Limita l'accesso dell'azienda agricola alla tua rete

Ogni richiesta alla tua azienda agricola passa attraverso le API Deadline Cloud. Il monitor, il AWS CLI, i mittenti e Console di gestione AWS tutti chiamano le API con credenziali temporanee, quindi il confine della rete appartiene alle chiamate API. L'URL del monitor è raggiungibile da qualsiasi posizione su Internet e non contiene dati dell'azienda. Per ulteriori informazioni, consulta Accesso all'applicazione web di monitoraggio.

Aggiungi una condizione di rete alle policy IAM relative alle credenziali utilizzate dai tuoi dipendenti:

• Il monitor ottiene le sue credenziali dal ruolo di monitoraggio. Lo stesso vale per AWS CLI i mittenti quando usano il profilo creato dal monitor di Deadline Cloud. Aggiungi una policy personalizzata al ruolo di monitoraggio. Per ulteriori informazioni, consulta Aggiungere autorizzazioni per flussi di lavoro avanzati.

• Gli script Console di gestione AWS e la pipeline utilizzano i propri ruoli o utenti IAM. Aggiungi la condizione a tali policy o ai set di autorizzazioni che assegni per l' Console di gestione AWS accesso in IAM Identity Center.

Consenti solo i tuoi intervalli IP

Una aws:SourceIp condizione limita le richieste agli indirizzi pubblici che elenchi. Elenca gli indirizzi da cui il tuo studio invia traffico. Includi gli intervalli dei tuoi uffici, gli indirizzi di uscita VPN e gli indirizzi del gateway NAT di qualsiasi VPC su cui funzionano le tue workstation.

La seguente politica nega le richieste di Deadline Cloud da qualsiasi altro indirizzo. Associala al ruolo di monitoraggio, insieme alle politiche gestite già presenti nel ruolo.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "deadline:*",
      "Resource": "*",
      "Condition": {
        "NotIpAddress": {
          "aws:SourceIp": [
            "203.0.113.0/24",
            "198.51.100.10/32"
          ]
        },
        "BoolIfExists": {
          "aws:ViaAWSService": "false"
        }
      }
    }
  ]
}

La politica riguarda i tuoi file e la tua farm. Gli allegati dei lavori e i registri dei lavori richiedono le credenziali del ruolo di coda. Il monitor, il mittente e i AWS CLI mittenti ottengono tali credenziali chiamando. AssumeQueueRoleForUser La negazione blocca la chiamata da qualsiasi indirizzo che non hai elencato.

Se accedi da un indirizzo che non hai elencato, accedi comunque alla pagina di accesso. Il monitor segnala quindi gli errori invece di mostrare i dati dell'azienda agricola. Un'autorizzazione non può sostituire una negazione, quindi verifica gli intervalli prima di allegare la politica.

Importante

La politica precedente nega anche le richieste che arrivano tramite un endpoint dell'interfaccia Deadline Cloud. Il traffico endpoint trasporta aws:VpcSourceIp invece una NotIpAddress condizione relativa a una chiave assenteaws:SourceIp, quindi si applica la negazione. Se i tuoi dipendenti raggiungono Deadline Cloud tramite un endpoint di interfaccia, utilizza il modulo VPC nella sezione successiva. Per consentire entrambi i percorsi, inserisci entrambe le chiavi nello stesso blocco di condizioni. La negazione si applica quindi solo quando nessuna delle due chiavi corrisponde. Verifica la policy di entrambe le reti prima di implementarla.

Per ulteriori informazioni sulle chiavi, consulta la sezione AWS Global Condition Context Keys nella IAM User Guide.

Consenti l'accesso solo dal tuo VPC

Per richiedere che le persone lavorino da host in un VPC, come le workstation virtuali, combina tre elementi:

1. Esegui il monitor AWS CLI, il e i mittenti sugli host nel VPC.

2. Crea un endpoint di interfaccia nel VPC per l'endpoint di gestione Deadline Cloud. Aggiungi gli endpoint Amazon S3 e CloudWatch Logs se i tuoi dipendenti caricano allegati di lavoro e leggono i registri dei lavori. Abilita il DNS privato in modo che gli strumenti client utilizzino gli endpoint senza configurazioni aggiuntive. Per ulteriori informazioni, consulta Accesso AWS Deadline Cloud utilizzando un endpoint di interfaccia (AWS PrivateLink).

3. Associa una policy al ruolo di monitoraggio che neghi le richieste dall'esterno del VPC. I tasti VPC contengono stringhe, quindi l'operatore di condizione è StringNotEquals piuttosto di. NotIpAddress

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "deadline:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:SourceVpc": "vpc-0123456789abcdef0"
        },
        "BoolIfExists": {
          "aws:ViaAWSService": "false"
        }
      }
    }
  ]
}

Per assegnare un nome ai singoli endpoint anziché all'intero VPC, aws:SourceVpce utilizzali con i tuoi ID endpoint. Per assegnare un nome agli intervalli di indirizzi all'interno del VPC, usa aws:VpcSourceIp with. NotIpAddress

L'applicazione web di monitoraggio, il portale IAM Identity Center e non AWS Sign-In dispongono di endpoint di interfaccia. Il browser dell'host necessita quindi dell'accesso in uscita ai domini di accesso elencati in. Ambienti di rete con restrizioni È possibile indirizzare tale traffico attraverso un gateway NAT o un proxy Web che consente solo tali domini. I dati della fattoria non viaggiano lungo il percorso di accesso.

Mantieni funzionante l'accesso dei lavoratori

I tuoi dipendenti condividono il ruolo in coda con i tuoi dipendenti. Un lavoratore utilizza le credenziali del ruolo di coda per leggere gli input e scrivere gli output mentre esegue un lavoro. Il monitor e l' AWS CLI utente utilizzano lo stesso ruolo quando qualcuno carica input o scarica output. Limita il ruolo di monitoraggio e lascia il ruolo di coda e il ruolo della flotta senza condizioni di rete.

Service-managed gli addetti alla flotta operano sulla AWS rete, quindi i loro indirizzi non rientrano nei vostri intervalli e le loro richieste non arrivano dai vostri endpoint. Una condizione di rete relativa al ruolo in coda, al ruolo della flotta o alla policy bucket del bucket job attachments nega tali richieste. I lavori quindi falliscono. Una condizione di policy bucket funziona solo se tutte le tue flotte sono gestite dal cliente e vengono eseguite nel tuo VPC. In tal caso, elenca sia l'endpoint della workstation che l'endpoint della flotta in una determinata condizione. aws:SourceVpce

Le credenziali del ruolo di coda non hanno condizioni di rete proprie. Chi le ottiene da un indirizzo da te consentito può utilizzarle ovunque si trovi fino alla loro scadenza. La condizione relativa al ruolo di monitoraggio controlla chi riceve le credenziali, anziché ogni richiesta che le utilizza.