Aliran data, port, dan enkripsi di Deadline Cloud

Tinjauan keamanan konten, seperti audit keamanan studio dan kuesioner orientasi vendor, meminta diagram alir data. Diagram mencakup komponen render farm, di mana setiap komponen berjalan, bagaimana data bergerak di antara mereka, dan bagaimana koneksi dan data yang disimpan dienkripsi. Diagram dan tabel di halaman ini menjawab pertanyaan-pertanyaan tersebut untuk penerapan AWS Deadline Cloud yang khas. Untuk informasi selengkapnya tentang kontrol keamanan yang dapat Anda konfigurasikan untuk setiap bagian pertanian, lihatKontrol keamanan di Deadline Cloud.

Komponen dan di mana mereka berjalan

Farm render Deadline Cloud mencakup tiga lokasi: jaringan Anda, AWS akun Anda, dan Deadline Cloud itu sendiri, yang mengelola. AWS Customer-managed Pekerja armada adalah pengecualian: Anda memilih di mana mereka berlari.

Tabel berikut menjelaskan setiap komponen dan di mana ia berjalan.

Komponen	Dimana ia berjalan	Tujuan
Tenggat waktu monitor Cloud, pengirim terintegrasi, dan Deadline Cloud CLI	Jaringan Anda	Alat klien di workstation artis yang mengirimkan pekerjaan, mengunggah dan mengunduh file, dan melacak kemajuan pekerjaan.
AWS IAM Identity Center	AWS Akun Anda	Sign-in dan tingkat akses untuk pengguna monitor. Untuk informasi selengkapnya, lihat Mengelola pengguna.
Bucket lampiran pekerjaan Amazon Simple Storage Service	AWS Akun Anda	File input dan output untuk pekerjaan. Setiap antrian memiliki awalan bucket dan root sendiri, jadi batas izin antrian juga berlaku untuk file.
CloudWatch Log Amazon	AWS Akun Anda	Log pekerjaan dan log pekerja.
AWS Key Management Service kunci	AWS Akun Anda, atau AWS dikelola	Kunci yang mengenkripsi data pertanian Anda di dalam Deadline Cloud. Secara default, Deadline Cloud menggunakan kunci AWS milik yang tidak Anda kelola. Anda dapat menyediakan kunci yang dikelola pelanggan dari akun Anda saat membuat peternakan. Untuk informasi selengkapnya, lihat Manajemen kunci.
Customer-managed pekerja armada	Pilihan Anda: mesin di jaringan Anda, atau instans Amazon Elastic Compute Cloud di VPC Anda	Host Worker yang Anda kelola, menjalankan perangkat lunak, dan agen pekerja Deadline Cloud. Armada yang dikelola pelanggan hanya membutuhkan akses HTTPS keluar. Jika pekerja menjalankan VPC Anda, AWS PrivateLink titik akhir opsional menjaga lalu lintas mereka di dalam VPC.
Batas waktu layanan Cloud	AWS dikelola	Titik akhir layanan management.deadline.region.amazonaws.com danscheduling.deadline.region.amazonaws.com, serta data pertanian, antrian, dan penjadwalan pekerjaan di belakangnya.
Service-managed pekerja armada	AWS dikelola	Instans Amazon EC2 pada jaringan terisolasi untuk setiap armada. Instans didedikasikan untuk akun Anda dan tidak menerima koneksi masuk.

Aliran data, port, dan protokol

Setiap klien dan pekerja dalam diagram memulai koneksi keluar ke AWS titik akhir melalui HTTPS pada port TCP 443. Kami memerlukan TLS 1.2 untuk mengenkripsi koneksi dalam perjalanan, dan kami merekomendasikan TLS 1.3. Deadline Cloud tidak membuat koneksi masuk ke jaringan Anda. Angka aliran dalam tabel berikut cocok dengan angka dalam diagram.

Aliran	Koneksi	Deskripsi
1	Memantau ke Pusat Identitas IAM	Pantau pengguna yang masuk AWS IAM Identity Center dengan OpenID Connect (OIDC).
2	Workstation ke titik akhir manajemen	Pengirim, CLI, dan monitor mengirimkan pekerjaan, mengelola sumber daya pertanian, dan meminta kredensyal peran sementara melalui. management.deadline.region.amazonaws.com
3	Workstation ke Amazon S3	Lampiran Job mengunggah file masukan ke bucket Amazon S3 antrian.
4	Pekerja ke titik akhir penjadwalan	Pekerja di kedua jenis armada melakukan polling untuk tugas, melaporkan kemajuan dan status, dan meminta kredensyal peran sementara melalui. scheduling.deadline.region.amazonaws.com
5	Pekerja untuk Amazon S3	Pekerja mengunduh file input dari bucket antrian dan mengunggah file output ke dalamnya.
6	Pekerja ke CloudWatch Log	Agen pekerja menulis log pekerjaan dan pekerja.
7	Workstation ke CloudWatch Log dan Amazon S3	Monitor membaca log pekerjaan, dan monitor dan CLI mengunduh file output.

Baik alat klien maupun pekerja tidak memiliki kredensyal berumur panjang untuk sumber daya antrian. Keduanya meminta kredensyal sementara dari Deadline Cloud dan menerima izin yang Anda lampirkan ke peran antrian dan armada:

• Monitor, CLI, dan pengirim menelepon AssumeQueueRoleForUser untuk mengunggah dan mengunduh lampiran pekerjaan, dan AssumeQueueRoleForRead untuk akses hanya-baca seperti membaca log pekerjaan.

• Seorang pekerja menyerukan AssumeFleetRoleForWorker peran armada, kemudian AssumeQueueRoleForWorker untuk peran antrian dari pekerjaan yang dijalankannya.

Untuk informasi lebih lanjut tentang peran dan apa yang diberikan masing-masing, lihatPeran layanan.

Jika studio Anda memfilter lalu lintas web keluar, lihat daftar lengkap titik akhir Lingkungan jaringan terbatas untuk daftar yang diizinkan. Untuk menjaga lalu lintas antara VPC dan Deadline Cloud Anda dari internet publik, gunakan AWS PrivateLink titik akhir antarmuka. Untuk informasi selengkapnya, lihat Akses AWS Deadline Cloud menggunakan titik akhir antarmuka (AWS PrivateLink).

Akses ke aplikasi web monitor

URL monitor Anda,https://monitor-alias.region.deadlinecloud.amazonaws.com, dapat dijangkau dari lokasi mana pun di internet, dan Anda tidak dapat membatasi URL ke satu set alamat IP. URL melayani aplikasi web monitor, yang merupakan aplikasi yang sama untuk setiap monitor Deadline Cloud. Aplikasi tidak menyimpan data pertanian, antrian, atau pekerjaan Anda, dan siapa pun yang membuka URL akan melihat halaman masuk.

Data farm Anda mencapai monitor melalui Deadline Cloud API, sehingga panggilan API adalah tempat akses diberikan atau ditolak. Setelah Anda masuk melalui AWS IAM Identity Center (IAM Identity Center), Deadline Cloud mengasumsikan peran monitor untuk Anda. Monitor kemudian memanggil API dari browser dengan kredenal sementara peran. IAM mengotorisasi setiap panggilan. Kebijakan terkelola pada peran monitor memungkinkan setiap tindakan hanya pada tingkat akses yang Anda berikan. Untuk informasi selengkapnya, lihat Memantau peran dan Mengelola pengguna.

Untuk membuat data farm hanya dapat dijangkau dari jaringan Anda sendiri, terapkan pembatasan ke panggilan API, bukan URL. Anda hanya dapat mengizinkan rentang IP Anda, atau hanya permintaan yang tiba melalui titik akhir VPC Anda. Untuk informasi selengkapnya, lihat Batasi akses pertanian ke jaringan Anda.

Ringkasan enkripsi

Setiap penyimpanan data dienkripsi saat istirahat secara independen. AWS KMS Kunci pertanian hanya berlaku untuk data yang dimiliki Deadline Cloud; bucket Amazon S3 dan grup log Anda menggunakan pengaturan enkripsi mereka sendiri.

• Dalam perjalanan — Semua koneksi menggunakan HTTPS dengan TLS 1.2 diperlukan dan TLS 1.3 direkomendasikan. Untuk informasi selengkapnya, lihat Enkripsi saat bergerak.

• Data pertanian — Layanan Deadline Cloud mengenkripsi data pertanian, antrian, dan pekerjaan Anda saat istirahat dengan kunci pertanian. AWS KMS Anda dapat menggunakan kunci bawaan yang AWS dimiliki atau menyediakan kunci yang dikelola pelanggan saat membuat peternakan. Untuk informasi selengkapnya, lihat Manajemen kunci.

• Lampiran Job — Amazon Simple Storage Service mengenkripsi file input dan output Anda saat istirahat dengan enkripsi sisi server yang dikonfigurasi pada bucket. Secara default, Amazon S3 menggunakan kunci terkelola Amazon S3 (). SSE-S3 Untuk menggunakan AWS KMS kunci Anda sendiri, konfigurasikan bucket untuk SSE-KMS dan berikan akses peran antrian ke kunci. Untuk informasi selengkapnya, lihat Lampiran Job di Deadline Cloud.

• Volume pekerja — Dalam armada yang dikelola layanan, Deadline Cloud mengenkripsi volume Amazon Elastic Block Store yang dilampirkan ke instance pekerja dan menghapus volume saat instance dihentikan. Untuk informasi selengkapnya, lihat Enkripsi saat diam.

• Log — Amazon CloudWatch Logs mengenkripsi log pekerjaan dan log pekerja saat istirahat dengan enkripsi sisi servernya sendiri. Untuk menggunakan AWS KMS kunci Anda sendiri, kaitkan kunci dengan grup log. Untuk informasi selengkapnya, lihat Mengenkripsi data CloudWatch log di Log menggunakan AWS KMS Panduan Pengguna Amazon CloudWatch Logs.