當(dāng)前位置 主頁(yè) > 技術(shù)大全 >
隨著計(jì)算資源需求的不斷增長(zhǎng)和集群規(guī)模的不斷擴(kuò)大，如何確保主控節(jié)點(diǎn)與計(jì)算節(jié)點(diǎn)之間的安全通信成為了一個(gè)亟待解決的問(wèn)題
在這樣的背景下，Linux Munge認(rèn)證服務(wù)應(yīng)運(yùn)而生，并逐漸成為HPC集群中的安全通信基石
本文將詳細(xì)介紹Munge的工作原理、配置方法及其在HPC集群中的應(yīng)用
Munge概述 Munge是一個(gè)用于創(chuàng)建和驗(yàn)證用戶憑證的身份驗(yàn)證服務(wù)，主要應(yīng)用于大規(guī)模的高性能計(jì)算集群中
它被設(shè)計(jì)為高度可擴(kuò)展，能夠在復(fù)雜的集群環(huán)境中提供安全可靠的身份驗(yàn)證
Munge通過(guò)生成和驗(yàn)證證書來(lái)實(shí)現(xiàn)身份驗(yàn)證，這些證書包含了請(qǐng)求者的用戶ID（UID）、組ID（GID）以及其他一些信息
當(dāng)一個(gè)進(jìn)程需要訪問(wèn)另一個(gè)進(jìn)程時(shí)，它會(huì)向Munge服務(wù)器請(qǐng)求一個(gè)證書，服務(wù)器驗(yàn)證請(qǐng)求者的身份后生成證書，被訪問(wèn)的進(jìn)程再驗(yàn)證這個(gè)證書以確認(rèn)請(qǐng)求者的身份
Munge的特點(diǎn)包括高性能、可擴(kuò)展性、安全性和易用性
它能夠處理大量的身份驗(yàn)證請(qǐng)求，并可以很容易地?cái)U(kuò)展到大型集群
Munge提供了多種安全機(jī)制，可以防止未授權(quán)訪問(wèn)
同時(shí)，其配置相對(duì)簡(jiǎn)單，易于管理，避免了在每個(gè)節(jié)點(diǎn)上配置復(fù)雜的SSH密鑰或Kerberos配置
Munge的工作原理 Munge允許進(jìn)程在具有相同普通用戶（UID）和組（GID）的主機(jī)組中，對(duì)另一個(gè)本地或遠(yuǎn)程的進(jìn)程進(jìn)行身份驗(yàn)證
這些主機(jī)組構(gòu)成了一個(gè)共享密碼密鑰的安全域
Munge通過(guò)定義安全域來(lái)管理不同主機(jī)之間的信任關(guān)系，在同一個(gè)安全域內(nèi)的主機(jī)可以相互信任，而不同安全域之間的主機(jī)則需要進(jìn)行額外的身份驗(yàn)證
具體來(lái)說(shuō)，Munge的工作流程如下： 1.密鑰生成：在管理節(jié)點(diǎn)上生成一個(gè)共享密鑰（munge.key），這個(gè)密鑰用于生成和驗(yàn)證證書
2.證書請(qǐng)求：當(dāng)一個(gè)進(jìn)程需要訪問(wèn)另一個(gè)進(jìn)程時(shí)，它會(huì)向Munge服務(wù)器發(fā)送一個(gè)證書請(qǐng)求
3.證書生成：Munge服務(wù)器驗(yàn)證請(qǐng)求者的身份后，生成一個(gè)包含請(qǐng)求者UID、GID等信息的證書
4.證書驗(yàn)證：被訪問(wèn)的進(jìn)程驗(yàn)證這個(gè)證書，以確認(rèn)請(qǐng)求者的身份
Munge的配置方法 在CentOS系統(tǒng)上配置Munge認(rèn)證服務(wù)，需要分別在server端和client端進(jìn)行一系列操作
以下是一個(gè)詳細(xì)的配置步驟： Server端配置 1.安裝軟件： 在server端上安裝munge及其相關(guān)軟件包
bash yum install munge munge-libs munge-devel rng-tools 2.生成密鑰： 使用rngd工具生成隨機(jī)數(shù)，并創(chuàng)建munge.key文件
bash rngd -r /dev/urandom /usr/sbin/create-munge-key -rddif=/dev/urandom bs=1 count=1024 > /etc/munge/munge.key 3.設(shè)置權(quán)限： 修改munge.key文件的權(quán)限，確保其只能被munge用戶讀取
bash chown munge: /etc/munge/munge.key chmod 400 /etc/munge/munge.key 4.啟動(dòng)服務(wù)： 啟動(dòng)munge服務(wù)，并將其設(shè)置為開(kāi)機(jī)自啟
bash systemctl start munge systemctl enable munge 5.分發(fā)密鑰： 將munge.key文件分發(fā)到各個(gè)client端
bash scp /etc/munge/munge.key root@client_ip:/etc/munge/ Client端配置 1.刪除舊munge： 如果client端之前安裝過(guò)munge，需要先將其卸載，并刪除munge用戶
bash yum remove munge munge-libs munge-devel userdel -r munge 2.創(chuàng)建munge用戶： 在client端上創(chuàng)建munge用戶，并確保其與server端的munge用戶UID一致
bash export MUNGEUSER=1120 假設(shè)server端的munge用戶UID為1120 groupadd -g $MUNGEUSER munge useradd -m -c MUNGE Uid N Gid Emporium -d /var/lib/munge -u $MUNGEUSER -g munge -s /sbin/nologin munge 3.安裝軟件： 在client端上安裝munge及其相關(guān)軟件包
bash yum install munge munge-devel munge-libs rng-tools 4.設(shè)置權(quán)限： 修改munge.key文件的權(quán)限，并設(shè)置相關(guān)目錄的權(quán)限
bash chown munge: /etc/munge/munge.key chmod 700 /etc/munge chown -R munge: /var/lib/munge chown -R munge: /var/run/munge 5.啟動(dòng)服務(wù)： 啟動(dòng)rngd和munge服務(wù)，并將其設(shè)置為開(kāi)機(jī)自啟
bash systemctl start rngd systemctl start munge systemctl enable rngd systemctl enable munge Munge在HPC集群中的應(yīng)用 Munge在HPC集群中扮演著至關(guān)重要的角色，特別是在與Slurm作業(yè)調(diào)度系統(tǒng)結(jié)合使用時(shí)
Slurm是一個(gè)開(kāi)源、高性能、可擴(kuò)展的集群管理和作業(yè)調(diào)度系統(tǒng)，被廣泛應(yīng)用于大型計(jì)算集群和超級(jí)計(jì)算機(jī)中
它能夠有效地管理集群中的計(jì)算資源（如CPU、內(nèi)存、GPU等），并根據(jù)用戶的需求對(duì)作業(yè)進(jìn)行調(diào)度
在Slurm作業(yè)調(diào)度系統(tǒng)中，munge作為認(rèn)證服務(wù)，用于主控節(jié)點(diǎn)和計(jì)算節(jié)點(diǎn)之間的認(rèn)證通信
通過(guò)munge，Slurm可以確保作業(yè)在正確的節(jié)點(diǎn)上運(yùn)行，并防止未授權(quán)訪問(wèn)
munge的證書機(jī)制使得每個(gè)節(jié)點(diǎn)都可以驗(yàn)證其他節(jié)點(diǎn)的身份，從而建立一個(gè)安全可靠的通信環(huán)境
常見(jiàn)報(bào)錯(cuò)處理 在配置munge時(shí)，可能會(huì)遇到一些常見(jiàn)的報(bào)錯(cuò)
例如，啟動(dòng)munge服務(wù)時(shí)報(bào)錯(cuò)“munged: Error: Keyfile is insecure: /etc/munge/munge.key should be owned byuid ”
這個(gè)錯(cuò)誤通常是由于munge.key文件的權(quán)限沒(méi)有修改正確導(dǎo)致的
此時(shí)，只需要按照前面的步驟修改munge.key文件的權(quán)限即可解決問(wèn)題
結(jié)論 Linux Munge認(rèn)證服務(wù)作為HPC集群中的安全通信基石，具有高性能、可擴(kuò)展性、安全性和易用性等優(yōu)點(diǎn)
通過(guò)正確的配置和使用munge，可以確保主控
