Azure CycleCloud – Güvenlik için en iyi yöntemler

Bu makalede, Azure CycleCloud'un daha güvenli ve etkili bir şekilde kullanılmasına yönelik en iyi yöntemler ve yararlı ipuçları ele alınmaktadır. Azure CycleCloud kullanırken hızlı başvuru olarak burada listelenen en iyi yöntemleri kullanabilirsiniz.

Kurulum

Azure CycleCloud başlatmak için Azure Market Azure CycleCloud sanal makine görüntüsünü kullanın. Market görüntüsü, HTTPS kullanmak üzere yapılandırılmış Azure CycleCloud ile başlar.

Ancak CycleCloud'u el ile yüklerseniz, varsayılan yükleme 8080 numaralı bağlantı noktasında çalıştırılan şifrelenmemiş HTTP kullanır. CycleCloud yüklemenize şifrelenmemiş erişimi önlemek için tüm yüklemeler için SSL'yi yapılandırın. CycleCloud'un İnternet'ten erişilebilir olmasını sağlamayın, ancak gerekirse yalnızca 443 numaralı bağlantı noktasını kullanıma sunun. SSL sertifikasını yapılandırma ve CycleCloud'a şifrelenmemiş HTTP erişimini devre dışı bırakma hakkında daha fazla bilgi için bkz. SSL yapılandırması.

Azure CycleCloud sanal makinesinden giden İnternet erişimini kısıtlamak için, Azure CycleCloud tüm İnternet'e bağlı HTTP ve HTTPS trafiği için ara sunucu kullanacak şekilde yapılandırabilirsiniz. Daha fazla bilgi için bkz. Kilitli Ortamda Çalışma.

Kimlik doğrulaması ve yetkilendirme

Azure CycleCloud dört kimlik doğrulama yöntemi sunar:

• Şifreleme ile yerleşik kullanıcı veritabanı
• Active Directory
• LDAP
• Entra ID

Bir hesabın 60 saniye içinde beş yetkilendirme hatası varsa sistem hesabı otomatik olarak kilitler. Bir yönetici hesapların kilidini el ile açabilir ve sistem beş dakika sonra hesapların kilidini otomatik olarak açar.

Azure CycleCloud yalnızca yönetici grubu erişimi olan bir sürücüye yükleyin. Bu yapılandırma, yönetici olmayan kullanıcıların şifrelenmemiş küme verilerine erişmesini engeller. Bu gruba yönetici olmayan kullanıcıları eklemeyin. İdeal olan, CycleCloud yüklemesine erişimi yalnızca yöneticilerle sınırlamaktır.

Güven sınırları boyunca tek bir Azure CycleCloud yüklemesini paylaşmayın. Tek bir CycleCloud yüklemesindeki RBAC denetimleri, gerçek bir çok kiracılı ortamda yeterli olmayabilir. Kritik verilere sahip her kiracı için ayrı ve yalıtılmış CycleCloud yüklemeleri kullanın.

Rol tabanlı kimlik doğrulaması

Azure CycleCloud, CycleCloud kullanıcı arabirimine ve küme düğümlerine kullanıcı erişimini denetleyan ve yapay zeka ve HPC küme yönetimine özgü izinlere sahip bir dizi yerleşik rol sağlar.

• SuperUser: Kullanıcı oluşturma ve izinler üzerinde denetim, tüm kümeler için küme yönetimi ve veritabanı yönetimi dahil olmak üzere Azure CycleCloud tam yönetim erişimi.
• Administrator: Azure CycleCloud kullanıcı arabirimindeki tüm kümelere yönetici erişimi verir.
• Cluster Owner: Bir kümenin ilk oluşturucusu. Sahipler yönetici veya temel kullanıcılar olabilir, ancak kendi kümeleri için yönetici ayrıcalıklarına sahiptir.
• User: CycleCloud kullanıcı arabirimine temel kullanıcı erişimi verir. Varsayılan olarak, kullanıcıların herhangi bir kümeye erişimi yoktur. Küme Sahibi veya Yönetici küme erişimi vermelidir.
• Auditor: Azure CycleCloud kullanıcı arayüzünde kümenin izlenmesine olanak tanıyan salt görüntüleme rolü.

Warning

SuperUser Rolü yalnızca yüksek ayrıcalıklı yönetici kullanıcılara verin. Çoğu kullanıcının User rolüne sahip olması ve yalnızca erişmeleri gereken belirli kümelere açıkça tanımlanmış erişime sahip olması gerekir.

Ağ ve gizli dizi yönetimi

Ayrıntılı rehberlik için Azure ağ güvenliği en iyi yöntemlerine başvurun.

Ağ Güvenlik Grupları'nı (NSG) kullanarak kümeleriniz için hedef sanal ağı kilitleyin. Ağ Güvenlik Grubu, çeşitli Azure kaynaklarından gelen ağ trafiğine veya giden ağ trafiğine izin veren veya reddeden güvenlik kuralları içerir.

CycleCloud portları ve trafik matrisini kaynak, hedef ve dağıtım moduna göre NSG ve güvenlik duvarı kurallarını kapsamlamak için kullanın.

En az iki alt ağ kullanın. CycleCloud yükleme sanal makinesi (VM) ve aynı erişim ilkelerine sahip diğer VM'ler için bir alt ağ kullanın. İşlem kümeleri için ek alt ağlar kullanın. Büyük kümeler için alt ağın IP aralığı sınırlayıcı bir faktör haline gelebilir. Genel olarak, CycleCloud alt ağı için küçük bir CIDR (Sınıfsız Inter-Domain Yönlendirme) aralığı ve işlem alt ağları için daha geniş bir aralık kullanın.

Azure CycleCloud kümeleri yönetmek için Azure Resource Manager kullanır. Azure Resource Manager erişim vermek için, CycleCloud VM için makalede açıklanan izinlerle bir Yönetilen Kimlik yapılandırın. Sistem tarafından atanan veya kullanıcı tarafından atanan yönetilen kimliği kullanabilirsiniz. Sistem tarafından atanan Yönetilen Kimlik, söz konusu hizmet örneğinin yaşam döngüsüne bağlı bir Entra kimliği oluşturur. Bu kaynağı sildiğinizde, Yönetilen Kimlik otomatik olarak silinir. Kullanıcı tarafından atanan Yönetilen Kimlik, bir Azure hizmetinin bir veya daha fazla örneğine atanabilir. Yönetilen Kimliği ayrı ayrı yönetirsiniz.

Warning

Yapay zeka ve HPC kümeleri genellikle parolalar, sertifikalar ve özel veya gizli dizi olarak sınıflandırılan diğer verileri gerektiren bileşenleri kullanır. Bu gizli dizi verileri doğrudan küme şablonlarında veya küme parametrelerinde depolanmamalıdır . Tüm temel CycleCloud kullanıcıları, düz metin olarak depolanan küme şablonlarına ve parametrelerine erişebilir.

Bunun yerine, gizli bilgileri korumak için aşağıdaki önerileri kullanın:

• Düğümlerden Azure kaynaklara erişim sağlamak için küme düğümlerinde Yönetilen Kimlik'i kullanın.
• Küme düğümlerine gerekli gizli dizi verilerini geçirmek için Azure Key Vault veya diğer gizli dizi yönetim hizmetlerini kullanın.

Güvenli kilitli ortam

Bazı güvenli üretim ortamları ortamı kilitler ve İnternet erişimi sınırlıdır. Azure CycleCloud, Azure Depolama hesaplarına ve desteklenen diğer Azure hizmetlerine erişim gerektirdiğinden, özel erişim sağlamanın önerilen yolu Sanal Ağ Hizmet Uç Noktaları veya Özel Bağlantı'dır. Hizmet Uç Noktalarını veya Özel Bağlantı etkinleştirerek Azure hizmet kaynaklarınızın güvenliğini sanal ağınızda sağlarsınız. Hizmet Uç Noktaları ve Özel Bağlantı, sanal ağdaki özel IP adreslerinin bir Azure hizmetinin uç noktalarına ulaşmasını sağlayarak daha fazla güvenlik ekler.

CycleCloud uygulaması ve küme düğümleri sınırlı İnternet erişimi olan ortamlarda çalışabilir, ancak çok az sayıda TCP bağlantı noktasının açık kalması gerekir. Azure Güvenlik Duvarı'nı veya HTTPS ara sunucusunu yapılandırmadan CycleCloud VM'den giden İnternet erişimini sınırlamak için CycleCloud sanal makinesinin alt ağı için katı bir Azure Ağ Güvenlik Grubu yapılandırın. Bu yapılandırmayı yapmanın en basit yolu, gerekli giden Azure erişimine izin vermek için alt ağda veya VM düzeyinde Ağ Güvenlik Grubu'nda Hizmet Etiketlerini kullanmaktır. Güvenlik kuralları oluştururken belirli IP adresi yerine hizmet etiketlerini kullanın. İlgili hizmet için trafiğe izin verebilir veya trafiği reddedebilirsiniz.