Configurer un compte AWS et un VPC pour les données privées

Vous devez créer une politique IAM personnalisée. Nommez-la AAC_Base_SA_Policy et utilisez le document de politique suivant. Nous vous recommandons d'utiliser l'onglet JSON au lieu de l'éditeur visuel. Alteryx One a besoin d'autorisations * pour s'exécuter. Attendez-vous à recevoir des avertissements de sécurité lorsque vous créez la politique.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor2",
            "Effect": "Allow",
            "Action": [
                "iam:GetOpenIDConnectProvider",
                "iam:GetPolicy",
                "iam:GetPolicyVersion",
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:GetUser",
                "iam:GetUserPolicy",
                "iam:ListAttachedRolePolicies",
                "iam:ListAttachedUserPolicies",
                "iam:ListGroupsForUser",
                "iam:ListInstanceProfilesForRole",
                "iam:ListPolicyTags",
                "iam:ListPolicyVersions",
                "iam:ListRolePolicies"
            ],
            "Resource": [
                "arn:aws:iam::*:policy/*",
                "arn:aws:iam::*:oidc-provider/*",
                "arn:aws:iam::*:user/*",
                "arn:aws:iam::*:role/*"
            ]
        },
        {
            "Sid": "VisualEditor3",
            "Effect": "Allow",
            "Action": [
                "elasticloadbalancing:*",
                "iam:GetAccountName",
                "iam:ListAccountAliases",
                "iam:ListRoles",
                "networkmanager:Describe*",
                "networkmanager:Get*",
                "networkmanager:List*",
                "s3:GetBucketAcl",
                "s3:GetBucketCORS",
                "s3:GetBucketLocation",
                "s3:GetBucketLogging",
                "s3:GetBucketObjectLockConfiguration",
                "s3:GetBucketOwnershipControls",
                "s3:GetBucketPolicy",
                "s3:GetBucketPolicyStatus",
                "s3:GetBucketPublicAccessBlock",
                "s3:GetBucketRequestPayment",
                "s3:GetBucketTagging",
                "s3:GetBucketVersioning",
                "s3:GetBucketWebsite",
                "s3:GetEncryptionConfiguration",
                "s3:GetLifecycleConfiguration",
                "s3:GetObject",
                "s3:GetObjectAcl",
                "s3:GetObjectVersion",
                "s3:GetObjectVersionAcl",
                "s3:GetObjectVersionAttributes",
                "s3:GetObjectVersionForReplication",
                "s3:GetObjectVersionTagging",
                "s3:GetObjectVersionTorrent",
                "s3:GetReplicationConfiguration",
                "s3:ListAllMyBuckets",
                "s3:ListBucket",
                "s3:ListBucketVersions",
                "sts:GetCallerIdentity"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor4",
            "Effect": "Allow",
            "Action": "secretsmanager:*",
            "Resource": "arn:aws:secretsmanager:*:*:secret:*"
        }
    ]
}

Les produits Alteryx Cloud sont déployés au sein d'un cluster Kubernetes. Le plan de contrôle communique de manière sécurisée avec le cluster Kubernetes du plan de données via un tunnel VPN WireGuard. Pour permettre une communication transparente et sécurisée via le VPN WireGuard, l'adresse IP suivante doit être mise sur liste blanche dans le réseau du plan de données pour le trafic d'entrée et de sortie :

Ce quota s'applique au cluster Kubernetes qui exécute Designer Cloud, Machine Learning, Auto Insights et App Builder. Il s'applique également au groupe de machines virtuelles de mise à l'échelle automatique qui alimente Exécution Cloud pour Desktop.

Notre recommandation pour ce quota est d'autoriser votre cluster et vos groupes de mise à l'échelle automatique à consommer jusqu'à 50 nœuds.

Ce quota ne s'applique que si vous prévoyez de déployer EMR comme option de traitement Designer Cloud.

Alteryx One Platform est un système distribué. Les modifications apportées à la configuration du traitement des données privé doivent être propagées à plusieurs systèmes avant qu'elles ne prennent pleinement effet. Par exemple, si des tâches planifiées sont déjà en cours d'exécution dans votre espace de travail lorsque vous configurez le traitement des données privé, vous pouvez continuer à voir l'exécution des tâches se produire dans l'environnement de traitement des données Alteryx pendant quelques minutes par la suite.

Le logiciel qui s'exécute dans votre environnement de traitement des données privé nécessite une communication sortante (sortie) pour plusieurs raisons :

N'appliquez aucune règle supplémentaire à votre VPC ou à vos groupes de sécurité pour bloquer ou restreindre ce trafic sortant.

Dans l'étape Étape 2a : Créer un utilisateur IAM (compte de service), vous avez créé un utilisateur IAM appelé aac_iam_user avec une clé d'accès associée. Alteryx ne contrôle pas ces informations d'identification.

Alteryx vous recommande de procéder à une modification de ces informations d'identification conformément aux politiques de votre entreprise. Si votre entreprise n'applique aucune politique, AWS recommande une modification tous les 90 jours. N'oubliez pas qu'Alteryx doit conserver l'accès au VPC pour mettre à jour les ressources et les logiciels cloud, surveiller l'intégrité de votre environnement privé et résoudre les problèmes. Lors de la modification de ces informations d'identification dans AWS, n'oubliez pas de vous connecter à Alteryx One Platform et de fournir également les informations d'identification les plus récentes.