Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Servicerollen

Wie Deadline Cloud IAM-Servicerollen verwendet

Deadline Cloud übernimmt automatisch IAM-Rollen und stellt temporäre Anmeldeinformationen für Mitarbeiter, Jobs und den Deadline Cloud-Monitor bereit. Dieser Ansatz macht die manuelle Verwaltung von Anmeldeinformationen überflüssig und gewährleistet gleichzeitig die Sicherheit durch eine rollenbasierte Zugriffskontrolle.

Vier Rollen decken den Lebenszyklus der Arbeit in einer Farm ab. In einer vom Kunden verwalteten Flotte beginnt ein neuer Host mit der Rolle Worker-Host, registriert sich damit als Worker und tauscht sie gegen Anmeldeinformationen für die Flottenrolle ein. Bei einer vom Service verwalteten Flotte führt der Service diesen Bootstrap für Sie durch, sodass nur die anderen drei Rollen zutreffen. Der Mitarbeiter verwendet die Flottenrolle, um Arbeit zu empfangen und den Fortschritt zu melden, und erhält während der Ausführung der einzelnen Jobs Anmeldeinformationen für die Warteschlangenrolle. Benutzer und Tools erhalten ihre Anmeldeinformationen von der Monitorrolle, wenn sie sich beim Deadline Cloud-Monitor anmelden.

Wenn Sie Monitore, Flotten und Warteschlangen in der Konsole erstellen, kann Deadline Cloud die Rollen Flotte, Warteschlange und Überwachung für Sie mit den erforderlichen Berechtigungen erstellen. Sie erstellen die Rolle „Worker-Host“ selbst, wenn Sie eine vom Kunden verwaltete Flotte einrichten. In den folgenden Abschnitten erfahren Sie mehr über die einzelnen Rollen zur Problembehebung, um die Rollen selbst zu erstellen oder um sie zu erweitern.

Rolle „Flotte“

Konfigurieren Sie eine Flottenrolle, um Mitarbeitern von Deadline Cloud die Berechtigungen zu geben, die sie benötigen, um Arbeit entgegenzunehmen und den Fortschritt dieser Arbeit zu melden.

In der Regel müssen Sie diese Rolle nicht selbst konfigurieren. Diese Rolle kann in der Deadline Cloud-Konsole für Sie erstellt werden, um die erforderlichen Berechtigungen zu enthalten. Verwenden Sie die folgende Anleitung, um die Besonderheiten dieser Rolle zur Fehlerbehebung zu verstehen.

Wenn Sie Flotten programmgesteuert erstellen oder aktualisieren, geben Sie den ARN für die Flottenrolle mithilfe der API-Operationen CreateFleet oder UpdateFleet an.

Was macht die Flottenrolle

Die Flottenrolle bietet Mitarbeitern folgende Berechtigungen:

Richten Sie die Vertrauensrichtlinie für Flottenrollen ein

Ihre Flottenrolle muss dem Deadline Cloud-Dienst vertrauen und auf Ihre spezifische Farm zugeschnitten sein.

Als bewährte Methode sollte die Vertrauensrichtlinie Sicherheitsbedingungen für den Schutz von Confused Deputy beinhalten. Weitere Informationen zum Schutz vor Confused Deputy finden Sie unter Confused Deputy im Deadline Cloud-Benutzerhandbuch.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowDeadlineCredentialsService",
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Principal": {
        "Service": "credentials.deadline.amazonaws.com"
      },
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "YOUR_ACCOUNT_ID"
        },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:deadline:REGION:YOUR_ACCOUNT_ID:farm/YOUR_FARM_ID"
        }
      }
    }
  ]
}

Hängen Sie die Berechtigungen für die Flottenrolle an

Jede Flottenrolle benötigt zwei Richtlinien: die AWSDeadlineCloud-FleetWorker verwaltete Richtlinie für Deadline Cloud API-Operationen und eine von Ihnen erstellte Richtlinie, die Zugriff auf die CloudWatch Log-Protokollgruppe der Flotte gewährt. Mitarbeiter können erst beginnen, wenn die Flottenrolle beides hat.

Fügen Sie Ihrer Flottenrolle die folgende AWS verwaltete Richtlinie hinzu:

AWSDeadlineCloud-FleetWorker

Diese verwaltete Richtlinie bietet Berechtigungen für:

Die verwaltete Richtlinie beinhaltet keine CloudWatch Protokollberechtigungen, da sie auf die Protokollgruppen in Ihrer Farm beschränkt sind. Fügen Sie Ihrer Flottenrolle auch die folgende Richtlinie hinzu. Wenn Sie eine Flotte erstellen, erstellt Deadline Cloud dafür eine CloudWatch Logs-Protokollgruppe. Wenn ein Mitarbeiter startet, verwendet Deadline Cloud die Flottenrolle, um einen Log-Stream für diesen Mitarbeiter zu erstellen. Daher verwendet die logs:CreateLogStream Anweisung die aws:CalledVia Bedingung, um den Anruf nur zuzulassen, wenn er über den Deadline Cloud-Dienst eingeht. Sobald der Worker läuft, sendet er seine logs:PutLogEvents Protokollereignisse früher direkt an CloudWatch Logs, und der Deadline Cloud-Monitor logs:GetLogEvents liest sie dann.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "CreateLogStream",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream"
      ],
      "Resource": "arn:aws:logs:REGION:YOUR_ACCOUNT_ID:log-group:/aws/deadline/YOUR_FARM_ID/*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:CalledVia": [
            "deadline.amazonaws.com"
          ]
        }
      }
    },
    {
      "Sid": "ManageLogEvents",
      "Effect": "Allow",
      "Action": [
        "logs:PutLogEvents",
        "logs:GetLogEvents"
      ],
      "Resource": "arn:aws:logs:REGION:YOUR_ACCOUNT_ID:log-group:/aws/deadline/YOUR_FARM_ID/*"
    }
  ]
}

Wenn die Flottenrolle fehltlogs:CreateLogStream, kann Deadline Cloud den Log-Stream des Workers nicht erstellen und der Worker startet nicht mit einemAccessDeniedException. Bei einer Flotte mit Servicemanagement können die Worker, die Deadline Cloud startet, nicht starten, sodass die Flotte so lange nicht funktioniert, bis Sie die entsprechende Genehmigung hinzufügen.

Fügen Sie KMS-Berechtigungen für verschlüsselte Farmen hinzu

Wenn Ihre Farm mit einem KMS-Schlüssel erstellt wurde, fügen Sie diese Berechtigungen auch Ihrer Flottenrolle hinzu, damit der Worker auf verschlüsselte Daten in der Farm zugreifen kann.

Die KMS-Berechtigungen sind nur erforderlich, wenn Ihrer Farm ein KMS-Schlüssel zugeordnet ist. Die kms:ViaService Bedingung muss das Format verwendendeadline.{region}.amazonaws.com.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "ManageKmsKey",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:DescribeKey",
        "kms:GenerateDataKey"
      ],
      "Resource": "YOUR_FARM_KMS_KEY_ARN",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "deadline.REGION.amazonaws.com"
        }
      }
    }
  ]
}

Änderung der Flottenrolle

Die Berechtigungen für die Flottenrolle sind nicht anpassbar. Die beschriebenen Berechtigungen sind immer erforderlich und das Hinzufügen zusätzlicher Berechtigungen hat keine Auswirkung.

Rolle als Worker-Host

Richten Sie eine Worker-Host-Rolle ein, wenn Sie kundenverwaltete Flotten auf Amazon EC2 EC2-Instances oder lokalen Hosts verwenden.

Was macht die Worker-Host-Rolle

Die Rolle „Worker-Host“ (WorkerHost) bietet Mitarbeitern Zugriff auf vom Kunden verwaltete Flottenhosts. Sie bietet die Mindestberechtigungen, die ein Host benötigt, um:

Richten Sie Berechtigungen für die Rolle „Worker-Host“ ein

Fügen Sie Ihrer Worker-Host-Rolle die folgende AWS verwaltete Richtlinie hinzu:

AWSDeadlineCloud-WorkerHost

Diese verwaltete Richtlinie bietet Berechtigungen für:

Verstehen Sie den Bootstrap-Prozess

Die Worker-Host-Rolle wird nur beim ersten Worker-Start verwendet:

Nachdem der Worker gestartet wurde, verwendet er die Worker-Host-Rolle nicht mehr. Service-managed Flotten benötigen diese Rolle nicht, da der Dienst den Bootstrap automatisch durchführt.

Rolle in der Warteschlange

Die Warteschlangenrolle wird vom Worker bei der Bearbeitung einer Aufgabe übernommen. Diese Rolle stellt die Berechtigungen bereit, die für die Ausführung der Aufgabe erforderlich sind.

Wenn Sie Warteschlangen programmgesteuert erstellen oder aktualisieren, geben Sie den ARN der Warteschlangenrolle mithilfe der API-Operationen CreateQueue oder UpdateQueue an.

Richten Sie die Vertrauensrichtlinie für die Warteschlangenrolle ein

Ihre Warteschlangenrolle muss dem Deadline Cloud-Dienst vertrauen.

Als bewährte Methode sollte die Vertrauensrichtlinie Sicherheitsbedingungen für den Schutz von Confused Deputy beinhalten. Weitere Informationen zum Schutz vor Confused Deputy finden Sie unter Confused Deputy im Deadline Cloud-Benutzerhandbuch.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "credentials.deadline.amazonaws.com",
          "deadline.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "YOUR_ACCOUNT_ID"
        },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:deadline:us-west-2:123456789012:farm/{farm-id}"
        }        
      }
    }
  ]
}

Verstehen Sie die Berechtigungen für Warteschlangenrollen

Die Warteschlangenrolle verwendet keine einzige verwaltete Richtlinie. Wenn Sie Ihre Warteschlange in der Konsole konfigurieren, erstellt Deadline Cloud stattdessen eine benutzerdefinierte Richtlinie für Ihre Warteschlange, die auf Ihrer Konfiguration basiert.

Diese automatisch erstellte Richtlinie bietet Zugriff auf:

Arbeitsanhänge

Lese- und Schreibzugriff auf Ihren angegebenen Amazon S3 S3-Bucket für Jobeingabe- und -ausgabedateien:

{
  "Effect": "Allow",
  "Action": [
    "s3:GetObject",
    "s3:PutObject", 
    "s3:ListBucket",
    "s3:GetBucketLocation"
  ],
  "Resource": [
    "arn:aws:s3:::YOUR_JOB_ATTACHMENTS_BUCKET",
    "arn:aws:s3:::YOUR_JOB_ATTACHMENTS_BUCKET/YOUR_PREFIX/*"
  ],
  "Condition": {
    "StringEquals": {
      "aws:ResourceAccount": "YOUR_ACCOUNT_ID"
    }
  }
}

Job-Logs

Lesezugriff auf CloudWatch Protokolle für Jobs in dieser Warteschlange. Jede Warteschlange hat ihre eigene Protokollgruppe und jede Sitzung hat ihren eigenen Protokollstream:

{
  "Effect": "Allow",
  "Action": [
    "logs:GetLogEvents"
  ],
  "Resource": "arn:aws:logs:REGION:YOUR_ACCOUNT_ID:log-group:/aws/deadline/YOUR_FARM_ID/*"
}

Third-party Software

Zugang zum Herunterladen von Software von Drittanbietern, die von Deadline Cloud unterstützt wird (wie Maya, Blender und andere):

{
  "Effect": "Allow",
  "Action": [
    "s3:ListBucket",
    "s3:GetObject"
  ],
  "Resource": "*",
  "Condition": {
    "ArnLike": {
      "s3:DataAccessPointArn": "arn:aws:s3:*:*:accesspoint/deadline-software-*"
    },
    "StringEquals": {
      "s3:AccessPointNetworkOrigin": "VPC"
    }
  }
}

Fügen Sie Berechtigungen für Ihre Jobs hinzu

Fügen Sie Ihrer Warteschlangenrolle Berechtigungen hinzu AWS-Services , auf die Ihre Jobs zugreifen müssen. Beim Schreiben von OpenJobDescription Schrittskripten verwendet das SDK AWS CLI und automatisch die Anmeldeinformationen aus Ihrer Warteschlangenrolle. Verwenden Sie diese Option, um auf zusätzliche Dienste zuzugreifen, die Sie zur Erledigung Ihres Jobs benötigen.

Zu den beispielhaften Anwendungsfällen gehören:

Wie werden Anmeldeinformationen für Warteschlangenrollen verwendet

Deadline Cloud stellt Anmeldeinformationen für Warteschlangenrollen bereit für:

Deadline Cloud erstellt separate CloudWatch Logs-Protokollgruppen für jede Warteschlange. Die CLI und der Monitor von Deadline Cloud verwenden die Warteschlangenrolle (durchdeadline:AssumeQueueRoleForRead), um Jobprotokolle aus der Protokollgruppe der Warteschlange zu lesen. Die CLI und der Monitor von Deadline Cloud verwenden die Warteschlangenrolle (durchdeadline:AssumeQueueRoleForUser), um Daten aus Jobanhängen hoch- oder herunterzuladen.

Rolle überwachen

Konfigurieren Sie eine Monitorrolle, um den Web- und Desktop-Anwendungen von Deadline Cloud Monitor Zugriff auf Ihre Deadline Cloud-Ressourcen zu gewähren.

Wenn Sie Monitore programmgesteuert erstellen oder aktualisieren, geben Sie den ARN der Monitorrolle mithilfe der UpdateMonitor API-Operationen CreateMonitor oder an.

Was macht die Monitorrolle

Die Monitorrolle ermöglicht es Deadline Cloud Monitor, Endbenutzern Zugriff auf Folgendes zu gewähren:

Richten Sie die Vertrauensrichtlinie für die Monitorrolle ein

Ihre Monitorrolle muss dem Deadline Cloud-Dienst vertrauen.

Als bewährte Methode sollte die Vertrauensrichtlinie Sicherheitsbedingungen für den Schutz von Confused Deputy beinhalten. Weitere Informationen zum Schutz vor Confused Deputy finden Sie unter Confused Deputy im Deadline Cloud-Benutzerhandbuch.

aws:SourceAccountstellt sicher, dass nur Ressourcen desselben AWS-Konto Unternehmens diese Rolle übernehmen können.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "credentials.deadline.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "YOUR_ACCOUNT_ID"
        }
      }
    }
  ]
}

Hängen Sie Berechtigungen für die Monitorrolle an

Ordnen Sie Ihrer Monitorrolle für den grundlegenden Betrieb alle folgenden AWS verwalteten Richtlinien zu:

So funktioniert die Monitorrolle

Bei Verwendung des Deadline Cloud-Monitors meldet sich ein Dienstbenutzer mit AWS IAM Identity Center (IAM Identity Center) an, und die Monitorrolle wird übernommen. Die angenommenen Rollenanmeldedaten werden von der Monitor-Anwendung verwendet, um die Monitor-Benutzeroberfläche anzuzeigen, einschließlich der Liste der Farmen, Flotten, Warteschlangen und anderer Informationen.

Wenn Sie die Desktop-Anwendung Deadline Cloud Monitor verwenden, werden diese Anmeldeinformationen zusätzlich auf der Workstation mithilfe eines benannten AWS Anmeldeinformationsprofils verfügbar gemacht, das dem vom Endbenutzer angegebenen Profilnamen entspricht. Weitere Informationen zu benannten Profilen finden Sie im AWS SDK- und Tools-Referenzhandbuch.

Mit diesem benannten Profil greifen die Deadline-CLI und die Einreicher auf Deadline Cloud-Ressourcen zu.

Anpassung der Monitorrolle für fortgeschrittene Anwendungsfälle

Sie können die Monitorrolle anpassen, um zu ändern, was Benutzer auf den einzelnen Zugriffsebenen (Betrachter, Mitwirkender, Manager, Besitzer) tun können, oder um Berechtigungen für erweiterte Workflows hinzuzufügen.

Berechtigungen auf Zugriffsebene anpassen

Die vier AWS verwalteten Richtlinien, die der Monitorrolle zugeordnet sind, steuern, was die einzelnen Zugriffsebenen tun können. Sie können der Monitorrolle benutzerdefinierte Richtlinien hinzufügen, um mithilfe des deadline:MembershipLevel Bedingungsschlüssels Berechtigungen für bestimmte Zugriffsebenen zu gewähren oder einzuschränken.

Um es Mitwirkenden beispielsweise zu ermöglichen, Jobs zu aktualisieren und zu stornieren (was normalerweise nur Managern und Inhabern vorbehalten ist), fügen Sie eine Richtlinie wie die folgende hinzu:

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "deadline:UpdateJob",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "deadline:MembershipLevel": "CONTRIBUTOR"
        }
      }
    }
  ]
}

Mit dieser Richtlinie können Mitwirkende Jobs nicht nur einreichen, sondern auch aktualisieren und stornieren.

Hinzufügen von Berechtigungen für erweiterte Workflows

Sie können der Monitorrolle benutzerdefinierte IAM-Richtlinien hinzufügen, um allen Monitor-Benutzern zusätzliche Berechtigungen zu gewähren. Benutzerdefinierte Richtlinien sind nützlich für erweiterte Scripting-Workflows, bei denen Benutzer Zugriff auf Funktionen benötigen, die AWS-Services über die Standardfunktionen von Deadline Cloud hinausgehen.

Beachten Sie diese Richtlinien, wenn Sie Ihre Monitorrolle ändern:

Wie Deadline Cloud Monitor die Anmeldeinformationen für Monitorrollen verwendet

Deadline Cloud Monitor ruft bei der Authentifizierung automatisch die Anmeldeinformationen für die Monitorrolle ab. Diese temporären Anmeldeinformationen sind 15 Minuten gültig und werden automatisch aktualisiert, solange Sie bei IAM Identity Center angemeldet sind. Diese Funktion ermöglicht es der Desktop-Anwendung, Überwachungsfunktionen bereitzustellen, die über das hinausgehen, was in einem Standard-Webbrowser verfügbar ist.

Wenn Sie sich mit Deadline Cloud Monitor anmelden, wird automatisch ein Profil erstellt, das Sie mit dem AWS CLI oder einem anderen AWS Tool verwenden können. Dieses Profil verwendet die Anmeldeinformationen der Monitorrolle, sodass Sie programmgesteuerten Zugriff darauf erhalten, AWS-Services basierend auf den Berechtigungen in Ihrer Monitorrolle.

Deadline Cloud-Einreicher funktionieren genauso: Sie verwenden das von Deadline Cloud Monitor erstellte Profil, um AWS-Services mit den entsprechenden Rollenberechtigungen darauf zuzugreifen.

Erweiterte Anpassung der Deadline Cloud-Rollen

Sie können Deadline Cloud-Rollen um zusätzliche Berechtigungen erweitern, um erweiterte Anwendungsfälle zu ermöglichen, die über grundlegende Rendering-Workflows hinausgehen. Bei diesem Ansatz wird das Zugriffsverwaltungssystem in Deadline Cloud verwendet, um den Zugriff auf zusätzliche Funktionen auf der AWS-Services Grundlage der Warteschlangenmitgliedschaft zu steuern.

Zusammenarbeit im Team mit AWS CodeCommit

Fügen Sie Ihrer Warteschlangenrolle AWS CodeCommit Berechtigungen hinzu, um die Teamzusammenarbeit an Projekt-Repositorys zu ermöglichen. Bei diesem Ansatz wird das Zugriffsverwaltungssystem in Deadline Cloud für zusätzliche Anwendungsfälle verwendet. Nur Benutzer mit Zugriff auf die jeweilige Warteschlange erhalten diese AWS CodeCommit Berechtigungen, sodass Sie den Projekt-Repository-Zugriff über die Deadline Cloud-Warteschlangenmitgliedschaft verwalten können.

Der Zugriff auf das Repository über die Warteschlangenmitgliedschaft ist nützlich, wenn Künstler im Rahmen ihres Rendering-Workflows auf projektspezifische Assets, Skripte oder Konfigurationsdateien zugreifen müssen, die in AWS CodeCommit Repositorys gespeichert sind.

Addition AWS CodeCommit Berechtigungen für die Warteschlangenrolle

Fügen Sie Ihrer Warteschlangenrolle die folgenden Berechtigungen hinzu, um den AWS CodeCommit Zugriff zu ermöglichen:

{
  "Effect": "Allow",
  "Action": [
    "codecommit:GitPull",
    "codecommit:GitPush",
    "codecommit:GetRepository",
    "codecommit:ListRepositories"
  ],
  "Resource": "arn:aws:codecommit:REGION:YOUR_ACCOUNT_ID:PROJECT_REPOSITORY"
}

Richten Sie einen Anbieter für Anmeldeinformationen auf den Workstations von Künstlern ein

Konfigurieren Sie jede Künstler-Workstation so, dass sie die Deadline Cloud-Warteschlangenanmeldedaten für den AWS CodeCommit Zugriff verwendet. Diese Einrichtung wird einmal pro Workstation durchgeführt.

Ersetze farm-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX und queue-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX durch deine tatsächlichen Farm- und Warteschlangenkennungen. REGIONErsetze es durch deine AWS Region (z. B.us-west-2).

Verwenden AWS CodeCommit mit Anmeldedaten für die Warteschlange

Nach der Konfiguration verwenden Git-Operationen beim Zugriff auf AWS CodeCommit Repositorys automatisch die Anmeldeinformationen der Warteschlangenrolle. Der deadline queue export-credentials Befehl gibt temporäre Anmeldeinformationen zurück, die wie folgt aussehen:

{
  "Version": 1,
  "AccessKeyId": "ASIA...",
  "SecretAccessKey": "...",
  "SessionToken": "...",
  "Expiration": "2025-11-10T23:02:23+00:00"
}

Deadline Cloud aktualisiert diese Anmeldeinformationen bei Bedarf automatisch, und Ihre Git-Operationen funktionieren ohne zusätzliche Konfiguration:

git clone https://git-codecommit.REGION.amazonaws.com/v1/repos/PROJECT_REPOSITORY
git pull
git push

Künstler können jetzt mit ihren Warteschlangenberechtigungen auf Projekt-Repositorys zugreifen, ohne separate Anmeldeinformationen zu benötigen. AWS CodeCommit Nur Benutzer mit Zugriff auf die jeweilige Warteschlange können auf das zugehörige Repository zugreifen, sodass Sie den Zugriff auf das Repository über die Warteschlangenmitgliedschaft in Deadline Cloud kontrollieren können.