Создание пула пакетной службы Azure в виртуальной сети

При создании пула пакетной обработки Azure его можно развернуть в подсети указанной вами виртуальной сети Azure. В этой статье объясняется, как настроить пул задач в виртуальной сети.

Зачем использовать виртуальная сеть?

Вычислительные узлы в пуле могут взаимодействовать друг с другом, например выполнять многоэкземплярные задачи, не требуя отдельной виртуальной сети. Однако по умолчанию узлы в пуле не могут взаимодействовать с любой виртуальной машиной, которая находится за пределами пула, например лицензией или файловыми серверами.

Чтобы вычислительные узлы могли безопасно взаимодействовать с другими виртуальными машинами или с локальной сетью, можно развернуть пул в подсети виртуальной сети.

Предварительные условия

• Проверка подлинности. Чтобы использовать виртуальная сеть Azure, API клиента пакетной службы должен использовать проверку подлинности Microsoft Entra. Дополнительные сведения см. в статье "Проверка подлинности решений пакетной службы с помощью Active Directory".

• Виртуальная сеть Azure. Чтобы заранее подготовить виртуальная сеть с одной или несколькими подсетями, можно использовать портал Azure, Azure PowerShell, Microsoft Azure CLI или другие методы.

  • Чтобы создать виртуальную сеть на основе Azure Resource Manager, см. "Создание виртуальной сети". Для новых развертываний рекомендуется использовать виртуальная сеть на основе Resource Manager и поддерживается только в пулах, использующих конфигурацию виртуальной машины.

  • Чтобы создать классическую виртуальную сеть, см. Создание виртуальной сети (классической) с несколькими подсетями. Классическая виртуальная сеть поддерживается только в пулах, использующих конфигурацию Облачные службы.

    Внимание

    Избегайте использования диапазона 172.17.0.0/16 для виртуальной сети пула Azure Batch. Это значение используется по умолчанию для сети моста Docker и может конфликтовать с другими сетями, которые вы хотите подключить к виртуальной сети. Создание виртуальной сети для пула Azure Batch требует тщательного планирования вашей сетевой инфраструктуры.

Общие требования к виртуальной сети

• Виртуальная сеть должна находиться в той же подписке и регионе, что и учетная запись Batch, которую вы используете для создания пула.

• Подсеть, указанная для пула, должна иметь достаточно свободных IP-адресов для размещения всех виртуальных машин, предназначенных для пула, включая требования свойств targetDedicatedNodes и targetLowPriorityNodes пула. Если в подсети недостаточно свободных IP-адресов, пул выделяет вычислительные узлы частично, что приводит к ошибке изменения размера.

• Если вы не используете упрощенное взаимодействие вычислительных узлов, необходимо разрешить конечные точки службы хранилища Azure, используя пользовательские DNS-серверы вашей виртуальной сети. В частности, URL-адреса формата <account>.table.core.windows.net, <account>.queue.core.windows.net и <account>.blob.core.windows.net должны быть разрешимыми.

• Несколько пулов можно создать в одной виртуальной сети или в одной подсети (если он имеет достаточное адресное пространство). Один пул не может существовать в нескольких виртуальных сетях или подсетях.

• Любая виртуальная сеть или пиринговая виртуальная сеть, которая будет использоваться для пулов пакетной службы, не должна иметь перекрывающиеся диапазоны IP-адресов с программным обеспечением, определенными сетями или маршрутизацией на вычислительных узлах. Общий источник конфликтов — это использование среды выполнения контейнера, например Docker. Docker создаст сетевой мост по умолчанию с определенным диапазоном 172.17.0.0/16 подсети. Все службы, работающие в виртуальной сети в этом пространстве IP-адресов по умолчанию, конфликтуют со службами на вычислительном узле, например удаленным доступом через SSH.

Пулы в конфигурации виртуальной машины

Требования:

• Поддерживаемые виртуальные сети: только виртуальные сети, созданные на основе Azure Resource Manager.
• Идентификатор подсети: при указании подсети с помощью API пакетной службы используйте идентификатор ресурса подсети. Идентификатор подсети имеет вид:

/subscriptions/{subscription}/resourceGroups/{group}/providers/Microsoft.Network/virtualNetworks/{network}/subnets/{subnet}

• Разрешения: Проверьте, не ограничивают ли политики безопасности или блокировки подписки или группы ресурсов права пользователя на управление виртуальной сетью.
• Сетевые ресурсы: пакетная служба автоматически создает дополнительные сетевые ресурсы в группе ресурсов, содержащей виртуальная сеть.

Группы безопасности сети для пулов конфигурации виртуальных машин: Batch по умолчанию

Служба Batch создает группу безопасности сети (NSG) на уровне сетевого интерфейса каждого развертывания масштабируемого набора виртуальных машин в пуле Batch. Для пулов, которые не имеют общедоступных IP-адресов для взаимодействия с вычислительным узлом, группы безопасности сети не создаются.

Чтобы обеспечить необходимую связь между вычислительными узлами и службой пакетной обработки, эти группы безопасности сети (NSG) настроены таким образом:

• Входящий TCP-трафик через порты 29876 и 29877 из IP-адресов службы Batch, соответствующих тегу службы BatchNodeManagement.region. Это правило создается только в режиме обмена данными пула classic .
• Исходящий трафик через порт 443 на IP-адреса службы Batch, соответствующие тегу службы BatchNodeManagement.region.
• Исходящий трафик в виртуальную сеть на любом порту. Это правило может быть изменено в соответствии с правилами NSG на уровне подсети.
• Исходящий трафик, передаваемый в Интернет через любой порт. Это правило может быть изменено в соответствии с правилами NSG уровня подсети.

Группы безопасности сети для пулов конфигурации виртуальных машин: указание правил на уровне подсети

Если у вас есть NSG, связанная с подсетью для вычислительных узлов Batch, необходимо настроить эту NSG по крайней мере с правилами безопасности для входящего и исходящего трафика, указанными в следующих таблицах.

Правила безопасности для входящего трафика

Настройте входящий трафик через порт 3389 (Windows) или 22 (Linux) только в том случае, если необходимо разрешить удаленный доступ к вычислительным узлам из внешних источников на портах RDP или SSH по умолчанию соответственно. Возможно, вам потребуется разрешить трафик SSH в Linux, если вам нужна поддержка для задач с несколькими экземплярами, использующих определенные среды выполнения MPI, в подсети с вычислительными узлами Batch. Это связано с тем, что трафик может быть заблокирован на уровне правил NSG подсети. Трафик MPI обычно выполняется по частному IP-адресу, но может отличаться между средами выполнения MPI и конфигурацией среды выполнения. Разрешение трафика на этих портах не является строго необходимым для использования вычислительных узлов пула. Вы также можете отключить удаленный доступ по умолчанию на этих портах с помощью настройки конечных точек пула.

Правила безопасности для исходящего трафика

Для работы в режиме обмена данными в пуле необходим исходящий тег службы BatchNodeManagement.region, если вы используете задачи диспетчера задач или если ваши задачи должны взаимодействовать с Batch-сервисом. Для исходящего трафика к BatchNodeManagement.регион в режиме коммуникации пула simplified, служба Batch в настоящее время использует только протокол TCP, но для будущей совместимости может потребоваться использование UDP. Для пулов без общедоступных IP-адресов, использующих режим связи simplified, и с частной конечной точкой для управления узлами, не требуется группа безопасности сети. Дополнительные сведения о правилах безопасности исходящего трафика для BatchNodeManagement.Тег службы региона см. в статье "Использование упрощенного взаимодействия с вычислительным узлом".

Создайте пул с виртуальной сетью в портале Azure

После создания виртуальной сети и назначения ей подсети вы можете создать пул пакетной службы, используя эту виртуальную сеть. Выполните следующие действия, чтобы создать пул из портал Azure:

1. Ищите и выберите Batch учетные записи в строке поиска в верхнем правом углу портала Azure. Выберите учетную запись Batch. Эта учетная запись должна находиться в той же подписке и регионе, что и группа ресурсов, содержащая виртуальная сеть, которую вы планируете использовать.

2. Выберите Pools в левой панели навигации.

3. В окне пулов нажмите кнопку "Добавить".

   

4. На странице "Добавить пул" выберите параметры и введите сведения для пула. Для получения дополнительной информации о создании пулов для вашего учетного аккаунта Batch см. Создание пула вычислительных узлов. Размер узла, Целевые выделенные узлы, и целевые узлы Spot/низкого приоритета, и любые желаемые необязательные параметры.

5. В разделе Виртуальная сеть выберите виртуальную сеть и подсеть, которые вы хотите использовать.

6. Нажмите кнопку ОК, чтобы создать пул.

Пользовательские маршруты для принудительного туннелирования

Возможно, вашей организации нужно принудительно перенаправлять трафик, направленный из подсети в Интернет, обратно в локальное расположение для проверки и регистрации в журнале. Кроме того, возможно, вы включили принудительное туннелирование для подсетей в вашей виртуальной сети.

Чтобы узлы в вашем пуле работали в виртуальной сети с включенным принудительным туннелированием, необходимо добавить следующие определяемые пользователем маршруты (UDR) для этой подсети.

Для пулов классического режима обмена данными:

• Служба пакетной обработки должна связываться с узлами для планирования задач. Чтобы включить эту связь, добавьте UDR, соответствующий BatchNodeManagement.тег службы регионав регионе, в котором существует учетная запись пакетной службы. Задайте для параметра Тип следующего прыжка значение Интернет.

• Убедитесь, что локальная сеть не блокирует исходящий TCP-трафик для службы хранилища Azure на целевом порту 443 (в частности, URL-адреса формы *.table.core.windows.net, *.queue.core.windows.net, и *.blob.core.windows.net).

Для пулов упрощенного режима связи без использования управления узлами через частную конечную точку:

• Убедитесь, что ваша локальная сеть не блокирует исходящий TCP/UDP трафик к тегу службы Azure BatchNodeManagement.region на целевом порту 443. В настоящее время используется только протокол TCP, но UDP может потребоваться для будущей совместимости.

Для всех пулов:

• Если вы используете подключения виртуальных файлов, просмотрите требования к сети и убедитесь, что необходимый трафик не заблокирован.

Следующие шаги

• Рабочий процесс и ресурсы службы пакетной обработки
• Учебник. Маршрутизация сетевого трафика с помощью таблицы маршрутов с использованием портала Azure