AWS-Konto und VPC für private Daten einrichten

Sie müssen eine benutzerdefinierte IAM-Richtlinie erstellen. Nennen Sie sie AAC_Base_SA_Policy und verwenden Sie das folgende Richtliniendokument. Wir empfehlen, die JSON-Registerkarte anstelle des visuellen Editors zu verwenden. Alteryx One erfordert einige -Berechtigungen für die Ausführung. Beim Erstellen der Richtlinie werden einige Sicherheitswarnungen angezeigt.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor2",
            "Effect": "Allow",
            "Action": [
                "iam:GetOpenIDConnectProvider",
                "iam:GetPolicy",
                "iam:GetPolicyVersion",
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:GetUser",
                "iam:GetUserPolicy",
                "iam:ListAttachedRolePolicies",
                "iam:ListAttachedUserPolicies",
                "iam:ListGroupsForUser",
                "iam:ListInstanceProfilesForRole",
                "iam:ListPolicyTags",
                "iam:ListPolicyVersions",
                "iam:ListRolePolicies"
            ],
            "Resource": [
                "arn:aws:iam::*:policy/*",
                "arn:aws:iam::*:oidc-provider/*",
                "arn:aws:iam::*:user/*",
                "arn:aws:iam::*:role/*"
            ]
        },
        {
            "Sid": "VisualEditor3",
            "Effect": "Allow",
            "Action": [
                "elasticloadbalancing:*",
                "iam:GetAccountName",
                "iam:ListAccountAliases",
                "iam:ListRoles",
                "networkmanager:Describe*",
                "networkmanager:Get*",
                "networkmanager:List*",
                "s3:GetBucketAcl",
                "s3:GetBucketCORS",
                "s3:GetBucketLocation",
                "s3:GetBucketLogging",
                "s3:GetBucketObjectLockConfiguration",
                "s3:GetBucketOwnershipControls",
                "s3:GetBucketPolicy",
                "s3:GetBucketPolicyStatus",
                "s3:GetBucketPublicAccessBlock",
                "s3:GetBucketRequestPayment",
                "s3:GetBucketTagging",
                "s3:GetBucketVersioning",
                "s3:GetBucketWebsite",
                "s3:GetEncryptionConfiguration",
                "s3:GetLifecycleConfiguration",
                "s3:GetObject",
                "s3:GetObjectAcl",
                "s3:GetObjectVersion",
                "s3:GetObjectVersionAcl",
                "s3:GetObjectVersionAttributes",
                "s3:GetObjectVersionForReplication",
                "s3:GetObjectVersionTagging",
                "s3:GetObjectVersionTorrent",
                "s3:GetReplicationConfiguration",
                "s3:ListAllMyBuckets",
                "s3:ListBucket",
                "s3:ListBucketVersions",
                "sts:GetCallerIdentity"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor4",
            "Effect": "Allow",
            "Action": "secretsmanager:*",
            "Resource": "arn:aws:secretsmanager:*:*:secret:*"
        }
    ]
}

Alteryx Cloud-Produkte werden in einem Kubernetes-Cluster bereitgestellt. Die Steuerungsebene kommuniziert sicher mit dem Datenebenen-Kubernetes-Cluster über einen WireGuard-VPN-Tunnel. Um eine nahtlose und sichere Kommunikation über das WireGuard-VPN zu ermöglichen, muss die folgende IP-Adresse im Datenebenen-Netzwerk sowohl für eingehenden als auch für ausgehenden Datenverkehr auf die Whitelist gesetzt werden:

Dieses Kontingent gilt für den Kubernetes-Cluster, der Designer Cloud, Machine Learning, Auto Insights und App Builder ausführt. Es gilt auch für die VM-Gruppe mit automatischer Skalierung, die Cloud Execution for Desktop unterstützen.

Unsere Empfehlung für dieses Kontingent basiert darauf, dass Ihre Cluster- und Autoskalierungsgruppen bis zu 50 Knoten verbrauchen können.

Dieses Kontingent gilt nur, wenn Sie EMR als Designer Cloud-Verarbeitungsoption bereitstellen möchten.

Alteryx One Platform ist ein verteiltes System. Änderungen an der Konfiguration der privaten Datenverarbeitung müssen auf mehrere Systeme propagiert werden, bevor sie in Kraft treten. Wenn in Ihrem Arbeitsbereich beispielsweise bereits geplante Aufträge ausgeführt werden, wenn Sie die private Datenverarbeitung konfigurieren, sehen Sie möglicherweise, dass die Auftragsausführung noch einige Minuten lang in der Datenverarbeitungsumgebung von Alteryx fortgesetzt wird.

Die Software, die in der Umgebung für die private Datenverarbeitung ausgeführt wird, erfordert aus mehreren Gründen eine ausgehende Kommunikation bzw. einen ausgehenden Datenverkehr:

Wenden Sie keine zusätzlichen Regeln auf Ihre VPC oder Ihre Sicherheitsgruppen an, um diesen ausgehenden Datenverkehr zu blockieren oder einzuschränken.

Im Schritt Schritt 2a: IAM-Benutzer (Dienstkonto) erstellen haben Sie einen IAM-Benutzer namens „aac_iam_user“ mit einem zugehörigen Zugriffsschlüssel erstellt. Alteryx kontrolliert diese Anmeldedaten nicht.

Alteryx empfiehlt, diese Anmeldedaten entsprechend den Richtlinien Ihres Unternehmens zu rotieren. Wenn Ihr Unternehmen diesbezüglich keine Richtlinie hat, empfiehlt AWS eine Rotation alle 90 Tage. Denken Sie daran, dass Alteryx weiterhin Zugriff auf die VPC haben muss, um Cloud-Ressourcen und Software zu aktualisieren, den Zustand Ihrer privaten Umgebung zu überwachen und Fehler zu beheben. Wenn Sie diese Anmeldedaten in AWS rotieren, melden Sie sich bei Alteryx One Platform an und geben Sie auch die neuesten Anmeldedaten an.