Batasi akses pertanian ke jaringan Anda

Setiap permintaan ke peternakan Anda melewati Deadline Cloud API. Monitor AWS CLI, pengirim, dan Konsol Manajemen AWS semua memanggil API dengan kredensil sementara, sehingga batas jaringan termasuk dalam panggilan API. URL monitor dapat dijangkau dari lokasi mana pun di internet dan tidak menyimpan data pertanian. Untuk informasi selengkapnya, lihat Akses ke aplikasi web monitor.

Tambahkan kondisi jaringan ke kebijakan IAM dari kredensyal yang digunakan orang Anda:

• Monitor mendapatkan kredensialnya dari peran monitor. Begitu juga dengan AWS CLI dan pengirim ketika mereka menggunakan profil yang dibuat oleh monitor Deadline Cloud. Tambahkan kebijakan khusus ke peran monitor. Untuk informasi selengkapnya, lihat Menambahkan izin untuk alur kerja lanjutan.

• Skrip Konsol Manajemen AWS dan pipeline menggunakan peran atau pengguna IAM mereka sendiri. Tambahkan kondisi ke kebijakan tersebut, atau ke set izin yang Anda tetapkan untuk Konsol Manajemen AWS akses di Pusat Identitas IAM.

Izinkan hanya rentang IP Anda

aws:SourceIpKondisi membatasi permintaan ke alamat publik yang Anda cantumkan. Buat daftar alamat tempat studio Anda mengirimkan lalu lintas. Sertakan rentang kantor Anda, alamat keluar VPN Anda, dan alamat gateway NAT dari VPC mana pun tempat workstation Anda berjalan.

Kebijakan berikut ini menolak permintaan Deadline Cloud dari alamat lain. Lampirkan ke peran monitor, di samping kebijakan terkelola yang sudah dimiliki peran tersebut.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "deadline:*",
      "Resource": "*",
      "Condition": {
        "NotIpAddress": {
          "aws:SourceIp": [
            "203.0.113.0/24",
            "198.51.100.10/32"
          ]
        },
        "BoolIfExists": {
          "aws:ViaAWSService": "false"
        }
      }
    }
  ]
}

Kebijakan ini mencakup file Anda serta peternakan Anda. Lampiran Job dan log pekerjaan memerlukan kredensi peran antrian. Monitor, pengirim AWS CLI, dan pengirim mendapatkan kredensyal tersebut dengan menelepon. AssumeQueueRoleForUser Penolakan memblokir panggilan dari alamat apa pun yang tidak Anda daftarkan.

Jika Anda masuk dari alamat yang tidak Anda cantumkan, Anda masih mencapai halaman login. Monitor kemudian melaporkan kesalahan alih-alih menampilkan data pertanian. Izin tidak dapat mengganti penolakan, jadi verifikasi rentang Anda sebelum Anda melampirkan kebijakan.

penting

Kebijakan sebelumnya juga menolak permintaan yang datang melalui titik akhir antarmuka Deadline Cloud. Lalu lintas titik akhir membawa aws:VpcSourceIp alih-alihaws:SourceIp, dan NotIpAddress kondisi pada kunci yang tidak ada cocok, sehingga penolakan berlaku. Jika orang-orang Anda mencapai Deadline Cloud melalui titik akhir antarmuka, gunakan formulir VPC di bagian berikutnya. Untuk mengizinkan kedua jalur, letakkan kedua kunci di blok kondisi yang sama. Penolakan kemudian hanya berlaku ketika tidak ada kunci yang cocok. Uji kebijakan dari kedua jaringan sebelum Anda meluncurkannya.

Untuk informasi selengkapnya tentang kunci, lihat kunci konteks kondisi AWS global di Panduan Pengguna IAM.

Izinkan akses hanya dari VPC Anda

Untuk mengharuskan orang bekerja dari host di VPC, seperti workstation virtual, gabungkan tiga bagian:

1. Jalankan monitor, AWS CLI, dan pengirim pada host di VPC.

2. Buat titik akhir antarmuka di VPC untuk titik akhir manajemen Cloud Deadline. Tambahkan titik akhir Amazon S3 dan CloudWatch Log jika karyawan Anda mengunggah lampiran pekerjaan dan membaca log pekerjaan. Aktifkan DNS pribadi sehingga alat klien menggunakan titik akhir tanpa konfigurasi tambahan. Untuk informasi selengkapnya, lihat Akses AWS Deadline Cloud menggunakan titik akhir antarmuka (AWS PrivateLink).

3. Lampirkan kebijakan ke peran monitor yang menolak permintaan dari luar VPC. Tombol VPC menahan string, jadi operator kondisinya bukanStringNotEquals. NotIpAddress

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "deadline:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:SourceVpc": "vpc-0123456789abcdef0"
        },
        "BoolIfExists": {
          "aws:ViaAWSService": "false"
        }
      }
    }
  ]
}

Untuk memberi nama titik akhir individual alih-alih seluruh VPC, aws:SourceVpce gunakan dengan ID titik akhir Anda. Untuk memberi nama rentang alamat di dalam VPC, gunakan aws:VpcSourceIp dengan. NotIpAddress

Aplikasi web monitor, portal IAM Identity Center, dan tidak AWS Sign-In memiliki titik akhir antarmuka. Oleh karena itu, browser di host memerlukan akses keluar ke domain masuk yang tercantum di. Lingkungan jaringan terbatas Anda dapat merutekan lalu lintas itu melalui gateway NAT atau proxy web yang hanya mengizinkan domain tersebut. Data pertanian tidak berjalan melalui jalur masuk.

Jaga agar akses pekerja tetap bekerja

Pekerja Anda berbagi peran antrian dengan orang-orang Anda. Seorang pekerja menggunakan kredensi peran antrian untuk membaca input dan menulis output saat menjalankan pekerjaan. Monitor dan AWS CLI menggunakan peran yang sama ketika seseorang mengunggah input atau mengunduh output. Batasi peran monitor, dan biarkan peran antrian dan peran armada tanpa kondisi jaringan.

Service-managed pekerja armada berjalan di AWS jaringan, sehingga alamat mereka tidak berada dalam rentang Anda dan permintaan mereka tidak datang melalui titik akhir Anda. Kondisi jaringan pada peran antrian, peran armada, atau kebijakan bucket bucket lampiran pekerjaan menolak permintaan tersebut. Pekerjaan kemudian gagal. Kondisi kebijakan bucket hanya berfungsi jika semua armada Anda dikelola pelanggan dan dijalankan di VPC Anda. Dalam hal ini, cantumkan titik akhir workstation dan titik akhir armada Anda dalam suatu kondisi. aws:SourceVpce

Kredensi peran antrian tidak membawa kondisi jaringan mereka sendiri. Seseorang yang mendapatkannya dari alamat yang Anda izinkan dapat menggunakannya dari mana saja sampai kedaluwarsa. Kondisi pada peran monitor mengontrol siapa yang mendapatkan kredensional, bukan setiap permintaan yang menggunakannya.