Configurazione dell'account AWS e di VPC per i dati privati

È necessario creare una policy IAM personalizzata, di nome AAC_Base_SA_Policy, e utilizzare il seguente documento di policy. È consigliabile utilizzare la scheda JSON al posto dell'editor visivo. Per l'esecuzione di Alteryx One sono necessarie alcune autorizzazioni *. Durante la creazione della policy verranno probabilmente visualizzati alcuni avvisi di sicurezza.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor2",
            "Effect": "Allow",
            "Action": [
                "iam:GetOpenIDConnectProvider",
                "iam:GetPolicy",
                "iam:GetPolicyVersion",
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:GetUser",
                "iam:GetUserPolicy",
                "iam:ListAttachedRolePolicies",
                "iam:ListAttachedUserPolicies",
                "iam:ListGroupsForUser",
                "iam:ListInstanceProfilesForRole",
                "iam:ListPolicyTags",
                "iam:ListPolicyVersions",
                "iam:ListRolePolicies"
            ],
            "Resource": [
                "arn:aws:iam::*:policy/*",
                "arn:aws:iam::*:oidc-provider/*",
                "arn:aws:iam::*:user/*",
                "arn:aws:iam::*:role/*"
            ]
        },
        {
            "Sid": "VisualEditor3",
            "Effect": "Allow",
            "Action": [
                "elasticloadbalancing:*",
                "iam:GetAccountName",
                "iam:ListAccountAliases",
                "iam:ListRoles",
                "networkmanager:Describe*",
                "networkmanager:Get*",
                "networkmanager:List*",
                "s3:GetBucketAcl",
                "s3:GetBucketCORS",
                "s3:GetBucketLocation",
                "s3:GetBucketLogging",
                "s3:GetBucketObjectLockConfiguration",
                "s3:GetBucketOwnershipControls",
                "s3:GetBucketPolicy",
                "s3:GetBucketPolicyStatus",
                "s3:GetBucketPublicAccessBlock",
                "s3:GetBucketRequestPayment",
                "s3:GetBucketTagging",
                "s3:GetBucketVersioning",
                "s3:GetBucketWebsite",
                "s3:GetEncryptionConfiguration",
                "s3:GetLifecycleConfiguration",
                "s3:GetObject",
                "s3:GetObjectAcl",
                "s3:GetObjectVersion",
                "s3:GetObjectVersionAcl",
                "s3:GetObjectVersionAttributes",
                "s3:GetObjectVersionForReplication",
                "s3:GetObjectVersionTagging",
                "s3:GetObjectVersionTorrent",
                "s3:GetReplicationConfiguration",
                "s3:ListAllMyBuckets",
                "s3:ListBucket",
                "s3:ListBucketVersions",
                "sts:GetCallerIdentity"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor4",
            "Effect": "Allow",
            "Action": "secretsmanager:*",
            "Resource": "arn:aws:secretsmanager:*:*:secret:*"
        }
    ]
}

I prodotti Alteryx Cloud vengono implementati all'interno di un cluster Kubernetes. Il Piano di controllo utilizza un tunnel VPN WireGuard per comunicare in modo sicuro con il cluster Kubernetes del Piano dati. Per garantire comunicazioni fluide e sicure tramite la VPN WireGuard, è necessario autorizzare il seguente indirizzo IP della rete del Piano dati, sia per il traffico in entrata che per quello in uscita:

Questa quota si applica al cluster Kubernetes che esegue Designer Cloud, Machine Learning, Auto Insights e App Builder. Si applica anche al gruppo di macchine virtuali con ridimensionamento automatico utilizzato da Cloud Execution for Desktop.

I valori consigliati per questa quota hanno lo scopo di consentire al cluster e ai gruppi con ridimensionamento automatico di utilizzare fino a 50 nodi.

Questa quota si applica solo se si prevede di implementare EMR come opzione di elaborazione Designer Cloud.

Alteryx One Platform è un sistema distribuito. Per avere completamente effetto, le modifiche apportate alla configurazione di elaborazione privata dei dati devono essere propagate a vari sistemi. Ad esempio, se nel tuo spazio di lavoro sono già in esecuzione alcuni processi programmati, quando configuri l'elaborazione privata dei dati l'esecuzione di tali processi nell'ambiente di elaborazione dati Alteryx potrebbe continuare ancora per alcuni minuti dopo la configurazione.

Il software eseguito nell'ambiente di elaborazione privata dei dati richiede la comunicazione in uscita per diversi motivi:

Non applicare al VPC o ai gruppi di sicurezza regole aggiuntive con lo scopo di bloccare o limitare il traffico in uscita.

Nel passaggio Passaggio 2a: creazione di un utente IAM (account di servizio) è stato creato un utente IAM di nome called aac_iam_user, associato a una chiave di accesso. Queste credenziali non sono controllate da Alteryx.

Alteryx consiglia di ruotare queste credenziali come previsto dalle policy aziendali. Se l'azienda non dispone di policy, AWS consiglia di eseguire la rotazione ogni 90 giorni. Ricorda che Alteryx deve mantenere l'accesso al VPC per aggiornare il software e le risorse cloud, monitorare lo stato dell'ambiente privato e risolvere i problemi. Quando esegui la rotazione di queste credenziali in AWS, ricordati di accedere anche a Alteryx One Platform e fornire le credenziali più recenti.