AzureでのCloud Execution for Desktop

カスタムIAMロールを作成する必要があります。名前を「AAC_CEFD_SA_Role」とし、次のロールドキュメントを使用します。ビジュアルエディターではなくJSONタブを使用することをお勧めします。実行するには、Alteryx Oneに一部*権限が必要です。ロールを作成するときに、セキュリティ警告が複数発生することがあります。

{
    "properties": {
        "roleName": "AAC_CEFD_SA_Role",
        "description": "Custom role for provisioning AAC private data handling",
        "assignableScopes": [
            "/subscriptions/<subscription ID>"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.Authorization/*/read",
                    "Microsoft.Authorization/roleAssignments/delete",
                    "Microsoft.Authorization/roleAssignments/write",
                    "Microsoft.Compute/availabilitySets/*",
                    "Microsoft.Compute/cloudServices/*",
                    "Microsoft.Compute/disks/delete",
                    "Microsoft.Compute/disks/read",
                    "Microsoft.Compute/disks/write",
                    "Microsoft.Compute/locations/*",
                    "Microsoft.Compute/virtualMachineScaleSets/*",
                    "Microsoft.Compute/virtualMachines/*",
                    "Microsoft.Insights/autoScaleSettings/delete",
                    "Microsoft.Insights/autoScaleSettings/read",
                    "Microsoft.Insights/autoScaleSettings/write",
                    "Microsoft.KeyVault/*",
                    "Microsoft.ManagedIdentity/userAssignedIdentities/assign/action",
                    "Microsoft.ManagedIdentity/userAssignedIdentities/delete",
                    "Microsoft.ManagedIdentity/userAssignedIdentities/federatedIdentityCredentials/delete",
                    "Microsoft.ManagedIdentity/userAssignedIdentities/federatedIdentityCredentials/read",
                    "Microsoft.ManagedIdentity/userAssignedIdentities/federatedIdentityCredentials/write",
                    "Microsoft.ManagedIdentity/userAssignedIdentities/read",
                    "Microsoft.ManagedIdentity/userAssignedIdentities/write",
                    "Microsoft.Network/applicationGateways/backendAddressPools/join/action",
                    "Microsoft.Network/loadBalancers/backendAddressPools/join/action",
                    "Microsoft.Network/loadBalancers/inboundNatPools/join/action",
                    "Microsoft.Network/loadBalancers/inboundNatRules/join/action",
                    "Microsoft.Network/loadBalancers/probes/join/action",
                    "Microsoft.Network/loadBalancers/read",
                    "Microsoft.Network/locations/*",
                    "Microsoft.Network/networkInterfaces/*",
                    "Microsoft.Network/networkSecurityGroups/delete",
                    "Microsoft.Network/networkSecurityGroups/join/action",
                    "Microsoft.Network/networkSecurityGroups/read",
                    "Microsoft.Network/networkSecurityGroups/write",
                    "Microsoft.Network/publicIPAddresses/join/action",
                    "Microsoft.Network/publicIPAddresses/read",
                    "Microsoft.Network/routeTables/read",
                    "Microsoft.Network/routeTables/routes/read",
                    "Microsoft.Network/routeTables/routes/write",
                    "Microsoft.Network/routeTables/write",
                    "Microsoft.Network/virtualNetworks/read",
                    "Microsoft.Network/virtualNetworks/subnets/join/action",
                    "Microsoft.RecoveryServices/locations/*",
                    "Microsoft.ResourceHealth/availabilityStatuses/read",
                    "Microsoft.Resources/deployments/*",
                    "Microsoft.Resources/subscriptions/operationresults/read",
                    "Microsoft.Resources/subscriptions/read",
                    "Microsoft.Resources/subscriptions/resourceGroups/read",
                    "Microsoft.Web/serverFarms/write",
                    "Microsoft.Web/serverFarms/read",
                    "Microsoft.Web/serverFarms/delete",
                    "Microsoft.OperationalInsights/workspaces/read",
                    "Microsoft.OperationalInsights/workspaces/write",
                    "Microsoft.OperationalInsights/workspaces/delete",
                    "Microsoft.Insights/components/*",
                    "Microsoft.Web/sites/*"
                    
                ],
                "notActions": [],
                "dataActions": [],
                "notDataActions": []
            }
        ]
    }
}

プライベートデータ用のAzureサブスクリプションとVnetの設定ページで作成したaac_automation_saサービスアカウントに、AAC_CEFD_SA_Role IAMカスタムロールを追加します。

Cloud Execution環境のカスタマイズにより、カスタムドライバーとコネクタをS3バケットにアップロードできます。

カスタマイズ設定を有効にするには、feature.privateDataPlaneHandling.admin.cEFDEnvironmentCustomizationsEnabledをTRUEに設定します。

CEFDカスタムIAMロールの作成

カスタムIAMロールを作成し、AAC_CEFD_Customization_SA_Roleという名前を付けて、次のポリシードキュメントを付与します。

ビジュアルエディターではなくJSONタブを使用することをお勧めします。Alteryx One Platformの実行には複数の*権限が必要です。ポリシーの作成時に、セキュリティ警告が何件か発生する場合があります。

{
    "properties": {
        "roleName": "AAC_CEFD_Customization_SA_Role",
        "description": "Custom role for provisioning AAC private data handling",
        "assignableScopes": [
            "/subscriptions/<subscription ID>"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.ContainerService/fleets/listCredentials/action",
                    "Microsoft.ContainerService/fleets/read",
                    "Microsoft.ContainerService/managedClusters/accessProfiles/listCredential/action",
                    "Microsoft.ContainerService/managedClusters/agentPools/delete",
                    "Microsoft.ContainerService/managedClusters/agentPools/read",
                    "Microsoft.ContainerService/managedClusters/agentPools/upgradeNodeImageVersion/write",
                    "Microsoft.ContainerService/managedClusters/agentPools/write",
                    "Microsoft.ContainerService/managedClusters/availableAgentPoolVersions/read",
                    "Microsoft.ContainerService/managedClusters/delete",
                    "Microsoft.ContainerService/managedClusters/listClusterAdminCredential/action",
                    "Microsoft.ContainerService/managedClusters/listClusterUserCredential/action",
                    "Microsoft.ContainerService/managedClusters/read",
                    "Microsoft.ContainerService/managedClusters/runcommand/action",
                    "Microsoft.ContainerService/managedClusters/write",
                    "Microsoft.Network/virtualNetworks/subnets/read",
                    "Microsoft.Storage/storageAccounts/*"
                ],
                "notActions": [],
                "dataActions": [
                    "Microsoft.ContainerService/fleets/*",
                    "Microsoft.ContainerService/managedClusters/*"
                ],
                "notDataActions": []
            }
        ]
    }
}

カスタムロールのassignableScopesスコープを更新します。スコープはサブスクリプションIDである必要があります。

サブスクリプションでアプリ登録にカスタムロールをバインドする

前の手順で作成したカスタムロールを、ステップ3: IAMの設定で作成したaac_automation_sa serviceアカウントに追加します。

aac-vpc VPCでサブネットを設定します。

以下の例に従ってサブネットを作成します。アドレス空間とサブネット値は、利用中のネットワークアーキテクチャに合わせて調整できます。プライベートデータ用のAzureサブスクリプションとVnetの設定ページで作成したネットワークセキュリティグループをサブネットに関連付けます。

アドレス空間は、完全にスケールアウトされたデータ処理環境に対応するように設計されています。必要に応じてアドレス空間を小さくすることもできますが、処理負荷が高くなったときにスケーリングに問題が発生する可能性があります。