本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 截止日期云中的安全控制
<a name="security-controls"></a>

渲染农场在共享基础架构上运行许多人的作业。艺术家提交场景，工作人员主持人运行场景，结果存放在共享存储空间中。 AWS Deadline Cloud 为您提供了一组控件，用于决定谁可以查看和更改服务器场资源、作业在运行时可以执行哪些操作以及工作负载如何相互分离。

三个问题来组织控件：
+ **谁可以查看和管理农场资源？** 使用访问权限级别以及控制台和 API 的 IAM 策略来监控用户。
+ **服务、员工和工作可以代表你做什么？** 队列、工作人员主机、队列和监控器的 IAM 服务角色。
+ **如何将工作负载分开？** 场和队列结构、作业的操作系统用户以及每个队列的作业附件存储桶。

下表将每个控件映射到其管理的内容以及在哪里可以了解更多信息。


**截止日期云中的安全控制**  

| 控件 | 它控制什么 | 更多信息 | 
| --- | --- | --- | 
| 监控用户和访问级别 | 哪些人可以在监视器中看到每个农场、队列和队列，以及他们是否可以查看、贡献、管理或拥有这些资源。用户来自 AWS IAM Identity Center （IAM 身份中心）。 | 在 D@@ [e *adline Cloud 用户指南*中管理](https://docs.aws.amazon.com/deadline-cloud/latest/userguide/managing-users.html)用户 | 
| 基于 IAM 身份的策略 | 拥有 AWS 凭证的人员和工具可以使用 Deadline Cloud 控制台和 API 做什么，例如创建农场或通过管道提交作业。 | [Deadline Cloud 中的身份和访问管理](security-iam.md) | 
| 服务角色 | Deadline Cloud 可以代表你做什么。队列、工作主机、队列和监视者角色分别向服务的不同部分授予一组限定范围的权限。 | [服务角色](security-iam-service-roles.md) | 
| 对操作系统用户进行队列 | 作业进程在工作主机上拥有的操作系统权限。在客户管理的队列中，为每个队列分配自己的操作系统用户。在服务托管队列中，所有作业都以一个服务托管用户身份运行；通过为队列分配单独的队列来分隔队列。 | [以操作系统专用用户身份运行作业](job-run-as-user.md) | 
| 群组和队列结构 | 工作负载之间的隔离边界。服务器场不相互共享 Deadline Cloud 资源，场内的队列可以按队列、操作系统用户和存储桶分开。 | [使用服务器场、队列和队列隔离工作负载](farm-structure.md) | 
| Job 附件存储桶 | 每个队列可以通过其队列角色、存储桶和根前缀读取和写入哪些 Amazon S3 数据。 | [安全的作业附件和软件存储桶](job-attachment-queues.md) | 
| 加密密钥 | 如何使用 AWS 自有密钥或客户托管 AWS KMS 密钥对服务器场数据进行静态加密。 | [密钥管理](key-management.md) | 
| 网络控制 | 流量如何到达 Deadline Cloud：与受限网络的私有 AWS PrivateLink连接以及要列入许可名单的终端节点。 | [访问 AWS Deadline Cloud 使用接口端点 (AWS PrivateLink)](vpc-interface-endpoints.md), [受限的网络环境](network-connectivity.md) | 

## 从哪里开始
<a name="security-controls-choose"></a>

选择与您的角色相匹配的切入点：
+ 如果您管理工作室并想控制哪些艺术家可以看到哪些项目，请从[管理用户](https://docs.aws.amazon.com/deadline-cloud/latest/userguide/managing-users.html)和[使用服务器场、队列和队列隔离工作负载](farm-structure.md)指南开始。
+ 如果您构建用于提交作业或读取结果的管道，请以[Identity-based 截止日期云的策略示例](security_iam_id-based-policy-examples.md)和开头[安全的作业附件和软件存储桶](job-attachment-queues.md)。
+ 如果要控制作业在运行时可以访问的内容，请从操作系统权限和授予 AWS 权限[服务角色](security-iam-service-roles.md)的队列角色开始。[以操作系统专用用户身份运行作业](job-run-as-user.md)
+ 如果您运行由客户管理的车队，请从和开始。[服务角色](security-iam-service-roles.md) [保护工作人员主机](worker-hosts.md)