为私有数据设置 AWS 账户和 VPC

您需要创建自定义 IAM 策略。将其命名为 AAC_Base_SA_Policy 并使用以下策略文档。我们建议使用 JSON 选项卡而不是可视化编辑器。Alteryx One 需要一些 * 权限才能运行。在创建策略时，预计会出现一些安全警告。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor2",
            "Effect": "Allow",
            "Action": [
                "iam:GetOpenIDConnectProvider",
                "iam:GetPolicy",
                "iam:GetPolicyVersion",
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:GetUser",
                "iam:GetUserPolicy",
                "iam:ListAttachedRolePolicies",
                "iam:ListAttachedUserPolicies",
                "iam:ListGroupsForUser",
                "iam:ListInstanceProfilesForRole",
                "iam:ListPolicyTags",
                "iam:ListPolicyVersions",
                "iam:ListRolePolicies"
            ],
            "Resource": [
                "arn:aws:iam::*:policy/*",
                "arn:aws:iam::*:oidc-provider/*",
                "arn:aws:iam::*:user/*",
                "arn:aws:iam::*:role/*"
            ]
        },
        {
            "Sid": "VisualEditor3",
            "Effect": "Allow",
            "Action": [
                "elasticloadbalancing:*",
                "iam:GetAccountName",
                "iam:ListAccountAliases",
                "iam:ListRoles",
                "networkmanager:Describe*",
                "networkmanager:Get*",
                "networkmanager:List*",
                "s3:GetBucketAcl",
                "s3:GetBucketCORS",
                "s3:GetBucketLocation",
                "s3:GetBucketLogging",
                "s3:GetBucketObjectLockConfiguration",
                "s3:GetBucketOwnershipControls",
                "s3:GetBucketPolicy",
                "s3:GetBucketPolicyStatus",
                "s3:GetBucketPublicAccessBlock",
                "s3:GetBucketRequestPayment",
                "s3:GetBucketTagging",
                "s3:GetBucketVersioning",
                "s3:GetBucketWebsite",
                "s3:GetEncryptionConfiguration",
                "s3:GetLifecycleConfiguration",
                "s3:GetObject",
                "s3:GetObjectAcl",
                "s3:GetObjectVersion",
                "s3:GetObjectVersionAcl",
                "s3:GetObjectVersionAttributes",
                "s3:GetObjectVersionForReplication",
                "s3:GetObjectVersionTagging",
                "s3:GetObjectVersionTorrent",
                "s3:GetReplicationConfiguration",
                "s3:ListAllMyBuckets",
                "s3:ListBucket",
                "s3:ListBucketVersions",
                "sts:GetCallerIdentity"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor4",
            "Effect": "Allow",
            "Action": "secretsmanager:*",
            "Resource": "arn:aws:secretsmanager:*:*:secret:*"
        }
    ]
}

Alteryx Cloud 产品部署在 Kubernetes 群集中。控制平面通过 WireGuard VPN 隧道与数据平面 Kubernetes 群集进行安全通信。为了通过 WireGuard VPN 实现无缝和安全通信，必须在数据平面网络中将以下 IP 地址列入允许列表，供入站和出站流量使用：

此配额适用于运行 Designer Cloud、Machine Learning、Auto Insights 和 App Builder 的 Kubernetes 群集。它也适用于为 Cloud Execution for Desktop 提供支持的虚拟机自动扩缩组。

我们对该配额的建议是允许您的群集和自动扩缩组最多使用 50 个节点。

仅当您计划将 EMR 部署为 Designer Cloud 处理选项时，此配额才适用。

Alteryx One Platform 是一个分布式系统。对私有数据处理配置所做的更改必须先传播到多个系统，然后才能完全生效。例如，如果您在配置私有数据处理时，您的工作区中已存在正在运行的计划作业，则随后的几分钟内，您可能仍会看到作业在 Alteryx 数据处理环境中执行。

在您的私有数据处理环境中运行的软件需要出站通信（出口），原因如下：

请勿对您的 VPC 或安全组应用任何额外规则来阻止或限制此出站流量。

在步骤步骤 2a：创建 IAM 用户（服务账户）中，您创建了一个名为 aac_iam_user 并附带访问密钥的 IAM 用户。Alteryx 不控制这些凭证。

Alteryx 建议根据贵公司的策略要求轮换此凭证。如果您的公司没有相关政策，则 AWS 建议每 90 天轮换一次凭证。只需记住，Alteryx 需要保留对 VPC 的访问权限，以更新云资源和软件、监控您的私有环境的运行状况以及进行故障排除。在 AWS 中轮换此凭证时，请务必登录 Alteryx One Platform 并提供最新的凭证。