Découvrez les proxies pour AI Data Engine
Suggérer des modifications
PDF
Si votre hôte ou cluster AI Data Engine (AIDE) ne peut pas accéder directement à Internet, configurez un proxy de transfert afin que le programme d'installation et AI Data Engine puissent télécharger des composants, extraire des images de conteneur et s'enregistrer auprès de NetApp Console. Les options de proxy sont les mêmes pour les déploiements à nœud unique et à plusieurs nœuds. Les étapes de préparation et d'exécution de l'installation diffèrent, donc chaque type de déploiement a son propre flux de travail.
Le programme d'installation ne configure pas le proxy pour les autres logiciels de l'hôte, tels que le gestionnaire de paquets. Pour un déploiement sur un seul nœud, le programme d'installation configure le proxy pour k3s et AI Data Engine, et ajoute au magasin de certificats de confiance de l'hôte le certificat d'autorité de certification que vous fournissez avec --proxy-ca-cert. Pour un déploiement sur plusieurs nœuds, le programme d'installation configure uniquement les charges de travail de AI Data Engine. Vous configurez le proxy du moteur d'exécution de conteneurs et la gestion des certificats de confiance sur chaque nœud.
Déployer AI Data Engine avec un proxy
Chaque type de déploiement possède son propre sujet détaillant la procédure complète, de la préparation de l'environnement à l'exécution du programme d'installation.
-
"Déployez AI Data Engine sur un nœud unique avec un proxy" : Le programme d'installation configure le proxy pour l'environnement d'exécution k3s et pour AI Data Engine, et ajoute le certificat d'autorité de certification que vous fournissez aux magasins de confiance.
-
"Déployez AI Data Engine en tant que déploiement multinœud avec un proxy" : Vous configurez le proxy d'exécution du conteneur et la confiance du certificat d'autorité de certification sur chaque nœud avant d'exécuter le programme d'installation.
Ce qui transite par le proxy
Seul le trafic à destination d’Internet utilise le proxy. Toutes les destinations Internet d’AI Data Engine utilisent HTTPS sur le port 443, donc votre proxy doit autoriser CONNECT vers le port 443 pour chaque point de terminaison dans "Accès Internet sortant".
Le trafic sur votre réseau se connecte directement et doit rester accessible sans proxy:
-
L'agent Console (
--cm-host) -
Sources de données NFS, CIFS/SMB, ONTAP et StorageGRID
-
Active Directory et LDAP
-
Le serveur d'API Kubernetes et les réseaux internes du cluster
Configurations de proxy prises en charge
| Configuration | Description | Authentification |
|---|---|---|
Pas de proxy |
Connexion directe à Internet; aucun proxy n'est utilisé. |
Aucune |
proxy HTTP direct |
AI Data Engine se connecte au proxy via HTTP et tunnelise les destinations HTTPS avec |
Aucune, ou authentification de base HTTP (nom d'utilisateur et mot de passe) |
proxy de transfert HTTPS |
AI Data Engine se connecte au proxy via TLS. Si une autorité de certification (AC) privée a signé le certificat du proxy, vous devez fournir le certificat de l’AC. |
Aucune, ou authentification de base HTTP (nom d'utilisateur et mot de passe) |
proxy d'inspection TLS |
Le proxy déchiffre le trafic HTTPS et resigne le certificat de chaque destination avec sa propre autorité de certification d’inspection. Définissez |
Aucune, ou authentification de base HTTP (nom d'utilisateur et mot de passe) |
Vous pouvez adresser le proxy par nom de l'hôte ou adresse IPv4.
Types de proxy pris en charge
AI Data Engine prend en charge deux types de proxy. Définissez le type avec --proxy-type.
Proxy de transfert standard (r) |
proxy d’inspection TLS (t) |
|
|---|---|---|
Comment il gère le trafic HTTPS |
Il crée des connexions en tunnel avec HTTP |
Déchiffre le trafic HTTPS et signe à nouveau le certificat de chaque destination avec l'autorité de certification d'inspection du proxy. |
|
Requis uniquement si le proxy lui-même utilise HTTPS et que son certificat est signé par une autorité de certification privée. |
Obligatoire. Fournissez le certificat d’autorité de certification utilisé par le proxy pour l’inspection. Si vous l’omettez, le programme d’installation rejettera la commande avant toute connexion réseau. |
|
|
|
Un proxy avec inspection TLS est différent d'un proxy HTTPS. Un proxy HTTPS est un proxy auquel vous vous connectez via TLS (--proxy-scheme https). Un proxy avec inspection TLS est un proxy qui re-signe les certificats des destinations auxquelles vous accédez par son intermédiaire. Un proxy avec inspection TLS peut utiliser l'un ou l'autre schéma.
Certaines autres fonctionnalités du proxy ne sont pas prises en charge. Voir "Limitations connues".
Le programme d'installation utilise un proxy pour chaque destination Internet et chaque composant AI Data Engine. Les paramètres du proxy sont définis lors de l'installation.
Paramètres de configuration du proxy
| Paramètre | Défaut | Description |
|---|---|---|
|
Aucune |
Nom d'hôte ou adresse IPv4 du proxy de transfert, sans |
|
|
Port sur lequel le proxy écoute. Ignoré si le port est déjà inclus dans |
`--proxy-scheme <http |
https>` |
|
Protocole utilisé pour se connecter au serveur proxy lui-même. Il ne s'agit pas du schéma des destinations que le proxy atteint. La plupart des proxys de transfert écoutent en HTTP simple, alors indiquez |
|
Aucune |
Chemin d'accès à un fichier PEM ou à un répertoire plat de Ceci est requis lorsque:
Ne le spécifiez pas pour un proxy standard ( |
|
Aucune |
Nom d'utilisateur pour l'authentification de base. En cas d'utilisation d'un proxy HTTP, le programme d'installation avertit que les informations d'identification sont transmises au proxy sans chiffrement. Nécessite un mot de passe, fourni avec |
|
Aucune |
Chemin d'accès vers un fichier local contenant uniquement le mot de passe du proxy, avec les autorisations définies sur |
`--proxy-type |
t>` |
|
Type de proxy. |
|
|
Le programme d'installation n'accepte ni --proxy-password ni la PROXY_PASSWORD variable d'environnement. Utilisez --proxy-password-file ou l'invite interactive à la place.
|
Le téléchargement du programme d'installation
La commande d’installation copiée depuis NetApp Console télécharge le programme d’installation à partir d’un réseau de réalisation de contenu (CDN), puis l’exécute en une seule étape. Le téléchargement n’utilise pas le proxy. Si l’hôte cible accède à Internet uniquement via un proxy, vous téléchargez vous-même le programme d’installation et exécutez la commande d’installation à partir du programme d’installation extrait. Les rubriques de déploiement décrivent ces étapes.
Vérification du proxy
Avant que le programme d'installation ne télécharge quoi que ce soit, il effectue une vérification à partir de l'hôte d'installation. Cette vérification confirme que le proxy répond, qu'il accepte vos identifiants et que le certificat du proxy est valide pour le protocole que vous avez choisi. Si la vérification échoue, le programme d'installation s'arrête et indique la cause, par exemple un port incorrect, un protocole incorrect ou un mot de passe rejeté (HTTP 407).
Pour les déploiements multi-nœuds, la vérification porte uniquement sur le proxy. Elle ne vérifie pas si les nœuds du cluster peuvent accéder au proxy.
Modifier les paramètres de proxy après l'installation
Les paramètres du proxy sont définis lors de l'installation. Le programme d'installation ne s'exécute pas de nouveau sur un cluster installé. Pour modifier l'hôte proxy, le port, les identifiants ou le certificat CA après l'installation, contactez le Support NetApp.