為了集成和自動化雲和本地應用程式，鏈利用 亞馬遜®雲科技 （AWS） 安全性和 iPaaS 架構來符合全面的企業架構標準和嚴格的 IT 安全策略。鏈產生器device_hub架構的每一層都保護客戶數據，並：
- 提供與其連結的敏感系統的存取控制
- 滿足現代架構的要求
- 符合 SOC1 和 SOC2
- 通常會超過需要的雲端憑證
參考體系結構
您可以通過支援 Web 和行動裝置的裝置透過 HTTPS（TLS 1.3 或更高版本）協定安全地構建鏈。在主機服務中運行的是主要應用程式，這是一個支援高級加密標準 （AES） 的資料庫，可安全地容納元數據和佇列，用於管理遠端 CloudRunner 和 GroundRunner 服務代理上的通信和任務執行。
總之，鏈結建立器架構包括：
- 以安全的瀏覽器為基礎的使用者介面，可用於執行和管理整合。
- 中央多租戶服務裝載於 Amazon Web Services (AWS) 中
- CloudRunner 和 GroundRunner 的遠端執行代理，可連結雲端和內部部署應用程式
GroundRunners 和 CloudRunners
執行代理（稱為 GroundRunners）託管在本地，並與用戶端網路內部和外部的應用程式介面。地跑者：
- 資源佔用量小。
- 支援Microsoft物理和虛擬計算資源上的 Windows®、Linux®、macOS® 和 Oracle Solaris® 操作系統。
- 執行所有必需的自動化和整合工作，涵蓋執行簡單的作業系統命令，以及本地應用程式操作 (例如載入或擷取資料)。
要訪問本地系統，您必須在可以訪問主機服務的操作環境中託管 GroundRunner。
如果您不需要訪問本地系統，Workiva 託管的預設 CloudRunner 將執行集成任務。
| 部署注意事項 | 地跑者 | 雲跑者 |
|---|---|---|
| 安裝 | 需要在公司防火牆內的計算環境中安裝，該環境可以通過埠 443 與外部主機服務介面。進一步了解 | 無 |
| 作業系統 | Microsoft Windows，Linux，Oracle Solaris或macOS。可執行文件作為服務運行，需要在對操作系統或其他共用資源具有適當許可權的特定服務帳戶下啟動。 | 不適用 |
| 服務責任 | 您的組織負責裝載、管理和安裝 GroundRunners | 提供預設的 CloudRunner 以作為鏈結建立器的一部分，是 Workiva 的責任 |
| 資料流程 | 只要使用 GroundRunner，您的資料將不會透過主機服務傳輸 | 當 CloudRunner 直接與支援的雲端技術連結時，它將透過主機服務傳輸資料 |
| 內部部署和雲端整合 | 與內部部署和雲端應用程式完整且順暢的整合 | 僅適用於雲端應用程式間的整合 |
| 應用程式已發佈 API 的本地使用 | 根據本地系統，連接利用不同的應用程式程式設計介面 （API）。對於雲技術，連接僅使用已發佈的 REST API，這些 API 通過 HTTPS （TLS 1.3） 安全地傳輸數據。 | 連接僅使用已發佈的 REST API，這些 API 透過 HTTPS （TLS 1.3） 安全地傳輸數據 |
地跑者會定期檢查是否有新的升級。當GroundRunner檢測到升級時，它會使用嚴格的安全傳輸層自動下載新的二進位檔。或者，可以手動下載和部署二進位檔。為了防止中間人攻擊，對新的二進位檔進行了簽名和加密。
網路安全性
Chain Builder 託管在 AWS 上，其網路在虛擬私有雲 （VPC） 中運行。此虛擬防火牆使Workiva能夠控制進出鏈生成器的流量。在更精細的層面上，鏈生成器的服務託管在 VPC 的公有和私有子網（或隔離的 IP 位址塊）中。VPC 充當 DMZ，其中：
- 公用子網路所包含的服務，可以在單個連接埠 (443) 上透過 HTTPS 要求，直接從公用網路中存取。
- 私有子網阻止公有流量，並託管僅由 VPC 內的服務訪問的內部服務。
資料傳輸安全性
為了確保系統之間數據傳輸的完全安全性，進出鏈產生器的所有流量都使用 TLS 1.3 協定使用 2048 位證書進行加密。此外，內部應用程式之間的通信是加密的，以確保所有傳輸都是從合法來源發送的。
GroundRunners和CloudRunner支援直接交換數據，代理可以通過通信通道下載和交換檔，除了JSON Web Token（JWT）之外，還使用相同的TLS 1.3協定。每個 GroundRunner 都支援直接的代理到代理數據交換，並且可以配置為啟用或禁用此選項並控制其偵聽埠（預設為 8821）。
為了創建安全通道，GroundRunners還與企業IT指導的企業代理伺服器合作，與主機服務進行通信。
資料庫層安全性
資料庫伺服器託管在專用子網中。這些資料庫不能直接從公共互聯網訪問;只有 VPC 內的服務才能連接到它們。與資料庫的所有連接都受密碼保護，並且只能訪問必要的埠。為了防止數據丟失，資料庫是高度冗餘的，並分佈在多個數據中心。
資料庫每天備份。這些快照以 AES-256 的加密級別存儲在 Amazon Simple Storage Service （S3） 中，並跨多個可用區存儲，以確保增加安全冗餘層。
資料和中繼資料管理
為了說明和提供有關資料的資訊，主機服務以 AES-256 加密層級儲存此中繼資料：
- 設計中繼資料：例如工作區、鏈結和工作配置。
- 審計中繼資料：例如任何元件變更的歷史記錄，包括工作區、鏈結、檔案資源和排程。
- 執行時間中繼資料：例如鏈結和工作執行時間的歷史記錄，以及任何由 CloudRunner 或 GroundRunners 伺服器生成的記錄。
CloudRunner 和 GroundRunners 執行所有資料傳輸，並直接連結以下：
- Workiva 平台
- 雲端應用程式，例如 Anaplan®、Salesforce®、Oracle®EPM Cloud 和 Tableau®
- 透過本地 API 的內部部署應用程式 (例如 Oracle® Hyperion 或 SQL Server®)
鏈結中包含的工作可以產生一般的暫存檔案，我們通常稱之為輸出。
- 如果是由 CloudRunner 產生的輸出，則會以 AES-256 的加密層級儲存在 AWS Elastic File System (EFS) 磁碟區中。
- 如果 GroundRunner 生成輸出，它將臨時存儲在主機的文件系統上，這決定了加密級別。
工作流附件是臨時的，在工作流完成後會消失。要保留與工作流關聯的檔，請將其保存到本地文件系統或雲驅動器（如 Google® 雲端硬碟或 BOX®）。
敏感檔（例如為工作區或連接器上傳的資源）通過 HashiCorp Vault Transit 加密進行加密，並以加密方式存儲在 Amazon Simple Storage Service （S3） 中。敏感文本欄位（例如作為連接器屬性輸入的身份驗證憑證）作為加密的 HashiCorp 保管庫密鑰存儲在 Amazon DynamoDB® 中。要儲存主密鑰，檔庫傳輸和檔庫機密/KV 儲存都使用 awskms 簽章。