Restrinja el acceso de la granja a su red

Todas las solicitudes a su granja pasan por las API de Deadline Cloud. El monitor AWS CLI, los remitentes y Consola de administración de AWS todos ellos llaman a las API con credenciales temporales, por lo que el límite de la red pertenece a las llamadas a las API. Se puede acceder a la URL del monitor desde cualquier ubicación de Internet y no contiene datos de la granja. Para obtener más información, consulte Acceso a la aplicación web del monitor.

Añada una condición de red a las políticas de IAM de las credenciales que utilizan sus empleados:

• El monitor obtiene sus credenciales del rol de monitor. Lo mismo ocurre con AWS CLI los remitentes cuando utilizan el perfil que crea el monitor de Deadline Cloud. Añada una política personalizada a la función de monitor. Para obtener más información, consulte Añadir permisos para flujos de trabajo avanzados.

• Los scripts Consola de administración de AWS y Pipeline utilizan sus propios roles o usuarios de IAM. Añada la condición a esas políticas o a los conjuntos de permisos que asigne para Consola de administración de AWS acceder al Centro de identidades de IAM.

Permita solo sus rangos de IP

Una aws:SourceIp condición limita las solicitudes a las direcciones públicas que publiques. Haz una lista de las direcciones desde las que tu estudio envía tráfico. Incluya los rangos de sus oficinas, las direcciones de salida de la VPN y las direcciones de la puerta de enlace NAT de cualquier VPC en la que se ejecuten sus estaciones de trabajo.

La siguiente política deniega las solicitudes de Deadline Cloud desde cualquier otra dirección. Adjúntela a la función de monitor, junto con las políticas gestionadas que ya tiene la función.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "deadline:*",
      "Resource": "*",
      "Condition": {
        "NotIpAddress": {
          "aws:SourceIp": [
            "203.0.113.0/24",
            "198.51.100.10/32"
          ]
        },
        "BoolIfExists": {
          "aws:ViaAWSService": "false"
        }
      }
    }
  ]
}

La política cubre tanto sus archivos como su granja. Los archivos adjuntos de trabajos y los registros de trabajos necesitan credenciales de rol de cola. El monitor AWS CLI, el remitente y los remitentes obtienen esas credenciales llamando. AssumeQueueRoleForUser La opción de denegación bloquea la llamada desde cualquier dirección que no hayas indicado en la lista.

Si inicias sesión desde una dirección que no has incluido en la lista, seguirás accediendo a la página de inicio de sesión. A continuación, el monitor informa de los errores en lugar de mostrar los datos de la granja. Una autorización no puede anular una denegación, así que verifica tus rangos antes de adjuntar la política.

importante

La política anterior también deniega las solicitudes que llegan a través de un punto final de la interfaz de Deadline Cloud. El tráfico del punto final se transmite aws:VpcSourceIp en lugar de aws:SourceIp una clave ausente y coincide con una NotIpAddress condición, por lo que se aplica la denegación. Si sus empleados llegan a Deadline Cloud a través de un punto final de interfaz, utilice el formulario de VPC de la siguiente sección. Para permitir ambas rutas, coloca ambas claves en el mismo bloque de condiciones. Entonces, la denegación se aplica solo cuando ninguna de las teclas coincide. Pruebe la política en ambas redes antes de implementarla.

Para obtener más información sobre las claves, consulte las claves de contexto de condición AWS global en la Guía del usuario de IAM.

Permita el acceso solo desde su VPC

Para exigir que las personas trabajen desde hosts en una VPC, como estaciones de trabajo virtuales, combine tres partes:

1. Ejecute el monitor AWS CLI, el y los remitentes en los hosts de la VPC.

2. Cree un punto final de interfaz en la VPC para el punto final de administración de Deadline Cloud. Añada puntos de enlace de Amazon S3 y CloudWatch Logs si sus empleados suben archivos adjuntos de trabajos y leen los registros de trabajos. Habilite el DNS privado para que las herramientas del cliente usen los puntos de conexión sin necesidad de configuración adicional. Para obtener más información, consulte Acceso AWS Deadline Cloud utilizando un punto final de interfaz (AWS PrivateLink).

3. Adjunte una política a la función de monitor que deniegue las solicitudes ajenas a la VPC. Las teclas VPC contienen cadenas, por lo que el operador de condición es StringNotEquals en lugar de. NotIpAddress

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "deadline:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:SourceVpc": "vpc-0123456789abcdef0"
        },
        "BoolIfExists": {
          "aws:ViaAWSService": "false"
        }
      }
    }
  ]
}

Para asignar un nombre a los puntos de conexión individuales en lugar de a toda la VPC, aws:SourceVpce utilícelo con los ID de sus puntos de conexión. Para asignar nombres a los rangos de direcciones dentro de la VPC, utilice aws:VpcSourceIp with. NotIpAddress

El monitor de la aplicación web y el portal del Centro de Identidad de IAM no AWS Sign-In tienen puntos finales de interfaz. Por lo tanto, el navegador del host necesita acceso saliente a los dominios de inicio de sesión que figuran en. Entornos de red restringidos Puede enrutar ese tráfico a través de una puerta de enlace NAT o un proxy web que permita solo esos dominios. Los datos de la granja no viajan por la ruta de inicio de sesión.

Mantenga el acceso de los trabajadores en funcionamiento

Sus trabajadores comparten la función de cola con los suyos. Un trabajador usa las credenciales del rol de cola para leer las entradas y escribir las salidas mientras ejecuta un trabajo. El monitor y el monitor AWS CLI utilizan la misma función cuando alguien carga entradas o descarga salidas. Restrinja la función de monitor y deje la función de cola y la de flota sin una condición de red.

Service-managed Los trabajadores de la flota trabajan en la AWS red, por lo que sus direcciones no están dentro de sus rangos y sus solicitudes no llegan a sus puntos de conexión. Una condición de red relacionada con la función de cola, la función de flota o la política de compartimentos del grupo de adjuntos de tareas deniega esas solicitudes. Entonces, los trabajos fallan. Una condición de política de bucket solo funciona si todas tus flotas están gestionadas por el cliente y se ejecutan en tu VPC. En ese caso, indique el punto final de su estación de trabajo y el punto final de su flota en una condición. aws:SourceVpce

Las credenciales de los roles de cola no tienen ninguna condición de red propia. Alguien que las obtenga de una dirección que usted autorice puede utilizarlas desde cualquier lugar hasta que caduquen. La condición de la función de monitor controla quién recibe las credenciales, y no todas las solicitudes que las utilizan.