Flusso di dati, porte e crittografia in Deadline Cloud

Le revisioni sulla sicurezza dei contenuti, come i controlli di sicurezza degli studi e i questionari di onboarding dei fornitori, richiedono un diagramma del flusso di dati. Il diagramma illustra i componenti della render farm, dove viene eseguito ogni componente, come i dati si spostano tra di essi e come vengono crittografati le connessioni e i dati archiviati. Il diagramma e le tabelle in questa pagina rispondono a queste domande per una tipica implementazione di AWS Deadline Cloud. Per ulteriori informazioni sui controlli di sicurezza che è possibile configurare per ogni parte della farm, vedere. Controlli di sicurezza in Deadline Cloud

Componenti e dove vengono eseguiti

Una render farm di Deadline Cloud si estende su tre sedi: la tua rete, il tuo AWS account e Deadline Cloud stesso, che gestisce. AWS Customer-managed i lavoratori della flotta sono l'eccezione: sei tu a scegliere dove correre.

La tabella seguente descrive ogni componente e dove viene eseguito.

Componente	Dove viene eseguito	Scopo
Monitoraggio Deadline Cloud, mittenti integrati e CLI Deadline Cloud	La tua rete	Strumenti client su postazioni di lavoro per artisti che inviano lavori, caricano e scaricano file e tengono traccia dei progressi del lavoro.
Centro identità AWS IAM	Il tuo account AWS	Sign-in e livelli di accesso per gli utenti del monitor. Per ulteriori informazioni, vedere Gestione degli utenti.
Bucket di allegati di lavoro Amazon Simple Storage Service	Il tuo account AWS	File di input e output per i lavori. Ogni coda ha il proprio bucket e il proprio prefisso root, quindi i limiti delle autorizzazioni di coda si applicano anche ai file.
CloudWatch Registri Amazon	Il tuo account AWS	Job logs e worker logs.
AWS Key Management Service chiave	Il tuo AWS account o AWS gestito	La chiave che crittografa i dati della tua fattoria all'interno di Deadline Cloud. Per impostazione predefinita, Deadline Cloud utilizza una chiave AWS proprietaria che non gestisci. Puoi fornire una chiave gestita dal cliente dal tuo account quando crei la farm. Per ulteriori informazioni, consulta Gestione delle chiavi.
Customer-managed lavoratori della flotta	La tua scelta: macchine sulla tua rete o istanze Amazon Elastic Compute Cloud nel tuo VPC	Gli host Worker che gestisci, eseguono il tuo software e l'agente di lavoro di Deadline Cloud. Una flotta gestita dal cliente necessita solo dell'accesso HTTPS in uscita. Se i lavoratori utilizzano il tuo VPC, gli AWS PrivateLink endpoint opzionali mantengono il traffico all'interno del VPC.
Servizio Deadline Cloud	AWS gestito	gli endpoint del servizio management.deadline.region.amazonaws.com e scheduling.deadline.region.amazonaws.com i relativi dati relativi alla farm, alle code e alla pianificazione dei processi.
Service-managed lavoratori della flotta	AWS gestito	Istanze Amazon EC2 su una rete isolata per ogni flotta. Le istanze sono dedicate al tuo account e non accettano connessioni in entrata.

Flussi di dati, porte e protocolli

Ogni client e lavoratore del diagramma avvia le proprie connessioni in uscita verso un AWS endpoint tramite HTTPS sulla porta TCP 443. Richiediamo TLS 1.2 per crittografare le connessioni in transito e consigliamo TLS 1.3. Deadline Cloud non effettua connessioni in entrata alla tua rete. I numeri di flusso nella tabella seguente corrispondono ai numeri del diagramma.

Flusso	Connessione	Description
1	Monitoraggio su IAM Identity Center	Monitora l'accesso degli utenti Centro identità AWS IAM con OpenID Connect (OIDC).
2	Dalla workstation all'endpoint di gestione	I mittenti, la CLI e il monitoraggio dei lavori di invio, gestiscono le risorse agricole e richiedono credenziali di ruolo temporanee tramite. management.deadline.region.amazonaws.com
3	Da workstation ad Amazon S3	Job attachments carica i file di input nel bucket Amazon S3 della coda.
4	Lavoratori fino all'endpoint di pianificazione	I lavoratori di entrambi i tipi di flotta effettuano sondaggi per le attività, segnalano i progressi e lo stato e richiedono credenziali temporanee per il ruolo. scheduling.deadline.region.amazonaws.com
5	Lavoratori di Amazon S3	I lavoratori scaricano i file di input dal bucket della coda e vi caricano i file di output.
6	Da Workers a Logs CloudWatch	L'agente di lavoro scrive i registri dei lavori e dei lavoratori.
7	Da workstation a CloudWatch Logs e Amazon S3	Il monitor legge i registri dei lavori e il monitor e la CLI scaricano i file di output.

Né gli strumenti client né i lavoratori dispongono di credenziali di lunga durata per le risorse della coda. Entrambi richiedono credenziali temporanee da Deadline Cloud e ricevono le autorizzazioni che allegate ai ruoli di coda e flotta:

• Il monitor, la CLI e i mittenti chiamano AssumeQueueRoleForUser per caricare e scaricare gli allegati dei lavori e per l'accesso in sola lettura, ad AssumeQueueRoleForRead esempio la lettura dei registri dei lavori.

• Un lavoratore richiede il ruolo AssumeFleetRoleForWorker di flotta, quindi AssumeQueueRoleForWorker il ruolo di coda del lavoro che esegue.

Per ulteriori informazioni sui ruoli e su ciò che ciascuno concede, consulta. Ruoli di servizio

Se il tuo studio filtra il traffico web in uscita, consulta l'elenco Ambienti di rete con restrizioni completo degli endpoint da inserire nell'elenco consentito. Per mantenere il traffico tra il tuo VPC e Deadline Cloud lontano dalla rete Internet pubblica, utilizza AWS PrivateLink gli endpoint di interfaccia. Per ulteriori informazioni, consulta Accesso AWS Deadline Cloud utilizzando un endpoint di interfaccia (AWS PrivateLink).

Accesso all'applicazione web di monitoraggio

L'URL del monitor è raggiungibile da qualsiasi posizione su Internet e non è possibile limitare l'URL a un insieme di indirizzi IP. https://monitor-alias.region.deadlinecloud.amazonaws.com L'URL serve l'applicazione web di monitoraggio, che è la stessa applicazione per ogni monitor Deadline Cloud. L'applicazione non contiene dati relativi alla fattoria, alla coda o al lavoro e chiunque apra l'URL visualizza una pagina di accesso.

I dati della tua azienda agricola raggiungono il monitor tramite le API Deadline Cloud, quindi l'accesso viene concesso o negato alle chiamate API. Dopo aver effettuato l'accesso tramite Centro identità AWS IAM (IAM Identity Center), Deadline Cloud assume il ruolo di monitor per te. Il monitor chiama quindi le API dal browser con le credenziali temporanee del ruolo. IAM autorizza ogni chiamata. Le policy gestite relative al ruolo di monitoraggio consentono ogni azione solo ai livelli di accesso concessi. Per ulteriori informazioni, consulta Ruolo di monitoraggio e Gestione degli utenti.

Per rendere i dati dell'azienda agricola raggiungibili solo dalla tua rete, applica la restrizione alle chiamate API anziché all'URL. Puoi consentire solo i tuoi intervalli IP o solo le richieste che arrivano tramite gli endpoint VPC. Per ulteriori informazioni, consulta Limita l'accesso dell'azienda agricola alla tua rete.

Riepilogo della crittografia

Ogni archivio dati è crittografato in modo indipendente. La AWS KMS chiave farm si applica solo ai dati conservati da Deadline Cloud; il tuo bucket Amazon S3 e i tuoi gruppi di log utilizzano le proprie impostazioni di crittografia.

• In transito: tutte le connessioni utilizzano HTTPS con TLS 1.2 richiesto e TLS 1.3 consigliato. Per ulteriori informazioni, consulta Crittografia dei dati in transito.

• Dati dell'azienda agricola: il servizio Deadline Cloud crittografa i dati inattivi della fattoria, delle code e del lavoro con la chiave dell'azienda agricola. AWS KMS Puoi utilizzare la chiave AWS proprietaria predefinita o fornire una chiave gestita dal cliente quando crei la fattoria. Per ulteriori informazioni, consulta Gestione delle chiavi.

• Job attachments: Amazon Simple Storage Service crittografa i file di input e output inattivi con la crittografia lato server configurata sul bucket. Per impostazione predefinita, Amazon S3 utilizza le chiavi gestite di Amazon S3 (). SSE-S3 Per utilizzare invece la tua AWS KMS chiave, configura il bucket per SSE-KMS e concedi al ruolo di coda l'accesso alla chiave. Per ulteriori informazioni, consulta Job attachments in Deadline Cloud.

• Volumi di lavoro: nelle flotte gestite dai servizi, Deadline Cloud crittografa i volumi di Amazon Elastic Block Store collegati alle istanze di lavoro ed elimina i volumi quando le istanze terminano. Per ulteriori informazioni, consulta Crittografia dei dati a riposo.

• Registri: Amazon CloudWatch Logs crittografa i log dei lavori e i log dei lavoratori inattivi con la propria crittografia lato server. Per utilizzare invece la tua AWS KMS chiave, associa la chiave al gruppo di log. Per ulteriori informazioni, consulta Encrypt log data in CloudWatch Logs using AWS KMS nella Amazon CloudWatch Logs User Guide.