View a markdown version of this page

限制服务器场访问您的网络 - AWS 截止日期云
只允许你的 IP 范围仅允许从您的 VPC 进行访问保持工作人员访问权限正常工作

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

限制服务器场访问您的网络

向你的农场发出的每个请求都要通过 Deadline Cloud API。监控器 AWS CLI、提交者以及 AWS 管理控制台 所有使用临时证书调用 API，因此网络边界属于 API 调用。监视器 URL 可从互联网上的任何位置访问，并且不包含任何服务器场数据。有关更多信息，请参阅 访问监视器 Web 应用程序。

在您的员工使用的证书的 IAM 策略中添加网络条件：

  • 监视器从监视者角色获取其凭证。 AWS CLI 和提交者在使用 Deadline Cloud 监控器创建的配置文件时也是如此。向监控角色添加自定义策略。有关更多信息，请参阅为高级工作流程添加权限。

  • AWS 管理控制台 和管道脚本使用自己的 IAM 角色或用户。将条件添加到这些策略中，或者添加到您分配的权限集中，以便在 IAM Identity Center 中进行 AWS 管理控制台 访问。

只允许你的 IP 范围

aws:SourceIp条件将请求限制到您列出的公共地址。列出您的工作室发送流量的地址。包括您的办公范围、VPN 出口地址以及工作站所在的任何 VPC 的 NAT 网关地址。

以下政策拒绝来自任何其他地址的 Deadline Cloud 请求。将其与该角色已有的托管策略一起附加到监视者角色。

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "deadline:*",
      "Resource": "*",
      "Condition": {
        "NotIpAddress": {
          "aws:SourceIp": [
            "203.0.113.0/24",
            "198.51.100.10/32"
          ]
        },
        "BoolIfExists": {
          "aws:ViaAWSService": "false"
        }
      }
    }
  ]
}

该政策涵盖您的文件以及您的服务器场。Job 附件和作业日志需要队列角色凭证。监视器 AWS CLI、和提交者通过调用AssumeQueueRoleForUser来获取这些证书。拒绝将阻止来自您未列出的任何地址的呼叫。

如果您使用未列出的地址登录，仍会进入登录页面。然后，监视器会报告错误，而不是显示服务器场数据。允许不能覆盖拒绝，因此在附加策略之前，请先验证您的范围。

重要

上述策略还拒绝通过 Deadline Cloud 接口终端节点到达的请求。终端节点流量aws:VpcSourceIp代替传输aws:SourceIp，密钥缺失的NotIpAddress条件匹配，因此拒绝适用。如果您的人员通过接口终端节点访问 Deadline Cloud，请使用下一节中的 VPC 表单。要允许两条路径，请将两个密钥放在同一个条件块中。然后，只有当两个密钥都不匹配时，才会应用拒绝。在推出策略之前，请先测试两个网络的策略。

有关密钥的更多信息，请参阅 IAM 用户指南中的AWS 全局条件上下文密钥。

仅允许从您的 VPC 进行访问

要要求人们在 VPC 中的主机（例如虚拟工作站）上工作，请将以下三个部分结合起来：

  1. 在 VPC 的主机上运行监控器 AWS CLI、和提交者。

  2. 在 VPC 中为 Deadline Cloud 管理终端节点创建接口终端节点。如果您的人员上传任务附件并读取任务 CloudWatch 日志，请添加 Amazon S3 和日志终端节点。启用私有 DNS，以便客户端工具无需额外配置即可使用终端节点。有关更多信息，请参阅 访问 AWS Deadline Cloud 使用接口端点 (AWS PrivateLink)。

  3. 向监控角色附加拒绝来自 VPC 外部的请求的策略。VPC 密钥包含字符串，因此条件运算符StringNotEquals不是NotIpAddress。

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "deadline:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:SourceVpc": "vpc-0123456789abcdef0"
        },
        "BoolIfExists": {
          "aws:ViaAWSService": "false"
        }
      }
    }
  ]
}

要命名单个终端节点而不是整个 VPC，请aws:SourceVpce与您的终端节点 ID 一起使用。要命名 VPC 内部的地址范围，请aws:VpcSourceIp使用和NotIpAddress。

监控器 Web 应用程序，即 IAM 身份中心门户， AWS Sign-In 没有接口终端节点。因此，主机上的浏览器需要出站访问中受限的网络环境列出的登录域。您可以通过 NAT 网关或仅允许这些域的 Web 代理路由该流量。农场数据不会通过登录路径传输。

保持工作人员访问权限正常工作

您的工作人员与您的员工共享队列角色。工作人员在运行作业时使用队列角色凭证来读取输入和写入输出。当有人上传输入或下载输出时，监视器和监视器 AWS CLI 使用相同的角色。限制监视者角色，将队列角色和舰队角色留在没有网络条件的情况下。

Service-managed 舰队工作人员在 AWS 网络上运行，因此他们的地址不在你的范围内，他们的请求也不会通过你的端点发出。队列角色、舰队角色或任务附件存储桶的存储桶策略的网络条件会拒绝这些请求。然后，工作失败了。只有当您的所有队列均由客户管理并在您的 VPC 中运行时，存储桶策略条件才有效。在这种情况下，请在aws:SourceVpce条件下同时列出您的工作站终端节点和队列终端节点。

队列角色凭证本身没有网络条件。从您允许的地址获取它们的人可以在任何地方使用它们，直到它们过期。监控角色上的条件控制谁获得证书，而不是使用凭证的每个请求。