hpcpilot安全配置指南：防火墙、SELinux和免密登录配置

hpcpilot安全配置指南：防火墙、SELinux和免密登录配置

【免费下载链接】hpcpilotA collection of HPC delivery tools, including basic system configuration, node inspection, performance testing, third-party service installation, etc.项目地址: https://gitcode.com/openeuler/hpcpilot

前往项目官网免费下载：https://ar.openeuler.org/ar/

在HPC（高性能计算）集群部署中，安全配置是确保系统稳定运行的关键环节。hpcpilot作为openEuler社区的高性能计算交付工具，提供了一套完整的自动化安全配置方案，帮助用户快速完成防火墙管理、SELinux配置和集群节点间的免密登录设置。本文将详细介绍如何使用hpcpilot工具进行这三个核心安全配置，让您的HPC环境既安全又高效。

🔥 为什么HPC集群需要安全配置？

在HPC环境中，多个计算节点需要协同工作，这带来了独特的安全挑战：

• 防火墙配置：需要平衡安全性与性能，确保节点间通信畅通
• SELinux管理：减少服务进程可访问的资源，防止权限扩散
• 免密登录：实现自动化作业调度和节点管理，提升运维效率

hpcpilot通过自动化脚本解决了这些痛点，让复杂的配置变得简单易行。

🛡️ 防火墙配置自动化

hpcpilot的防火墙管理脚本位于 hpc_script/basic_script/cac_firewall.sh，它提供了完整的防火墙状态检查和关闭功能。

主要功能特点：

• 智能检测：自动识别系统防火墙状态
• 安全关闭：优雅停止防火墙服务并禁用开机自启
• 状态验证：提供详细的配置检查结果

配置步骤：

# 执行防火墙配置脚本 bash /opt/hpcpilot/hpc_script/basic_script/cac_firewall.sh

脚本会自动完成以下操作：

1. 检查当前防火墙状态
2. 停止运行中的防火墙服务
3. 禁用防火墙开机自启
4. 重新加载防火墙规则
5. 输出详细的配置检查报告

配置验证：

脚本执行后会显示清晰的检查结果：

==================[7]防火墙关闭配置检查结果=============================== == 计算节点关闭防火墙检查结果正常 [ √ ] == 防火墙开机自启动配置正常 [ √ ] ==================[7]防火墙关闭配置检查结果===============================

🔒 SELinux安全子系统配置

SELinux是Linux内核的安全模块，hpcpilot通过 hpc_script/basic_script/cac_selinux.sh 脚本对其进行自动化配置。

配置文件路径：

• 主配置文件：/etc/selinux/config
• 关键参数：
  • SELINUX=disabled- 禁用SELinux
  • SELINUXTYPE=targeted- 使用目标策略模式

自动化配置流程：

# 执行SELinux配置脚本 bash /opt/hpcpilot/hpc_script/basic_script/cac_selinux.sh

脚本执行过程：

1. 检查配置文件是否存在，不存在则创建
2. 设置SELINUX值为disabled
3. 设置SELINUXTYPE值为targeted
4. 验证配置结果

为什么HPC环境需要禁用SELinux？

• 减少权限限制对高性能计算应用的影响
• 避免因安全策略导致的进程间通信问题
• 简化集群管理和故障排查

🔑 集群免密登录配置

hpcpilot的免密登录配置脚本 hpc_script/basic_script/cac_pass_free.sh 实现了集群节点间的双向SSH免密访问，这是HPC环境自动化管理的基础。

配置架构：

• 运维节点（O&M Node）：执行配置操作的主节点
• 计算节点：接收SSH密钥的从节点
• 配置文件：hostname.csv- 包含所有节点信息

配置依赖：

• sshpass工具：自动化SSH密码输入
• SSH密钥对：RSA公钥/私钥

自动化配置流程：

1. 准备阶段：

# 检查依赖包 yum install -y sshpass

2. 执行配置：

# 运行免密配置脚本 bash /opt/hpcpilot/hpc_script/basic_script/cac_pass_free.sh

脚本核心功能：

• ✅ 自动生成SSH密钥对（如果不存在）
• ✅ 安装并配置sshpass工具
• ✅ 读取hostname.csv文件中的节点信息
• ✅ 批量同步SSH密钥到所有计算节点
• ✅ 设置正确的文件权限（600）
• ✅ 提供详细的配置状态报告

配置验证结果：

==================[5]计算节点免密配置检查结果============================= == sshpass服务安装配置正常 [ √ ] == 配置文件[/root/.ssh/id_rsa]配置正常 [ √ ] == 配置文件[/root/.ssh/id_rsa.pub]配置正常 [ √ ] ==================[5]计算节点免密配置检查结果=============================

📊 安全配置最佳实践

1. 配置顺序建议

按照以下顺序执行hpcpilot安全配置脚本：

1. 免密登录配置- 建立节点间信任关系
2. 防火墙配置- 关闭防火墙确保通信畅通
3. SELinux配置- 禁用安全模块减少限制

2. 配置文件管理

• hostname.csv格式：包含所有节点的IP地址和主机名
• 备份原始配置：在修改前备份/etc/selinux/config和防火墙规则
• 权限控制：确保.ssh目录权限为700，密钥文件权限为600

3. 批量执行支持

hpcpilot支持批量配置模式，通过设置参数实现：

# 批量执行模式 bash cac_firewall.sh true false /opt true bash cac_selinux.sh true false /opt true bash cac_pass_free.sh true false /opt true

🚀 性能优化建议

防火墙配置优化：

• 在内部集群环境中可完全关闭防火墙
• 如需保留防火墙，应开放以下端口：
  • SSH端口（22）
  • MPI通信端口（根据应用需求）
  • 作业调度器端口

SELinux策略优化：

• 如不能完全禁用，可配置为permissive模式
• 针对HPC应用创建自定义策略

免密登录安全加固：

• 定期轮换SSH密钥
• 使用强密钥算法（ed25519）
• 配置SSH连接超时和最大尝试次数

🔍 故障排查指南

常见问题及解决方案：

调试模式：

hpcpilot脚本支持调试模式，可查看详细执行过程：

# 开启调试模式 bash cac_firewall.sh true true /opt false

📈 监控与维护

定期检查项目：

1. 防火墙状态：确保防火墙处于预期状态
2. SELinux状态：验证配置是否生效
3. SSH连接：测试节点间免密登录是否正常
4. 密钥有效期：检查SSH密钥是否过期

自动化监控脚本：

可结合hpcpilot的检查功能创建定期监控：

# 定期安全配置检查 bash cac_firewall.sh false false /opt false bash cac_selinux.sh false false /opt false bash cac_pass_free.sh false false /opt false

🎯 总结

hpcpilot的安全配置工具为HPC集群提供了完整的安全管理解决方案。通过自动化脚本，用户可以快速完成：

1. 防火墙配置- 确保集群内部通信无阻
2. SELinux管理- 平衡安全性与性能需求
3. 免密登录设置- 实现高效的集群自动化管理

这些配置不仅提升了HPC环境的部署效率，还通过标准化配置减少了人为错误。hpcpilot的模块化设计让每个安全组件都可以独立配置和验证，为大规模HPC集群部署提供了可靠的基础设施支持。

记住，安全配置是HPC集群稳定运行的基石。合理使用hpcpilot的安全配置工具，可以让您的HPC环境既安全又高效，专注于核心计算任务的执行。

【免费下载链接】hpcpilotA collection of HPC delivery tools, including basic system configuration, node inspection, performance testing, third-party service installation, etc.项目地址: https://gitcode.com/openeuler/hpcpilot