如何为GCP上的CIS Ubuntu Linux 20.04实例添加GPU加速器

核心问题原因 #

CIS 加固镜像默认开启了内核模块加载限制，禁用了未签名的第三方内核模块，同时默认屏蔽了nouveau开源GPU驱动，导致GPU驱动无法正常加载，所以直接创建带GPU的实例会启动失败或无法识别GPU。 #

可行方案 #

方案1：现有CIS镜像加装驱动后挂载GPU #

• 先使用CIS Ubuntu 20.04 Level 1镜像创建无GPU的常规实例，启动后修改加固配置：
  1. 编辑/etc/modprobe.d/目录下的CIS加固规则文件，注释掉禁用第三方内核模块、屏蔽nouveau驱动的相关配置行
  2. 修改/etc/sysctl.d/10-cis-hardening.conf，将kernel.modules_disabled参数值调整为0，临时允许内核模块加载，执行sysctl -p生效
• 下载对应GPU型号的NVIDIA闭源驱动或GCP官方优化GPU驱动安装包，完成驱动安装后执行nvidia-smi验证驱动可正常加载
• 停止当前实例，编辑实例配置添加目标GPU设备，保存后重启实例，确认GPU可正常识别
• 恢复CIS安全配置：将kernel.modules_disabled改回1，删除不必要的内核模块加载权限，再次用CIS扫描工具验证合规性

方案2：构建自定义CIS合规GPU镜像 #

• 基于GCP官方Ubuntu 20.04 GPU预装镜像（或普通Ubuntu 20.04镜像先完成GPU驱动安装验证）创建实例
• 按照CIS Ubuntu 20.04 LTS Benchmark Level 1的要求逐项执行加固操作，加固过程中保留GPU驱动相关的内核模块、服务权限、动态库路径配置，避免误拦截GPU调用
• 加固完成后验证GPU功能正常，同时用CIS合规扫描工具确认满足Level 1要求，将该实例制作为自定义镜像，后续直接使用该镜像创建带GPU的实例即可

注意事项 #

• 所有操作前需创建实例镜像快照，避免配置错误导致业务中断
• 若使用CUDA组件，需注意CIS权限收紧后普通用户对CUDA目录、驱动套接字的访问权限，避免普通用户无法调用GPU资源
• 所有配置完成后必须重新扫描CIS合规项，确保未因适配GPU降低安全等级

内容的提问来源于stack exchange，提问作者Inder