Windows HPC Server 2008 提供高效能運算 (HPC) 叢集解決方案，支援大規模平行運算工作負載。本文深入解析 HPC 叢集的兩大核心角色 (管理員/使用者)、Active Directory 整合機制、用戶與管理員的新增移除操作、權限傳播原理，為部署 HPC 環境的 IT 人員提供完整參考。
HPC 叢集兩大角色權限模型
| 角色 | 權限範圍 | 典型任務 |
|---|
| HPC 叢集管理員 | 叢集所有層面 | 設定叢集網路、部署/管理節點、設定作業排程器、提交/管理所有使用者的作業/工作/範本、刪除/重新提交任何作業 |
| HPC 叢集使用者 | 僅限自己提交的作業/工作 | 提交作業、監控進度、診斷失敗原因、修復並重新提交自己的作業、檢視其他使用者作業清單 (不可操作) |
Active Directory 整合與初始權限指派
- HPC Server 2008 必須加入 AD 網域 (AD DS 為先決條件)，身分驗證仰賴 Kerberos/AD。
- 安裝前若頭節點已加入網域：
「Domain Admins」→ 自動加入本機「Administrators」
「Domain Users」→ 自動加入本機「Users」
- 安裝時根據本機群組成員關係指派 HPC 角色：
本機「Administrators」成員 (含 Domain Admins) → HPC 叢集管理員
本機「Users」成員 (含 Domain Users) → HPC 叢集使用者
關鍵權限傳播機制
- 管理員傳播： HPC 叢集管理員自動成為每個運算節點本機「Administrators」群組成員，擁有節點完整控制權。
- 使用者傳播： HPC 叢集使用者自動成為每個運算節點本機「Users」群組成員，具備標準使用者權限。
- 此傳播在節點部署/加入叢集時自動完成，確保管理員可遠端管理節點、使用者作業可在節點執行。
透過 HPC 叢集管理器新增/移除使用者與管理員
- 開啟「HPC 叢集管理器」 (開始 → 所有程式 → Microsoft HPC Pack → HPC 叢集管理器)。
- 左側導覽窗格 → 「設定」→ 「工作清單」→ 「新增或移除使用者」。
新增使用者：
- 右側動作窗格 → 「新增使用者」→ 輸入帳號 → 「檢查名稱」→ 確定。
- 重複新增所有需求使用者 → 確定關閉。
新增管理員：
- 動作窗格 → 「新增管理員」→ 輸入帳號 → 「檢查名稱」→ 確定。
- 重複新增 → 確定關閉。
移除使用者/管理員：
- 在清單中選取目標帳號 → 動作窗格 → 「移除」。
重要限制與注意事項
- 無法移除 Domain Admins： 網域管理員帳號永遠保留 HPC 叢集管理員權限，不可從管理員清單移除。
- 手動新增條件： 僅可手動新增「非 Domain Users 成員」的使用者、「非 Domain Admins 成員」的管理員。
- 移除 Domain Users 群組： 若不想讓所有網域使用者存取叢集，可從 HPC 使用者清單移除「Domain Users」群組，改為新增特定安全群組或個別帳號。
部署建議
- 建立專用 AD 安全群組：
HPC_Cluster_Admins、HPC_Cluster_Users、HPC_Node_Admins。
- 將群組加入對應 HPC 角色，後續人員異動僅需維護 AD 群組成員。
- 運算節點加入網域並由叢集管理器部署，自動獲得權限傳播。
- 配合 GPO 統一節點安全性設定 (防火牆、稽核、服務)。
HPC 叢集的角色權限設計緊密整合 Active Directory，實現集中身分管理與分散運算節點的無縫授權。掌握管理員/使用者權限邊界、傳播機制、AD 群組策略，是建立安全、可維運 HPC 環境的關鍵。
