Virtuaalikoneen luominen Poudassa

Warning

Sinun kannattaa tutustua turvallisuusohjeisiin ja Poudan laskutuksen ehtoihin ennen ensimmäisen virtuaalikoneesi käynnistämistä.

Voit myös tutustua webinaariin.

Pouta-pilvien selainkäyttöliittymät ovat saatavilla seuraavissa osoitteissa:

URL	Palvelun nimi	Pääsy
https://pouta.csc.fi	cPoudan selainkäyttöliittymä	Käytettävissä internetissä
https://epouta.csc.fi	ePoudan selainkäyttöliittymä	Käytettävissä vain IP-osoitteista, joille on annettu pääsy ePoudan hallintakäyttöliittymiin

Tämä OpenStack Horizon -pohjainen käyttöliittymä mahdollistaa pilvilaskennan perushallintatoimet, kuten uuden virtuaalikoneen käynnistämisen ja turvallisuusasetusten hallinnan.

Esivaatimukset

Ennen virtuaalikoneen luomista tarvitset nämä kolme asiaa:

1. CSC-käyttäjätunnuksen. Tunnuksen voi luoda ohjeen Kuinka luoda uusi CSC-käyttäjätunnus mukaisesti.

2. Kirjautumisessa vaaditaan monivaiheinen tunnistautuminen (MFA).

   MFA vaaditaan 18.11.2025 alkaen ePoudassa ja 25.11.2025 alkaen cPoudassa.

   Lisätietoja on ohjeessa Monivaiheisen tunnistautumisen (MFA) opas.

3. CSC-projektin (luotu tai hallinnoitu MyCSC:n kautta), jossa cPouta- tai ePouta-palvelu on käytössä. Voit luoda uuden projektin tai pyytää, että sinut lisätään olemassa olevaan projektiin. Projektissa täytyy olla sopiva palvelu käytössä. Voit seurata ohjetta cPouta-käyttöoikeuden hakeminen. Mutta jos sinun täytyy tallentaa tai käsitellä sensitiivinen data, sinun on käytettävä ePoutaa ja haettava ePouta-käyttöoikeutta. Voit kirjautua ePoutaan vain CSC-käyttäjätunnuksellasi.

CSC-projektin valitseminen

Sinulla voi olla useampi kuin yksi CSC-projekti, jolla on pääsy Poutaan. Voit tarkistaa tämän osoitteessa my.csc.fi, jossa näet kaikki projektit, joihin sinulla on pääsy, sekä sen, missä projekteissa cPouta (tai ePouta) on aktivoitu palveluksi.

Kun palaat Poudan selainkäyttöliittymään, varmista, että valitset oikean projektin. Tässä on kaksi huomioitavaa asiaa:

• Projekti on hiekkalaatikko, joka sisältää resursseja, kuten virtuaalikoneita ja verkkoja, ja kuka tahansa, jolla on pääsy kyseiseen projektiin, voi nähdä, muokata ja poistaa kaikki nämä resurssit. He eivät välttämättä pääse virtuaalikoneeseen, koska tämä määräytyy koneeseen määritettyjen SSH-avainten perusteella.
• Projekteja käytetään laskutuksen määrittämiseen. Varmista, että kustannukset kohdistuvat oikealle laskutusprojektille.

SSH-avainten määrittäminen

Jotta voit avata yhteyden virtuaalikoneisiisi cPoudassa/ePoudassa, sinun täytyy ensin todistaa henkilöllisyytesi virtuaalikoneelle, ja siihen tarvitset SSH-avaimet. Tätä kutsutaan yleisesti SSH-avainpariksi, koska se koostuu kahdesta tiedostosta: yksityisestä avaimesta ja julkisesta avaimesta. Tämä on oletustapa (ja turvallisempi tapa) käyttää virtuaalikoneita. SSH-avaimet tarvitsee määrittää vain kerran projektia kohden.

Tuo julkiset avaimet

Jos SSH-avaimet ovat sinulle jo tuttuja, voit käyttää olemassa olevia SSH-avaimiasi virtuaalikoneiden käyttämiseen. Siirry selainkäyttöliittymässä kohtaan Compute > Key Pairs ja valitse Import Public Key. Sinun täytyy antaa avaimellesi nimi. Muista, että tarvitset tätä nimeä virtuaalikoneita luodessasi, joten suositus on pitää nimi lyhyenä ja käyttötarkoitusta kuvaavana. Liitä sen jälkeen julkinen avaimesi. Sen täytyy olla yhdellä rivillä ja muodossa key-type hash comment, esimerkiksi RSA-avain käyttäjältä person@domain.name:

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAAAQQCo9+BpMRYQ/dL3DS2CyJxRF+j6ctbT3/Qp84+KeFhnii7NT7fELilKUSnxS30WAvQCCo2yU1orfgqr41mM70MB person@domain.name

Jos et ole aiemmin käyttänyt SSH-avainpareja, voit luoda sellaisen seuraamalla SSH-avainparioppaan ohjeita.

Palomuurit ja turvallisuusryhmät

Turvallisuusryhmät ovat palomuurisääntöjen joukkoja, jotka rajoittavat pääsyä koneillesi. Virtuaalikone voi käyttää yhtä tai useampaa turvallisuusryhmää. Nämä palomuurisäännöt tehdään OpenStack-tasolla, ja lisäksi virtuaalikoneesi sisällä voi olla muita palomuurisääntöjä. Jos yhteyksissä on ongelmia, varmista, että sekä turvallisuusryhmä että virtuaalikoneen sisäinen palomuuri on määritetty oikein. "Default"-turvallisuusryhmä sisältää säännöt, jotka sallivat sisäisen viestinnän niiden virtuaalikoneiden välillä, jotka kuuluvat tähän turvallisuusryhmään.

Turvallisuusryhmää voi muokata tai luoda milloin tahansa virtuaalikoneen elinkaaren aikana. Kaikki muutokset, jotka tehdään virtuaalikoneelle määritettyyn turvallisuusryhmään, tulevat voimaan välittömästi virtuaalikoneessa.

Älä muokkaa oletusturvallisuusryhmää

Hyvänä käytäntönä emme suosittele muuttamaan "Default"-turvallisuusryhmää. Suosittelemme sen sijaan, että luot tiettyihin tarkoituksiin omat turvallisuusryhmät ja nimeät ne sen mukaisesti. Luo esimerkiksi turvallisuusryhmä nimeltä "SSH-VPN", jotta VPN:stä tulevat tietokoneet voivat käyttää SSH/22-yhteyttä kyseiseen turvallisuusryhmään kuuluviin koneisiin.

Uuden turvallisuusryhmän luominen:

1. Siirry kohtaan Network > Security Groups ja napsauta Create Security Group, anna sille nimi ja lisää kuvaus.

2. Napsauta sitten Manage Rules ja avautuvassa näkymässä Add Rule.

   

   Mukautusvaihtoehtoja on paljon, mutta tässä tapauksessa on suositeltavaa käyttää SSH-sääntöä, joka vaatii vain yhden parametrin: CIDR. Classless Inter-Domain Routing eli CIDR mahdollistaa aliverkon (88.44.55.0/24) tai yksittäisen IP-osoitteen (88.44.55.77/32) määrittämisen.

3. Oman IP-osoitteesi selvittämiseen voit käyttää palveluja, kuten https://apps.csc.fi/myip.

Warning

Verkkotilanteesi voi olla tätä monimutkaisempi. Saatat olla välityspalvelimen takana. Siinä tapauksessa ota yhteyttä oman organisaatiosi verkkotukeen.

Error

Voit myös avata portit kaikille mahdollisille IP-osoitteille käyttämällä CIDR-arvona 0.0.0.0/0, mutta tämä on huono tietoturvakäytäntö.

Tip

Huomaa:

• Oletusarvoisten ulosmenevän liikenteen sääntöjen poistaminen (salli mikä tahansa protokolla osoitteisiin 0.0.0.0/0 ja ::/0) cPoudassa aiheuttaa häiriöitä metadatapalvelussa, joka vastaa SSH-avainten injektoinnista. Jos haluat rajoittaa ulosmenevää liikennettä, sinun tulee sallia vähintään lähtevä liikenne IP-osoitteeseen 169.254.169.254 TCP-porttiin 80, jotta SSH-avainten injektointi toimii.
• Vaikka ePoudan virtuaalikoneisiin pääsee vain asiakkaan verkon kautta, niillekin täytyy määrittää turvallisuusryhmät. Muuten niihin ei voi muodostaa yhteyttä.
• Turvallisuusryhmiä voi lisätä ja poistaa käynnissä olevalta instanssilta. Tämä tehdään instanssisivulta.

Palvelinryhmät

Jos haluat käytännön, joka sallii instanssiesi toimivan samalla isäntäkoneella (tai estää sen), voit määrittää palvelinryhmiä.

Warning

Voit lisätä instanssin palvelinryhmään vain instanssia luotaessa. Et myöhemmin!

Kun napsautat Create Server Group, avautuu ikkuna:

Anna palvelinryhmällesi nimi ja valitse käytäntö. Vaihtoehdot ovat Affinity, Anti Affinity, Soft Affinity ja Soft Anti Affinity.

• Affinity: Samaan palvelinryhmään kuuluvat instanssit, joilla on affinity-käytäntö, ajoitetaan toimimaan samalla isäntäkoneella aina kun mahdollista. Affinity-käytännön tavoitteena on pitää instanssit yhdessä samalla fyysisellä palvelimella, mikä voi olla hyödyllistä sovelluksille tai palveluille, jotka vaativat pienen viiveen viestintää instanssien välillä.

• Anti Affinity: Samaan palvelinryhmään kuuluvat instanssit, joilla on anti-affinity-käytäntö, ajoitetaan toimimaan eri isäntäkoneilla aina kun mahdollista. Anti-affinity-käytäntö parantaa vikasietoisuutta ja käytettävyyttä hajauttamalla instanssit useille fyysisille palvelimille. Tämä auttaa minimoimaan yksittäisen palvelimen laitteistovikojen vaikutukset.

• Soft Affinity: Soft affinity on affinity-käytännön muunnelma. Palvelinryhmässä, jossa on soft affinity -käytäntö, ajastin pyrkii pitämään instanssit samalla isäntäkoneella, mutta tämä ei ole ehdoton vaatimus. Jos rajoitteet estävät instanssien sijoittamisen samalle isäntäkoneelle, ajastin voi silti sijoittaa ne eri isäntäkoneille. Soft affinity tarjoaa joustavamman lähestymistavan verrattuna tiukkaan affinity-käytäntöön.

• Soft Anti-Affinity: Soft anti-affinity on anti-affinity-käytännön muunnelma. Palvelinryhmässä, jossa on soft anti-affinity -käytäntö, ajastin pyrkii sijoittamaan instanssit eri isäntäkoneille, mutta tämä ei ole ehdoton vaatimus. Jos rajoitteet estävät instanssien hajauttamisen eri isäntäkoneille, ajastin voi silti sijoittaa ne samalle isäntäkoneelle. Soft anti-affinity tarjoaa joustavamman lähestymistavan verrattuna tiukkaan anti-affinity-käytäntöön.

Voit tarkistaa, toimivatko instanssisi samalla (tai eri) isäntäkoneella, kirjoittamalla tämän komennon OpenStack-komentoriviasiakasohjelmalla (katso asennusohjeet, jos et ole vielä ottanut sitä käyttöön):

openstack server show [INSTANCE_NAME | INSTANCE_ID] | grep HostId

Note

"Soft"-variantit sallivat joustavamman instanssien sijoittelun.
Affinity- tai anti-affinity-käytännöt eivät aina ole mahdollisia resurssirajoitteiden tai muiden ajastusrajoitusten vuoksi.

Virtuaalikoneen käynnistäminen

Kun SSH-avaimet ja turvallisuusryhmät on määritetty, voit käynnistää uuden virtuaalikoneen Poudan selainkäyttöliittymien avulla:

Info

• https://pouta.csc.fi (cPoutaa varten)
• tai https://epouta.csc.fi (ePoutaa varten)

1. Avaa Poudan selainkäyttöliittymän etusivulla näkymä Compute > Instances.

2. Napsauta oikeasta yläkulmasta Launch Instance. Tämä avaa launch instance -näkymän, jossa määrität uuden virtuaalikoneen ominaisuudet.

   

3. Kirjoita launch instance -näkymän Details-välilehdellä ensin Instance Name ja valitse luotavien instanssien määrä (-x lisätään automaattisesti instanssin nimen loppuun, jos asetat Count > 1).

4. Napsauta Next ja valitse Instance Boot Source. Valitse pudotusvalikosta "Image" ja napsauta käytettävissä olevien levykuvien vieressä olevaa ylänuolta.

   

   Pilvinatiivi

   Jos haluat toimia pilvinatiivimmin, voit valita "Image" ja asettaa "Create a New Volume" arvoksi "Yes". Tämä vaihtoehto luo instanssillesi uuden pysyvän taltion. Jos poistat instanssisi vahingossa tai se joutuu tilaan, josta sitä ei voi palauttaa, instanssisi tiedostojärjestelmä säilyy tällä taltiolla. Voit myöhemmin käyttää tätä taltiota uuden instanssin käynnistämiseen samassa tiedostojärjestelmän tilassa kuin aiemmassa instanssissa.

   Huomaa

   Vaihtoehto "Create New Volume", kun sen arvoksi on asetettu "Yes", luo ylimääräisen taltion, joka laskutetaan normaalisti hinnoittelu-sivullamme kuvatulla tavalla.

   Jos flavor-tyypissä on väliaikainen levy (esimerkiksi I/O-flavorit), uusi taltio luodaan vain järjestelmälevylle. Väliaikaiset levyt poistetaan, kun virtuaalikone poistetaan.

5. Valitse Flavour, eli luotavan virtuaalikoneen "koko", käytettävissä olevista flavoreista napsauttamalla ylänuolta. Katso täydellinen luettelo ja kuvaukset sivulta Virtuaalikoneiden flavorit ja laskutusyksikköhinnat. Voit myös laajentaa flavorin nähdäksesi vaikutuksen kiintiöösi.

   

   Varoitus kiintiön käytöstä

   Huomaa, että saatat nähdä varoitusmerkin, joka kertoo, riittääkö kiintiösi tietyn flavorin ajamiseen. Jos kiintiösi ei riitä, voit lähettää pyynnön asiakastukeemme ja ilmoittaa haluamasi määrän.

   

6. Varmista Networks-osiossa, että oma verkkosi (projektisi nimi) on valittuna.

   

7. Seuraavassa osiossa Security Groups voit määrittää aiemmin luodun turvallisuusryhmän. Voit laajentaa turvallisuusryhmän tarkistaaksesi määrittämäsi säännöt.

   

8. Kohdassa Key Pair valitset aiemmin SSH-avainten määrittäminen -osiossa luomasi Key Pair -nimen.

   

   Avainpareja ei voi lisätä luomisen jälkeen

   Julkinen avain lisätään virtuaalikoneeseen vain, jos se on määritetty tässä vaiheessa. Kun napsautat Launch Instance, virtuaalikone luodaan, eikä määritettyjä avainpareja voi enää muuttaa. Jos avainparia ei ole määritetty, suositeltu ratkaisu on poistaa virtuaalikone ja aloittaa alusta.

9. Configuration-osiossa voit lisätä mukautetun skriptin instanssin mukauttamiseksi sen käynnistämisen jälkeen.

10. Server Groups -välilehdellä voit valita palvelinryhmän

Voit napsauttaa Launch Instance aloittaaksesi virtuaalikoneen luomisen.

Luomisen jälkeinen vaihe

Kun virtuaalikone käynnistetään, se saa vain yksityisen IP-osoitteen (192.168.XXX.XXX). Tämä tarkoittaa, että vaikka kone voi käyttää internetiä ja muita saman projektin virtuaalikoneita, siihen ei voi muodostaa yhteyttä projektin ulkopuolelta. Jotta voit käyttää virtuaalikonettasi, sinun täytyy liittää siihen julkinen IP-osoite.

Info

Kelluvan IP-osoitteen liittäminen on mahdollista vain cPouta-instansseille.

1. Siirry kohtaan Compute > Instances. Sinun pitäisi nähdä virtuaalikoneesi luettelossa.

2. Napsauta uuden koneesi rivin oikeasta reunasta kohdasta Actions pudotusvalikkoa ja valitse Associate Floating IP.

   

3. Valitse IP-osoite kohdassa IP Address. Jos näkyviin tulee "No floating IP addresses allocated", napsauta plusmerkkiä varataksesi projektille uuden IP-osoitteen. Sinun täytyy lisätä kuvaus.

4. Valitse kohdassa Port to be associated virtuaalikone.

5. Napsauta Associate.

Kun kelluva IP-osoite on liitetty, se näkyy instanssisi vieressä luettelossa Compute > Instances — kirjoita se talteen, sillä tarvitset sitä virtuaalikoneeseen yhdistämiseen.

IP-laskutus

Varatuista kelluvista IP-osoitteista laskutetaan 0,2 Cloud BU/h. Katso lisätietoja sivulta Virtuaalikoneiden flavorit ja laskutusyksikköhinnat.

Onko tämä sivu hyödyllinen?

Kyllä

Kiitos palautteestasi!

Ei

Kiitos! Arvostamme palautettasi.

Kerro meille miten voisimme parantaa tätä sivua ottamalla meihin yhteyttä .