Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Roles de servicio

Cómo utiliza Deadline Cloud las funciones de servicio de IAM

Deadline Cloud asume automáticamente las funciones de IAM y proporciona credenciales temporales a los trabajadores, los puestos de trabajo y el monitor de Deadline Cloud. Este enfoque elimina la administración manual de credenciales y, al mismo tiempo, mantiene la seguridad mediante un control de acceso basado en roles.

Cuatro funciones cubren el ciclo de vida del trabajo en una granja. En una flota gestionada por el cliente, un nuevo anfitrión comienza con el rol de anfitrión trabajador, lo usa para registrarse como trabajador y lo cambia por credenciales de rol de flota. En una flota gestionada por un servicio, el servicio realiza esa tarea inicial por usted, por lo que solo se aplican las otras tres funciones. El trabajador usa el rol de flota para recibir el trabajo e informar sobre su progreso, y recibe las credenciales del rol de cola mientras ejecuta cada trabajo. Las personas y las herramientas obtienen sus credenciales del rol de monitor cuando inician sesión en el monitor de Deadline Cloud.

Al crear monitores, flotas y colas en la consola, Deadline Cloud puede crearte las funciones de flota, cola y monitor con los permisos necesarios. El rol de trabajador anfitrión lo creas tú mismo cuando configuras una flota gestionada por el cliente. Utilice las siguientes secciones para comprender cada función a la hora de solucionar problemas, para crearlas usted mismo o para ampliarlas.

Función de flota

Configura un rol de flota para dar a los trabajadores de Deadline Cloud los permisos que necesitan para recibir trabajo e informar sobre el progreso de ese trabajo.

Por lo general, no es necesario que configure este rol usted mismo. Este rol se puede crear automáticamente en la consola de Deadline Cloud para incluir los permisos necesarios. Utilice la siguiente guía para comprender las características específicas de esta función a la hora de solucionar problemas.

Al crear o actualizar flotas mediante programación, especifique el ARN del rol de la flota mediante las operaciones o API. CreateFleet UpdateFleet

¿Qué hace la función de flota

La función de flota proporciona a los trabajadores permisos para:

Configure la política de confianza en los roles de la flota

Tu función en la flota debe confiar en el servicio Deadline Cloud y estar relacionada con tu granja específica.

Como práctica recomendada, la política de confianza debe incluir condiciones de seguridad para la protección de Confused Deputy. Para obtener más información sobre la protección de Confused Deputy, consulte la guía del usuario de Confused Deadline Cloud.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowDeadlineCredentialsService",
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Principal": {
        "Service": "credentials.deadline.amazonaws.com"
      },
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "YOUR_ACCOUNT_ID"
        },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:deadline:REGION:YOUR_ACCOUNT_ID:farm/YOUR_FARM_ID"
        }
      }
    }
  ]
}

Adjunta los permisos del rol de Fleet

Cada función de flota necesita dos políticas: la política AWSDeadlineCloud-FleetWorker gestionada para las operaciones de la API de Deadline Cloud y una política que tú crees y que permita el acceso al grupo de CloudWatch registros de la flota. Los trabajadores no pueden empezar hasta que el rol de flota cuente con ambas funciones.

Adjunta la siguiente política AWS gestionada a tu función de flota:

AWSDeadlineCloud-FleetWorker

Esta política gestionada proporciona permisos para:

La política gestionada no incluye los permisos de registro porque están limitados a los grupos de CloudWatch registros de su granja. Añada también la siguiente política a su función de flota. Al crear una flota, Deadline Cloud crea un grupo de CloudWatch registros para ella. Cuando un trabajador comienza, Deadline Cloud usa el rol de flota para crear un flujo de registro para ese trabajador, por lo que la logs:CreateLogStream declaración usa la aws:CalledVia condición para permitir la llamada solo cuando se realiza a través del servicio Deadline Cloud. Una vez que el trabajador está corriendo, envía sus eventos de registro directamente a CloudWatch Logs y el monitor de Deadline Cloud logs:GetLogEvents los lee. logs:PutLogEvents

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "CreateLogStream",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream"
      ],
      "Resource": "arn:aws:logs:REGION:YOUR_ACCOUNT_ID:log-group:/aws/deadline/YOUR_FARM_ID/*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:CalledVia": [
            "deadline.amazonaws.com"
          ]
        }
      }
    },
    {
      "Sid": "ManageLogEvents",
      "Effect": "Allow",
      "Action": [
        "logs:PutLogEvents",
        "logs:GetLogEvents"
      ],
      "Resource": "arn:aws:logs:REGION:YOUR_ACCOUNT_ID:log-group:/aws/deadline/YOUR_FARM_ID/*"
    }
  ]
}

Si falta el rol de flotalogs:CreateLogStream, Deadline Cloud no puede crear el flujo de registro del trabajador y este no podrá empezar con unAccessDeniedException. En una flota gestionada por un servicio, los trabajadores que Deadline Cloud lanza no pueden empezar, por lo que la flota permanece en mal estado hasta que añadas el permiso.

Agregue permisos de KMS para granjas cifradas

Si su granja se creó con una clave KMS, añada también estos permisos a su función de flota para que el trabajador pueda acceder a los datos cifrados de la granja.

Los permisos de KMS solo son necesarios si la granja tiene una clave de KMS asociada. La kms:ViaService condición debe usar el formatodeadline.{region}.amazonaws.com.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "ManageKmsKey",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:DescribeKey",
        "kms:GenerateDataKey"
      ],
      "Resource": "YOUR_FARM_KMS_KEY_ARN",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "deadline.REGION.amazonaws.com"
        }
      }
    }
  ]
}

Modificar el rol de la flota

Los permisos para el rol de flota no se pueden personalizar. Los permisos descritos son siempre obligatorios y añadir permisos adicionales no tiene ningún efecto.

Trabajador, función de anfitrión

Configure un rol de trabajador anfitrión si usa flotas administradas por el cliente en instancias de Amazon EC2 o hosts locales.

¿Qué hace el rol de trabajador anfitrión

El rol de trabajador anfitrión (WorkerHost) impulsa a los trabajadores a trabajar en los hosts de flota gestionados por el cliente. Proporciona los permisos mínimos necesarios para que un anfitrión:

Configure los permisos del rol de anfitrión del trabajador

Adjunte la siguiente política AWS gestionada a su función de anfitrión de trabajador:

AWSDeadlineCloud-WorkerHost

Esta política gestionada proporciona permisos para:

Comprenda el proceso de arranque

La función de anfitrión del trabajador solo se usa durante la puesta en marcha inicial del trabajador:

Una vez que el trabajador comienza a correr, deja de usar el rol de anfitrión del trabajador. Service-managed las flotas no necesitan esta función porque el servicio realiza el arranque automáticamente.

Función de cola

El trabajador asume la función de cola al procesar una tarea. Este rol proporciona los permisos necesarios para completar la tarea.

Al crear o actualizar colas mediante programación, especifique el ARN del rol de cola mediante las operaciones o API. CreateQueue UpdateQueue

Configure la política de confianza de los roles de cola

Tu rol de cola debe confiar en el servicio Deadline Cloud.

Como práctica recomendada, la política de confianza debe incluir condiciones de seguridad para la protección de Confused Deputy. Para obtener más información sobre la protección de Confused Deputy, consulte la guía del usuario de Confused Deadline Cloud.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "credentials.deadline.amazonaws.com",
          "deadline.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "YOUR_ACCOUNT_ID"
        },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:deadline:us-west-2:123456789012:farm/{farm-id}"
        }        
      }
    }
  ]
}

Comprenda los permisos de los roles de cola

El rol de cola no usa una única política administrada. En su lugar, al configurar la cola en la consola, Deadline Cloud crea una política personalizada para la cola en función de la configuración.

Esta política creada automáticamente proporciona acceso a:

Adjuntos de trabajo

Acceso de lectura y escritura al bucket de Amazon S3 especificado para los archivos de entrada y salida de trabajos:

{
  "Effect": "Allow",
  "Action": [
    "s3:GetObject",
    "s3:PutObject", 
    "s3:ListBucket",
    "s3:GetBucketLocation"
  ],
  "Resource": [
    "arn:aws:s3:::YOUR_JOB_ATTACHMENTS_BUCKET",
    "arn:aws:s3:::YOUR_JOB_ATTACHMENTS_BUCKET/YOUR_PREFIX/*"
  ],
  "Condition": {
    "StringEquals": {
      "aws:ResourceAccount": "YOUR_ACCOUNT_ID"
    }
  }
}

Registros de trabajo

Acceso de lectura a CloudWatch los registros de los trabajos de esta cola. Cada cola tiene su propio grupo de registros y cada sesión tiene su propio flujo de registro:

{
  "Effect": "Allow",
  "Action": [
    "logs:GetLogEvents"
  ],
  "Resource": "arn:aws:logs:REGION:YOUR_ACCOUNT_ID:log-group:/aws/deadline/YOUR_FARM_ID/*"
}

Third-party software

Acceso para descargar software de terceros compatible con Deadline Cloud (como Maya, Blender y otros):

{
  "Effect": "Allow",
  "Action": [
    "s3:ListBucket",
    "s3:GetObject"
  ],
  "Resource": "*",
  "Condition": {
    "ArnLike": {
      "s3:DataAccessPointArn": "arn:aws:s3:*:*:accesspoint/deadline-software-*"
    },
    "StringEquals": {
      "s3:AccessPointNetworkOrigin": "VPC"
    }
  }
}

Añade permisos para tus trabajos

Añada permisos a su función de cola a los Servicios de AWS que necesiten acceder sus trabajos. Al escribir scripts de OpenJobDescription pasos, el SDK AWS CLI y el SDK utilizarán automáticamente las credenciales de tu rol de cola. Utilícela para acceder a los servicios adicionales necesarios para completar su trabajo.

Entre los casos de uso de ejemplo se incluyen:

Cómo se utilizan las credenciales de los roles de cola

Deadline Cloud proporciona credenciales de rol de cola para:

Deadline Cloud crea grupos de CloudWatch registros independientes para cada cola. La CLI y el monitor de Deadline Cloud utilizan la función de cola (mediantedeadline:AssumeQueueRoleForRead) para leer los registros de trabajos del grupo de registros de la cola. La CLI y el monitor de Deadline Cloud utilizan la función de cola (mediantedeadline:AssumeQueueRoleForUser) para cargar o descargar datos adjuntos de trabajos.

Función de supervisión

Configura una función de monitor para que las aplicaciones web y de escritorio del monitor de Deadline Cloud accedan a tus recursos de Deadline Cloud.

Al crear o actualizar monitores mediante programación, especifique el ARN del rol de monitor mediante las CreateMonitor operaciones o API. UpdateMonitor

¿Qué hace la función de monitor

La función de monitor permite a Deadline Cloud Monitor proporcionar a los usuarios finales acceso a:

Configure la política de confianza de los roles de monitor

Su función de monitor debe confiar en el servicio Deadline Cloud.

Como práctica recomendada, la política de confianza debe incluir condiciones de seguridad para la protección de Confused Deputy. Para obtener más información sobre la protección de Confused Deputy, consulte la guía del usuario de Confused Deadline Cloud.

aws:SourceAccountgarantiza que solo los recursos de la misma Cuenta de AWS entidad puedan asumir esta función.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "credentials.deadline.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "YOUR_ACCOUNT_ID"
        }
      }
    }
  ]
}

Adjunte permisos a la función de monitor

Adjunte todas las siguientes políticas AWS administradas a su función de monitor para un funcionamiento básico:

Cómo funciona la función de monitor

Cuando se utiliza el monitor de Deadline Cloud, un usuario del servicio inicia sesión con AWS IAM Identity Center (IAM Identity Center) y asume la función de monitor. La aplicación del monitor utiliza las credenciales del rol asumido para mostrar la interfaz de usuario del monitor, que incluye la lista de granjas, flotas, colas y otra información.

Cuando se utiliza la aplicación de escritorio de monitoreo Deadline Cloud, estas credenciales también están disponibles en la estación de trabajo mediante un perfil de AWS credenciales con nombre que corresponde al nombre del perfil proporcionado por el usuario final. Obtén más información sobre los perfiles con nombre en la guía de referencia del AWS SDK y las herramientas.

Este perfil con nombre es la forma en que la CLI de Deadline y los remitentes acceden a los recursos de Deadline Cloud.

Personalización de la función de monitor para casos de uso avanzados

Puede personalizar la función de monitor para modificar lo que los usuarios pueden hacer en cada nivel de acceso (espectador, colaborador, administrador, propietario) o para añadir permisos para flujos de trabajo avanzados.

Personalización de los permisos de nivel de acceso

Las cuatro políticas AWS administradas asociadas a la función de monitor controlan lo que puede hacer cada nivel de acceso. Puede añadir políticas personalizadas a la función de monitor para conceder o restringir los permisos para niveles de acceso específicos mediante la clave de deadline:MembershipLevel condición.

Por ejemplo, para permitir que los colaboradores actualicen y cancelen trabajos (lo que normalmente está restringido a los gerentes y propietarios), agrega una política como la siguiente:

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "deadline:UpdateJob",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "deadline:MembershipLevel": "CONTRIBUTOR"
        }
      }
    }
  ]
}

Con esta política, los colaboradores pueden actualizar y cancelar trabajos además de enviarlos.

Añadir permisos para flujos de trabajo avanzados

Puede añadir políticas de IAM personalizadas a la función de monitor para conceder permisos adicionales a todos los usuarios del monitor. Las políticas personalizadas son útiles para los flujos de trabajo de creación de scripts avanzados en los que los usuarios necesitan acceder a una funcionalidad que Servicios de AWS va más allá de la estándar de Deadline Cloud.

Siga estas pautas al modificar su función de monitor:

Cómo usa Deadline Cloud Monitor las credenciales de los roles de monitor

El monitor de Deadline Cloud obtiene automáticamente las credenciales del rol de monitor cuando te autenticas. Estas credenciales temporales duran 15 minutos y se actualizan automáticamente siempre que haya iniciado sesión en el IAM Identity Center. Esta capacidad permite que la aplicación de escritorio proporcione capacidades de supervisión más allá de las disponibles en un navegador web estándar.

Cuando inicias sesión con el monitor Deadline Cloud, este crea automáticamente un perfil que puedes usar con esa AWS herramienta AWS CLI o con cualquier otra. Este perfil usa las credenciales del rol de monitor, lo que te da acceso mediante programación en Servicios de AWS función de los permisos de tu rol de monitor.

Los remitentes de Deadline Cloud funcionan de la misma manera: utilizan el perfil creado por el monitor de Deadline Cloud para acceder Servicios de AWS con los permisos de rol adecuados.

Personalización avanzada de los roles de Deadline Cloud

Puedes ampliar las funciones de Deadline Cloud con permisos adicionales para habilitar casos de uso avanzados que vayan más allá de los flujos de trabajo de renderizado básicos. Este enfoque utiliza el sistema de gestión de acceso de Deadline Cloud para controlar el acceso a otros usuarios en Servicios de AWS función de la pertenencia a las colas.

Colaboración en equipo con AWS CodeCommit

Añade AWS CodeCommit permisos a tu rol de Queue para permitir la colaboración en equipo en los repositorios de proyectos. Este enfoque utiliza el sistema de gestión de acceso de Deadline Cloud para casos de uso adicionales. Solo los usuarios con acceso a la cola específica reciben estos AWS CodeCommit permisos, por lo que puedes gestionar el acceso al repositorio por proyecto al ser miembro de una cola de Deadline Cloud.

El acceso a los repositorios mediante la pertenencia a una cola resulta útil cuando los artistas necesitan acceder a activos, scripts o archivos de configuración específicos del proyecto almacenados en los AWS CodeCommit repositorios como parte de su flujo de trabajo de renderizado.

Add (Suma) AWS CodeCommit permisos para poner en cola el rol

Añada los siguientes permisos a su rol de cola para habilitar AWS CodeCommit el acceso:

{
  "Effect": "Allow",
  "Action": [
    "codecommit:GitPull",
    "codecommit:GitPush",
    "codecommit:GetRepository",
    "codecommit:ListRepositories"
  ],
  "Resource": "arn:aws:codecommit:REGION:YOUR_ACCOUNT_ID:PROJECT_REPOSITORY"
}

Configura un proveedor de credenciales en las estaciones de trabajo de los artistas

Configura cada estación de trabajo de artistas para que utilice las credenciales de cola de Deadline Cloud para acceder. AWS CodeCommit Esta configuración se realiza una vez por estación de trabajo.

Sustituya farm-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX y queue-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX por sus ID actuales de granja y cola. REGIONSustitúyalo por el de tu AWS región (por ejemplo,us-west-2).

Utilización AWS CodeCommit con credenciales de cola

Una vez configuradas, las operaciones de Git utilizarán automáticamente las credenciales del rol de cola al acceder a los AWS CodeCommit repositorios. El deadline queue export-credentials comando devuelve credenciales temporales con el siguiente aspecto:

{
  "Version": 1,
  "AccessKeyId": "ASIA...",
  "SecretAccessKey": "...",
  "SessionToken": "...",
  "Expiration": "2025-11-10T23:02:23+00:00"
}

Deadline Cloud actualiza automáticamente estas credenciales según sea necesario y tus operaciones de Git funcionan sin configuración adicional:

git clone https://git-codecommit.REGION.amazonaws.com/v1/repos/PROJECT_REPOSITORY
git pull
git push

Los artistas ahora pueden acceder a los repositorios de proyectos con sus permisos de cola sin necesidad de credenciales independientes. AWS CodeCommit Solo los usuarios con acceso a la cola específica podrán acceder al repositorio asociado, por lo que puedes controlar el acceso al repositorio mediante la membresía a la cola en Deadline Cloud.