24小时热门版块排行榜    

查看: 3218  |  回复: 21

cenwanglai

荣誉版主 (知名作家)

老和山猥琐派九段

优秀版主

[求助] 怎么样禁止绕开队列提交任务?

按照coolrainbow的教程和zhuangguangping提供的资料配置集群,似乎没有办法禁止用户绕开队列直接提交任务。

如果这些办法可以禁止,是如何实现的?

如果不可以,那需要怎么办?
回复此楼
已阅   回复此楼   关注TA 给TA发消息 送TA红花 TA的回帖

风间的记忆

铁杆木虫 (著名写手)

【答案】应助回帖

★ ★ ★
感谢参与,应助指数 +1
cenwanglai(金币+3): 有帮助 谢谢回复~~ 2012-03-08 17:10:07
这个你只能禁止命令行登陆集群
然后所有的用户必须通过QSUB+脚本的方式提交任务

暂时看没有其他办法
即使限制MPIRUN
用户如果想绕过调度系统一样可以在自己的目录下安装MPI

哈哈 要是更聪明的
完全可以绕过调度系统把整个集群全占了
九州浩淼,任其东西,明日何在,但随我意。
2楼2012-03-08 16:45:43
已阅   回复此楼   关注TA 给TA发消息 送TA红花 TA的回帖

独孤狼

金虫 (正式写手)

独行者

【答案】应助回帖

★ ★ ★ ★
感谢参与,应助指数 +1
cenwanglai(金币+4): 有帮助 你这个对我要求高了~~ 2012-03-08 17:10:23
限制用户的权限
或更改脚本的权限为只有执行权限
或更改提交任务的命令位置以及执行权限
或在脚本里做手脚,比如说所有的环境变量在脚本里面设定
总之就是让用户离了脚本就不知道该怎么提交任务
具体怎么设还是根据用户的水平而定了
轮回的过往,注定的未来;独孤的行者,孤独的路途……
3楼2012-03-08 17:08:15
已阅   回复此楼   关注TA 给TA发消息 送TA红花 TA的回帖

cenwanglai

荣誉版主 (知名作家)

老和山猥琐派九段

优秀版主

引用回帖:
3楼: Originally posted by 独孤狼 at 2012-03-08 17:08:15:
限制用户的权限
或更改脚本的权限为只有执行权限
或更改提交任务的命令位置以及执行权限
或在脚本里做手脚,比如说所有的环境变量在脚本里面设定
总之就是让用户离了脚本就不知道该怎么提交任务
具体 ...

我听说可以关掉ssh,然后只在队列调度里面设置ssh。而且禁止修改。
4楼2012-03-08 17:12:24
已阅   回复此楼   关注TA 给TA发消息 送TA红花 TA的回帖

cenwanglai

荣誉版主 (知名作家)

老和山猥琐派九段

优秀版主

引用回帖:
2楼: Originally posted by 风间的记忆 at 2012-03-08 16:45:43:
这个你只能禁止命令行登陆集群
然后所有的用户必须通过QSUB+脚本的方式提交任务

暂时看没有其他办法
即使限制MPIRUN
用户如果想绕过调度系统一样可以在自己的目录下安装MPI

哈哈 要是更聪明的
完全可以 ...

可以在自己目录里安装什么都可以。

但是可以让一般用户不能访问其他节点。比如断掉ssh.

各用户自己有权限配置ssh不?
5楼2012-03-08 17:14:06
已阅   回复此楼   关注TA 给TA发消息 送TA红花 TA的回帖

独孤狼

金虫 (正式写手)

独行者

引用回帖:
4楼: Originally posted by cenwanglai at 2012-03-08 17:12:24:
我听说可以关掉ssh,然后只在队列调度里面设置ssh。而且禁止修改。

用nfs+限制ssh也行,把各个分节点的/etc/hosts.allow 里面添加上管理节点的ip
/etc/hosts.deny里面填上sshd:all然后重启xinetd即可
或者修改你各个节点的dsa公钥,来达到只有有对应私钥的用户才可登陆
或者修改ssh的具体配置,添加禁止ssh登陆的用户或者允许ssh登陆的用户,这可以通过修改sshd_config文件达到。在后面添加AllowUsers 用户名,可以只允许获得许可的用户登陆。
轮回的过往,注定的未来;独孤的行者,孤独的路途……
6楼2012-03-08 17:30:20
已阅   回复此楼   关注TA 给TA发消息 送TA红花 TA的回帖

风间的记忆

铁杆木虫 (著名写手)

★ ★
zhangguangping: 金币+2, 谢谢补充说明!以后多多指教! 2012-03-27 08:13:32
引用回帖:
6楼: Originally posted by 独孤狼 at 2012-03-08 17:30:20:
用nfs+限制ssh也行,把各个分节点的/etc/hosts.allow 里面添加上管理节点的ip
/etc/hosts.deny里面填上sshd:all然后重启xinetd即可
或者修改你各个节点的dsa公钥,来达到只有有对应私钥的用户才可登陆
或者修 ...

那怎么判断运行的程序是QSUB还是其他的程序呢?
也就是说如何判断他是通过调度系统还是不通过呢?
九州浩淼,任其东西,明日何在,但随我意。
7楼2012-03-09 14:01:58
已阅   回复此楼   关注TA 给TA发消息 送TA红花 TA的回帖

zhangguangping

木虫 (著名写手)

【答案】应助回帖

★ ★ ★ ★ ★ ★ ★ ★ ★ ★
感谢参与,应助指数 +1
cenwanglai(金币+10): ★★★★★最佳答案 谢谢回复~~ 2012-03-10 08:29:58
一种是直接禁止所有的用户的任何登陆,修改每一个计算节点的/etc/security/access.conf文件
该文件的每一行由如下三个字段构成,中间使用冒号分割:
权限 : 用户 : 来源
权限字段可以是”+”(即允许访问),”-”(禁止访问);
用户字段可以是用户名、组名以及诸如user@host格式的用户名,ALL表示任何人,具有多个值时,可以用空格分开。
来源字段可以是tty名称(本地登录时)、主机名、域名(以”.”开始),主机ip地址,网络号(以”.”结束)。ALL表示任何主机,LOCAL表示本地登录。可以使用EXCEPT操作符来表示除了…之外。
比如禁止出了root之外的所有用户从任何地方登陆。需要这样做:
编辑/etc/pam.d/login如下所示:
    #%PAM-1.0
auth required /lib/security/pam_securetty.so
auth required /lib/security/pam_stack.so service=system-auth
auth required /lib/security/pam_nologin.so
account required /lib/security/pam_stack.so service=system-auth
account required /lib/security/pam_access.so
password required /lib/security/pam_stack.so service=system-auth
session required /lib/security/pam_stack.so service=system-auth
session optional /lib/security/pam_console.so
也即加上
account required /lib/security/pam_access.so
在/etc/security/access.conf中加上:
-:ALL EXCEPT root: ALL

第二种放法是动态的登陆,也就说只有该计算节点上有用户的任务的时候,用户才有权限登陆,一旦任务结束,用户的登陆权限随即消失。但是这样有一个弊端,就是用户一旦在自己在该节点有任务的时候,登陆上去,只要保持不退出,当任务结束了,用户是一直保持着登陆的,也就是说不会把用户踢下去的。只有用户主动退出后,再登陆就登陆不上来了。

这个是需要用到Torque的pam功能的。只要在Troque的管理员手册中搜索pam,立马就能找到相应的章节。并且很简单易懂。

不管这两种的那一种,一旦限制上了,用户就是去了对自己程序调试的便利性。所以这个无形之中会对管理员造成调试负担。
弘德明志博学笃行
8楼2012-03-10 01:12:11
已阅   回复此楼   关注TA 给TA发消息 送TA红花 TA的回帖

yanrding

金虫 (正式写手)

【答案】应助回帖


感谢参与,应助指数 +1
zhangguangping: 金币+1, 够霸气。学生当管理员的话,这样得罪人吧。 2012-03-27 08:14:08
可以简单地写一个脚本,定期查看各节点的任务运行情况,
发现cpu使用超过比如90%的进程,就查一下是否是pbs提交的任务。

查到几次,给一个惩罚措施,大家就都不敢了吧。
华北电力大学(北京)数理学院,计算化学,凝聚态物理。欢迎合作!招硕士/博士研究生,招老师。
9楼2012-03-10 15:49:41
已阅   回复此楼   关注TA 给TA发消息 送TA红花 TA的回帖

suntao1982

木虫 (著名写手)

小木虫

【答案】应助回帖


感谢参与,应助指数 +1
zhangguangping: 金币+1, 算大侠终于来了。欢迎常来本版指导! 2012-03-27 08:14:44
torque的PAM可以实现
做中国人的化学!!!!
10楼2012-03-10 23:16:43
已阅   回复此楼   关注TA 给TA发消息 送TA红花 TA的回帖
相关版块跳转 我要订阅楼主 cenwanglai 的主题更新
最具人气热帖推荐 [查看全部] 作者 回/看 最后发表
[基金申请] 投票:  有多少人是今天查系统知道结果的? +17 爱看书的可乐 2026-08-26 19/950 2026-08-31 11:51 by xiangy672
[基金申请] 29号明天会评吗 +4 笨笨唐 2026-08-28 4/200 2026-08-31 09:30 by huixian257
[基金申请] 能否申诉? +6 echo8914667 2026-08-30 7/350 2026-08-31 08:41 by kingkocxr
[基金申请] 有没有仍没收到信息的 +7 德尚中行 2026-08-27 8/400 2026-08-30 20:52 by purplejack
[考博] 找导师 +6 yuanjiabao 2026-08-29 7/350 2026-08-30 14:40 by 生科新手
[基金申请] 我就是申请一个面上项目而已,这评审意见是按照杰青的条件评的吧? +6 gouxfjh 2026-08-28 11/550 2026-08-30 07:57 by gouxfjh
[基金申请] 国自然面上复盘~欢迎讨论 (金币+15) +15 晴天加油 2026-08-26 16/800 2026-08-29 18:28 by symmetry
[基金申请] 国自然评审意见 +13 wangmingqi 2026-08-28 19/950 2026-08-29 10:22 by Poppy1104
[基金申请] 为什么资助数各大高校都创新高,自己申请怎么就这么难 +12 Kittylucky 2026-08-27 13/650 2026-08-29 00:04 by superceng
[基金申请] 系统查不到 +11 董八千 2026-08-26 11/550 2026-08-28 18:06 by Leogzhya
[基金申请] 怎么查啊 +6 huang1991js 2026-08-26 6/300 2026-08-28 08:42 by winsaint
[基金申请] 面上合作单位盖章 +5 ssyjh 2026-08-27 5/250 2026-08-27 20:50 by gdfollow
[基金申请] 怎么看青基中了没有啊 +5 叶九微 2026-08-26 5/250 2026-08-27 10:35 by l_zh2008
[基金申请] 为什么 国际(地区)合作与交流项目 没有放榜? 10+3 majunge000 2026-08-26 11/550 2026-08-27 08:42 by 北京莱茵编辑
[基金申请] 出来了 +9 trojank 2026-08-26 9/450 2026-08-26 14:25 by 宝贝虫子
[基金申请] 国际合作可查了,中了面上 (EPI+1)(金币+50) +18 Ldrop2023 2026-08-26 18/900 2026-08-26 11:15 by cmrandy
[基金申请] 项目信息和经费信息在系统里都可以看到了 +6 wittyboy 2026-08-26 14/700 2026-08-26 10:55 by wittyboy
[基金申请] 今天务委会开完了,明天出结果吗 +19 angus9576 2026-08-25 23/1150 2026-08-26 10:03 by zp519
[基金申请] 在坚冰还盖着北海的时候,我看到了怒放的梅花。 (金币+10) +6 ziyangfang 2026-08-25 9/450 2026-08-25 20:26 by huagongfeihu
[基金申请] 没有任何消息-是不是就凉了 +9 图啦图啦 2026-08-24 10/500 2026-08-25 11:59 by 南海小哥
信息提示
请填处理意见