Restreindre l'accès de la ferme à votre réseau

Chaque demande adressée à votre ferme passe par les API Deadline Cloud. Le moniteur AWS CLI, les émetteurs et Console de gestion AWS tous appellent les API avec des informations d'identification temporaires, de sorte que la limite du réseau appartient aux appels d'API. L'URL du moniteur est accessible depuis n'importe quel endroit sur Internet et ne contient aucune donnée de ferme. Pour plus d’informations, consultez Accès à l'application Web du moniteur.

Ajoutez une condition réseau aux politiques IAM relatives aux informations d'identification utilisées par vos utilisateurs :

• Le moniteur obtient ses informations d'identification grâce au rôle de moniteur. Il en va de AWS CLI même pour les soumissionnaires lorsqu'ils utilisent le profil créé par le moniteur Deadline Cloud. Ajoutez une politique personnalisée au rôle de moniteur. Pour plus d'informations, consultez la section Ajout d'autorisations pour les flux de travail avancés.

• Les scripts Console de gestion AWS et pipeline utilisent leurs propres rôles ou utilisateurs IAM. Ajoutez la condition à ces politiques ou aux ensembles d'autorisations que vous attribuez pour l' Console de gestion AWS accès dans IAM Identity Center.

Autoriser uniquement vos plages d'adresses IP

Une aws:SourceIp condition limite les demandes aux adresses publiques que vous indiquez. Répertoriez les adresses à partir desquelles votre studio envoie du trafic. Incluez vos plages de bureaux, vos adresses de sortie VPN et les adresses de passerelle NAT de tout VPC sur lequel fonctionnent vos postes de travail.

La politique suivante refuse les demandes Deadline Cloud provenant de toute autre adresse. Associez-le au rôle de surveillance, aux côtés des politiques gérées que le rôle possède déjà.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "deadline:*",
      "Resource": "*",
      "Condition": {
        "NotIpAddress": {
          "aws:SourceIp": [
            "203.0.113.0/24",
            "198.51.100.10/32"
          ]
        },
        "BoolIfExists": {
          "aws:ViaAWSService": "false"
        }
      }
    }
  ]
}

La politique couvre vos dossiers ainsi que votre exploitation agricole. Les pièces jointes aux tâches et les journaux des tâches nécessitent des informations d'identification relatives au rôle de file d'attente. Le moniteur AWS CLI, le et les soumetteurs obtiennent ces informations d'identification en appelant. AssumeQueueRoleForUser Le refus bloque l'appel provenant de toute adresse que vous n'avez pas répertoriée.

Si vous vous connectez à partir d'une adresse que vous n'avez pas répertoriée, vous accédez tout de même à la page de connexion. Le moniteur signale ensuite les erreurs au lieu d'afficher les données de l'exploitation. Une autorisation ne peut pas remplacer un refus. Vérifiez donc vos fourchettes avant de joindre la politique.

Important

La politique précédente refuse également les demandes qui arrivent via un point de terminaison de l'interface Deadline Cloud. Le trafic des terminaux est aws:VpcSourceIp transféré au lieu deaws:SourceIp, et une NotIpAddress condition d'absence de clé correspond, de sorte que le refus s'applique. Si vos collaborateurs accèdent à Deadline Cloud via un point de terminaison d'interface, utilisez le formulaire VPC de la section suivante. Pour autoriser les deux chemins, placez les deux clés dans le même bloc de condition. Le refus ne s'applique alors que lorsqu'aucune des deux touches ne correspond. Testez la politique sur les deux réseaux avant de la déployer.

Pour plus d'informations sur les clés, voir les clés contextuelles de condition AWS globale dans le guide de l'utilisateur IAM.

Autoriser l'accès uniquement depuis votre VPC

Pour obliger les utilisateurs à travailler à partir des hôtes d'un VPC, tels que des postes de travail virtuels, combinez trois éléments :

1. Exécutez le moniteur AWS CLI, le et les émetteurs sur les hôtes du VPC.

2. Créez un point de terminaison d'interface dans le VPC pour le point de terminaison de gestion de Deadline Cloud. Ajoutez des points de terminaison Amazon S3 et CloudWatch Logs si vos collaborateurs téléchargent des pièces jointes à des tâches et lisent des journaux de tâches. Activez le DNS privé afin que les outils clients utilisent les points de terminaison sans configuration supplémentaire. Pour plus d’informations, consultez Accès AWS Deadline Cloud en utilisant un point de terminaison d'interface (AWS PrivateLink).

3. Associez une politique au rôle de surveillance qui refuse les demandes provenant de l'extérieur du VPC. Les clés VPC contiennent des chaînes, c'est pourquoi l'opérateur de condition est StringNotEquals plutôt que. NotIpAddress

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "deadline:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:SourceVpc": "vpc-0123456789abcdef0"
        },
        "BoolIfExists": {
          "aws:ViaAWSService": "false"
        }
      }
    }
  ]
}

Pour nommer des points de terminaison individuels plutôt que l'ensemble du VPC, aws:SourceVpce utilisez-le avec vos identifiants de point de terminaison. Pour nommer des plages d'adresses au sein du VPC, utilisez aws:VpcSourceIp avec. NotIpAddress

Ils surveillent l'application Web, le portail IAM Identity Center et ne AWS Sign-In possèdent aucun point de terminaison d'interface. Le navigateur de l'hôte a donc besoin d'un accès sortant aux domaines de connexion répertoriés dans. Environnements réseau restreints Vous pouvez acheminer ce trafic via une passerelle NAT ou un proxy Web qui n'autorise que ces domaines. Les données de la ferme ne transitent pas par le chemin de connexion.

Maintenir le fonctionnement de l'accès des travailleurs

Vos employés partagent le rôle de file d'attente avec vos collaborateurs. Un travailleur utilise les informations d'identification du rôle de file d'attente pour lire les entrées et écrire les sorties pendant qu'il exécute une tâche. Le moniteur et le AWS CLI utilisent le même rôle lorsque quelqu'un télécharge des entrées ou télécharge des sorties. Limitez le rôle de surveillance et laissez le rôle de file d'attente et le rôle de flotte sans condition réseau.

Service-managed les employés du parc de véhicules utilisent le AWS réseau, de sorte que leurs adresses ne figurent pas dans vos plages et que leurs demandes ne passent pas par vos points de terminaison. Une condition réseau relative au rôle de file d'attente, au rôle de flotte ou à la politique de compartiment du compartiment des pièces jointes aux tâches refuse ces demandes. Les emplois échouent alors. Une condition de politique de bucket ne fonctionne que si toutes vos flottes sont gérées par le client et exécutées dans votre VPC. Dans ce cas, indiquez à la fois le point de terminaison de votre poste de travail et le point de terminaison de votre flotte dans un aws:SourceVpce état donné.

Les informations d'identification des rôles de file d'attente ne présentent aucune condition propre au réseau. Quelqu'un qui les obtient à partir d'une adresse que vous autorisez peut les utiliser n'importe où jusqu'à leur expiration. La condition relative au rôle de moniteur contrôle qui obtient les informations d'identification, plutôt que chaque demande qui les utilise.