Управление ключом проверки подлинности Linux для пакета HPC

Это важно

Чтобы устранить критически важную уязвимость CVE-2025-21198, все кластеры ПАКЕТА HPC 2016 и пакет HPC 2019 с обновлением 2 и более ранние кластеры должны немедленно применить следующие действия, чтобы установить ключ проверки подлинности Linux на всех головных узлах и всех вычислительных узлах Linux. Это включает в себя все кластеры, которые не имеют вычислительных узлов Linux вообще. Кластеры, которые находятся исключительно в Windows, по-прежнему должны задать ключ проверки подлинности Linux на всех головных узлах.

По соображениям обратной совместимости средство исправления пакета HPC 2019 с обновлением 3 не создаст ключ проверки подлинности Linux для существующих кластеров, чтобы не прерывать подключение между головными узлами и вычислительными узлами. Пользователи должны вручную добавить ключ проверки подлинности Linux в кластер и убедиться, что кластер работает перед обновлением до обновления 3.

Кроме того, все недавно установленные кластеры HPC с пакетом 2016 и пакетОМ HPC 2019 с обновлением 2 и более ранними кластерами должны немедленно применить следующие действия, чтобы установить ключ проверки подлинности Linux на головных узлах и вычислительных узлах Linux сразу после установки. Это включает как кластеры, развернутые с помощью установщика, так и кластеров, развернутых с помощью шаблонов ARM.

Кластеры пакета HPC 2019 с обновлением 3 и более поздних версий, независимо от того, развернуты ли они с помощью установщика или шаблонов ARM, будут устанавливать или создавать ключи проверки подлинности Linux по умолчанию во время установки и поэтому не требуют выполнения следующих действий по исправлению.

Ключ проверки подлинности Linux — это предварительно общий ключ между головными узлами пакета HPC и вычислительными узлами пакета HPC Linux, обеспечивая защиту связи между головными узлами и вычислительными узлами. Это строка пароля, которая может иметь любую длину, содержащую буквенно-цифровые символы или -, ., , ~_, +/ и = символы.

Параметр ключа проверки подлинности Linux поддерживается отдельно на головных узлах и каждом вычислительном узле Linux, а каждый узел в одном кластере должен задать ключ проверки подлинности Linux одинаковым значением.

Управление ключом проверки подлинности Linux на головном узле

Замечание

Установщик пакета HPC 2019 с обновлением 3 и более поздних версий автоматически создает новый случайный ключ проверки подлинности Linux при установке новых кластеров или использует указанный пользователем ключ проверки подлинности Linux с помощью authenticationKey параметра шаблона ARM или LinuxAuthenticationKey параметра для автоматического установщика. Нет необходимости выполнять следующие действия для головных узлов недавно установленных кластеров HPC с пакетом 2019 с обновлением 3 или более поздними версиями.

Однако исправление существующего пакета HPC 2019 с обновлением 2 или более ранних кластеров до обновления 3 и более поздних версий не создаст ключ проверки подлинности Linux. Пользователи должны задать ключ проверки подлинности Linux в соответствии со следующими инструкциями и убедиться, что все вычислительные узлы Linux по-прежнему работают перед установкой исправления обновления 3.

Замечание

authenticationKey Параметр шаблона ARM не применяется к головным узлам развернутого пакета HPC 2019 с обновлением 2 или более ранними кластерами, но будет применяться и распространяться на все развернутые вычислительные узлы Linux независимо от версии кластера. Пользователи должны немедленно установить ключ проверки подлинности Linux на головных узлах пакета HPC 2019 с обновлением 2 или более ранними кластерами, как только они развернуты с помощью шаблона ARM.

На каждом головном узле кластера пакетов HPC запустите Update-HpcLinuxAuthenticationKey.ps1 с тем же AuthenticationKey параметром, чтобы задать или обновить ключ проверки подлинности Linux головного узла. Этот скрипт устанавливает параметр реестра кластера и обновляет встроенный шаблон ARM для узлов Linux Azure IaaS для предварительного распространения общих ключей при необходимости.

Если вам нужно вернуться к старому (небезопасном) поведению для устранения неполадок, удалите [ValidateNotNullOrEmpty()] атрибут AuthenticationKey параметра, а затем запустите скрипт с пустым строковым AuthenticationKey параметром.

Если ключ проверки подлинности Linux уже установлен, выполните следующую команду PowerShell, чтобы получить ключ проверки подлинности Linux:

Get-HpcClusterRegistry -PropertyName ClusterAuthenticationKey

Управление ключом проверки подлинности Linux на вычислительных узлах Linux

Замечание

Сценарий сценария пакета HPC 2019 с обновлением 2 и более ранних кластеров setup.py для локальной установки узла Linux не принимает authenticationKey этот параметр. Пользователям потребуется обновить свой setup.py скрипт для выполнения предварительной установки вычислительного узла Linux.

Измените файл конфигурации агента узла Linux, т. е. /opt/hpcnodemanager/nodemanager.json добавьте или обновите ClusterAuthenticationKey параметр, который будет ключом проверки подлинности Linux кластера, так же, как и один набор на головном узле. Например, для изменения конфигурации можно использовать следующую командную строку:

# back up the confiugration
cp /opt/hpcnodemanager/nodemanager.json /opt/hpcnodemanager/nodemanager_backup.json
jq '. + {ClusterAuthenticationKey: "your_value_here"}' /opt/hpcnodemanager/nodemanager.json > /opt/hpcnodemanager/nodemanager_updated.json
cat /opt/hpcnodemanager/nodemanager_updated.json > /opt/hpcnodemanager/nodemanager.json

Если вам нужно вернуться к старому (небезопасном) поведению для устранения неполадок, задайте ClusterAuthenticationKey пустую строку "".

Перезагрузите вычислительный узел Linux после применения приведенного выше изменения.