本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

截止日期云的安全最佳实践

AWS Deadline Cloud（Deadline Cloud）提供了许多安全功能，供您在制定和实施自己的安全策略时考虑。以下最佳实践是一般指导原则，并不代表完整安全解决方案。这些最佳实践可能不适合环境或不满足环境要求，请将其视为有用的考虑因素而不是惯例。

数据保护

出于数据保护目的，我们建议您保护 AWS 账户 凭据并使用 AWS Identity and Access Management (IAM) 设置个人账户。这样，每个用户只获得履行其工作职责所需的权限。我们还建议您通过以下方式保护数据：

我们强烈建议您切勿将敏感的可识别信息（例如您客户的账号）放入自由格式字段（例如名称字段）。这包括您使用控制台、、API或 AWS 服务 使用 Deadline Cloud 或其他方式时 AWS SDKs。 AWS AWS CLI您输入到Deadline Cloud或其他服务中的任何数据都可能会被提取以包含在诊断日志中。当您URL向外部服务器提供时，请不要在中包含凭据信息URL以验证您对该服务器的请求。

AWS Identity and Access Management 权限

使用用户、 AWS Identity and Access Management (IAM) 角色以及向用户授予最低权限来管理对 AWS 资源的访问权限。制定用于创建、分发、轮换和撤消 AWS 访问凭证的凭证管理策略和程序。有关更多信息，请参阅《IAM用户指南》中的IAM最佳实践。

以用户和群组的身份运行作业

在 Deadline Cloud 中使用队列功能时，最佳做法是指定操作系统 (OS) 用户及其主组，以便操作系统用户对队列的作业拥有最低权限权限。

当您指定 “以用户身份运行”（和组）时，提交到队列的作业的所有进程都将使用该操作系统用户运行，并将继承该用户的关联操作系统权限。

队列和队列配置相结合，可以建立安全态势。在队列方面，可以指定 “Job 以用户身份运行” 和IAM角色来使用队列作业的操作系统和 AWS 权限。队列定义了基础架构（工作主机、网络、已安装的共享存储），当这些基础架构与特定队列关联时，将在队列中运行作业。工作服务器主机上的可用数据需要由一个或多个关联队列中的作业访问。指定用户或组有助于保护作业中的数据免受其他队列、其他已安装的软件或其他有权访问工作主机的用户的侵害。当队列没有用户时，它会以代理用户身份运行，代理用户可以模仿 (sudo) 任何队列用户。这样，没有用户的队列可以将权限升级到另一个队列。

联网

为防止流量被拦截或重定向，必须确保网络流量的路由方式和位置安全。

我们建议您通过以下方式保护您的网络环境：

工作和工作数据

Deadline Cloud 作业在工作主机的会话中运行。每个会话在工作主机上运行一个或多个进程，这通常需要您输入数据才能生成输出。

为了保护这些数据，您可以为操作系统用户配置队列。工作器代理使用队列操作系统用户来运行会话子进程。这些子进程继承队列操作系统用户的权限。

我们建议您遵循最佳实践，以保护对这些子流程访问的数据的访问。有关更多信息，请参阅责任共担模式。

农场结构

您可以通过多种方式安排 Deadline Cloud 舰队和队列。但是，某些安排会涉及安全问题。

服务器场具有最安全的边界之一，因为它无法与其他服务器场共享 Deadline Cloud 资源，包括队列、队列和存储配置文件。但是，您可以在服务器场内共享外部 AWS 资源，这会影响安全边界。

您还可以使用适当的配置在同一服务器场内的队列之间建立安全边界。

按照以下最佳做法在同一个服务器场中创建安全队列：

Job 附件队列

Job 附件与队列相关联，该队列使用您的 Amazon S3 存储桶。

如果您创建队列并重复使用 Amazon S3 存储桶和根前缀，则存在信息被泄露给未授权方的风险。例如，queueA 和 queueB 共享相同的存储桶和根前缀。在安全的工作流程中，ArtistA 可以访问 QueueA，但不能访问 queueB。但是，当多个队列共享一个存储桶时，ArtistA 可以访问 QueueB 数据中的数据，因为它使用的存储桶和根前缀与 queueA 相同。

控制台设置的队列在默认情况下是安全的。确保队列具有 Amazon S3 存储桶和根前缀的独特组合，除非它们属于公共安全边界。

要隔离队列，必须将配置Queue Role为仅允许队列访问存储桶和根前缀。在以下示例中，替换每个 placeholder 附上您的资源特定信息。

{
  "Version": "2012-10-17",
  "Statement": [ 
    {
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:ListBucket",
        "s3:GetBucketLocation"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::JOB_ATTACHMENTS_BUCKET_NAME",
        "arn:aws:s3:::JOB_ATTACHMENTS_BUCKET_NAME/JOB_ATTACHMENTS_ROOT_PREFIX/*"
      ],
      "Condition": {
        "StringEquals": { "aws:ResourceAccount": "ACCOUNT_ID" }
      }
    },
    {
      "Action": ["logs:GetLogEvents"],
      "Effect": "Allow",
      "Resource": "arn:aws:logs:REGION:ACCOUNT_ID:log-group:/aws/deadline/FARM_ID/*"
    }
  ]
}

您还必须为该角色设置信任策略。在以下示例中，替换 placeholder 包含您的资源特定信息的文本。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": ["sts:AssumeRole"],
      "Effect": "Allow",
      "Principal": { "Service": "deadline.amazonaws.com" },
      "Condition": {
        "StringEquals": { "aws:SourceAccount": "ACCOUNT_ID" },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:deadline:REGION:ACCOUNT_ID:farm/FARM_ID"
        }
      }
    },
    {
      "Action": ["sts:AssumeRole"],
      "Effect": "Allow",
      "Principal": { "Service": "credentials.deadline.amazonaws.com" },
      "Condition": {
        "StringEquals": { "aws:SourceAccount": "ACCOUNT_ID" },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:deadline:REGION:ACCOUNT_ID:farm/FARM_ID"
        }
      }
    }
  ]
}

定制软件 Amazon S3 存储桶

您可以在中添加以下语句Queue Role以访问您的 Amazon S3 存储桶中的自定义软件。在以下示例中，替换 SOFTWARE_BUCKET_NAME 使用您的 S3 存储桶的名称。

"Statement": [ 
    {
        "Action": [
            "s3:GetObject",
            "s3:ListBucket"
        ],
        "Effect": "Allow",
        "Resource": [
            "arn:aws:s3:::SOFTWARE_BUCKET_NAME",
            "arn:aws:s3:::SOFTWARE_BUCKET_NAME/*"
        ]
    }
]

有关 Amazon S3 安全最佳实践的更多信息，请参阅《亚马逊简单存储服务用户指南》中的 Amazon S3 安全最佳实践。

工作人员主机

保护工作人员主机，以帮助确保每个用户只能为其分配的角色执行操作。

我们建议采用以下最佳做法来保护工作主机：

工作站

保护能够访问 Deadline Cloud 的工作站非常重要。这种方法有助于确保你提交给 Deadline Cloud 的任何任务都无法运行向你 AWS 账户计费的任意工作负载。

我们建议采用以下最佳做法来保护艺术家工作站的安全。有关更多信息，请参阅 责任共担模式。