Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Ruoli di servizio

In che modo Deadline Cloud utilizza i ruoli del servizio IAM

Deadline Cloud assume automaticamente i ruoli IAM e fornisce credenziali temporanee ai lavoratori, ai lavori e al monitor di Deadline Cloud. Questo approccio elimina la gestione manuale delle credenziali mantenendo al contempo la sicurezza attraverso il controllo degli accessi basato sui ruoli.

Quattro ruoli coprono il ciclo di vita del lavoro in un'azienda agricola. In una flotta gestita dal cliente, un nuovo host inizia con il ruolo di lavoratore ospitante, lo utilizza per registrarsi come lavoratore e lo scambia con le credenziali del ruolo del parco macchine. In una flotta gestita dal servizio, il servizio esegue il bootstrap per te, quindi si applicano solo gli altri tre ruoli. Il lavoratore utilizza il ruolo della flotta per ricevere il lavoro e segnalare lo stato di avanzamento e riceve le credenziali del ruolo in coda durante l'esecuzione di ogni lavoro. Le persone e gli strumenti ottengono le proprie credenziali dal ruolo di monitor quando accedono al monitor Deadline Cloud.

Quando crei monitor, flotte e code nella console, Deadline Cloud può creare la flotta, la coda e i ruoli di monitoraggio al posto tuo con le autorizzazioni necessarie. Crei tu stesso il ruolo di lavoratore-host quando configuri una flotta gestita dal cliente. Utilizza le seguenti sezioni per comprendere ogni ruolo per la risoluzione dei problemi, per creare i ruoli personalmente o per estenderli.

Ruolo della flotta

Configura un ruolo della flotta per concedere ai lavoratori di Deadline Cloud le autorizzazioni necessarie per ricevere il lavoro e segnalare lo stato di avanzamento del lavoro.

Di solito non devi configurare questo ruolo da solo. Questo ruolo può essere creato per te nella console Deadline Cloud per includere le autorizzazioni necessarie. Utilizza la seguente guida per comprendere le specifiche di questo ruolo per la risoluzione dei problemi.

Quando crei o aggiorni le flotte a livello di codice, specifica l'ARN del ruolo della flotta utilizzando le operazioni o API. CreateFleet UpdateFleet

Cosa fa il ruolo della flotta

Il ruolo della flotta fornisce ai lavoratori le autorizzazioni per:

Imposta la policy di fiducia dei ruoli della flotta

Il tuo ruolo nella flotta deve basarsi sul servizio Deadline Cloud ed essere circoscritto alla tua azienda agricola specifica.

Come best practice, la politica di fiducia dovrebbe includere le condizioni di sicurezza per la protezione di Confused Deputy. Per saperne di più sulla protezione di Confused Deputy, consulta Confused Deputy nella Guida per l'utente di Deadline Cloud.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowDeadlineCredentialsService",
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Principal": {
        "Service": "credentials.deadline.amazonaws.com"
      },
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "YOUR_ACCOUNT_ID"
        },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:deadline:REGION:YOUR_ACCOUNT_ID:farm/YOUR_FARM_ID"
        }
      }
    }
  ]
}

Allega le autorizzazioni del ruolo Fleet

Ogni ruolo del parco veicoli necessita di due policy: la policy AWSDeadlineCloud-FleetWorker gestita per le operazioni dell'API Deadline Cloud e una policy creata da te che concede l'accesso al gruppo di CloudWatch log Logs della flotta. I lavoratori non possono iniziare finché il ruolo della flotta non ha entrambi.

Allega la seguente politica AWS gestita al tuo ruolo nella flotta:

AWSDeadlineCloud-FleetWorker

Questa politica gestita fornisce le autorizzazioni per:

La policy gestita non include le autorizzazioni relative CloudWatch ai registri, poiché sono limitate ai gruppi di log della farm. Aggiungi anche la seguente politica al tuo ruolo di flotta. Quando crei una flotta, Deadline Cloud crea un apposito gruppo di log CloudWatch Logs. Quando un lavoratore inizia, Deadline Cloud utilizza il ruolo della flotta per creare un flusso di log per quel lavoratore, quindi la logs:CreateLogStream dichiarazione utilizza la aws:CalledVia condizione per consentire la chiamata solo quando arriva tramite il servizio Deadline Cloud. Dopo l'esecuzione, il lavoratore invia gli eventi di registro direttamente a CloudWatch Logs e il monitor di Deadline Cloud li legge. logs:PutLogEvents logs:GetLogEvents

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "CreateLogStream",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream"
      ],
      "Resource": "arn:aws:logs:REGION:YOUR_ACCOUNT_ID:log-group:/aws/deadline/YOUR_FARM_ID/*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:CalledVia": [
            "deadline.amazonaws.com"
          ]
        }
      }
    },
    {
      "Sid": "ManageLogEvents",
      "Effect": "Allow",
      "Action": [
        "logs:PutLogEvents",
        "logs:GetLogEvents"
      ],
      "Resource": "arn:aws:logs:REGION:YOUR_ACCOUNT_ID:log-group:/aws/deadline/YOUR_FARM_ID/*"
    }
  ]
}

Se manca il ruolo della flottalogs:CreateLogStream, Deadline Cloud non può creare il flusso di log del lavoratore e il lavoratore non riesce a iniziare con un. AccessDeniedException In una flotta gestita dai servizi, i lavoratori lanciati da Deadline Cloud non possono partire, quindi il parco macchine non è in buone condizioni finché non aggiungi l'autorizzazione.

Aggiungi le autorizzazioni KMS per le farm crittografate

Se la tua fattoria è stata creata utilizzando una chiave KMS, aggiungi anche queste autorizzazioni al ruolo del tuo parco veicoli in modo che il lavoratore possa accedere ai dati crittografati presenti nella farm.

Le autorizzazioni KMS sono necessarie solo se alla fattoria è associata una chiave KMS. La kms:ViaService condizione deve utilizzare il formato. deadline.{region}.amazonaws.com

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "ManageKmsKey",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:DescribeKey",
        "kms:GenerateDataKey"
      ],
      "Resource": "YOUR_FARM_KMS_KEY_ARN",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "deadline.REGION.amazonaws.com"
        }
      }
    }
  ]
}

Modifica del ruolo della flotta

Le autorizzazioni per il ruolo della flotta non sono personalizzabili. Le autorizzazioni descritte sono sempre necessarie e l'aggiunta di autorizzazioni aggiuntive non ha alcun effetto.

Ruolo di lavoratore ospitante

Configura un ruolo di worker host se utilizzi flotte gestite dal cliente su istanze Amazon EC2 o host locali.

Cosa fa il ruolo di lavoratore-host

Il ruolo worker host (WorkerHost) abilita i lavoratori negli host della flotta gestiti dal cliente. Fornisce le autorizzazioni minime necessarie a un host per:

Configura le autorizzazioni per il ruolo di lavoratore ospitante

Allega la seguente politica AWS gestita al tuo ruolo di lavoratore ospitante:

AWSDeadlineCloud-WorkerHost

Questa politica gestita fornisce le autorizzazioni per:

Comprendi il processo di bootstrap

Il ruolo worker host viene utilizzato solo durante l'avvio iniziale del lavoratore:

Dopo che il lavoratore ha iniziato a correre, non utilizza più il ruolo di lavoratore host. Service-managed le flotte non hanno bisogno di questo ruolo perché il servizio esegue automaticamente il bootstrap.

Ruolo in coda

Il ruolo di coda viene assunto dal lavoratore durante l'elaborazione di un'operazione. Questo ruolo fornisce le autorizzazioni necessarie per completare l'attività.

Quando si creano o si aggiornano le code a livello di programmazione, specificare l'ARN del ruolo di coda utilizzando le operazioni o API. CreateQueue UpdateQueue

Imposta la politica di attendibilità dei ruoli di coda

Il tuo ruolo in coda deve fidarsi del servizio Deadline Cloud.

Come best practice, la politica di fiducia dovrebbe includere le condizioni di sicurezza per la protezione di Confused Deputy. Per saperne di più sulla protezione di Confused Deputy, consulta Confused Deputy nella Guida per l'utente di Deadline Cloud.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "credentials.deadline.amazonaws.com",
          "deadline.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "YOUR_ACCOUNT_ID"
        },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:deadline:us-west-2:123456789012:farm/{farm-id}"
        }        
      }
    }
  ]
}

Comprendi le autorizzazioni dei ruoli in coda

Il ruolo di coda non utilizza un'unica policy gestita. Invece, quando configuri la coda nella console, Deadline Cloud crea una politica personalizzata per la coda in base alla tua configurazione.

Questa politica creata automaticamente fornisce l'accesso a:

Allegati Job

Accesso in lettura e scrittura al bucket Amazon S3 specificato per i file di input e output dei job:

{
  "Effect": "Allow",
  "Action": [
    "s3:GetObject",
    "s3:PutObject", 
    "s3:ListBucket",
    "s3:GetBucketLocation"
  ],
  "Resource": [
    "arn:aws:s3:::YOUR_JOB_ATTACHMENTS_BUCKET",
    "arn:aws:s3:::YOUR_JOB_ATTACHMENTS_BUCKET/YOUR_PREFIX/*"
  ],
  "Condition": {
    "StringEquals": {
      "aws:ResourceAccount": "YOUR_ACCOUNT_ID"
    }
  }
}

Job log

Leggi l'accesso ai CloudWatch registri dei lavori in questa coda. Ogni coda ha il proprio gruppo di log e ogni sessione ha il proprio flusso di log:

{
  "Effect": "Allow",
  "Action": [
    "logs:GetLogEvents"
  ],
  "Resource": "arn:aws:logs:REGION:YOUR_ACCOUNT_ID:log-group:/aws/deadline/YOUR_FARM_ID/*"
}

Third-party software

Accesso al download di software di terze parti supportato da Deadline Cloud (come Maya, Blender e altri):

{
  "Effect": "Allow",
  "Action": [
    "s3:ListBucket",
    "s3:GetObject"
  ],
  "Resource": "*",
  "Condition": {
    "ArnLike": {
      "s3:DataAccessPointArn": "arn:aws:s3:*:*:accesspoint/deadline-software-*"
    },
    "StringEquals": {
      "s3:AccessPointNetworkOrigin": "VPC"
    }
  }
}

Aggiungi le autorizzazioni per i tuoi lavori

Aggiungi le autorizzazioni al tuo ruolo in coda affinché i tuoi lavori Servizi AWS abbiano bisogno di accedere. Durante la scrittura degli script delle OpenJobDescription fasi, l'SDK AWS CLI e l'SDK utilizzeranno automaticamente le credenziali del ruolo di coda. Utilizzatelo per accedere ai servizi aggiuntivi necessari per completare il lavoro.

Ecco alcuni esempi di casi d'uso:

Come vengono utilizzate le credenziali del ruolo di coda

Deadline Cloud fornisce le credenziali del ruolo di coda per:

Deadline Cloud crea gruppi di CloudWatch log Logs separati per ogni coda. La CLI e il monitor di Deadline Cloud utilizzano il ruolo di coda (deadline:AssumeQueueRoleForReadthrough) per leggere i log dei lavori dal gruppo di log della coda. La CLI e il monitor di Deadline Cloud utilizzano il ruolo di coda (deadline:AssumeQueueRoleForUserthrough) per caricare o scaricare i dati degli allegati del lavoro.

Ruolo di monitoraggio

Configura un ruolo di monitoraggio per consentire alle applicazioni web e desktop di monitoraggio di Deadline Cloud di accedere alle tue risorse Deadline Cloud.

Quando crei o aggiorni i monitor a livello di codice, specifica l'ARN del ruolo di monitoraggio utilizzando le operazioni o API. CreateMonitor UpdateMonitor

Cosa fa il ruolo del monitor

Il ruolo di monitoraggio consente a Deadline Cloud Monitor di fornire agli utenti finali l'accesso a:

Imposta la politica di fiducia del ruolo di monitoraggio

Il tuo ruolo di monitor deve fidarsi del servizio Deadline Cloud.

Come best practice, la politica di fiducia dovrebbe includere le condizioni di sicurezza per la protezione di Confused Deputy. Per saperne di più sulla protezione di Confused Deputy, consulta Confused Deputy nella Guida per l'utente di Deadline Cloud.

aws:SourceAccountassicura che solo le risorse dello stesso Account AWS possano assumere questo ruolo.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "credentials.deadline.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "YOUR_ACCOUNT_ID"
        }
      }
    }
  ]
}

Allega le autorizzazioni del ruolo di monitoraggio

Associa tutte le seguenti politiche AWS gestite al tuo ruolo di monitor per le operazioni di base:

Come funziona il ruolo di monitoraggio

Quando si utilizza il monitor Deadline Cloud, un utente del servizio accede utilizzando Centro identità AWS IAM (IAM Identity Center) e viene assunto il ruolo di monitor. Le credenziali del ruolo assunto vengono utilizzate dall'applicazione di monitoraggio per visualizzare l'interfaccia utente del monitor, incluso l'elenco di fattorie, flotte, code e altre informazioni.

Quando si utilizza l'applicazione desktop di monitoraggio Deadline Cloud, queste credenziali vengono inoltre rese disponibili sulla workstation utilizzando un profilo di AWS credenziali denominato corrispondente al nome del profilo fornito dall'utente finale. Scopri di più sui profili denominati nella guida di riferimento AWS SDK and Tools.

Questo profilo denominato è il modo in cui la CLI di Deadline e i mittenti accedono alle risorse di Deadline Cloud.

Personalizzazione del ruolo del monitor per casi d'uso avanzati

È possibile personalizzare il ruolo di monitoraggio per modificare ciò che gli utenti possono fare a ciascun livello di accesso (visualizzatore, collaboratore, responsabile, proprietario) o per aggiungere autorizzazioni per flussi di lavoro avanzati.

Personalizzazione delle autorizzazioni a livello di accesso

Le quattro policy AWS gestite allegate al ruolo di monitoraggio controllano cosa può fare ogni livello di accesso. È possibile aggiungere politiche personalizzate al ruolo di monitoraggio per concedere o limitare le autorizzazioni per livelli di accesso specifici utilizzando la chiave di deadline:MembershipLevel condizione.

Ad esempio, per consentire ai collaboratori di aggiornare e annullare i lavori (che di solito sono limitati a Manager e Proprietari), aggiungi una politica come la seguente:

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "deadline:UpdateJob",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "deadline:MembershipLevel": "CONTRIBUTOR"
        }
      }
    }
  ]
}

Con questa politica, i collaboratori possono aggiornare e annullare i lavori oltre a inviarli.

Aggiungere autorizzazioni per flussi di lavoro avanzati

Puoi aggiungere policy IAM personalizzate al ruolo di monitoraggio per concedere autorizzazioni aggiuntive a tutti gli utenti del monitor. Le policy personalizzate sono utili per i flussi di lavoro di scripting avanzati in cui gli utenti devono accedere a funzionalità Servizi AWS oltre a quelle standard di Deadline Cloud.

Segui queste linee guida quando modifichi il tuo ruolo di monitor:

In che modo Deadline Cloud Monitor utilizza le credenziali del ruolo di monitoraggio

Deadline Cloud monitor ottiene automaticamente le credenziali del ruolo di monitoraggio al momento dell'autenticazione. Queste credenziali temporanee durano 15 minuti e si aggiornano automaticamente finché si accede a IAM Identity Center. Questa funzionalità consente all'applicazione desktop di fornire funzionalità di monitoraggio oltre a quelle disponibili in un browser Web standard.

Quando accedi con Deadline Cloud Monitor, crea automaticamente un profilo che puoi utilizzare con AWS CLI o con qualsiasi altro AWS strumento. Questo profilo utilizza le credenziali del ruolo di monitoraggio, offrendoti l'accesso programmatico in Servizi AWS base alle autorizzazioni del ruolo di monitor.

I mittenti di Deadline Cloud funzionano allo stesso modo: utilizzano il profilo creato da Deadline Cloud Monitor per accedere con le autorizzazioni di ruolo appropriate. Servizi AWS

Personalizzazione avanzata dei ruoli di Deadline Cloud

Puoi estendere i ruoli di Deadline Cloud con autorizzazioni aggiuntive per abilitare casi d'uso avanzati oltre ai flussi di lavoro di rendering di base. Questo approccio utilizza il sistema di gestione degli accessi di Deadline Cloud per controllare l'accesso ad altri in Servizi AWS base all'appartenenza alla coda.

Collaborazione in team con AWS CodeCommit

Aggiungi AWS CodeCommit le autorizzazioni al tuo ruolo Queue per consentire la collaborazione in team sugli archivi dei progetti. Questo approccio utilizza il sistema di gestione degli accessi di Deadline Cloud per ulteriori casi d'uso. Solo gli utenti con accesso alla coda specifica ricevono queste AWS CodeCommit autorizzazioni, quindi puoi gestire l'accesso al repository per progetto tramite l'iscrizione alla coda di Deadline Cloud.

L'accesso al repository tramite l'iscrizione alla coda è utile quando gli artisti devono accedere a risorse, script o file di configurazione specifici del progetto archiviati nei repository come parte del loro flusso di lavoro di rendering. AWS CodeCommit

Add (Aggiungi) AWS CodeCommit autorizzazioni per il ruolo di coda

Aggiungi le seguenti autorizzazioni al tuo ruolo di coda per abilitare l'accesso: AWS CodeCommit

{
  "Effect": "Allow",
  "Action": [
    "codecommit:GitPull",
    "codecommit:GitPush",
    "codecommit:GetRepository",
    "codecommit:ListRepositories"
  ],
  "Resource": "arn:aws:codecommit:REGION:YOUR_ACCOUNT_ID:PROJECT_REPOSITORY"
}

Configura il fornitore di credenziali sulle postazioni di lavoro degli artisti

Configura ogni postazione di lavoro dell'artista per utilizzare le credenziali di coda di Deadline Cloud per l'accesso. AWS CodeCommit Questa configurazione viene eseguita una volta per workstation.

Sostituisci farm-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX e queue-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX con gli ID effettivi della fattoria e della coda. Sostituiscilo REGION con la tua AWS regione (ad esempio,us-west-2).

Utilizzo AWS CodeCommit con credenziali di coda

Una volta configurate, le operazioni Git utilizzeranno automaticamente le credenziali del ruolo di coda quando accedono ai AWS CodeCommit repository. Il deadline queue export-credentials comando restituisce credenziali temporanee simili alle seguenti:

{
  "Version": 1,
  "AccessKeyId": "ASIA...",
  "SecretAccessKey": "...",
  "SessionToken": "...",
  "Expiration": "2025-11-10T23:02:23+00:00"
}

Deadline Cloud aggiorna automaticamente queste credenziali secondo necessità e le tue operazioni Git funzionano senza configurazioni aggiuntive:

git clone https://git-codecommit.REGION.amazonaws.com/v1/repos/PROJECT_REPOSITORY
git pull
git push

Gli artisti possono ora accedere agli archivi dei progetti utilizzando le loro autorizzazioni di coda senza bisogno di credenziali separate. AWS CodeCommit Solo gli utenti con accesso alla coda specifica potranno accedere al repository associato, quindi puoi controllare l'accesso al repository tramite l'iscrizione alla coda in Deadline Cloud.