Datenfluss, Ports und Verschlüsselung in Deadline Cloud

Bei Sicherheitsprüfungen von Inhalten, wie z. B. Sicherheitsaudits im Studio und Fragebögen zur Lieferanteneinbindung, wird ein Datenflussdiagramm angefordert. Das Diagramm zeigt die Komponenten der Renderfarm, in denen die einzelnen Komponenten ausgeführt werden, wie Daten zwischen ihnen übertragen werden und wie Verbindungen und gespeicherte Daten verschlüsselt werden. Das Diagramm und die Tabellen auf dieser Seite beantworten diese Fragen für eine typische AWS Deadline Cloud-Bereitstellung. Weitere Informationen zu den Sicherheitskontrollen, die Sie für jeden Teil der Farm konfigurieren können, finden Sie unterSicherheitskontrollen in Deadline Cloud.

Komponenten und wo sie ausgeführt werden

Eine Deadline Cloud-Renderfarm erstreckt sich über drei Standorte: Ihr Netzwerk, Ihr AWS Konto und Deadline Cloud selbst, die die AWS Verwaltung übernimmt. Customer-managed Flottenarbeiter sind die Ausnahme: Sie entscheiden, wo sie arbeiten.

In der folgenden Tabelle werden die einzelnen Komponenten und der Ort beschrieben, an dem sie ausgeführt werden.

Komponente	Wo sie läuft	Zweck
Deadline Cloud-Monitor, integrierte Einreicher und die Deadline Cloud-CLI	Ihr Netzwerk	Client-Tools auf Künstler-Workstations, die Jobs einreichen, Dateien hoch- und herunterladen und den Auftragsfortschritt verfolgen.
AWS IAM Identity Center	Ihr Konto AWS	Sign-in und Zugriffsebenen für Monitor-Benutzer. Weitere Informationen finden Sie unter Benutzer verwalten.
Amazon Simple Storage Service — Bucket für Auftragsanhänge	Ihr AWS Konto	Eingabe- und Ausgabedateien für Jobs. Jede Warteschlange hat ihren eigenen Bucket und ihr eigenes Root-Präfix, sodass Warteschlangenberechtigungsgrenzen auch für Dateien gelten.
CloudWatch Amazon-Protokolle	Ihr AWS Konto	Job- und Worker-Logs.
AWS Key Management Service Schlüssel	Ihr AWS Konto oder AWS verwaltet	Der Schlüssel, der Ihre Farmdaten in Deadline Cloud verschlüsselt. Standardmäßig verwendet Deadline Cloud einen AWS eigenen Schlüssel, den Sie nicht verwalten. Sie können einen vom Kunden verwalteten Schlüssel von Ihrem Konto aus angeben, wenn Sie die Farm erstellen. Weitere Informationen finden Sie unter Schlüsselverwaltung.
Customer-managed Flottenarbeiter	Sie haben die Wahl: Maschinen in Ihrem Netzwerk oder Amazon Elastic Compute Cloud-Instances in Ihrer VPC	Von Ihnen verwaltete Worker-Hosts, auf denen Ihre Software und der Deadline Cloud-Worker-Agent ausgeführt werden. Eine vom Kunden verwaltete Flotte benötigt nur ausgehenden HTTPS-Zugriff. Wenn Worker in Ihrer VPC laufen, behalten optionale AWS PrivateLink Endpoints ihren Traffic innerhalb der VPC.
Deadline: Cloud-Service	AWS verwaltet	Die Dienstendpunkte management.deadline.region.amazonaws.com und scheduling.deadline.region.amazonaws.com die dahinter stehenden Farm-, Warteschlangen- und Jobplanungsdaten.
Service-managed Flottenarbeiter	AWS verwaltet	Amazon EC2 EC2-Instances in einem isolierten Netzwerk für jede Flotte. Die Instances sind Ihrem Konto zugewiesen und akzeptieren keine eingehenden Verbindungen.

Datenflüsse, Ports und Protokolle

Jeder Client und Worker im Diagramm initiiert seine ausgehenden Verbindungen zu einem AWS Endpunkt über HTTPS am TCP-Port 443. Wir benötigen TLS 1.2, um Verbindungen während der Übertragung zu verschlüsseln, und wir empfehlen TLS 1.3. Deadline Cloud stellt keine eingehenden Verbindungen zu Ihrem Netzwerk her. Die Flusszahlen in der folgenden Tabelle stimmen mit den Zahlen im Diagramm überein.

Flow	Connection (Verbindung)	Description
1	Vom Monitor zum IAM Identity Center	Überwachen Sie die Benutzeranmeldung AWS IAM Identity Center mit OpenID Connect (OIDC).
2	Von der Workstation zum Management-Endpunkt	Absender, die CLI und der Monitor senden Jobs, verwalten Farmressourcen und fordern temporäre Rollenanmeldeinformationen an. management.deadline.region.amazonaws.com
3	Workstation zu Amazon S3	Job Attachments lädt Eingabedateien in den Amazon S3 S3-Bucket der Warteschlange hoch.
4	Mitarbeiter zum Terminplanungsendpunkt	Mitarbeiter beider Flottenarten fragen Aufgaben ab, melden Fortschritt und Status und fordern temporäre Rollenzugangsdaten überscheduling.deadline.region.amazonaws.com.
5	Mitarbeiter zu Amazon S3	Mitarbeiter laden Eingabedateien aus dem Bucket der Warteschlange herunter und laden Ausgabedateien dorthin hoch.
6	Von Arbeitern zu CloudWatch Protokollen	Der Worker Agent schreibt Job- und Worker-Logs.
7	Von Workstation zu CloudWatch Logs und Amazon S3	Der Monitor liest Jobprotokolle, und der Monitor und die CLI laden Ausgabedateien herunter.

Weder die Client-Tools noch die Worker verfügen über langlebige Anmeldeinformationen für die Ressourcen der Warteschlange. Beide fordern temporäre Anmeldeinformationen von Deadline Cloud an und erhalten die Berechtigungen, die Sie den Rollen Warteschlange und Flotte zuordnen:

• Der Monitor, die CLI und die Absender rufen AssumeQueueRoleForUser auf, um Jobanhänge hoch- und herunterzuladen und um schreibgeschützten Zugriff wie das Lesen von Jobprotokollen zu ermöglichen. AssumeQueueRoleForRead

• Ein Mitarbeiter ruft AssumeFleetRoleForWorker nach der Flottenrolle und dann AssumeQueueRoleForWorker nach der Warteschlangenrolle für den Job, den er ausführt.

Weitere Informationen zu den Rollen und den jeweiligen Rollen finden Sie unterServicerollen.

Wenn Ihr Studio ausgehenden Webdatenverkehr filtert, finden Sie Eingeschränkte Netzwerkumgebungen eine vollständige Liste der Endpunkte, die zugelassen werden sollen, unter. Verwenden Sie AWS PrivateLink Schnittstellenendpunkte, um den Verkehr zwischen Ihrer VPC und Deadline Cloud vom öffentlichen Internet fernzuhalten. Weitere Informationen finden Sie unter Zugriff AWS Deadline Cloud unter Verwendung eines Schnittstellenendpunkts (AWS PrivateLink).

Zugriff auf die Monitor-Webanwendung

Ihre Monitor-URLhttps://monitor-alias.region.deadlinecloud.amazonaws.com,, ist von jedem Ort im Internet aus erreichbar, und Sie können die URL nicht auf eine Reihe von IP-Adressen beschränken. Die URL dient der Monitor-Webanwendung, bei der es sich um dieselbe Anwendung für jeden Deadline Cloud-Monitor handelt. Die Anwendung enthält keine Ihrer Farm-, Warteschlangen- oder Jobdaten, und jeder, der die URL öffnet, sieht eine Anmeldeseite.

Ihre Farmdaten erreichen den Monitor über die Deadline Cloud-APIs, sodass bei den API-Aufrufen der Zugriff gewährt oder verweigert wird. Nachdem Sie sich über AWS IAM Identity Center (IAM Identity Center) angemeldet haben, übernimmt Deadline Cloud die Monitorrolle für Sie. Der Monitor ruft dann die APIs aus dem Browser mit den temporären Anmeldeinformationen der Rolle auf. IAM autorisiert jeden Anruf. Die verwalteten Richtlinien in der Monitorrolle lassen jede Aktion nur auf den Zugriffsebenen zu, die Sie gewährt haben. Weitere Informationen finden Sie unter Rolle überwachen und Benutzer verwalten.

Damit Farmdaten nur von Ihrem eigenen Netzwerk aus erreichbar sind, wenden Sie die Beschränkung auf die API-Aufrufe und nicht auf die URL an. Sie können nur Ihre IP-Bereiche oder nur Anfragen zulassen, die über Ihre VPC-Endpunkte eingehen. Weitere Informationen finden Sie unter Beschränken Sie den Farmzugriff auf Ihr Netzwerk.

Zusammenfassung der Verschlüsselung

Jeder Datenspeicher wird im Ruhezustand unabhängig verschlüsselt. Der AWS KMS Farmschlüssel gilt nur für die Daten, die Deadline Cloud besitzt. Ihr Amazon S3 S3-Bucket und Ihre Protokollgruppen verwenden ihre eigenen Verschlüsselungseinstellungen.

• Während der Übertragung — Alle Verbindungen verwenden HTTPS, wobei TLS 1.2 erforderlich und TLS 1.3 empfohlen wird. Weitere Informationen finden Sie unter Verschlüsselung während der Übertragung.

• Farmdaten — Der Deadline Cloud-Dienst verschlüsselt Ihre Farm-, Warteschlangen- und Auftragsdaten im Ruhezustand mit dem AWS KMS Farmschlüssel. Sie können den AWS eigenen Standardschlüssel verwenden oder beim Erstellen der Farm einen vom Kunden verwalteten Schlüssel angeben. Weitere Informationen finden Sie unter Schlüsselverwaltung.

• Jobanhänge — Amazon Simple Storage Service verschlüsselt Ihre Eingabe- und Ausgabedateien im Ruhezustand mit der serverseitigen Verschlüsselung, die im Bucket konfiguriert ist. Standardmäßig verwendet Amazon S3 verwaltete Amazon S3-Schlüssel (SSE-S3). Um stattdessen Ihren eigenen AWS KMS Schlüssel zu verwenden, konfigurieren Sie den Bucket für den Schlüssel SSE-KMS und gewähren Sie der Warteschlangenrolle Zugriff auf den Schlüssel. Weitere Informationen finden Sie unter Jobanhänge in Deadline Cloud.

• Worker-Volumes — In serviceverwalteten Flotten verschlüsselt Deadline Cloud die Amazon Elastic Block Store-Volumes, die an Worker-Instances angehängt sind, und löscht die Volumes, wenn Instances beendet werden. Weitere Informationen finden Sie unter Verschlüsselung im Ruhezustand.

• Protokolle — Amazon CloudWatch Logs verschlüsselt Auftragsprotokolle und Worker-Protokolle im Ruhezustand mit seiner eigenen serverseitigen Verschlüsselung. Um stattdessen Ihren eigenen AWS KMS Schlüssel zu verwenden, ordnen Sie den Schlüssel der Protokollgruppe zu. Weitere Informationen finden Sie unter Verschlüsseln von Protokolldaten in CloudWatch Logs using AWS KMS im Amazon CloudWatch Logs-Benutzerhandbuch.