Flujo de datos, puertos y cifrado en Deadline Cloud

Las revisiones de seguridad del contenido, como las auditorías de seguridad de los estudios y los cuestionarios de incorporación de proveedores, solicitan un diagrama de flujo de datos. El diagrama describe los componentes de la granja de renderizado, dónde se ejecuta cada componente, cómo se mueven los datos entre ellos y cómo se cifran las conexiones y los datos almacenados. El diagrama y las tablas de esta página responden a esas preguntas para una implementación típica de AWS Deadline Cloud. Para obtener más información sobre los controles de seguridad que puede configurar para cada parte de la granja, consulteControles de seguridad en Deadline Cloud.

Los componentes y dónde se ejecutan

Una granja de renderizados de Deadline Cloud abarca tres ubicaciones: su red, su AWS cuenta y la propia Deadline Cloud, que la AWS administra. Customer-managed Los trabajadores de la flota son la excepción: tú eliges dónde van a trabajar.

En la siguiente tabla se describe cada componente y dónde se ejecuta.

Componente	Dónde se ejecuta	Finalidad
Monitor de Deadline Cloud, remitentes integrados y CLI de Deadline Cloud	Tu red	Herramientas cliente en las estaciones de trabajo de los artistas que envían trabajos, cargan y descargan archivos y realizan un seguimiento del progreso de los trabajos.
AWS IAM Identity Center	¿Tu cuenta AWS	Sign-in y niveles de acceso para los usuarios del monitor. Para obtener más información, consulte Administración de usuarios.
Depósito de adjuntos de trabajo de Amazon Simple Storage Service	Tu AWS cuenta	Archivos de entrada y salida para trabajos. Cada cola tiene su propio depósito y prefijo raíz, por lo que los límites de los permisos de cola también se aplican a los archivos.
Amazon CloudWatch Logs	Tu AWS cuenta	Registros de trabajos y registros de trabajadores.
AWS Key Management Service clave	Tu AWS cuenta, o AWS gestionada	La clave que cifra los datos de tu granja en Deadline Cloud. De forma predeterminada, Deadline Cloud usa AWS una clave propia que tú no administras. Al crear la granja, puedes proporcionar una clave gestionada por el cliente desde tu cuenta. Para obtener más información, consulte Administración de claves.
Customer-managed trabajadores de la flota	Su elección: máquinas en su red o instancias de Amazon Elastic Compute Cloud en su VPC	Los hosts de trabajo que usted administra y ejecutan su software y el agente de trabajo de Deadline Cloud. Una flota gestionada por el cliente solo necesita acceso HTTPS saliente. Si los trabajadores utilizan su VPC, los AWS PrivateLink puntos finales opcionales mantienen su tráfico dentro de la VPC.
Servicio Deadline Cloud	AWS gestionado	Los puntos finales del servicio management.deadline.region.amazonaws.com y scheduling.deadline.region.amazonaws.com los datos de granja, colas y programación de trabajos que los respaldan.
Service-managed trabajadores de la flota	AWS gestionado	Instancias de Amazon EC2 en una red aislada para cada flota. Las instancias están dedicadas a su cuenta y no aceptan conexiones entrantes.

Flujos de datos, puertos y protocolos

Todos los clientes y trabajadores del diagrama inician sus conexiones salientes a un AWS punto final a través de HTTPS en el puerto TCP 443. Necesitamos TLS 1.2 para cifrar las conexiones en tránsito y recomendamos TLS 1.3. Deadline Cloud no establece conexiones entrantes a tu red. Los números de flujo de la siguiente tabla coinciden con los números del diagrama.

Flujo	Connection	Description (Descripción)
1	Supervise hasta el centro de identidad de IAM	Supervise el inicio de sesión de los usuarios AWS IAM Identity Center mediante OpenID Connect (OIDC).
2	Desde la estación de trabajo hasta el punto final de administración	Los remitentes, la CLI y el monitor envían los trabajos, administran los recursos agrícolas y solicitan credenciales de roles temporales a través management.deadline.region.amazonaws.com de ellos.
3	De estación de trabajo a Amazon S3	Job attachments carga los archivos de entrada al bucket de Amazon S3 de la cola.
4	Trabajadores hasta el punto final de programación	Los trabajadores de ambos tipos de flota realizan sondeos para determinar las tareas, informan sobre el progreso y el estado y solicitan credenciales de puesto temporales a través de ellasscheduling.deadline.region.amazonaws.com.
5	Los trabajadores van a Amazon S3	Los trabajadores descargan los archivos de entrada del depósito de la cola y cargan los archivos de salida en él.
6	De trabajadores a Logs CloudWatch	El agente obrero escribe los registros de trabajos y trabajadores.
7	Workstation to CloudWatch Logs y Amazon S3	El monitor lee los registros de trabajos y el monitor y la CLI descargan los archivos de salida.

Ni las herramientas del cliente ni los trabajadores poseen credenciales duraderas para los recursos de la cola. Ambos solicitan credenciales temporales a Deadline Cloud y reciben los permisos que tú adjuntas a las funciones de cola y flota:

• El monitor, la CLI y los remitentes llaman AssumeQueueRoleForUser para cargar y descargar los archivos adjuntos de los trabajos y para el acceso de solo lectura, por ejemplo, AssumeQueueRoleForRead para leer los registros de los trabajos.

• Un trabajador elige el rol AssumeFleetRoleForWorker de flota y, después, el rol AssumeQueueRoleForWorker de cola del trabajo que ejecuta.

Para obtener más información sobre las funciones y lo que cada una de ellas otorga, consulteRoles de servicio.

Si tu estudio filtra el tráfico web saliente, consulta Entornos de red restringidos la lista completa de puntos de conexión permitidos. Para mantener el tráfico entre su VPC y Deadline Cloud fuera de la Internet pública, utilice los puntos finales de la AWS PrivateLink interfaz. Para obtener más información, consulte Acceso AWS Deadline Cloud utilizando un punto final de interfaz (AWS PrivateLink).

Acceso a la aplicación web del monitor

Se puede acceder a la URL de su monitor desde cualquier ubicación de Internet y no puede restringir la URL a un conjunto de direcciones IP. https://monitor-alias.region.deadlinecloud.amazonaws.com La URL sirve para la aplicación web del monitor, que es la misma aplicación para todos los monitores de Deadline Cloud. La aplicación no contiene ningún dato de tu granja, cola o trabajo, y cualquier persona que abra la URL verá una página de inicio de sesión.

Los datos de tu granja llegan al monitor a través de las API de Deadline Cloud, por lo que en las llamadas a las API se concede o deniega el acceso. Después de iniciar sesión AWS IAM Identity Center (IAM Identity Center), Deadline Cloud asume la función de monitor por usted. A continuación, el monitor llama a las API desde el navegador con las credenciales temporales del rol. IAM autoriza todas las llamadas. Las políticas gestionadas en la función de monitor permiten cada acción solo en los niveles de acceso que usted haya concedido. Para obtener más información, consulte Supervisar el rol y Administrar usuarios.

Para que solo se pueda acceder a los datos de la granja desde su propia red, aplique la restricción a las llamadas a la API en lugar de a la URL. Puede permitir solo sus rangos de IP o solo las solicitudes que lleguen a través de sus puntos de enlace de VPC. Para obtener más información, consulte Restrinja el acceso de la granja a su red.

Resumen de cifrado

Cada almacén de datos se cifra en reposo de forma independiente. La AWS KMS clave de granja se aplica solo a los datos que contiene Deadline Cloud; su bucket de Amazon S3 y sus grupos de registros utilizan sus propios ajustes de cifrado.

• En tránsito: todas las conexiones utilizan HTTPS; se requiere TLS 1.2 y se recomienda TLS 1.3. Para obtener más información, consulte Cifrado en tránsito.

• Datos de la granja: el servicio Deadline Cloud cifra los datos de la granja, las colas y los trabajos en reposo con la clave de la granja. AWS KMS Al crear la granja, puedes usar la clave que te AWS pertenece por defecto o proporcionar una clave gestionada por el cliente. Para obtener más información, consulte Administración de claves.

• Adjuntos de trabajos: Amazon Simple Storage Service cifra los archivos de entrada y salida en reposo con el cifrado del lado del servidor configurado en el bucket. De forma predeterminada, Amazon S3 usa las claves administradas de Amazon S3 (SSE-S3). Para usar su propia AWS KMS clave en su lugar, configure el depósito SSE-KMS y conceda acceso a la clave al rol de cola. Para obtener más información, consulta Adjuntos de trabajo en Deadline Cloud.

• Volúmenes de trabajadores: en las flotas gestionadas por servicios, Deadline Cloud cifra los volúmenes de Amazon Elastic Block Store adjuntos a las instancias de trabajo y los elimina cuando las instancias finalizan. Para obtener más información, consulte Cifrado en reposo.

• Registros: Amazon CloudWatch Logs cifra los registros de trabajos y los registros de trabajadores en reposo con su propio cifrado del lado del servidor. Para usar su propia AWS KMS clave en su lugar, asocie la clave al grupo de registros. Para obtener más información, consulte Cifrar datos de registro en CloudWatch Logs utilizando AWS KMS la Guía del usuario de Amazon CloudWatch Logs.