Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
# Flux de données, ports et chiffrement dans Deadline Cloud
Les examens de sécurité du contenu, tels que les audits de sécurité des studios et les questionnaires d'intégration des fournisseurs, nécessitent un diagramme de flux de données. Le diagramme décrit les composants de la ferme de rendu, l'endroit où chaque composant s'exécute, la manière dont les données se déplacent entre eux et la manière dont les connexions et les données stockées sont cryptées. Le schéma et les tableaux de cette page répondent à ces questions pour un déploiement typique de AWS Deadline Cloud. Pour plus d'informations sur les contrôles de sécurité que vous pouvez configurer pour chaque partie du parc de serveurs, consultez[Contrôles de sécurité dans Deadline Cloud](security-controls.md).
## Les composants et leur environnement d'exécution
Un parc de rendu Deadline Cloud s'étend sur trois sites : votre réseau, votre AWS compte et Deadline Cloud lui-même, qui AWS gère. Customer-managed les employés du parc automobile font exception : c'est vous qui choisissez leur lieu de travail.
Le tableau suivant décrit chaque composant et son emplacement d'exécution.
| Composant | Où il fonctionne | Objectif |
| --- | --- | --- |
| Moniteur Deadline Cloud, émetteurs intégrés et CLI Deadline Cloud | Votre réseau | Des outils clients sur les postes de travail des artistes qui soumettent des tâches, chargent et téléchargent des fichiers et suivent l'avancement des tâches. |
| AWS IAM Identity Center | Votre AWS compte | Sign-in et niveaux d'accès pour les utilisateurs du moniteur. Pour plus d'informations, consultez [la section Gestion des utilisateurs](https://docs.aws.amazon.com/deadline-cloud/latest/userguide/managing-users.html). |
| Compartiment des pièces jointes aux tâches Amazon Simple Storage Service | Votre AWS compte | Fichiers d'entrée et de sortie pour les tâches. Chaque file d'attente possède son propre compartiment et son propre préfixe racine, de sorte que les limites d'autorisation des files d'attente s'appliquent également aux fichiers. |
| Amazon CloudWatch Logs | Votre AWS compte | Journaux des tâches et journaux des employés. |
| AWS Key Management Service clé | Votre AWS compte, ou AWS géré | La clé qui chiffre les données de votre ferme dans Deadline Cloud. Par défaut, Deadline Cloud utilise une clé AWS détenue que vous ne gérez pas. Vous pouvez fournir une clé gérée par le client depuis votre compte lorsque vous créez la ferme. Pour plus d’informations, consultez [Gestion des clés](key-management.md). |
| Customer-managed travailleurs de la flotte | À vous de choisir : des machines sur votre réseau ou des instances Amazon Elastic Compute Cloud dans votre VPC | Les hôtes de travail que vous gérez, exécutent votre logiciel et l'agent de travail de Deadline Cloud. Un parc géré par le client n'a besoin que d'un accès HTTPS sortant. Si des collaborateurs s'exécutent dans votre VPC, les AWS PrivateLink points de terminaison facultatifs maintiennent leur trafic à l'intérieur du VPC. |
| Service Deadline Cloud | AWS géré | Les points de terminaison du service `management.deadline.{{region}}.amazonaws.com` et `scheduling.deadline.{{region}}.amazonaws.com` les données de parc, de file d'attente et de planification des tâches qui les sous-tendent. |
| Service-managed travailleurs de la flotte | AWS géré | Instances Amazon EC2 sur un réseau isolé pour chaque flotte. Les instances sont dédiées à votre compte et n'acceptent aucune connexion entrante. |
## Flux de données, ports et protocoles
Chaque client et chaque travailleur du diagramme initie ses connexions sortantes vers un AWS point de terminaison via HTTPS sur le port TCP 443. Nous avons besoin du protocole TLS 1.2 pour chiffrer les connexions en transit, et nous recommandons le protocole TLS 1.3. Deadline Cloud n'établit pas de connexions entrantes avec votre réseau. Les numéros de flux indiqués dans le tableau suivant correspondent aux numéros du diagramme.
| Flux | Connexion | Description |
| --- | --- | --- |
| 1 | Surveiller par rapport au centre d'identité IAM | Surveillez la connexion des utilisateurs AWS IAM Identity Center avec OpenID Connect (OIDC). |
| 2 | Du poste de travail au terminal de gestion | Les soumissionnaires, la CLI et le moniteur soumettent des tâches, gèrent les ressources de la ferme et demandent des informations d'identification de rôle temporaires via. `management.deadline.{{region}}.amazonaws.com` |
| 3 | De la station de travail vers Amazon S3 | Job Attachments télécharge les fichiers d'entrée dans le compartiment Amazon S3 de la file d'attente. |
| 4 | Travailleurs vers le point de terminaison de planification | Les employés des deux types de flotte interrogent les tâches, signalent l'avancement et le statut, et demandent des informations d'identification de rôle temporaires par le biais `scheduling.deadline.{{region}}.amazonaws.com` de |
| 5 | Travailleurs d'Amazon S3 | Les travailleurs téléchargent les fichiers d'entrée depuis le compartiment de la file d'attente et y téléchargent les fichiers de sortie. |
| 6 | Des travailleurs aux CloudWatch journaux | L'agent des travailleurs rédige les journaux des tâches et des travailleurs. |
| 7 | De la station de travail aux CloudWatch journaux et à Amazon S3 | Le moniteur lit les journaux des tâches, et le moniteur et la CLI téléchargent les fichiers de sortie. |
Ni les outils du client ni les opérateurs ne détiennent des informations d'identification à long terme pour les ressources de la file d'attente. Les deux demandent des informations d'identification temporaires à Deadline Cloud et reçoivent les autorisations que vous attachez aux rôles de file d'attente et de flotte :
+ Le moniteur, la CLI et les émetteurs appellent `AssumeQueueRoleForUser` pour charger et télécharger les pièces jointes aux tâches, ainsi que `AssumeQueueRoleForRead` pour un accès en lecture seule, tel que la lecture des journaux des tâches.
+ Un travailleur appelle `AssumeFleetRoleForWorker` pour le rôle de flotte, puis `AssumeQueueRoleForWorker` pour le rôle de file d'attente de la tâche qu'il exécute.
Pour plus d'informations sur les rôles et sur ce que chacun octroie, consultez[Rôles du service](security-iam-service-roles.md).
Si votre studio filtre le trafic Web sortant, consultez la liste complète [Environnements réseau restreints](network-connectivity.md) des points de terminaison à autoriser. Pour empêcher le trafic entre votre VPC et Deadline Cloud d'accéder à l'Internet public, utilisez des points de terminaison d' AWS PrivateLink interface. Pour plus d’informations, consultez [Accès AWS Deadline Cloud en utilisant un point de terminaison d'interface (AWS PrivateLink)](vpc-interface-endpoints.md).
## Accès à l'application Web du moniteur
L'URL de votre moniteur est accessible depuis n'importe quel endroit sur Internet, et vous ne pouvez pas restreindre l'URL à un ensemble d'adresses IP. `https://{{monitor-alias}}.{{region}}.deadlinecloud.amazonaws.com` L'URL sert à l'application Web du moniteur, qui est la même application pour chaque moniteur Deadline Cloud. L'application ne contient aucune donnée de votre parc, de votre file d'attente ou de votre tâche, et toute personne qui ouvre l'URL voit une page de connexion.
Les données de votre exploitation atteignent le moniteur via les API Deadline Cloud. C'est donc lors des appels d'API que l'accès est accordé ou refusé. Une fois que vous vous êtes connecté via AWS IAM Identity Center (IAM Identity Center), Deadline Cloud assume le rôle de moniteur à votre place. Le moniteur appelle ensuite les API depuis le navigateur avec les informations d'identification temporaires du rôle. IAM autorise chaque appel. Les politiques gérées relatives au rôle de surveillance autorisent chaque action uniquement aux niveaux d'accès que vous avez accordés. Pour plus d'informations, consultez les [sections Rôle de surveillance](security-iam-service-roles.md#monitor-role) et [Gestion des utilisateurs](https://docs.aws.amazon.com/deadline-cloud/latest/userguide/managing-users.html).
Pour que les données de la ferme soient accessibles uniquement depuis votre propre réseau, appliquez la restriction aux appels d'API plutôt qu'à l'URL. Vous pouvez autoriser uniquement vos plages d'adresses IP ou uniquement les demandes qui arrivent via vos points de terminaison VPC. Pour plus d’informations, consultez [Restreindre l'accès de la ferme à votre réseau](restrict-network-access.md).
## Résumé du chiffrement
Chaque banque de données est cryptée au repos de manière indépendante. La AWS KMS clé de ferme s'applique uniquement aux données détenues par Deadline Cloud ; votre compartiment Amazon S3 et vos groupes de journaux utilisent leurs propres paramètres de chiffrement.
+ **En transit** : toutes les connexions utilisent le protocole HTTPS avec le protocole TLS 1.2 requis et le protocole TLS 1.3 recommandé. Pour plus d’informations, consultez [Chiffrement en transit](encryption-transit.md).
+ **Données de ferme** : le service Deadline Cloud chiffre les données de votre ferme, de votre file d'attente et de vos tâches au repos à l'aide de la AWS KMS clé de la ferme. Vous pouvez utiliser la clé AWS détenue par défaut ou fournir une clé gérée par le client lorsque vous créez le parc de serveurs. Pour plus d’informations, consultez [Gestion des clés](key-management.md).
+ **Pièces jointes aux tâches** : Amazon Simple Storage Service chiffre vos fichiers d'entrée et de sortie au repos à l'aide du chiffrement côté serveur configuré sur le compartiment. Par défaut, Amazon S3 utilise des clés gérées par Amazon S3 (SSE-S3). Pour utiliser votre propre AWS KMS clé à la place, configurez le compartiment pour la clé SSE-KMS et accordez au rôle de file d'attente l'accès à la clé. Pour plus d'informations, consultez la section [Pièces jointes aux Job dans Deadline Cloud](https://docs.aws.amazon.com/deadline-cloud/latest/userguide/storage-job-attachments.html).
+ **Volumes de travailleurs** : dans les flottes gérées par des services, Deadline Cloud chiffre les volumes Amazon Elastic Block Store attachés aux instances de travail et supprime les volumes lorsque les instances se terminent. Pour plus d’informations, consultez [Chiffrement au repos](encryption-rest.md).
+ **Journaux** : Amazon CloudWatch Logs chiffre les journaux des tâches et les journaux des employés au repos à l'aide de son propre chiffrement côté serveur. Pour utiliser votre propre AWS KMS clé à la place, associez-la au groupe de journaux. Pour plus d'informations, consultez la section [Chiffrer les données des CloudWatch journaux dans les journaux à l'aide AWS KMS](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/encrypt-log-data-kms.html) du *guide de l'utilisateur Amazon CloudWatch Logs*.