klucz współużytkowany i identyfikator Entra firmy Microsoft.
  • PAKIET HPC Pack. Obecnie wszystkie węzły pakietu HPC Pack muszą być przyłączone do domeny usługi Active Directory. Jeśli wdrażasz klaster HPC Pack w sieci wirtualnej, która ma sieć VPN typu lokacja-lokacja lub połączenie usługi Azure ExpressRoute z siecią firmową (a reguły zapory zezwalają na dostęp do kontrolerów domeny usługi Active Directory), zazwyczaj jest już domena usługi Active Directory. Jeśli nie masz domeny usługi Active Directory w sieci wirtualnej, możesz go utworzyć, promując węzeł główny jako kontroler domeny. Inną opcją jest użycie usług Microsoft Entra Domain Services w celu umożliwienia przyłączania węzłów pakietu HPC Pack do tej usługi w porównaniu z lokalna usługa Active Directory kontrolerami domeny. Jeśli węzły główne zostaną wdrożone na platformie Azure, ważne jest, aby określić, czy lokalni użytkownicy zdalni będą przesyłać zadania. Jeśli użytkownicy zdalni przesyłają zadania, zaleca się użycie usługi Active Directory, ponieważ umożliwi to lepsze środowisko pracy i umożliwi prawidłowe używanie certyfikatów do uwierzytelniania. W przeciwnym razie, jeśli usługa Active Directory nie jest używana, a zamiast tego są używane usługi Microsoft Entra Domain Services, klienci zdalni będą musieli używać usługi interfejsu API REST do przesyłania zadań.

Na poniższym diagramie przedstawiono architekturę referencyjną produkcji korzystającą z rozwiązania CycleCloud:

Diagram that shows a manufacturing reference architecture, which uses Azure CycleCloud.

Na tym diagramie przedstawiono architekturę produkcyjną korzystającą z usługi Batch:

Diagram that shows a manufacturing reference architecture, which uses Azure Batch.

Następne kroki

Poniższe artykuły zawierają wskazówki, które mogą być przydatne w różnych punktach procesu wdrażania chmury. Mogą one pomóc w pomyślnym scenariuszu wdrażania chmury w środowiskach produkcyjnych HPC.