Configurar conta e VPC da AWS para dados privados

Você precisa criar uma política do IAM personalizada. Dê a ela o nome AAC_Base_SA_Policy e use o seguinte documento de política. Recomendamos usar a guia "JSON" em vez do editor visual. O Alteryx One requer algumas permissões * para ser executado. Ao criar a política, você deverá receber alguns avisos de segurança.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor2",
            "Effect": "Allow",
            "Action": [
                "iam:GetOpenIDConnectProvider",
                "iam:GetPolicy",
                "iam:GetPolicyVersion",
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:GetUser",
                "iam:GetUserPolicy",
                "iam:ListAttachedRolePolicies",
                "iam:ListAttachedUserPolicies",
                "iam:ListGroupsForUser",
                "iam:ListInstanceProfilesForRole",
                "iam:ListPolicyTags",
                "iam:ListPolicyVersions",
                "iam:ListRolePolicies"
            ],
            "Resource": [
                "arn:aws:iam::*:policy/*",
                "arn:aws:iam::*:oidc-provider/*",
                "arn:aws:iam::*:user/*",
                "arn:aws:iam::*:role/*"
            ]
        },
        {
            "Sid": "VisualEditor3",
            "Effect": "Allow",
            "Action": [
                "elasticloadbalancing:*",
                "iam:GetAccountName",
                "iam:ListAccountAliases",
                "iam:ListRoles",
                "networkmanager:Describe*",
                "networkmanager:Get*",
                "networkmanager:List*",
                "s3:GetBucketAcl",
                "s3:GetBucketCORS",
                "s3:GetBucketLocation",
                "s3:GetBucketLogging",
                "s3:GetBucketObjectLockConfiguration",
                "s3:GetBucketOwnershipControls",
                "s3:GetBucketPolicy",
                "s3:GetBucketPolicyStatus",
                "s3:GetBucketPublicAccessBlock",
                "s3:GetBucketRequestPayment",
                "s3:GetBucketTagging",
                "s3:GetBucketVersioning",
                "s3:GetBucketWebsite",
                "s3:GetEncryptionConfiguration",
                "s3:GetLifecycleConfiguration",
                "s3:GetObject",
                "s3:GetObjectAcl",
                "s3:GetObjectVersion",
                "s3:GetObjectVersionAcl",
                "s3:GetObjectVersionAttributes",
                "s3:GetObjectVersionForReplication",
                "s3:GetObjectVersionTagging",
                "s3:GetObjectVersionTorrent",
                "s3:GetReplicationConfiguration",
                "s3:ListAllMyBuckets",
                "s3:ListBucket",
                "s3:ListBucketVersions",
                "sts:GetCallerIdentity"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor4",
            "Effect": "Allow",
            "Action": "secretsmanager:*",
            "Resource": "arn:aws:secretsmanager:*:*:secret:*"
        }
    ]
}

Os produtos do Alteryx Cloud são implantados em um cluster do Kubernetes. O plano de controle se comunica de forma segura com o cluster do Kubernetes no plano de dados por meio de um túnel VPN do WireGuard. Para habilitar a comunicação contínua e segura por meio da VPN do WireGuard, o seguinte endereço IP deve estar na lista de permissão na rede do plano de dados para tráfego de entrada e saída:

Esta cota se aplica ao cluster do Kubernetes que executa o Designer Cloud, Machine Learning, Auto Insights e App Builder. Isso também se aplica ao grupo de VMs de escala automática que alimentam a execução no Cloud para o Desktop.

Nossa recomendação para essa cota se baseia em permitir que seus grupos de escala automática e clusters consumam até 50 nós.

Esta cota se aplica somente se você planeja implantar o EMR como uma opção de processamento do Designer Cloud.

O Alteryx One Platform é um sistema distribuído. As alterações feitas na configuração do processamento de dados privados devem ser propagadas para vários sistemas antes de entrarem em vigor. Por exemplo, se o espaço de trabalho já tiver trabalhos agendados em execução quando você configurar o processamento de dados privados, você pode continuar a ver a execução do trabalho ocorrendo no ambiente de processamento de dados do Alteryx por alguns minutos depois.

O software que é executado em seu ambiente de processamento de dados privados requer comunicação de saída por vários motivos:

Não aplique nenhuma regra extra à sua VPC ou aos grupos de segurança para bloquear ou restringir esse tráfego de saída.

Na etapa Etapa 2a: criar um usuário do IAM (conta de serviço), você criou um usuário do IAM chamado "aac_iam_user" com uma chave de acesso que o acompanha. O Alteryx não controla essas credenciais.

A Alteryx recomenda a rotação dessa credencial de acordo com as políticas da sua empresa. Se a sua empresa não tiver uma política, a AWS recomenda que ela seja rotacionada a cada 90 dias. Lembre-se de que o Alteryx precisa manter o acesso à VPC para atualizar recursos e software da nuvem, monitorar a integridade do seu ambiente privado e solucionar problemas. Ao rotacionar essa credencial na AWS, lembre-se de fazer login no Alteryx One Platform e fornecer também a credencial mais recente.