Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Servicerollen

Wie Deadline Cloud IAM-Servicerollen verwendet

Deadline Cloud übernimmt automatisch IAM-Rollen und stellt temporäre Anmeldeinformationen für Mitarbeiter, Jobs und den Deadline Cloud-Monitor bereit. Dieser Ansatz macht die manuelle Verwaltung von Anmeldeinformationen überflüssig und gewährleistet gleichzeitig die Sicherheit durch eine rollenbasierte Zugriffskontrolle.

Wenn Sie Monitore, Flotten und Warteschlangen erstellen, geben Sie IAM-Rollen an, die Deadline Cloud in Ihrem Namen übernimmt. Mitarbeiter und der Deadline Cloud-Monitor erhalten dann temporäre Zugangsdaten von diesen Rollen. AWS-Services

Rolle „Flotte“

Konfigurieren Sie eine Flottenrolle, um Mitarbeitern von Deadline Cloud die Berechtigungen zu geben, die sie benötigen, um Arbeit entgegenzunehmen und den Fortschritt dieser Arbeit zu melden.

In der Regel müssen Sie diese Rolle nicht selbst konfigurieren. Diese Rolle kann in der Deadline Cloud-Konsole für Sie erstellt werden, um die erforderlichen Berechtigungen zu enthalten. Verwenden Sie die folgende Anleitung, um die Besonderheiten dieser Rolle zur Fehlerbehebung zu verstehen.

Wenn Sie Flotten programmgesteuert erstellen oder aktualisieren, geben Sie den ARN für die Flottenrolle mithilfe der API-Operationen CreateFleet oder UpdateFleet an.

Was macht die Flottenrolle

Die Flottenrolle bietet Mitarbeitern folgende Berechtigungen:

Richten Sie die Vertrauensrichtlinie für Flottenrollen ein

Ihre Flottenrolle muss dem Deadline Cloud-Dienst vertrauen und auf Ihre spezifische Farm zugeschnitten sein.

Als bewährte Methode sollte die Vertrauensrichtlinie Sicherheitsbedingungen für den Schutz von Confused Deputy beinhalten. Weitere Informationen zum Schutz vor Confused Deputy finden Sie unter Confused Deputy im Deadline Cloud-Benutzerhandbuch.

{
  "Version": "2012-10-17", 		 	 	 
  "Statement": [
    {
      "Sid": "AllowDeadlineCredentialsService",
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Principal": {
        "Service": "credentials.deadline.amazonaws.com"
      },
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "YOUR_ACCOUNT_ID"
        },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:deadline:REGION:YOUR_ACCOUNT_ID:farm/YOUR_FARM_ID"
        }
      }
    }
  ]
}

Hängen Sie die Berechtigungen für die Flottenrolle an

Fügen Sie Ihrer Flottenrolle die folgende AWS verwaltete Richtlinie hinzu:

AWSDeadlineCloud-FleetWorker

Diese verwaltete Richtlinie bietet Berechtigungen für:

Fügen Sie KMS-Berechtigungen für verschlüsselte Farmen hinzu

Wenn Ihre Farm mit einem KMS-Schlüssel erstellt wurde, fügen Sie diese Berechtigungen Ihrer Flottenrolle hinzu, um sicherzustellen, dass der Worker auf verschlüsselte Daten in der Farm zugreifen kann.

Die KMS-Berechtigungen sind nur erforderlich, wenn Ihrer Farm ein KMS-Schlüssel zugeordnet ist. Die kms:ViaService Bedingung muss das Format verwendendeadline.{region}.amazonaws.com.

Beim Erstellen einer Flotte wird eine CloudWatch Logs-Protokollgruppe für diese Flotte erstellt. Die Berechtigungen des Mitarbeiters werden vom Deadline Cloud-Dienst verwendet, um einen Log-Stream speziell für diesen bestimmten Mitarbeiter zu erstellen. Nachdem der Worker eingerichtet und ausgeführt wurde, verwendet der Worker diese Berechtigungen, um Protokollereignisse direkt an CloudWatch Logs zu senden.

{
  "Version": "2012-10-17", 		 	 	 
  "Statement": [
    {
      "Sid": "CreateLogStream",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream"
      ],
      "Resource": "arn:aws:logs:REGION:YOUR_ACCOUNT_ID:log-group:/aws/deadline/YOUR_FARM_ID/*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:CalledVia": [
            "deadline.REGION.amazonaws.com"
          ]
        }
      }
    },
    {
      "Sid": "ManageLogEvents",
      "Effect": "Allow",
      "Action": [
        "logs:PutLogEvents",
        "logs:GetLogEvents"
      ],
      "Resource": "arn:aws:logs:REGION:YOUR_ACCOUNT_ID:log-group:/aws/deadline/YOUR_FARM_ID/*"
    },
    {
      "Sid": "ManageKmsKey",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:DescribeKey",
        "kms:GenerateDataKey"
      ],
      "Resource": "YOUR_FARM_KMS_KEY_ARN",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "deadline.REGION.amazonaws.com"
        }
      }
    }
  ]
}

Änderung der Flottenrolle

Die Berechtigungen für die Flottenrolle sind nicht anpassbar. Die beschriebenen Berechtigungen sind immer erforderlich und das Hinzufügen zusätzlicher Berechtigungen hat keine Auswirkung.

Vom Kunden verwaltete Flottenhost-Rolle

Richten Sie eine WorkerHost Rolle ein, wenn Sie kundenverwaltete Flotten auf EC2 Amazon-Instances oder lokalen Hosts verwenden.

Was macht die Rolle WorkerHost

Durch diese WorkerHost Rolle werden Mitarbeiter auf vom Kunden verwaltete Flottenhosts angewiesen. Sie bietet die Mindestberechtigungen, die ein Host benötigt, um:

Richten Sie WorkerHost Rollenberechtigungen ein

Fügen Sie Ihrer WorkerHost Rolle die folgende AWS verwaltete Richtlinie hinzu:

AWSDeadlineCloud-WorkerHost

Diese verwaltete Richtlinie bietet Berechtigungen für:

Verstehen Sie den Bootstrap-Prozess

Die WorkerHost Rolle wird nur beim ersten Start des Workers verwendet:

Die WorkerHost Rolle wird nicht mehr verwendet, nachdem der Worker gestartet wurde. Diese Richtlinie ist für vom Service verwaltete Flotten nicht erforderlich. In vom Service verwalteten Flotten wird das Bootstrapping automatisch durchgeführt.

Rolle in der Warteschlange

Die Warteschlangenrolle wird vom Worker bei der Bearbeitung einer Aufgabe übernommen. Diese Rolle stellt die Berechtigungen bereit, die für die Ausführung der Aufgabe erforderlich sind.

Wenn Sie Warteschlangen programmgesteuert erstellen oder aktualisieren, geben Sie den ARN der Warteschlangenrolle mithilfe der API-Operationen CreateQueue oder UpdateQueue an.

Richten Sie die Vertrauensrichtlinie für die Warteschlangenrolle ein

Ihre Warteschlangenrolle muss dem Deadline Cloud-Dienst vertrauen.

Als bewährte Methode sollte die Vertrauensrichtlinie Sicherheitsbedingungen für den Schutz von Confused Deputy beinhalten. Weitere Informationen zum Schutz vor Confused Deputy finden Sie unter Confused Deputy im Deadline Cloud-Benutzerhandbuch.

{
  "Version": "2012-10-17", 		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "credentials.deadline.amazonaws.com",
          "deadline.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "YOUR_ACCOUNT_ID"
        },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:deadline:us-west-2:123456789012:farm/{farm-id}"
        }        
      }
    }
  ]
}

Verstehen Sie die Berechtigungen für Warteschlangenrollen

Die Warteschlangenrolle verwendet keine einzige verwaltete Richtlinie. Wenn Sie Ihre Warteschlange in der Konsole konfigurieren, erstellt Deadline Cloud stattdessen eine benutzerdefinierte Richtlinie für Ihre Warteschlange, die auf Ihrer Konfiguration basiert.

Diese automatisch erstellte Richtlinie bietet Zugriff auf:

Arbeitsanhänge

Lese- und Schreibzugriff auf Ihren angegebenen Amazon S3 S3-Bucket für Jobeingabe- und -ausgabedateien:

{
  "Effect": "Allow",
  "Action": [
    "s3:GetObject",
    "s3:PutObject", 
    "s3:ListBucket",
    "s3:GetBucketLocation"
  ],
  "Resource": [
    "arn:aws:s3:::YOUR_JOB_ATTACHMENTS_BUCKET",
    "arn:aws:s3:::YOUR_JOB_ATTACHMENTS_BUCKET/YOUR_PREFIX/*"
  ],
  "Condition": {
    "StringEquals": {
      "aws:ResourceAccount": "YOUR_ACCOUNT_ID"
    }
  }
}

Jobprotokolle

Lesezugriff auf CloudWatch Protokolle für Jobs in dieser Warteschlange. Jede Warteschlange hat ihre eigene Protokollgruppe und jede Sitzung hat ihren eigenen Protokollstream:

{
  "Effect": "Allow",
  "Action": [
    "logs:GetLogEvents"
  ],
  "Resource": "arn:aws:logs:REGION:YOUR_ACCOUNT_ID:log-group:/aws/deadline/YOUR_FARM_ID/*"
}

Software von Drittanbietern

Zugriff zum Herunterladen von Software von Drittanbietern, die von Deadline Cloud unterstützt wird (wie Maya, Blender und andere):

{
  "Effect": "Allow",
  "Action": [
    "s3:ListBucket",
    "s3:GetObject"
  ],
  "Resource": "*",
  "Condition": {
    "ArnLike": {
      "s3:DataAccessPointArn": "arn:aws:s3:*:*:accesspoint/deadline-software-*"
    },
    "StringEquals": {
      "s3:AccessPointNetworkOrigin": "VPC"
    }
  }
}

Fügen Sie Berechtigungen für Ihre Jobs hinzu

Fügen Sie Ihrer Warteschlangenrolle Berechtigungen hinzuAWS-Services, auf die Ihre Jobs zugreifen müssen. Beim Schreiben von OpenJobDescription Schrittskripten verwendet das SDK AWS CLI und automatisch die Anmeldeinformationen aus Ihrer Warteschlangenrolle. Verwenden Sie diese Option, um auf zusätzliche Dienste zuzugreifen, die Sie zur Erledigung Ihres Jobs benötigen.

Zu den beispielhaften Anwendungsfällen gehören:

Wie werden Anmeldeinformationen für Warteschlangenrollen verwendet

Deadline Cloud stellt Anmeldeinformationen für Warteschlangenrollen bereit für:

Deadline Cloud erstellt separate CloudWatch Logs-Protokollgruppen für jede Warteschlange. Jobs verwenden Anmeldeinformationen für Warteschlangenrollen, um Protokolle in die Protokollgruppe ihrer Warteschlange zu schreiben. Die CLI und der Monitor von Deadline Cloud verwenden die Warteschlangenrolle (durchdeadline:AssumeQueueRoleForRead), um Jobprotokolle aus der Protokollgruppe der Warteschlange zu lesen. Die CLI und der Monitor von Deadline Cloud verwenden die Warteschlangenrolle (durchdeadline:AssumeQueueRoleForUser), um Daten aus Jobanhängen hoch- oder herunterzuladen.

Rolle überwachen

Konfigurieren Sie eine Monitorrolle, um den Web- und Desktop-Anwendungen von Deadline Cloud Monitor Zugriff auf Ihre Deadline Cloud-Ressourcen zu gewähren.

Wenn Sie Monitore programmgesteuert erstellen oder aktualisieren, geben Sie den ARN der Monitorrolle mithilfe der UpdateMonitor API-Operationen CreateMonitor oder an.

Was macht die Monitorrolle

Die Monitorrolle ermöglicht es Deadline Cloud Monitor, Endbenutzern Zugriff auf Folgendes zu gewähren:

Richten Sie die Vertrauensrichtlinie für die Monitorrolle ein

Ihre Monitorrolle muss dem Deadline Cloud-Dienst vertrauen.

Als bewährte Methode sollte die Vertrauensrichtlinie Sicherheitsbedingungen für den Schutz von Confused Deputy beinhalten. Weitere Informationen zum Schutz vor Confused Deputy finden Sie unter Confused Deputy im Deadline Cloud-Benutzerhandbuch.

aws:SourceAccountstellt sicher, dass nur Ressourcen desselben AWS-Konto Unternehmens diese Rolle übernehmen können.

{
  "Version": "2012-10-17", 		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "credentials.deadline.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "YOUR_ACCOUNT_ID"
        }
      }
    }
  ]
}

Hängen Sie Berechtigungen für die Monitorrolle an

Ordnen Sie Ihrer Monitorrolle für den grundlegenden Betrieb alle folgenden AWS verwalteten Richtlinien zu:

So funktioniert die Monitorrolle

Bei Verwendung des Deadline Cloud-Monitors wird davon ausgegangen, dass sich ein Servicebenutzer mit der Monitorrolle anmeldet. Die Anmeldeinformationen für die Übernahme der Rolle werden von der Monitor-Anwendung verwendet, um die Monitor-Benutzeroberfläche anzuzeigen, einschließlich der Liste der Farmen, der Flotte, der Warteschlangen und anderer Informationen.

Wenn Sie die Desktop-Anwendung Deadline Cloud Monitor verwenden, werden diese Anmeldeinformationen zusätzlich auf der Workstation mithilfe eines benannten AWS Anmeldeinformationsprofils verfügbar gemacht, das dem vom Endbenutzer angegebenen Profilnamen entspricht. Weitere Informationen zu benannten Profilen finden Sie im AWSSDK- und Tools-Referenzhandbuch.

Mit diesem benannten Profil greifen die Deadline-CLI und die Einreicher auf Deadline Cloud-Ressourcen zu.

Anpassung der Monitorrolle für fortgeschrittene Desktop-Anwendungsfälle

Beachten Sie diese Richtlinien, wenn Sie Ihre Monitorrolle ändern:

Wie Deadline Cloud Monitor die Anmeldeinformationen für Monitorrollen verwendet

Deadline Cloud Monitor ruft bei der Authentifizierung automatisch die Anmeldeinformationen für die Monitorrolle ab. Auf diese Weise kann die Desktop-Anwendung erweiterte Überwachungsfunktionen bereitstellen, die über das hinausgehen, was in einem Standard-Webbrowser verfügbar ist.

Wenn Sie sich mit Deadline Cloud Monitor anmelden, wird automatisch ein Profil erstellt, das Sie mit dem AWS CLI oder einem anderen AWS Tool verwenden können. Dieses Profil verwendet die Anmeldeinformationen der Monitorrolle, sodass Sie programmgesteuerten Zugriff darauf erhalten, AWS-Services basierend auf den Berechtigungen in Ihrer Monitorrolle.

Deadline Cloud-Einreicher funktionieren genauso: Sie verwenden das von Deadline Cloud Monitor erstellte Profil, um AWS-Services mit den entsprechenden Rollenberechtigungen darauf zuzugreifen.

Erweiterte Anpassung der Deadline Cloud-Rollen

Sie können Deadline Cloud-Rollen um zusätzliche Berechtigungen erweitern, um erweiterte Anwendungsfälle zu ermöglichen, die über grundlegende Rendering-Workflows hinausgehen. Bei diesem Ansatz wird das Zugriffsverwaltungssystem von Deadline Cloud genutzt, um den Zugriff auf zusätzliche Funktionen auf der AWS-Services Grundlage der Warteschlangenmitgliedschaft zu steuern.

Zusammenarbeit im Team mit AWS CodeCommit

Fügen Sie Ihrer Warteschlangenrolle AWS CodeCommit Berechtigungen hinzu, um die Teamzusammenarbeit an Projekt-Repositorys zu ermöglichen. Bei diesem Ansatz wird das Zugriffsverwaltungssystem von Deadline Cloud für zusätzliche Anwendungsfälle verwendet. Nur Benutzer mit Zugriff auf die jeweilige Warteschlange erhalten diese AWS CodeCommit Berechtigungen, sodass Sie den Zugriff auf das Projekt-Repository über die Warteschlangenmitgliedschaft von Deadline Cloud verwalten können.

Dies ist nützlich für Szenarien, in denen Künstler im Rahmen ihres Rendering-Workflows auf projektspezifische Assets, Skripte oder Konfigurationsdateien zugreifen müssen, die in AWS CodeCommit Repositorys gespeichert sind.

Fügen Sie der Warteschlangenrolle AWS CodeCommit Berechtigungen hinzu

Fügen Sie Ihrer Warteschlangenrolle die folgenden Berechtigungen hinzu, um den AWS CodeCommit Zugriff zu ermöglichen:

{
  "Effect": "Allow",
  "Action": [
    "codecommit:GitPull",
    "codecommit:GitPush",
    "codecommit:GetRepository",
    "codecommit:ListRepositories"
  ],
  "Resource": "arn:aws:codecommit:REGION:YOUR_ACCOUNT_ID:PROJECT_REPOSITORY"
}

Richten Sie einen Anbieter für Anmeldeinformationen auf den Workstations von Künstlern ein

Konfigurieren Sie jede Künstler-Workstation so, dass sie die Deadline Cloud-Warteschlangenanmeldedaten für den AWS CodeCommit Zugriff verwendet. Diese Einrichtung wird einmal pro Workstation durchgeführt.

Ersetze farm-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX und queue-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX durch deine eigentliche Farm und Warteschlange IDs. REGIONErsetze es durch deine AWS Region (zum Beispielus-west-2).

AWS CodeCommitMit Anmeldedaten für die Warteschlange verwenden

Nach der Konfiguration verwenden Git-Operationen beim Zugriff auf AWS CodeCommit Repositorys automatisch die Anmeldeinformationen der Warteschlangenrolle. Der deadline queue export-credentials Befehl gibt temporäre Anmeldeinformationen zurück, die wie folgt aussehen:

{
  "Version": 1,
  "AccessKeyId": "ASIA...",
  "SecretAccessKey": "...",
  "SessionToken": "...",
  "Expiration": "2025-11-10T23:02:23+00:00"
}

Diese Anmeldeinformationen werden bei Bedarf automatisch aktualisiert, und Git-Operationen funktionieren reibungslos:

git clone https://git-codecommit.REGION.amazonaws.com/v1/repos/PROJECT_REPOSITORY
git pull
git push

Künstler können jetzt mit ihren Warteschlangenberechtigungen auf Projekt-Repositorys zugreifen, ohne separate Anmeldeinformationen zu benötigen. AWS CodeCommit Nur Benutzer mit Zugriff auf die jeweilige Warteschlange können auf das zugehörige Repository zugreifen. Dies ermöglicht eine detaillierte Zugriffskontrolle über das Warteschlangenmitgliedschaftssystem von Deadline Cloud.