截止日期云中的安全控制

渲染农场在共享基础架构上运行许多人的作业。艺术家提交场景，工作人员主持人运行场景，结果存放在共享存储空间中。 AWS Deadline Cloud 为您提供了一组控件，用于决定谁可以查看和更改服务器场资源、作业在运行时可以执行哪些操作以及工作负载如何相互分离。

三个问题来组织控件：

• 谁可以查看和管理农场资源？ 使用访问权限级别以及控制台和 API 的 IAM 策略来监控用户。

• 服务、员工和工作可以代表你做什么？ 队列、工作人员主机、队列和监控器的 IAM 服务角色。

• 如何将工作负载分开？ 场和队列结构、作业的操作系统用户以及每个队列的作业附件存储桶。

下表将每个控件映射到其管理的内容以及在哪里可以了解更多信息。

截止日期云中的安全控制

控件	它控制什么	更多信息
监控用户和访问级别	哪些人可以在监视器中看到每个农场、队列和队列，以及他们是否可以查看、贡献、管理或拥有这些资源。用户来自 AWS IAM Identity Center （IAM 身份中心）。	在 D@@ e adline Cloud 用户指南中管理用户
基于 IAM 身份的策略	拥有 AWS 凭证的人员和工具可以使用 Deadline Cloud 控制台和 API 做什么，例如创建农场或通过管道提交作业。	Deadline Cloud 中的身份和访问管理
服务角色	Deadline Cloud 可以代表你做什么。队列、工作主机、队列和监视者角色分别向服务的不同部分授予一组限定范围的权限。	服务角色
对操作系统用户进行队列	作业进程在工作主机上拥有的操作系统权限。在客户管理的队列中，为每个队列分配自己的操作系统用户。在服务托管队列中，所有作业都以一个服务托管用户身份运行；通过为队列分配单独的队列来分隔队列。	以操作系统专用用户身份运行作业
群组和队列结构	工作负载之间的隔离边界。服务器场不相互共享 Deadline Cloud 资源，场内的队列可以按队列、操作系统用户和存储桶分开。	使用服务器场、队列和队列隔离工作负载
Job 附件存储桶	每个队列可以通过其队列角色、存储桶和根前缀读取和写入哪些 Amazon S3 数据。	安全的作业附件和软件存储桶
加密密钥	如何使用 AWS 自有密钥或客户托管 AWS KMS 密钥对服务器场数据进行静态加密。	密钥管理
网络控制	流量如何到达 Deadline Cloud：与受限网络的私有 AWS PrivateLink连接以及要列入许可名单的终端节点。	访问 AWS Deadline Cloud 使用接口端点 (AWS PrivateLink), 受限的网络环境

从哪里开始

选择与您的角色相匹配的切入点：

• 如果您管理工作室并想控制哪些艺术家可以看到哪些项目，请从管理用户和使用服务器场、队列和队列隔离工作负载指南开始。

• 如果您构建用于提交作业或读取结果的管道，请以Identity-based 截止日期云的策略示例和开头安全的作业附件和软件存储桶。

• 如果要控制作业在运行时可以访问的内容，请从操作系统权限和授予 AWS 权限服务角色的队列角色开始。以操作系统专用用户身份运行作业

• 如果您运行由客户管理的车队，请从和开始。服务角色 保护工作人员主机