Beschränken Sie den Farmzugriff auf Ihr Netzwerk

Jede Anfrage an Ihre Farm durchläuft die Deadline Cloud-APIs. Der Monitor, der AWS CLI, die Absender und AWS-Managementkonsole alle rufen die APIs mit temporären Anmeldeinformationen auf, sodass die Netzwerkgrenze zu den API-Aufrufen gehört. Die Monitor-URL ist von jedem Ort im Internet aus erreichbar und enthält keine Farmdaten. Weitere Informationen finden Sie unter Zugriff auf die Monitor-Webanwendung.

Fügen Sie den IAM-Richtlinien der Anmeldeinformationen, die Ihre Mitarbeiter verwenden, eine Netzwerkbedingung hinzu:

• Der Monitor bezieht seine Anmeldeinformationen von der Monitorrolle. Das Gleiche gilt für die AWS CLI und die Einreicher, wenn sie das Profil verwenden, das der Deadline Cloud-Monitor erstellt. Fügen Sie der Monitorrolle eine benutzerdefinierte Richtlinie hinzu. Weitere Informationen finden Sie unter Hinzufügen von Berechtigungen für erweiterte Workflows.

• Die Skripts AWS-Managementkonsole und die Pipeline-Skripte verwenden ihre eigenen IAM-Rollen oder -Benutzer. Fügen Sie die Bedingung zu diesen Richtlinien oder zu den Berechtigungssätzen hinzu, die Sie für den AWS-Managementkonsole Zugriff in IAM Identity Center zuweisen.

Erlauben Sie nur Ihre IP-Bereiche

Eine aws:SourceIp Bedingung beschränkt Anfragen auf die öffentlichen Adressen, die Sie auflisten. Listen Sie die Adressen auf, von denen Ihr Studio Traffic sendet. Geben Sie Ihre Bürobereiche, Ihre VPN-Ausgangsadressen und die NAT-Gateway-Adressen aller VPCs an, auf denen Ihre Workstations ausgeführt werden.

Die folgende Richtlinie lehnt Deadline Cloud-Anfragen von jeder anderen Adresse ab. Hängen Sie sie zusammen mit den verwalteten Richtlinien, über die die Rolle bereits verfügt, der Rolle Monitor an.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "deadline:*",
      "Resource": "*",
      "Condition": {
        "NotIpAddress": {
          "aws:SourceIp": [
            "203.0.113.0/24",
            "198.51.100.10/32"
          ]
        },
        "BoolIfExists": {
          "aws:ViaAWSService": "false"
        }
      }
    }
  ]
}

Die Richtlinie gilt sowohl für Ihre Dateien als auch für Ihre Farm. Job Jobanhänge und Jobprotokolle sind Anmeldeinformationen für die Warteschlangenrolle erforderlich. Der Monitor AWS CLI, der und die Absender erhalten diese Anmeldeinformationen telefonisch. AssumeQueueRoleForUser Mit der Option Ablehnen wird der Anruf von allen Adressen blockiert, die Sie nicht angegeben haben.

Wenn Sie sich von einer Adresse aus anmelden, die Sie nicht angegeben haben, gelangen Sie trotzdem zur Anmeldeseite. Der Monitor meldet dann Fehler, anstatt Farmdaten anzuzeigen. Eine Zulassung kann eine Ablehnung nicht außer Kraft setzen. Überprüfen Sie daher Ihre Bereiche, bevor Sie die Richtlinie anhängen.

Wichtig

Die vorstehende Richtlinie lehnt auch Anfragen ab, die über einen Endpunkt der Deadline Cloud-Schnittstelle eingehen. Endpunktdatenverkehr wird übertragenaws:SourceIp, aws:VpcSourceIp statt einer NotIpAddress Bedingung, dass ein Schlüssel fehlt, erfüllt, sodass die Ablehnung gilt. Wenn Ihre Mitarbeiter Deadline Cloud über einen Schnittstellenendpunkt erreichen, verwenden Sie das VPC-Formular im nächsten Abschnitt. Um beide Pfade zuzulassen, fügen Sie beide Schlüssel in denselben Bedingungsblock ein. Die Ablehnung gilt dann nur, wenn keiner der Schlüssel zutrifft. Testen Sie die Richtlinie in beiden Netzwerken, bevor Sie sie einführen.

Weitere Informationen zu den Schlüsseln finden Sie im IAM-Benutzerhandbuch unter Kontextschlüssel für AWS globale Bedingungen.

Zugriff nur von Ihrer VPC aus zulassen

Um zu verlangen, dass Benutzer von Hosts in einer VPC aus arbeiten, z. B. von virtuellen Workstations, kombinieren Sie drei Komponenten:

1. Führen Sie den Monitor AWS CLI, den und die Submitter auf Hosts in der VPC aus.

2. Erstellen Sie in der VPC einen Schnittstellenendpunkt für den Deadline Cloud-Verwaltungsendpunkt. Fügen Sie Amazon S3- und CloudWatch Logs-Endpunkte hinzu, wenn Ihre Mitarbeiter Jobanhänge hochladen und Jobprotokolle lesen. Aktivieren Sie privates DNS, sodass die Client-Tools die Endpunkte ohne zusätzliche Konfiguration verwenden. Weitere Informationen finden Sie unter Zugriff AWS Deadline Cloud unter Verwendung eines Schnittstellenendpunkts (AWS PrivateLink).

3. Fügen Sie der Monitorrolle eine Richtlinie hinzu, die Anfragen von außerhalb der VPC ablehnt. Die VPC-Schlüssel enthalten Zeichenketten, daher ist der Bedingungsoperator StringNotEquals eher alsNotIpAddress.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "deadline:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:SourceVpc": "vpc-0123456789abcdef0"
        },
        "BoolIfExists": {
          "aws:ViaAWSService": "false"
        }
      }
    }
  ]
}

Um einzelne Endpunkte statt der gesamten VPC zu benennen, verwenden Sie dies aws:SourceVpce zusammen mit Ihren Endpunkt-IDs. Verwenden Sie with, um Adressbereiche innerhalb der VPC aws:VpcSourceIp zu NotIpAddress benennen.

Sie überwachen die Webanwendung, das IAM Identity Center-Portal und AWS Sign-In haben keine Schnittstellen-Endpunkte. Der Browser auf dem Host benötigt daher ausgehenden Zugriff auf die unter aufgeführten Anmeldedomänen. Eingeschränkte Netzwerkumgebungen Sie können diesen Datenverkehr über ein NAT-Gateway oder einen Webproxy weiterleiten, der nur diese Domänen zulässt. Farmdaten werden nicht über den Anmeldepfad übertragen.

Sorgen Sie dafür, dass der Mitarbeiterzugriff funktioniert

Ihre Mitarbeiter teilen sich die Rolle in der Warteschlange mit Ihren Mitarbeitern. Ein Mitarbeiter verwendet Anmeldeinformationen für die Warteschlangenrolle, um Eingaben zu lesen und Ausgaben zu schreiben, während er einen Job ausführt. Der Monitor und der Benutzer AWS CLI verwenden dieselbe Rolle, wenn jemand Eingaben hochlädt oder Ausgaben herunterlädt. Schränken Sie die Monitorrolle ein und lassen Sie die Warteschlangenrolle und die Flottenrolle ohne Netzwerkbedingung stehen.

Service-managed Flottenmitarbeiter arbeiten im AWS Netzwerk, sodass ihre Adressen nicht in Ihrer Reichweite liegen und ihre Anfragen nicht über Ihre Endgeräte eingehen. Eine Netzwerkbedingung für die Warteschlangenrolle, die Flottenrolle oder die Bucket-Richtlinie des Buckets für Auftragsanhänge lehnt diese Anfragen ab. Jobs schlagen dann fehl. Eine Bucket-Policy-Bedingung funktioniert nur, wenn alle Ihre Flotten vom Kunden verwaltet werden und in Ihrer VPC ausgeführt werden. In diesem Fall listen Sie sowohl Ihren Workstation-Endpunkt als auch Ihren Flottenendpunkt unter einer Bedingung auf. aws:SourceVpce

Die Anmeldeinformationen für die Warteschlangenrolle haben keine eigene Netzwerkbedingung. Jemand, der sie von einer von Ihnen zugelassenen Adresse bezieht, kann sie von überall aus verwenden, bis sie ablaufen. Die Bedingung für die Monitorrolle steuert, wer die Anmeldeinformationen erhält, und nicht jede Anfrage, die sie verwendet.