Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Sichere Auftragszuordnungen und Software-Buckets
Jede Warteschlange speichert ihre Jobanhänge in einem Amazon S3 S3-Bucket, der Ihnen gehört. Drei Teile konfigurieren die Verbindung zwischen einer Warteschlange und ihrem Bucket:
+ Auftragsanhänge schreiben in ein Root-Präfix im Amazon S3 S3-Bucket und lesen aus diesem. Sie geben dieses Root-Präfix im `CreateQueue` API-Aufruf an.
+ Der Bucket hat ein entsprechendes`Queue Role`, das die Rolle spezifiziert, die Warteschlangenbenutzern Zugriff auf den Bucket und das Root-Präfix gewährt. Beim Erstellen einer Warteschlange geben Sie den `Queue Role` Amazon-Ressourcennamen (ARN) zusammen mit dem Bucket und dem Root-Präfix für Jobanhänge an.
+ Autorisierte Aufrufe der `AssumeQueueRoleForRead` `AssumeQueueRoleForUser` ,- und `AssumeQueueRoleForWorker` API-Operationen geben einen Satz temporärer Sicherheitsanmeldedaten für die zurück`Queue Role`.
Warteschlangen, die sich einen Amazon S3 S3-Bucket und ein Root-Präfix teilen, haben auch gemeinsamen Zugriff auf die dort gespeicherten Jobanhänge. Weisen Sie jeder Warteschlange einen eigenen Bucket und ein eigenes Root-Präfix zu, sodass die Beschränkungen der Warteschlangenberechtigungen auch für Jobanhänge gelten. Wenn QueueA und QueueB beispielsweise separate Buckets haben, kann ein Künstler, der nur Zugriff auf QueueA hat, die Job-Anhänge von QueueB nicht lesen. Wenn mehrere Warteschlangen zu derselben Sicherheitsgrenze gehören, wie z. B. die Warteschlangen für eine Sendung, ist die gemeinsame Nutzung eines Buckets eine sinnvolle Vereinfachung. Die Konsole richtet jede Warteschlange standardmäßig mit einem eigenen Bucket und Root-Präfix ein.
Separate Buckets sorgen dafür, dass Auftragsanhänge in Amazon S3 getrennt werden. Auf dem Worker-Host führt ein Job Code als Betriebssystembenutzer der Warteschlange aus. Der Job kann Dateien an jeden Ort schreiben, an den der Benutzer schreiben kann, einschließlich Speicherorte, die Benutzer anderer Warteschlangen lesen können. Die Trennung auf dem Host erfolgt durch die Benutzer des Betriebssystems in der Warteschlange. Weitere Informationen finden Sie unter [Führen Sie Jobs als dedizierte Betriebssystembenutzer aus](job-run-as-user.md).
Um Ihre Warteschlangen zu isolieren, müssen Sie das so konfigurieren, `Queue Role` dass der Warteschlangenzugriff nur auf den Bucket und das Root-Präfix zulässig ist. Ersetzen Sie im folgenden Beispiel jedes {{placeholder}} durch Ihre ressourcenspezifischen Informationen.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"s3:GetObject",
"s3:PutObject",
"s3:ListBucket",
"s3:GetBucketLocation"
],
"Effect": "Allow",
"Resource": [
"arn:aws:s3:::{{JOB_ATTACHMENTS_BUCKET_NAME}}",
"arn:aws:s3:::{{JOB_ATTACHMENTS_BUCKET_NAME}}/{{JOB_ATTACHMENTS_ROOT_PREFIX}}/*"
],
"Condition": {
"StringEquals": {
"aws:ResourceAccount": "{{111122223333}}"
}
}
},
{
"Action": [
"logs:GetLogEvents"
],
"Effect": "Allow",
"Resource": "arn:aws:logs:{{us-east-1}}:{{111122223333}}:log-group:/aws/deadline/{{FARM_ID}}/*"
}
]
}
```
------
Sie müssen außerdem eine Vertrauensrichtlinie für die Rolle festlegen. Ersetzen Sie im folgenden Beispiel den {{placeholder}} Text durch Ihre ressourcenspezifischen Informationen.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"sts:AssumeRole"
],
"Effect": "Allow",
"Principal": {
"Service": "deadline.amazonaws.com"
},
"Condition": {
"StringEquals": {
"aws:SourceAccount": "{{111122223333}}"
},
"ArnEquals": {
"aws:SourceArn": "arn:aws:deadline:{{us-east-1}}:{{111122223333}}:farm/{{FARM_ID}}"
}
}
},
{
"Action": [
"sts:AssumeRole"
],
"Effect": "Allow",
"Principal": {
"Service": "credentials.deadline.amazonaws.com"
},
"Condition": {
"StringEquals": {
"aws:SourceAccount": "{{111122223333}}"
},
"ArnEquals": {
"aws:SourceArn": "arn:aws:deadline:{{us-east-1}}:{{111122223333}}:farm/{{FARM_ID}}"
}
}
}
]
}
```
------
## Amazon S3 S3-Buckets mit benutzerdefinierter Software
Sie können die folgende Anweisung zu Ihrem hinzufügen, `Queue Role` um auf benutzerdefinierte Software in Ihrem Amazon S3 S3-Bucket zuzugreifen. Im folgenden Beispiel {{SOFTWARE\_BUCKET\_NAME}} ersetzen Sie es durch den Namen Ihres S3-Buckets und {{BUCKET\_ACCOUNT\_OWNER}} durch die AWS-Konto ID, der der Bucket gehört.
```
"Statement": [
{
"Action": [
"s3:GetObject",
"s3:ListBucket"
],
"Effect": "Allow",
"Resource": [
"arn:aws:s3:::{{SOFTWARE_BUCKET_NAME}}",
"arn:aws:s3:::{{SOFTWARE_BUCKET_NAME}}/*"
],
"Condition": {
"StringEquals": {
"aws:ResourceAccount": "{{BUCKET_ACCOUNT_OWNER}}"
}
}
}
]
```
Weitere Informationen zu den bewährten Sicherheitsmethoden von Amazon S3 finden Sie unter [Bewährte Sicherheitsmethoden für Amazon S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/security-best-practices.html) im *Amazon Simple Storage Service-Benutzerhandbuch*.