本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# Deadline Cloud 中的数据流、端口和加密
<a name="security-data-flow"></a>

内容安全审查（例如工作室安全审计和供应商入职问卷）要求提供数据流程图。该图涵盖了渲染农场的组件、每个组件的运行位置、数据如何在它们之间移动，以及如何加密连接和存储的数据。本页上的图表和表格回答了典型的 De AWS adline Cloud 部署中的这些问题。有关您可以为服务器场的每个部分配置的安全控制的更多信息，请参阅[截止日期云中的安全控制](security-controls.md)。

![数据在您的网络和 AWS 云端之间流动，您的 AWS 账户和 Deadline Cloud 并排存在这里。编号流程显示登录、作业提交、文件上传和下载、任务调度和凭证请求以及作业和工作人员日志。 Customer-managed 车队工作人员跨越您的网络和您的 AWS 账户，因为他们可以在任一地点运行。所有流量都是 TCP 端口 443 上的出站 HTTPS 连接，本页上的表格描述了每个组件和流。](https://docs.aws.amazon.com/zh_cn/deadline-cloud/latest/userguide/images/deadline-cloud-data-flow.png)


## 组件及其运行位置
<a name="security-data-flow-components"></a>

Deadline Cloud 渲染农场跨越三个位置：你的网络、你的 AWS 账户和 AWS 管理的 Deadline Cloud 本身。 Customer-managed 舰队工作人员是个例外：你可以选择他们在哪里奔跑。

下表描述了每个组件及其运行位置。


| 组件 | 它在哪里运行 | 用途 | 
| --- | --- | --- | 
| Deadline Cloud 监控器、集成提交者和截止日期云 CLI | 你的网络 | 艺术家工作站上的客户端工具，用于提交作业、上传和下载文件以及跟踪工作进度。 | 
| AWS IAM Identity Center | 你的 AWS 账户 | Sign-in 以及监视器用户的访问级别。有关更多信息，请参阅[管理用户](https://docs.aws.amazon.com/deadline-cloud/latest/userguide/managing-users.html)。 | 
| Amazon 简单存储服务任务附件存储桶 | 你的 AWS 账户 | 作业的输入和输出文件。每个队列都有自己的存储桶和根前缀，因此队列权限限制也适用于文件。 | 
| Amazon CloudWatch 日志 | 你的 AWS 账户 | Job 日志和工作人员日志。 | 
| AWS Key Management Service 钥匙 | 您的 AWS 账户，或 AWS 托管账户 | 用于在 Deadline Cloud 中加密农场数据的密钥。默认情况下，Deadline Cloud 使用您不管理的 AWS 自有密钥。创建服务器场时，您可以从您的账户中提供客户管理的密钥。有关更多信息，请参阅 [密钥管理](key-management.md)。 | 
| Customer-managed 舰队工人 | 您可以选择：网络上的计算机或您的 VPC 中的 Amazon 弹性计算云实例 | 您管理的工作主机，运行您的软件和 Deadline Cloud 工作器代理。客户管理的队列只需要出站 HTTPS 访问权限。如果工作人员在您的 VPC 中运行，则可选 AWS PrivateLink 终端节点会将其流量保留在 VPC 内。 | 
| 截止日期云服务 | AWS 管理 | 服务端点`management.deadline.{{region}}.amazonaws.com`和`scheduling.deadline.{{region}}.amazonaws.com`，以及它们背后的服务器场、队列和作业调度数据。 | 
| Service-managed 舰队工人 | AWS 管理 | 每个队列都位于隔离网络上的 Amazon EC2 实例。这些实例专用于您的账户，不接受任何入站连接。 | 

## 数据流、端口和协议
<a name="security-data-flow-flows"></a>

图中的每个客户端和工作人员都通过 TCP 端口 443 上的 HTTPS 向 AWS 终端节点发起出站连接。我们需要 TLS 1.2 来加密传输中的连接，我们建议使用 TLS 1.3。Deadline Cloud 不会与你的网络建立入站连接。下表中的流程编号与图中的数字相匹配。


| 流 | Connection | 说明 | 
| --- | --- | --- | 
| 1 | 监控 IAM 身份中心 | 使用 OpenID Connect (OIDC) 监控用户登录情况。 AWS IAM Identity Center  | 
| 2 | 工作站到管理端点 | 提交者、CLI 和监控者通过`management.deadline.{{region}}.amazonaws.com`提交作业、管理服务器场资源和申请临时角色证书。 | 
| 3 | 工作站到 Amazon S3 | Job 附件将输入文件上传到队列的 Amazon S3 存储桶。 | 
| 4 | 工作人员前往调度终端节点 | 两种车队类型的工作人员都会轮询任务、报告进度和状态，并通过申请临时角色证书`scheduling.deadline.{{region}}.amazonaws.com`。 | 
| 5 | Amazon S3 的员工 | 工作人员从队列的存储桶下载输入文件并将输出文件上传到该存储桶。 | 
| 6 | 要 CloudWatch 记录的工作人员 | 工作器代理写入作业和工作器日志。 | 
| 7 | 工作站到 CloudWatch 日志和 Amazon S3 | 监控器读取作业日志，监控器和 CLI 下载输出文件。 | 

客户端工具和工作人员都不持有队列资源的长期凭证。两者都向 Deadline Cloud 申请临时证书，并获得您附加到队列和队列角色的权限：
+ 监控器、CLI 和提交者调用`AssumeQueueRoleForUser`来上传和下载作业附件，以及`AssumeQueueRoleForRead`只读访问权限，例如读取作业日志。
+ 工作人员调`AssumeFleetRoleForWorker`用队列角色，然后调`AssumeQueueRoleForWorker`用其运行的作业的队列角色。

有关角色以及每个角色授予的内容的更多信息，请参阅[服务角色](security-iam-service-roles.md)。

如果您的工作室过滤出站 Web 流量，[受限的网络环境](network-connectivity.md)请参阅，了解要列入许可名单的终端节点的完整列表。要使您的 VPC 和 Deadline Cloud 之间的流量远离公共互联网，请使用 AWS PrivateLink 接口终端节点。有关更多信息，请参阅 [访问 AWS Deadline Cloud 使用接口端点 (AWS PrivateLink)](vpc-interface-endpoints.md)。

## 访问监视器 Web 应用程序
<a name="security-data-flow-monitor"></a>

您可以从互联网上的任何位置访问您的监视器网址，并且您不能将该网址限制为一组 IP 地址。`https://{{monitor-alias}}.{{region}}.deadlinecloud.amazonaws.com`该 URL 为监视器 Web 应用程序提供服务，该应用程序与每个 Deadline Cloud 监视器的应用程序相同。该应用程序不包含您的任何群组、队列或作业数据，任何打开该 URL 的人都会看到登录页面。

您的农场数据通过 Deadline Cloud API 到达监控器，因此 API 调用是授予或拒绝访问权限的地方。在您通过 AWS IAM Identity Center （IAM 身份中心）登录后，Deadline Cloud 将为您担任监控角色。然后，监控器使用角色的临时凭证从浏览器调用 API。IAM 会对每个呼叫进行授权。监控角色上的托管策略仅允许在您授予的访问权限级别上执行每项操作。有关更多信息，请参阅[监控角色](security-iam-service-roles.md#monitor-role)[和管理用户](https://docs.aws.amazon.com/deadline-cloud/latest/userguide/managing-users.html)。

要使服务器场数据只能通过您自己的网络访问，请将限制应用于 API 调用，而不是 URL。您可以只允许您的 IP 范围，也可以仅允许通过您的 VPC 终端节点到达的请求。有关更多信息，请参阅 [限制服务器场访问您的网络](restrict-network-access.md)。

## 加密摘要
<a name="security-data-flow-encryption"></a>

每个数据存储都独立进行静态加密。服务器场 AWS KMS 密钥仅适用于 Deadline Cloud 保存的数据；您的 Amazon S3 存储桶和日志组使用自己的加密设置。
+ **传输中** — 所有连接都使用 HTTPS，需要 TLS 1.2，建议使用 TLS 1.3。有关更多信息，请参阅 [传输中加密](encryption-transit.md)。
+ **农场数据 — D** eadline Cloud 服务使用服务器场的密 AWS KMS 钥对您的农场、队列和任务静态数据进行加密。在创建服务器场时，您可以使用默认 AWS 拥有的密钥或提供客户管理的密钥。有关更多信息，请参阅 [密钥管理](key-management.md)。
+ **Job 附件** — Amazon Simple Storage Service 使用存储桶上配置的服务器端加密来加密您的静态输入和输出文件。默认情况下，亚马逊 S3 使用亚马逊 S3 托管密钥 (SSE-S3)。要改用您自己的 AWS KMS 密钥，请为配置存储桶， SSE-KMS 并授予队列角色访问该密钥的权限。有关更多信息，请参阅 De [adline Cloud 中的 Job 附件](https://docs.aws.amazon.com/deadline-cloud/latest/userguide/storage-job-attachments.html)。
+ **工作程序卷** — 在服务托管队列中，Deadline Cloud 对附加到工作程序实例的 Amazon Elastic Block Store 卷进行加密，并在实例终止时删除这些卷。有关更多信息，请参阅 [静态加密](encryption-rest.md)。
+ **日志** — Amazon CloudWatch Logs 使用自己的服务器端加密功能对任务日志和静态工作日志进行加密。要改用自己的 AWS KMS 密钥，请将该密钥与日志组关联。有关更多信息，请参阅 *Amazon Lo CloudWatch gs 用户指南 AWS KMS中的使用加密 CloudWatch 日志*[中的日志数据](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/encrypt-log-data-kms.html)。