Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Peran layanan

Bagaimana Deadline Cloud menggunakan peran layanan IAM

Deadline Cloud secara otomatis mengasumsikan peran IAM dan memberikan kredensyal sementara kepada pekerja, pekerjaan, dan monitor Deadline Cloud. Pendekatan ini menghilangkan manajemen kredensi manual sambil menjaga keamanan melalui kontrol akses berbasis peran.

Empat peran mencakup siklus hidup pekerjaan di sebuah peternakan. Pada armada yang dikelola pelanggan, host baru dimulai dengan peran host pekerja, menggunakannya untuk mendaftar sebagai pekerja, dan memperdagangkannya dengan kredensi peran armada. Pada armada yang dikelola layanan, layanan melakukan bootstrap itu untuk Anda, jadi hanya tiga peran lainnya yang berlaku. Pekerja menggunakan peran armada untuk menerima pekerjaan dan melaporkan kemajuan, dan menerima kredensi peran antrian saat menjalankan setiap pekerjaan. Orang dan alat mendapatkan kredensialnya dari peran monitor saat mereka masuk ke monitor Deadline Cloud.

Saat Anda membuat monitor, armada, dan antrian di konsol, Deadline Cloud dapat membuat armada, antrian, dan peran monitor untuk Anda dengan izin yang diperlukan. Anda membuat peran host pekerja sendiri saat menyiapkan armada yang dikelola pelanggan. Gunakan bagian berikut untuk memahami setiap peran untuk pemecahan masalah, untuk membuat peran sendiri, atau untuk memperluasnya.

Peran armada

Konfigurasikan peran armada untuk memberi pekerja Deadline Cloud izin yang mereka perlukan untuk menerima pekerjaan dan melaporkan kemajuan pekerjaan itu.

Anda biasanya tidak perlu mengonfigurasi peran ini sendiri. Peran ini dapat dibuat untuk Anda di konsol Deadline Cloud untuk menyertakan izin yang diperlukan. Gunakan panduan berikut untuk memahami secara spesifik peran ini untuk pemecahan masalah.

Saat membuat atau memperbarui armada secara terprogram, tentukan peran armada ARN menggunakan operasi atau API. CreateFleet UpdateFleet

Apa peran armada

Peran armada memberi pekerja izin untuk:

Menyiapkan kebijakan kepercayaan peran armada

Peran armada Anda harus mempercayai layanan Deadline Cloud dan dicakup ke peternakan spesifik Anda.

Sebagai praktik terbaik, kebijakan kepercayaan harus mencakup kondisi keamanan untuk perlindungan Deputi Bingung. Untuk mempelajari lebih lanjut tentang perlindungan Deputi Bingung, lihat Deputi Bingung di Panduan Pengguna Cloud Tenggat Waktu.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowDeadlineCredentialsService",
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Principal": {
        "Service": "credentials.deadline.amazonaws.com"
      },
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "YOUR_ACCOUNT_ID"
        },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:deadline:REGION:YOUR_ACCOUNT_ID:farm/YOUR_FARM_ID"
        }
      }
    }
  ]
}

Lampirkan izin peran Armada

Setiap peran armada memerlukan dua kebijakan: kebijakan AWSDeadlineCloud-FleetWorker terkelola untuk operasi Deadline Cloud API, dan kebijakan yang Anda buat yang memberikan akses ke grup CloudWatch log Log armada. Pekerja tidak dapat memulai sampai peran armada memiliki keduanya.

Lampirkan kebijakan AWS terkelola berikut ke peran armada Anda:

AWSDeadlineCloud-FleetWorker

Kebijakan terkelola ini memberikan izin untuk:

Kebijakan terkelola tidak menyertakan izin CloudWatch Log karena mereka dicakup ke grup log di peternakan Anda. Tambahkan kebijakan berikut ke peran armada Anda juga. Saat Anda membuat armada, Deadline Cloud membuat grup CloudWatch log Log untuknya. Saat pekerja memulai, Deadline Cloud menggunakan peran armada untuk membuat aliran log bagi pekerja tersebut, sehingga logs:CreateLogStream pernyataan tersebut menggunakan aws:CalledVia kondisi untuk mengizinkan panggilan hanya ketika panggilan datang melalui layanan Deadline Cloud. Setelah pekerja berjalan, ia menggunakan logs:PutLogEvents untuk mengirim peristiwa lognya langsung ke CloudWatch Log, dan monitor Deadline Cloud digunakan logs:GetLogEvents untuk membacanya.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "CreateLogStream",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream"
      ],
      "Resource": "arn:aws:logs:REGION:YOUR_ACCOUNT_ID:log-group:/aws/deadline/YOUR_FARM_ID/*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:CalledVia": [
            "deadline.amazonaws.com"
          ]
        }
      }
    },
    {
      "Sid": "ManageLogEvents",
      "Effect": "Allow",
      "Action": [
        "logs:PutLogEvents",
        "logs:GetLogEvents"
      ],
      "Resource": "arn:aws:logs:REGION:YOUR_ACCOUNT_ID:log-group:/aws/deadline/YOUR_FARM_ID/*"
    }
  ]
}

Jika peran armada hilanglogs:CreateLogStream, Deadline Cloud tidak dapat membuat aliran log pekerja dan pekerja gagal memulai dengan fileAccessDeniedException. Pada armada yang dikelola layanan, pekerja yang diluncurkan Deadline Cloud tidak dapat memulai, sehingga armada tetap tidak sehat sampai Anda menambahkan izin.

Tambahkan izin KMS untuk peternakan terenkripsi

Jika peternakan Anda dibuat menggunakan kunci KMS, tambahkan juga izin ini ke peran armada Anda sehingga pekerja dapat mengakses data terenkripsi di peternakan.

Izin KMS hanya diperlukan jika peternakan Anda memiliki kunci KMS terkait. kms:ViaServiceKondisi harus menggunakan formatdeadline.{region}.amazonaws.com.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "ManageKmsKey",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:DescribeKey",
        "kms:GenerateDataKey"
      ],
      "Resource": "YOUR_FARM_KMS_KEY_ARN",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "deadline.REGION.amazonaws.com"
        }
      }
    }
  ]
}

Memodifikasi peran armada

Izin untuk peran armada tidak dapat disesuaikan. Izin yang dijelaskan selalu diperlukan dan menambahkan izin tambahan tidak berpengaruh.

Peran tuan rumah pekerja

Siapkan peran host pekerja jika Anda menggunakan armada yang dikelola pelanggan di instans Amazon EC2 atau host lokal.

Apa yang dilakukan peran host pekerja

Worker host role (WorkerHost) bootstrap pekerja pada host armada yang dikelola pelanggan. Ini memberikan izin minimal yang diperlukan untuk host untuk:

Menyiapkan izin peran host pekerja

Lampirkan kebijakan AWS terkelola berikut ke peran host pekerja Anda:

AWSDeadlineCloud-WorkerHost

Kebijakan terkelola ini memberikan izin untuk:

Memahami proses bootstrap

Peran host pekerja hanya digunakan selama startup pekerja awal:

Setelah pekerja mulai berjalan, ia tidak lagi menggunakan peran host pekerja. Service-managed armada tidak memerlukan peran ini karena layanan melakukan bootstrap secara otomatis.

Peran antrian

Peran antrian diasumsikan oleh pekerja saat memproses tugas. Peran ini memberikan izin yang diperlukan untuk menyelesaikan tugas.

Saat membuat atau memperbarui antrian secara terprogram, tentukan peran antrian ARN menggunakan operasi atau API. CreateQueue UpdateQueue

Menyiapkan kebijakan kepercayaan peran antrian

Peran antrian Anda harus mempercayai layanan Deadline Cloud.

Sebagai praktik terbaik, kebijakan kepercayaan harus mencakup kondisi keamanan untuk perlindungan Deputi Bingung. Untuk mempelajari lebih lanjut tentang perlindungan Deputi Bingung, lihat Deputi Bingung di Panduan Pengguna Cloud Tenggat Waktu.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "credentials.deadline.amazonaws.com",
          "deadline.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "YOUR_ACCOUNT_ID"
        },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:deadline:us-west-2:123456789012:farm/{farm-id}"
        }        
      }
    }
  ]
}

Memahami izin peran antrian

Peran antrian tidak menggunakan satu kebijakan terkelola. Sebagai gantinya, saat Anda mengonfigurasi antrian di konsol, Deadline Cloud membuat kebijakan khusus untuk antrian berdasarkan konfigurasi Anda.

Kebijakan yang dibuat secara otomatis ini menyediakan akses ke:

Lampiran Job

Akses baca dan tulis ke bucket Amazon S3 yang Anda tentukan untuk file input dan output pekerjaan:

{
  "Effect": "Allow",
  "Action": [
    "s3:GetObject",
    "s3:PutObject", 
    "s3:ListBucket",
    "s3:GetBucketLocation"
  ],
  "Resource": [
    "arn:aws:s3:::YOUR_JOB_ATTACHMENTS_BUCKET",
    "arn:aws:s3:::YOUR_JOB_ATTACHMENTS_BUCKET/YOUR_PREFIX/*"
  ],
  "Condition": {
    "StringEquals": {
      "aws:ResourceAccount": "YOUR_ACCOUNT_ID"
    }
  }
}

Log Job

Baca akses ke CloudWatch Log untuk pekerjaan dalam antrian ini. Setiap antrian memiliki grup lognya sendiri dan setiap sesi memiliki aliran lognya sendiri:

{
  "Effect": "Allow",
  "Action": [
    "logs:GetLogEvents"
  ],
  "Resource": "arn:aws:logs:REGION:YOUR_ACCOUNT_ID:log-group:/aws/deadline/YOUR_FARM_ID/*"
}

Third-party perangkat lunak

Akses untuk mengunduh perangkat lunak pihak ketiga yang didukung oleh Deadline Cloud (seperti Maya, Blender, dan lainnya):

{
  "Effect": "Allow",
  "Action": [
    "s3:ListBucket",
    "s3:GetObject"
  ],
  "Resource": "*",
  "Condition": {
    "ArnLike": {
      "s3:DataAccessPointArn": "arn:aws:s3:*:*:accesspoint/deadline-software-*"
    },
    "StringEquals": {
      "s3:AccessPointNetworkOrigin": "VPC"
    }
  }
}

Tambahkan izin untuk pekerjaan Anda

Tambahkan izin ke peran antrian Anda untuk pekerjaan Layanan AWS yang perlu diakses. Saat menulis skrip OpenJobDescription langkah, SDK AWS CLI dan akan secara otomatis menggunakan kredensil dari peran antrian Anda. Gunakan ini untuk mengakses layanan tambahan yang diperlukan untuk menyelesaikan pekerjaan Anda.

Contoh kasus penggunaan meliputi:

Bagaimana kredensial peran antrian digunakan

Deadline Cloud menyediakan kredensi peran antrian untuk:

Deadline Cloud membuat grup CloudWatch log Log terpisah untuk setiap antrian. CLI dan monitor Deadline Cloud menggunakan peran antrian (deadline:AssumeQueueRoleForReadmelalui) untuk membaca log pekerjaan dari grup log antrian. CLI dan monitor Deadline Cloud menggunakan peran antrian (deadline:AssumeQueueRoleForUsermelalui) untuk mengunggah atau mengunduh data lampiran pekerjaan.

Memantau peran

Konfigurasikan peran monitor untuk memberi Deadline Cloud monitor web dan aplikasi desktop akses ke sumber daya Deadline Cloud Anda.

Saat membuat atau memperbarui monitor secara terprogram, tentukan peran monitor ARN menggunakan operasi atau API. CreateMonitor UpdateMonitor

Apa yang dilakukan peran monitor

Peran monitor memungkinkan monitor Deadline Cloud untuk memberi pengguna akhir akses ke:

Menyiapkan kebijakan kepercayaan peran monitor

Peran monitor Anda harus mempercayai layanan Deadline Cloud.

Sebagai praktik terbaik, kebijakan kepercayaan harus mencakup kondisi keamanan untuk perlindungan Deputi Bingung. Untuk mempelajari lebih lanjut tentang perlindungan Deputi Bingung, lihat Deputi Bingung di Panduan Pengguna Cloud Tenggat Waktu.

aws:SourceAccountmemastikan hanya sumber daya dari yang sama yang Akun AWS dapat mengambil peran ini.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "credentials.deadline.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "YOUR_ACCOUNT_ID"
        }
      }
    }
  ]
}

Lampirkan izin peran monitor

Lampirkan semua kebijakan AWS terkelola berikut ke peran monitor Anda untuk operasi dasar:

Cara kerja peran monitor

Saat menggunakan monitor Deadline Cloud, pengguna layanan masuk menggunakan AWS IAM Identity Center (IAM Identity Center), dan peran monitor diasumsikan. Kredensi peran yang diasumsikan digunakan oleh aplikasi monitor untuk menampilkan UI monitor, termasuk daftar peternakan, armada, antrian, dan informasi lainnya.

Saat menggunakan aplikasi desktop monitor Deadline Cloud, kredensil ini juga tersedia di workstation menggunakan profil AWS kredensi bernama yang sesuai dengan nama profil yang diberikan oleh pengguna akhir. Pelajari lebih lanjut tentang profil bernama dalam panduan referensi AWS SDK dan Alat.

Profil bernama ini adalah bagaimana Deadline CLI dan pengirim mengakses sumber daya Deadline Cloud.

Menyesuaikan peran monitor untuk kasus penggunaan lanjutan

Anda dapat menyesuaikan peran monitor untuk mengubah apa yang dapat dilakukan pengguna di setiap tingkat akses (Viewer, Contributor, Manager, Owner) atau untuk menambahkan izin untuk alur kerja lanjutan.

Menyesuaikan izin tingkat akses

Keempat kebijakan AWS terkelola yang dilampirkan pada peran monitor mengontrol apa yang dapat dilakukan setiap tingkat akses. Anda dapat menambahkan kebijakan khusus ke peran monitor untuk memberikan atau membatasi izin untuk tingkat akses tertentu menggunakan kunci deadline:MembershipLevel kondisi.

Misalnya, untuk mengizinkan Kontributor memperbarui dan membatalkan pekerjaan (yang biasanya dibatasi untuk Manajer dan Pemilik), tambahkan kebijakan seperti berikut ini:

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "deadline:UpdateJob",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "deadline:MembershipLevel": "CONTRIBUTOR"
        }
      }
    }
  ]
}

Dengan kebijakan ini, Kontributor dapat memperbarui dan membatalkan pekerjaan selain mengirimkannya.

Menambahkan izin untuk alur kerja lanjutan

Anda dapat menambahkan kebijakan IAM khusus ke peran monitor untuk memberikan izin tambahan kepada semua pengguna monitor. Kebijakan khusus berguna untuk alur kerja skrip lanjutan di mana pengguna memerlukan akses ke Layanan AWS luar fungsionalitas Deadline Cloud standar.

Ikuti panduan ini saat memodifikasi peran monitor Anda:

Bagaimana monitor Deadline Cloud menggunakan kredensi peran monitor

Deadline Cloud monitor secara otomatis memperoleh kredensyal peran monitor saat Anda mengautentikasi. Kredensyal sementara ini berlangsung selama 15 menit dan secara otomatis disegarkan selama Anda masuk ke Pusat Identitas IAM. Kemampuan ini memungkinkan aplikasi desktop untuk menyediakan kemampuan pemantauan di luar apa yang tersedia di browser web standar.

Saat Anda masuk dengan monitor Deadline Cloud, secara otomatis membuat profil yang dapat Anda gunakan dengan AWS CLI atau AWS alat lainnya. Profil ini menggunakan kredensi peran monitor, memberi Anda akses terprogram Layanan AWS berdasarkan izin dalam peran monitor Anda.

Deadline Pengirim Cloud bekerja dengan cara yang sama - mereka menggunakan profil yang dibuat oleh monitor Deadline Cloud untuk mengakses Layanan AWS dengan izin peran yang sesuai.

Kustomisasi lanjutan dari peran Deadline Cloud

Anda dapat memperpanjang peran Deadline Cloud dengan izin tambahan untuk mengaktifkan kasus penggunaan lanjutan di luar alur kerja rendering dasar. Pendekatan ini menggunakan sistem manajemen akses di Deadline Cloud untuk mengontrol akses tambahan Layanan AWS berdasarkan keanggotaan antrian.

Kolaborasi tim dengan AWS CodeCommit

Tambahkan AWS CodeCommit izin ke peran Antrian Anda untuk mengaktifkan kolaborasi tim di repositori proyek. Pendekatan ini menggunakan sistem manajemen akses di Deadline Cloud untuk kasus penggunaan tambahan. Hanya pengguna yang memiliki akses ke antrian tertentu yang menerima AWS CodeCommit izin ini, sehingga Anda dapat mengelola akses repositori per proyek melalui keanggotaan antrian Deadline Cloud.

Akses repositori melalui keanggotaan antrian berguna ketika artis perlu mengakses aset, skrip, atau file konfigurasi khusus proyek yang disimpan dalam AWS CodeCommit repositori sebagai bagian dari alur kerja rendering mereka.

Tambahkan AWS CodeCommit izin untuk peran antrian

Tambahkan izin berikut ke peran antrian Anda untuk mengaktifkan AWS CodeCommit akses:

{
  "Effect": "Allow",
  "Action": [
    "codecommit:GitPull",
    "codecommit:GitPush",
    "codecommit:GetRepository",
    "codecommit:ListRepositories"
  ],
  "Resource": "arn:aws:codecommit:REGION:YOUR_ACCOUNT_ID:PROJECT_REPOSITORY"
}

Menyiapkan penyedia kredensi di workstation artis

Konfigurasikan setiap workstation artis untuk menggunakan kredensyal antrian Deadline Cloud untuk akses. AWS CodeCommit Pengaturan ini dilakukan sekali per workstation.

Ganti farm-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX dan queue-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX dengan ID pertanian dan antrian Anda yang sebenarnya. Ganti REGION dengan AWS wilayah Anda (misalnya,us-west-2).

Penggunaan AWS CodeCommit dengan kredensyal antrian

Setelah dikonfigurasi, operasi Git akan secara otomatis menggunakan kredensyal peran antrian saat mengakses repositori. AWS CodeCommit deadline queue export-credentialsPerintah mengembalikan kredensyal sementara yang terlihat seperti ini:

{
  "Version": 1,
  "AccessKeyId": "ASIA...",
  "SecretAccessKey": "...",
  "SessionToken": "...",
  "Expiration": "2025-11-10T23:02:23+00:00"
}

Deadline Cloud secara otomatis menyegarkan kredensyal ini sesuai kebutuhan, dan operasi Git Anda berfungsi tanpa konfigurasi tambahan:

git clone https://git-codecommit.REGION.amazonaws.com/v1/repos/PROJECT_REPOSITORY
git pull
git push

Artis sekarang dapat mengakses repositori proyek menggunakan izin antrian mereka tanpa memerlukan kredensyal terpisah. AWS CodeCommit Hanya pengguna dengan akses ke antrian tertentu yang dapat mengakses repositori terkait, sehingga Anda dapat mengontrol akses repositori melalui keanggotaan antrian di Deadline Cloud.