As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Identity-based exemplos de políticas para Deadline Cloud
Por padrão, usuários e funções não têm permissão para criar ou modificar recursos do Deadline Cloud. Para conceder permissão aos usuários para executar ações nos recursos que eles precisam, um administrador do IAM pode criar políticas do IAM.
Para aprender a criar uma política baseada em identidade do IAM ao usar esses documentos de política em JSON de exemplo, consulte Criar políticas do IAM (console) no Guia do usuário do IAM.
Para obter detalhes sobre ações e tipos de recursos definidos pelo Deadline Cloud, incluindo o formato dos ARNs para cada um dos tipos de recursos, consulte Ações, recursos e chaves de condição para o AWS Deadline Cloud na Referência de Autorização de Serviço.
Tópicos
Práticas recomendadas de política
Identity-based as políticas determinam se alguém pode criar, acessar ou excluir recursos do Deadline Cloud em sua conta. Essas ações podem incorrer em custos para sua Conta da AWS. Ao criar ou editar políticas baseadas em identidade, siga estas diretrizes e recomendações:
-
Comece com políticas AWS gerenciadas e avance para permissões com privilégios mínimos — Para começar a conceder permissões a seus usuários e cargas de trabalho, use as políticas AWS gerenciadas que concedem permissões para muitos casos de uso comuns. Eles estão disponíveis em seu Conta da AWS. Recomendamos que você reduza ainda mais as permissões definindo políticas gerenciadas pelo AWS cliente que sejam específicas para seus casos de uso. Para saber mais, consulte Políticas gerenciadas pela AWS ou Políticas gerenciadas pela AWS para funções de trabalho no Guia do usuário do IAM.
-
Aplique permissões de privilégio mínimo: ao definir permissões com as políticas do IAM, conceda apenas as permissões necessárias para executar uma tarefa. Você faz isso definindo as ações que podem ser executadas em recursos específicos sob condições específicas, também conhecidas como permissões de privilégio mínimo. Para saber mais sobre como usar o IAM para aplicar permissões, consulte Políticas e permissões no IAM no Guia do usuário do IAM.
-
Use condições nas políticas do IAM para restringir ainda mais o acesso: é possível adicionar uma condição às políticas para limitar o acesso a ações e recursos. Por exemplo, é possível escrever uma condição de política para especificar que todas as solicitações devem ser enviadas usando SSL. Você também pode usar as condições para conceder acesso às ações de serviço se elas forem usadas por meio de um específico AWS service (Serviço da AWS), como CloudFormation. Para saber mais, consulte Elementos da política JSON do IAM: condição no Guia do usuário do IAM.
-
Use o IAM Access Analyzer para validar suas políticas do IAM a fim de garantir permissões seguras e funcionais: o IAM Access Analyzer valida as políticas novas e existentes para que elas sigam a linguagem de política do IAM (JSON) e as práticas recomendadas do IAM. O IAM Access Analyzer oferece mais de cem verificações de política e recomendações práticas para ajudar a criar políticas seguras e funcionais. Para saber mais, consulte Validação de políticas do IAM Access Analyzer no Guia do Usuário do IAM.
-
Exigir autenticação multifator (MFA) — Se você tiver um cenário que exija usuários do IAM ou um usuário raiz no seu Conta da AWS, ative o MFA para obter mais segurança. Para exigir MFA quando as operações de API forem chamadas, adicione condições de MFA às suas políticas. Para saber mais, consulte Configuração de acesso à API protegido por MFA no Guia do Usuário do IAM.
Para saber mais sobre as práticas recomendadas do IAM, consulte Práticas recomendadas de segurança no IAM no Guia do usuário do IAM.
Usando o console Deadline Cloud
Para acessar o console do AWS Deadline Cloud, você precisa ter um conjunto mínimo de permissões. Essas permissões devem permitir que você liste e visualize detalhes sobre os recursos do Deadline Cloud em seu Conta da AWS. Caso crie uma política baseada em identidade mais restritiva que as permissões mínimas necessárias, o console não funcionará como pretendido para entidades (usuários ou perfis) com essa política.
Você não precisa permitir permissões mínimas de console para usuários que estão fazendo chamadas somente para a API AWS CLI ou para a AWS API. Em vez disso, permita o acesso somente a ações que correspondam à operação de API que estiverem tentando executar.
Para conceder acesso total ao console do Deadline Cloud, anexe a política emPolítica para acessar o console. Para conceder aos usuários acesso aos dados da fazenda, da frota, da fila e do trabalho com base em suas associações agrícolas e níveis de acesso, anexe as políticas AWS gerenciadas descritas em. AWS políticas gerenciadas para Deadline Cloud Para obter mais informações sobre como anexar políticas, consulte Adicionar permissões a um usuário no Guia do usuário do IAM.
Política para acessar o console
Para conceder acesso a todas as funcionalidades no console do Deadline Cloud, anexe essa política de identidade a um usuário ou função que você deseja ter acesso total.
Política para enviar trabalhos para uma fila
Neste exemplo, você cria uma política de escopo reduzido que concede permissão para enviar trabalhos para uma fila específica em uma fazenda específica.
Política para permitir a criação de um endpoint de licença
Neste exemplo, você cria uma política com escopo reduzido que concede as permissões necessárias para criar e gerenciar endpoints de licença. Use essa política para criar o endpoint de licença para a VPC associada à sua fazenda.
Política para permitir o monitoramento de uma fila específica da fazenda
Neste exemplo, você cria uma política de escopo reduzido que concede permissão para monitorar trabalhos em uma fila específica para uma fazenda específica.
Política para gerenciar associações entre filas e frotas para uma frota específica
As associações fila-frota em uma frota determinam quais trabalhos podem ser programados para os trabalhadores da frota. Se você reservar uma frota para conteúdo confidencial, controle as associações para que ninguém possa anexar a frota a uma fila não aprovada.
Neste exemplo, você cria uma política de escopo reduzido que concede permissão para gerenciar associações fila-frota somente entre uma frota específica e uma fila específica. A CreateQueueFleetAssociation operação autoriza contra os recursos da fazenda, da fila e da frota, portanto, um diretor com essa política não pode associar a frota a nenhuma outra fila. No exemplo a seguir, substitua cada um placeholder por suas informações específicas do recurso.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "deadline:CreateQueueFleetAssociation", "deadline:UpdateQueueFleetAssociation", "deadline:DeleteQueueFleetAssociation", "deadline:GetQueueFleetAssociation", "deadline:ListQueueFleetAssociations" ], "Resource": [ "arn:aws:deadline:REGION:ACCOUNT_ID:farm/FARM_ID", "arn:aws:deadline:REGION:ACCOUNT_ID:farm/FARM_ID/queue/QUEUE_ID", "arn:aws:deadline:REGION:ACCOUNT_ID:farm/FARM_ID/fleet/FLEET_ID" ] } ] }
O escopo é efetivo somente se nenhuma outra política conceder à associação operações na frota restrita. Audite as políticas vinculadas aos administradores de sua fazenda e, para obter uma garantia mais forte, adicione uma Deny declaração explícita sobre o Nome de Recurso da Amazon (ARN) da frota restrita aos diretores, que não devem alterar suas associações. Para obter mais informações sobre os limites de segurança que isso protege, consulteIsole cargas de trabalho com fazendas, frotas e filas.
