Aller au contenu principal

Accès SSH et shells

Accès aux machines​

Jean Zay (frontales)​

La connexion à la frontale de Jean Zay se fait par ssh depuis une machine enregistrée à l'IDRIS :

ssh mon_login_idris@jean-zay.idris.fr

puis saisissez votre mot de passe, si vous n'avez pas configuré de clef SSH.

La frontale jean-zay offre les fonctionnalités suivantes :

  • connexion interactive,
  • compilation pour les autres nœuds du cluster,
  • préparation, soumission et suivi des jobs.

Les jobs nécessitant des ressources de calcul doivent être exécutés sur les autres nœuds via le gestionnaire de batch Slurm (soumission batch à partir de la frontale).

Empreintes des clés publiques de jean-zay.idris.fr

Lorsque vous vous connectez sur jean-zay.idris.fr, si l'empreinte (fingerprint) de la clé publique affichée par votre client SSH n'est pas référencée dans cette liste, nous vous remercions de ne pas confirmer la connexion et de prévenir le support de l'IDRIS.

Notez que si vous utilisez une machine de rebond, il pourrait s'agir de l'empreinte de la clé publique de cette machine. Pensez à le vérifier.

CléEmpreinte MD5Empreinte SHA256
ECDSA73:15:d8:37:b1:d5:68:66:46:04:cb:6d:5e:e5:cd:7a9iT4Gq/m+YpRWXITfJkCXhhVKJRIpXH1Fn3MkQFm5Ts
RSA9d:7d:85:d3:d2:23:db:35:51:2d:6e:23:ff:4f:fb:32WvwNGuGDjPJOno4ZV4gRovtPPxmZ0bzXsymjazaonmM
ed2551980:0d:ee:f7:15:26:48:55:1e:58:8b:6f:84:96:22:59pIDgjbJzQdOvnKD+63mykz11aS0n7uvJiJjaqY7H6ms

Jean Zay (pré et post-traitement)​

La connexion interactive à la frontale de pré et post-traitement se fait par ssh depuis une machine enregistrée à l'IDRIS :

ssh mon_login_idris@jean-zay-pp.idris.fr

puis saisissez votre mot de passe, si vous n'avez pas configuré de clef SSH.

Les nœuds de pré/post-traitement installés à l'IDRIS sont quatre machines HPE équipées chacune de 3 Tio de mémoire, de bi-processeurs Intel Cascade Lake 6132 12-cœurs et d'un GPU NVIDIA V100.

La frontale jean-zay-pp offre les fonctionnalités suivantes :

Pour utiliser les nœuds de pré et post-traitement en batch, il suffit de spécifier la partition prepost dans votre fichier de soumission Slurm, qu'il soit lancé depuis la frontale jean-zay ou jean-zay-pp.

Empreintes des clés publiques de jean-zay-pp.idris.fr

Lorsque vous vous connectez sur un jean-zay-pp.idris.fr, si l'empreinte (fingerprint) de la clé publique affichée par votre client SSH n'est pas référencée dans cette liste, nous vous remercions de ne pas confirmer la connexion et de prévenir le support de l'IDRIS.

Notez que si vous utilisez une machine de rebond, il pourrait s'agir de l'empreinte de la clé publique de cette machine. Pensez à le vérifier.

CléEmpreinte MD5Empreinte SHA256
ECDSAdc:eb:0f:05:c3:f7:45:e0:03:b0:93:8f:8f:18:86:f5MHHu1+VX+n0jdM3dM2po1KGnQxeyZHDJR6L/fkt4oY8
RSA54:83:a5:ae:ad:a8:e8:2d:5a:37:c9:f7:1b:16:a8:82Wn8Lonh4iKIM3J5u/GKIbQvGW1ut9QkwhN8nkcQ0308
ed255197b:93:b0:7f:fe:bf:9f:72:97:bb:01:a8:3e:e9:6e:765Buosoh5BNrt3Ovk0Iip889vhny+5WCBJOzXXmLaXok

Jean Zay (nœud de calcul)​

Uniquement depuis jean-zay et jean-zay-pp, vous pouvez vous connecter en SSH aux seuls nœuds de calcul attribués à l'un de vos travaux afin de surveiller l'exécution de vos calculs avec des outils comme top, htop ou nvidia-smi par exemple.

Lorsque l'un de vos travaux est en cours d'exécution, les nœuds de calcul qui lui ont été attribués sont visibles avec la commande squeue -j <numero_du_travail> ou squeue --me :

squeue --meJOBID    PARTITION         NAME       USER  ST     TIME  NODES  NODELIST(REASON)2042259     cpu_p1  mon_travail  mon_login   R    01:42     10   nœud[1337-1346]

Dans cet exemple, le job n° 2042259 tourne sur 10 nœuds de calcul nommés respectivement nœud1337, nœud1338, ..., nœud1345 et nœud1346. Vous pouvez alors vous connecter via ssh à l'un des nœuds de cette liste (par exemple nœud1337) avec la commande suivante :

ssh nœud1337
remarque

Vous serez automatiquement déconnecté du nœud lorsque votre travail se terminera.

Si vous essayez de vous connecter à un nœud sur lequel aucun de vos travaux n'est en cours d'exécution, vous obtiendrez l'erreur suivante :

ssh nœud1400Access denied by pam_slurm_adopt: you have no active jobs on this node

Connexion par clef ssh​

Les connexions SSH utilisant une paire de clefs SSH (clé privée / clé publique) sont possibles sur Jean Zay.

CERTIFICAT SSH

Nous envisageons de renforcer notre politique de sécurité concernant les accès à la machine Jean Zay. Par conséquent, nous vous demandons de tester, dès maintenant, l'utilisation des certificats pour vos connexions SSH en lieu et place des paires de clés SSH habituelles (clé privée / clé publique) en respectant les procédures détaillées ci-dessous.

Ce changement n'aura pas d'impact sur les connexions par mot de passe qui resteront toujours possible. Pendant la phase de test, les connexions via les clés SSH classiques restent possibles. La date d'arrêt du support des clés SSH classiques sera annoncée ultérieurement une fois tous les problèmes bloquants résolus.

Merci de nous signaler tous les problèmes que vous pourriez rencontrer avec l'utilisation des certificats qui ne sont pas mentionnés dans la liste des problèmes connus disponible plus bas.

remarque

Les nœuds de pré/post-traitement de Jean Zay ne permettent pour l'instant pas l'authentification via les certificats SSH.

Connexion par clef SSH avec certificat​

Nous détaillons ici les procédures à suivre pour définir vos certificats SSH via l'outil IDRIS idr_keygen et comment les utiliser.

problemes connus

Il existe des problèmes connus que nous sommes en train d'essayer de résoudre :

  • Les versions d'OpenSSH antérieures à la version 7.8 (publiée en août 2018) ne supportent pas les certificats SSH produits par idr_keygen.
  • Nos certificats ne semblent pas fonctionner sous macOS.
  • Sous Windows, les certificats SSH ne sont supportés qu'à partir de la version 0.78 de Putty (publiée en octobre 2022) et de la version 6.1 de WinSCP (publiée en mai 2023).
  • Certains caractères diacritiques (tels que é, è, à, ç, ...) posent problème :
    • si votre passphrase contient un caractère de ce type, votre certificat ne fonctionnera pas
    • si votre mot de passe Jean Zay contient un caractère de ce type, idr_keygen pourrait le refuser même s'il est correct.

Vous pouvez définir deux types de certificats :

  • un certificat de type "interactive" (valide 1 an) permettant tous types de connexions (interactives ou non, en particulier via la commande ssh) qui doit être protégé par une passphrase,
  • un certificat de type "transfert-only" (valide 7 jours) permettant uniquement les transferts de fichiers (commandes scp, sftp, bbcp, bbftp et rsync) mais ne nécessitant pas de passphrase.

La commande IDRIS idr_keygen disponible sur Jean Zay, vous permet de générer les deux types de certificats en utilisant les options -t interactive ou -t transfert-only (ou leurs équivalents au format long --type ...).

L'option -o OUTPUT (ou le format long --output OUTPUT) permet d'indiquer un nom de fichier (format zip) qui contiendra les composantes privée et publique du certificat généré.

La syntaxe de la commande est fournie par l'une des options -h ou --help :

idr_keygen --helpusage: idr_keygen [-h] [-t {interactive,transfert-only}] [-o OUTPUT] [-v]
Generates authentication keys for SSH that are signed by a CertificationAuthority. The type of key to be generated is specified with the -t option. Ifinvoked without any arguments, idr_keygen will generate an RSA key for use inSSH protocol 2 interactive connections.
optional arguments:  -h, --help            show this help message and exit  -t {interactive,transfert-only}, --type {interactive,transfert-only}                        selects SSH certificate type:                          interactive : for login sessions (ssh)                          transfert-only : for data transferts (scp, sftp, bbcp, bbftp and rsync)                         (default: interactive)  -o OUTPUT, --output OUTPUT                        ZIP Downloaded filename and location (default: /path/to/your/home/sshkey.zip)  -v, --verbose         Increase verbosity output (default: False)

Certificat de type "interactive"​

Pour vos connexions via la commande ssh, vous devez générer sur Jean Zay, un certificat de type interactive que vous devez protéger avec une passphrase. Ce certificat a une durée de validité de 365 jours et devra donc être renouvelé une fois par an. Il autorise également les connexions non-interactives.

Par exemple, pour générer un certificat de type interactive et l'enregistrer dans le fichier interactive_certif.zip (ici dans le $HOME de Jean Zay), la commande à utiliser est :

idr_keygen -t interactive -o ~/interactive_certif.zipGenerating SSH signed key (type interactive will be used ; use help option -h to know more)
Please enter the certificate s passphrase:  Confirm the certificate s passphrase:  
Request server to get your SSH certificate  Please enter login_idris s password:  Success. /path/to/your/home/interactive_certif.zip was successfully downloaded.

Cette commande vous demande d'entrer :

  • une passphrase pour protéger le certificat
  • et votre mot de passe sur Jean Zay pour s'assurer que c'est bien vous qui faites cette opération.

La passphrase sera demandée une seconde fois pour confirmer la première entrée.

règles de définition de la passphrase

La passphrase doit respecter les règles de constitution suivantes :

  • Elle doit comporter un minimum de 20 caractères (pas de restriction sur le type de caractères à utiliser).
  • Et elle ne doit pas être composée de mots issus de dictionnaires, ni de combinaisons triviales (1234, azerty, ...).

Pour tester une connexion SSH depuis votre machine locale sur Jean Zay via ce certificat, vous devez :

  1. Copier sur votre machine locale (celle depuis laquelle vous voulez atteindre Jean Zay) le certificat au format zip précédemment généré sur Jean Zay :
scp login_idris@jean-zay.idris.fr:~/interactive_certif.zip ./. login_idris@jean-zay.idris.fr s password:interactive_certif.zip                                100% ...
  1. Puis le décompresser pour obtenir les composantes privée et publique du certificat qui doivent alors être enregistrées dans le répertoire ~/.ssh de votre machine locale :
unzip ~/interactive_certif.zip -d ~/.sshArchive: /path/to/your/home/interactive_certif.zipinflating: /path/to/your/home/.ssh/id_ecc_ptyinflating: /path/to/your/home/.ssh/id_ecc_pty.pub

Notez que, contrairement aux clés SSH classiques, il n'est pas nécessaire d'ajouter la partie publique du certificat (fichier .pub) dans le fichier ~/.ssh/authorized_keys de Jean Zay.

désactiver le support des clés SSH habituelles

Si vous utilisiez déjà des clés SSH, pour vous assurez de réellement tester une connexion SSH sur Jean Zay via le certificat généré, vous devez renommer sur Jean Zay, le fichier ~/.ssh/authorized_keys en ~/.ssh/authorized_keys.bk (par exemple) pour désactiver le support des clés SSH habituelles :

mv ~/.ssh/authorized_keys ~/.ssh/authorized_keys.bk
  1. Vous pouvez alors établir une connexion SSH vers Jean Zay depuis votre machine locale, en utilisant l'identité correspondant à ce certificat (~/.ssh/id_ecc_pty pour cet exemple) via l'option -i de ssh :
ssh -i ~/.ssh/id_ecc_pty login_idris@jean-zay.idris.frEnter passphrase for key /path/to/your/home/.ssh/id_ecc_pty:...
Remarques
  • Avec ce certificat, vous pouvez activer le transfert de l'affichage X11 (option -X de ssh): 
    ssh -X -i ~/.ssh/id_ecc_pty login_idris@jean-zay.idris.frEnter passphrase for key /path/to/your/home/.ssh/id_ecc_pty:...
  • Vous pouvez ajouter la passphrase protégeant le certificat à votre ssh-agent sur votre machine locale pour ne pas avoir besoin de la fournir à chaque fois que vous utilisez ce certificat : 
    ssh-add ~/.ssh/id_ecc_ptyEnter passphrase for ~/.ssh/id_ecc_pty:Identity added: ~/.ssh/id_ecc_pty (~/.ssh/id_ecc_pty)
  • il est possible d'indiquer le certificat à utiliser dans votre fichier de configuration SSH (fichier ~/.ssh/config sur la machine utilisée pour la connexion) : 
    Host jean-zay    HostName jean-zay.idris.fr    User login_idris    CertificateFile /path/to/private/part/id_ecc_pty

Certificat de type "transfert-only"​

Pour vos transferts de données, vous pouvez générer sur Jean Zay, un certificat de type transfert-only. Ce certificat ne nécessite pas de passphrase afin de faciliter un usage non-interactif. En contrepartie, il a une durée de validité limitée à 7 jours.

Par exemple, pour générer un certificat de type transfert-only et l'enregistrer dans le fichier transfert_certif.zip (ici dans le $HOME de Jean Zay), la commande à utiliser est :

idr_keygen -t transfert-only -o ~/transfert_certif.zipGenerating SSH signed key (type transfert-only will be used ; use help option -h to know more)
Request server to get your SSH certificatePlease enter login_idris s password:  Success! /path/to/your/home/transfert_certif.zip was successfully downloaded.

Cette commande ne vous demande pas d'entrer une passphrase puisque le certificat de type transfert-only ne requiert pas d'être protégé. Mais votre mot de passe sur Jean Zay est demandé pour s'assurer que c'est bien vous qui faites cette opération.

Pour faire des transferts entre votre machine locale et Jean Zay via ce certificat, vous devez :

  1. Copier sur votre machine locale (celle depuis laquelle vous voulez atteindre Jean Zay) le certificat au format zip précédemment généré sur Jean Zay :
scp login_idris@jean-zay.idris.fr:~/transfert_certif.zip .login_idris@jean-zay.idris.fr s password:transfert_certif.zip                                  100% ...
  1. Puis le décompresser pour obtenir les composantes privée et publique du certificat qui doivent alors être enregistrées dans le répertoire ~/.ssh de votre machine locale :
unzip ~/transfert_certif.zip -d ~/.sshArchive: /path/to/your/home/transfert_certif.zipinflating: /path/to/your/home/.ssh/id_ecc_rsyncinflating: /path/to/your/home/.ssh/id_ecc_rsync.pub

Notez que, contrairement aux clés SSH classiques, il n'est pas nécessaire d'ajouter la partie publique du certificat (fichier .pub) dans le fichier ~/.ssh/authorized_keys de Jean Zay.

[désactiver le support des clés SSH habituelles]

Si vous utilisiez déjà des clés SSH, pour vous assurez de réellement tester une connexion SSH sur Jean Zay via le certificat généré, vous devez renommer sur Jean Zay, votre fichier ~/.ssh/authorized_keys en ~/.ssh/authorized_keys.bk pour désactiver le support des clés SSH habituelles :

mv ~/.ssh/authorized_keys ~/.ssh/authorized_keys.bk
  1. Vous pouvez alors réaliser des échanges de données entre votre machine locale et Jean Zay en utilisant l'identité correspondant à ce certificat (~/.ssh/id_ecc_rsync pour cet exemple) via l'option -i de scp. Par exemple, la commande suivante, exécutée sur votre machine locale, transfère le fichier local_data de votre machine locale dans le répertoire /path/to/. sur Jean Zay :
scp -i ~/.ssh/id_ecc_rsync local_data login_idris@jean-zay.idris.fr:/path/to/.local_data                              100% ...

Inversement, la commande suivante, exécutée sur votre machine locale, transfère le fichier jean-zay_data du répertoire /path/to de Jean Zay dans le répertoire courant de votre machine locale :

scp -i ~/.ssh/id_ecc_rsync login_idris@jean-zay.idris.fr:/path/to/jean-zay_data ./.jean-zay_data                            100% ...

Ce type de certificat n'étant pas protégé par une passphrase, aucun mot de passe n'est demandé lors des transferts.

Expiration du certificat​

Actuellement, aucune notification n'est envoyée pour signaler l'expiration des certificats SSH. Pour connaître la date de fin de validité de votre certificat, vous pouvez lancer la commande suivante :

# exemple pour le certificat de type "interactive" ~/.ssh/id_ecc_pty.pubssh-keygen -Lf ~/.ssh/id_ecc_pty.pub

Celle-ci retournera des informations au format suivant, où vous trouverez la date de validité du certificat dans la ligne Valid:...:

id_ecc_pty.pub:        Type:         Public key:         Signing CA:         Key ID:         Serial:         Valid:  from 2023-05-31T10:12:10 to 2024-05-30T10:12:40        Principals:         Critical Options: (none)        Extensions:

Gestion de son environnement​

Votre espace $HOME est commun à toutes les frontales de Jean Zay. Par conséquent, chaque modification de vos fichiers d'environnement personnels s'applique automatiquement sur toutes les machines.

Quels sont les shells disponibles sur les machines de l'IDRIS ?​

Le Bourne Again shell (bash) est le seul interpréteur de commandes supporté comme shell de login sur les machines de l'IDRIS : l'IDRIS ne garantit pas que l'environnement utilisateur par défaut soit correctement défini avec les autres shells. Le bash est une évolution importante du Bourne shell (ancien sh) avec des fonctionnalités avancées. Cependant, d'autres interpréteurs (ksh, tcsh, csh) sont aussi installés sur les machines pour permettre l'exécution de scripts utilisant ces shells.

Quels sont les fichiers d'environnement invoqués lors du lancement d'une session login en bash ?​

Le fichier .bash_profile, s'il existe dans votre $HOME, est exécuté au login une seule fois pendant une session. Sinon c'est le fichier .profile qui est exécuté, s'il existe. C'est dans un de ces fichiers que l'on place les variables d'environnement, les programmes à lancer à la connexion.

Il est préférable de n'utiliser qu'un seul fichier d'environnement : le .bash_profile ou .profile.

La définition des alias, des fonctions personnelles et le chargement de modules sont à mettre dans le fichier .bashrc qui, lui, est exécuté au lancement de chaque sous-shell.

rester sur le droit chemin

L'écrasement de la variable PATH conduit toujours à des catastrophes, c'est pourquoi il est toujours conseillé de conserver le PATH fourni par la machine. Si vous souhaitez ajouter un répertoire de recherche pour l'exécution de commandes locales lors de toutes vos futures sessions, il faut ajouter la ligne suivante dans votre .bash_profile ou .profile :

export PATH=$PATH:repertoire_a_ajouter

Comment faire pour avoir un environnement convivial en bash ?​

Suivant le type d'éditeur que vous appréciez, le bash vous propose deux modes d'édition à l'aide de la commande set :

set -o emacs # pour être en mode emacsset -o vi    # pour être en mode vi