Invocando AWS ParallelCluster API

PDFRSS

L'endpoint AWS ParallelCluster Amazon API Gateway è configurato con un tipo di AWS_IAM autorizzazione e richiede che tutte le richieste siano firmate SigV4 con IAM credenziali valide (APIriferimento: creazione di richieste http).

Se distribuito con impostazioni predefinite, le autorizzazioni di API invoke vengono concesse solo all'utente predefinito creato con. IAM API

Per recuperare il nome ARN dell'utente predefinitoIAM, esegui:

$ REGION=<region>
$ API_STACK_NAME=<stack-name>
$ aws cloudformation describe-stacks --region ${REGION} --stack-name ${API_STACK_NAME} --query "Stacks[0].Outputs[?OutputKey=='ParallelClusterApiUserRole'].OutputValue" --output text

Per ottenere credenziali temporanee per l'IAMutente predefinito, esegui il STS AssumeRolecomando.

È possibile recuperare l' AWS ParallelCluster APIendpoint eseguendo il comando seguente:

$ REGION=<region>
$ API_STACK_NAME=<stack-name>
$ aws cloudformation describe-stacks --region ${REGION} --stack-name ${API_STACK_NAME} --query "Stacks[0].Outputs[?OutputKey=='ParallelClusterApiInvokeUrl'].OutputValue" --output text

AWS ParallelCluster APIPuò essere richiamato da qualsiasi HTTP client conforme alle API specifiche Open disponibili qui:

https://<REGION>-aws-parallelcluster.s3.<REGION>.amazonaws.com/parallelcluster/<VERSION>/api/ParallelCluster.openapi.yaml

Le richieste devono essere firmate con SigV4 come documentato qui.

Al momento, non offriamo alcuna implementazione ufficiale API da parte del client. Tuttavia, API i client possono essere generati facilmente dal API modello Open utilizzando Open API Generator. Una volta generato il client, è necessario aggiungere la firma SigV4, se non fornita immediatamente.

Un'implementazione di riferimento per un API client Python è disponibile nel AWS ParallelCluster repository. Per saperne di più su come usare il API client Python, consulta il Utilizzo dell' AWS ParallelCluster API tutorial.

Per implementare meccanismi di controllo degli accessi più avanzati, come Amazon Cognito o Lambda Authorizers, o per proteggere ulteriormente le chiavi o le chiaviAPI, segui la API documentazione di AWS WAF Amazon Gateway. API

avvertimento

Un IAM utente autorizzato a richiamare il AWS ParallelCluster API, può controllare indirettamente tutte le AWS risorse gestite da in the. AWS ParallelCluster Account AWS Ciò include la creazione di AWS risorse che l'utente non può controllare direttamente a causa delle restrizioni sulla politica dell'utenteIAM. Ad esempio, la creazione di un AWS ParallelCluster cluster, a seconda della sua configurazione, potrebbe includere la distribuzione di EC2 istanze Amazon, Amazon Route 53, file system Amazon Elastic File System, FSx file system Amazon, IAM ruoli e risorse di altri Servizi AWS utenti su AWS ParallelCluster cui l'utente potrebbe non avere il controllo diretto.

avvertimento

Quando si crea un cluster AdditionalIamPolicies specificato nella configurazione, le politiche aggiuntive devono corrispondere a uno dei seguenti modelli:

- !Sub arn:${AWS::Partition}:iam::${AWS::AccountId}:policy/parallelcluster*
- !Sub arn:${AWS::Partition}:iam::${AWS::AccountId}:policy/parallelcluster/*
- !Sub arn:${AWS::Partition}:iam::aws:policy/CloudWatchAgentServerPolicy
- !Sub arn:${AWS::Partition}:iam::aws:policy/AmazonSSMManagedInstanceCore
- !Sub arn:${AWS::Partition}:iam::aws:policy/AWSBatchFullAccess
- !Sub arn:${AWS::Partition}:iam::aws:policy/AmazonS3ReadOnlyAccess
- !Sub arn:${AWS::Partition}:iam::aws:policy/service-role/AWSBatchServiceRole
- !Sub arn:${AWS::Partition}:iam::aws:policy/service-role/AmazonEC2ContainerServiceforEC2Role
- !Sub arn:${AWS::Partition}:iam::aws:policy/service-role/AmazonECSTaskExecutionRolePolicy
- !Sub arn:${AWS::Partition}:iam::aws:policy/service-role/AmazonEC2SpotFleetTaggingRole
- !Sub arn:${AWS::Partition}:iam::aws:policy/EC2InstanceProfileForImageBuilder
- !Sub arn:${AWS::Partition}:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole

Se hai bisogno di altre politiche aggiuntive, puoi eseguire una delle seguenti operazioni:

• Modifica il file DefaultParallelClusterIamAdminPolicy in:

  https://<REGION>-aws-parallelcluster.s3.<REGION>.amazonaws.com/parallelcluster/<VERSION>/api/parallelcluster-api.yaml

  Aggiungi la politica nella ArnLike/iam:PolicyARN sezione.

• Ometti di specificare le politiche per AdditionalIamPolicies nel file di configurazione e aggiungi manualmente le politiche all' AWS ParallelCluster Instance Role creato all'interno del cluster.