Configurar la cuenta de AWS y VPC para datos privados

Debes crear una política de IAM personalizada. Nombra AAC_Base_SA_Policy y utiliza el siguiente documento de política. Recomendamos utilizar la pestaña JSON en lugar del editor visual. Alteryx One requiere algunos permisos de * para ejecutarse. Espera algunas advertencias de seguridad cuando crees la política.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor2",
            "Effect": "Allow",
            "Action": [
                "iam:GetOpenIDConnectProvider",
                "iam:GetPolicy",
                "iam:GetPolicyVersion",
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:GetUser",
                "iam:GetUserPolicy",
                "iam:ListAttachedRolePolicies",
                "iam:ListAttachedUserPolicies",
                "iam:ListGroupsForUser",
                "iam:ListInstanceProfilesForRole",
                "iam:ListPolicyTags",
                "iam:ListPolicyVersions",
                "iam:ListRolePolicies"
            ],
            "Resource": [
                "arn:aws:iam::*:policy/*",
                "arn:aws:iam::*:oidc-provider/*",
                "arn:aws:iam::*:user/*",
                "arn:aws:iam::*:role/*"
            ]
        },
        {
            "Sid": "VisualEditor3",
            "Effect": "Allow",
            "Action": [
                "elasticloadbalancing:*",
                "iam:GetAccountName",
                "iam:ListAccountAliases",
                "iam:ListRoles",
                "networkmanager:Describe*",
                "networkmanager:Get*",
                "networkmanager:List*",
                "s3:GetBucketAcl",
                "s3:GetBucketCORS",
                "s3:GetBucketLocation",
                "s3:GetBucketLogging",
                "s3:GetBucketObjectLockConfiguration",
                "s3:GetBucketOwnershipControls",
                "s3:GetBucketPolicy",
                "s3:GetBucketPolicyStatus",
                "s3:GetBucketPublicAccessBlock",
                "s3:GetBucketRequestPayment",
                "s3:GetBucketTagging",
                "s3:GetBucketVersioning",
                "s3:GetBucketWebsite",
                "s3:GetEncryptionConfiguration",
                "s3:GetLifecycleConfiguration",
                "s3:GetObject",
                "s3:GetObjectAcl",
                "s3:GetObjectVersion",
                "s3:GetObjectVersionAcl",
                "s3:GetObjectVersionAttributes",
                "s3:GetObjectVersionForReplication",
                "s3:GetObjectVersionTagging",
                "s3:GetObjectVersionTorrent",
                "s3:GetReplicationConfiguration",
                "s3:ListAllMyBuckets",
                "s3:ListBucket",
                "s3:ListBucketVersions",
                "sts:GetCallerIdentity"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor4",
            "Effect": "Allow",
            "Action": "secretsmanager:*",
            "Resource": "arn:aws:secretsmanager:*:*:secret:*"
        }
    ]
}

Los productos de Alteryx Cloud se implementan dentro de un clúster de Kubernetes. El plano de control se comunica de forma segura con el clúster de Kubernetes de plano de datos a través de un túnel VPN de WireGuard. Para habilitar una comunicación fluida y segura a través de WireGuard VPN, la siguiente dirección IP debe incluirse en la lista blanca en la red del plano de datos para el tráfico de entrada y salida:

Esta cuota se aplica al clúster de Kubernetes que ejecuta Designer Cloud, Machine Learning, Auto Insights y App Builder. También se aplica al grupo de escalado automático de VM que impulsan la ejecución en Cloud para Desktop.

Nuestra recomendación para esta cuota se basa en permitir que tu clúster y grupos de escala automática consuman hasta 50 nodos.

Esta cuota solo se aplica si planeas implementar EMR como una opción de procesamiento de Designer Cloud.

Alteryx One Platform es un sistema distribuido. Los cambios realizados en la configuración de procesamiento privado de datos deben propagarse a varios sistemas antes de que surtan efecto completo. Por ejemplo, si tu espacio de trabajo ya tiene tareas programadas que se ejecutan cuando configuras el procesamiento privado de datos, es posible que sigas viendo la ejecución de tareas en el entorno de procesamiento de datos de Alteryx durante unos minutos después.

El software que se ejecuta en tu entorno de procesamiento privado de datos requiere comunicación saliente (de salida) por varias razones:

No apliques ninguna regla adicional a tu VPC o grupos de seguridad para bloquear o restringir este tráfico saliente.

En el paso Paso 2a: Crear un usuario de IAM (cuenta de servicio), creaste un usuario de IAM llamado aac_iam_user con una clave de acceso adjunta. Alteryx no controla estas credenciales.

Alteryx recomienda rotar esta credencial de acuerdo con las políticas de tu empresa. Si tu empresa no tiene ninguna política, AWS recomienda rotarla cada 90 días. Solo recuerda que Alteryx necesita conservar el acceso a la VPC para actualizar los recursos y el software en la nube, supervisar la salud de tu entorno privado y solucionar problemas. Cuando gires esta credencial en AWS, recuerda iniciar sesión en Alteryx One Platform y proporcionar la credencial más reciente.