Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Bonnes pratiques de sécurité pour Deadline Cloud

AWS Deadline Cloud (Deadline Cloud) fournit un certain nombre de fonctionnalités de sécurité à prendre en compte lors de l'élaboration et de la mise en œuvre de vos propres politiques de sécurité. Les bonnes pratiques suivantes doivent être considérées comme des instructions générales et ne représentent pas une solution de sécurité complète. Étant donné que ces bonnes pratiques peuvent ne pas être appropriées ou suffisantes pour votre environnement, considérez-les comme des remarques utiles plutôt que comme des recommandations.

Protection des données

Pour des raisons de protection des données, nous vous recommandons de protéger les Compte AWS informations d'identification et de configurer des comptes individuels avec AWS Identity and Access Management (IAM). Ainsi, chaque utilisateur se voit attribuer uniquement les autorisations nécessaires pour exécuter ses tâches. Nous vous recommandons également de sécuriser vos données comme indiqué ci-dessous :

Nous vous recommandons vivement de ne jamais placer d’informations identifiables sensibles, telles que les numéros de compte de vos clients, dans des champs de formulaire comme Nom. Cela inclut lorsque vous travaillez avec AWS Deadline Cloud ou autre Services AWS à l'aide de la consoleAPI, AWS CLI, ou AWS SDKs. Toutes les données que vous saisissez dans Deadline Cloud ou dans d'autres services peuvent être récupérées pour être incluses dans les journaux de diagnostic. Lorsque vous fournissez un URL à un serveur externe, n'incluez pas d'informations d'identification dans le URL pour valider votre demande auprès de ce serveur.

AWS Identity and Access Management autorisations

Gérez l'accès aux AWS ressources à l'aide d'utilisateurs, AWS Identity and Access Management (IAM) de rôles et en accordant le moins de privilèges aux utilisateurs. Établissez des politiques et des procédures de gestion des informations d'identification pour la création, la distribution, la rotation et la révocation des informations AWS d'accès. Pour plus d'informations, consultez la section IAMBonnes pratiques du guide de IAM l'utilisateur.

Exécuter des tâches en tant qu'utilisateurs et en tant que groupes

Lorsque vous utilisez la fonctionnalité de file d'attente dans Deadline Cloud, il est recommandé de spécifier un utilisateur du système d'exploitation (OS) et son groupe principal afin que l'utilisateur du système d'exploitation dispose des autorisations les moins privilégiées pour les tâches de la file d'attente.

Lorsque vous spécifiez un « Exécuter en tant qu'utilisateur » (et un groupe), tous les processus relatifs aux tâches soumises à la file d'attente seront exécutés à l'aide de cet utilisateur du système d'exploitation et hériteront des autorisations de système d'exploitation associées à cet utilisateur.

Les configurations de flotte et de file d'attente se combinent pour établir une posture de sécurité. Du côté de la file d'attente, le « Job exécuté en tant qu'utilisateur » et IAM le rôle peuvent être spécifiés pour utiliser le système d'exploitation et AWS les autorisations pour les tâches de la file d'attente. Le parc définit l'infrastructure (hôtes de travail, réseaux, stockage partagé monté) qui, lorsqu'elle est associée à une file d'attente particulière, exécute les tâches au sein de cette file. Les données disponibles sur les hôtes de travail doivent être accessibles par les jobs depuis une ou plusieurs files d'attente associées. La spécification d'un utilisateur ou d'un groupe permet de protéger les données des tâches contre les autres files d'attente, les autres logiciels installés ou les autres utilisateurs ayant accès aux hôtes de travail. Lorsqu'une file d'attente n'a pas d'utilisateur, elle s'exécute en tant qu'utilisateur agent qui peut se faire passer pour (sudo) n'importe quel utilisateur de la file d'attente. Ainsi, une file d'attente sans utilisateur peut transférer des privilèges à une autre file d'attente.

Réseaux

Pour éviter que le trafic ne soit intercepté ou redirigé, il est essentiel de sécuriser comment et où le trafic de votre réseau est acheminé.

Nous vous recommandons de sécuriser votre environnement réseau de la manière suivante :

Emplois et données sur les emplois

Les tâches Deadline Cloud s'exécutent dans le cadre de sessions sur des hôtes de travail. Chaque session exécute un ou plusieurs processus sur l'hôte de travail, qui nécessitent généralement que vous saisissiez des données pour produire une sortie.

Pour sécuriser ces données, vous pouvez configurer les utilisateurs du système d'exploitation avec des files d'attente. L'agent de travail utilise l'utilisateur du système d'exploitation de la file d'attente pour exécuter les sous-processus de session. Ces sous-processus héritent des autorisations de l'utilisateur du système d'exploitation de la file d'attente.

Nous vous recommandons de suivre les meilleures pratiques pour sécuriser l'accès aux données auxquelles ces sous-processus accèdent. Pour de plus amples informations, veuillez consulter Modèle de responsabilité partagée.

Structure de la ferme

Vous pouvez organiser les flottes et les files d'attente de Deadline Cloud de nombreuses manières. Cependant, certains arrangements ont des implications en matière de sécurité.

Une ferme possède l'une des limites les plus sécurisées, car elle ne peut pas partager les ressources de Deadline Cloud avec d'autres fermes, notamment les flottes, les files d'attente et les profils de stockage. Cependant, vous pouvez partager AWS des ressources externes au sein d'un parc de serveurs, ce qui compromet les limites de sécurité.

Vous pouvez également établir des limites de sécurité entre les files d'attente d'une même batterie de serveurs à l'aide de la configuration appropriée.

Suivez ces bonnes pratiques pour créer des files d'attente sécurisées dans le même parc de serveurs :

Files d'attente pour les offres d'emploi

Les pièces jointes aux tâches sont associées à une file d'attente qui utilise votre compartiment Amazon S3.

Si vous créez une file d'attente et que vous réutilisez un compartiment Amazon S3 et un préfixe racine, des informations risquent d'être divulguées à des tiers non autorisés. Par exemple, QueueA et QueueB partagent le même bucket et le même préfixe racine. Dans un flux de travail sécurisé, ArtistA a accès à QueueA mais pas à QueueB. Toutefois, lorsque plusieurs files d'attente partagent un bucket, ArtistA peut accéder aux données contenues dans QueueB car il utilise le même bucket et le même préfixe racine que QueueA.

La console configure des files d'attente sécurisées par défaut. Assurez-vous que les files d'attente comportent une combinaison distincte de compartiment Amazon S3 et de préfixe racine, sauf si elles font partie d'une limite de sécurité commune.

Pour isoler vos files d'attente, vous devez configurer le Queue Role pour n'autoriser l'accès aux files d'attente qu'au bucket et au préfixe racine. Dans l'exemple suivant, remplacez chaque placeholder avec les informations spécifiques à vos ressources.

{
  "Version": "2012-10-17",
  "Statement": [ 
    {
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:ListBucket",
        "s3:GetBucketLocation"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::JOB_ATTACHMENTS_BUCKET_NAME",
        "arn:aws:s3:::JOB_ATTACHMENTS_BUCKET_NAME/JOB_ATTACHMENTS_ROOT_PREFIX/*"
      ],
      "Condition": {
        "StringEquals": { "aws:ResourceAccount": "ACCOUNT_ID" }
      }
    },
    {
      "Action": ["logs:GetLogEvents"],
      "Effect": "Allow",
      "Resource": "arn:aws:logs:REGION:ACCOUNT_ID:log-group:/aws/deadline/FARM_ID/*"
    }
  ]
}

Vous devez également définir une politique de confiance pour le rôle. Dans l'exemple suivant, remplacez placeholder texte contenant les informations spécifiques à votre ressource.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": ["sts:AssumeRole"],
      "Effect": "Allow",
      "Principal": { "Service": "deadline.amazonaws.com" },
      "Condition": {
        "StringEquals": { "aws:SourceAccount": "ACCOUNT_ID" },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:deadline:REGION:ACCOUNT_ID:farm/FARM_ID"
        }
      }
    },
    {
      "Action": ["sts:AssumeRole"],
      "Effect": "Allow",
      "Principal": { "Service": "credentials.deadline.amazonaws.com" },
      "Condition": {
        "StringEquals": { "aws:SourceAccount": "ACCOUNT_ID" },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:deadline:REGION:ACCOUNT_ID:farm/FARM_ID"
        }
      }
    }
  ]
}

Buckets Amazon S3 logiciels personnalisés

Vous pouvez ajouter l'instruction suivante à votre compte Queue Role pour accéder aux logiciels personnalisés de votre compartiment Amazon S3. Dans l'exemple suivant, remplacez SOFTWARE_BUCKET_NAME avec le nom de votre compartiment S3.

"Statement": [ 
    {
        "Action": [
            "s3:GetObject",
            "s3:ListBucket"
        ],
        "Effect": "Allow",
        "Resource": [
            "arn:aws:s3:::SOFTWARE_BUCKET_NAME",
            "arn:aws:s3:::SOFTWARE_BUCKET_NAME/*"
        ]
    }
]

Pour plus d'informations sur les meilleures pratiques de sécurité d'Amazon S3, consultez la section Meilleures pratiques de sécurité pour Amazon S3 dans le guide de l'utilisateur d'Amazon Simple Storage Service.

Hôtes de travail

Sécurisez les hôtes de travail pour garantir que chaque utilisateur ne peut effectuer des opérations que pour le rôle qui lui est assigné.

Nous recommandons les meilleures pratiques suivantes pour sécuriser les hôtes de travail :

Stations de travail

Il est important de sécuriser les postes de travail ayant accès à Deadline Cloud. Cette approche permet de garantir que les tâches que vous soumettez à Deadline Cloud ne peuvent pas exécuter des charges de travail arbitraires facturées à votre compte. Compte AWS

Nous recommandons de suivre les bonnes pratiques suivantes pour sécuriser les postes de travail des artistes. Pour plus d'informations, consultez le Modèle de responsabilité partagée .