Recomendaciones adicionales de endurecimiento
Medidas adicionales de endurecimiento para los nodos, la red del clúster, la administración del clúster y la configuración de la aplicación.
El endurecimiento predeterminado que se aplica automáticamente durante la instalación del clúster
FactoryTalk® Optix™
High Availability
incluye el cifrado WireGuard entre nodos, el cifrado de secretos en reposo, el registro de auditoría de Kubernetes, los permisos restringidos del archivo kubeconfig
, las reglas del firewall del host y la antiafinidad de pods.Aplique estas recomendaciones adicionales de endurecimiento manual:
- Endurecimiento de nodos y del sistema operativo
- Aplique la línea base estándar de endurecimiento del nodo de Ubuntu y del sistema operativo antes de la instalación del clúster. Limite el acceso, quite los servicios innecesarios y mantenga al día las actualizaciones de seguridad.
- Cifrado de disco
- Habilite el cifrado de disco en cada nodo antes de la instalación del clúster para proteger los datos de K3s y los datos persistentes de la aplicación en reposo.
- Credenciales del agente de K3s
- Proteja las credenciales en/var/lib/rancher/k3s/agent/con permisos de archivo restringidos y protección en reposo.
- Exposición de la red del clúster
- Limite los puertos del clúster y de la aplicación únicamente a los orígenes necesarios y mantenga el tráfico del clúster en el segmento de red local dedicado que admite la VIP y la conmutación por error.
- Administración del clúster
- Restrinja el acceso a SSH y a la administración del clúster, rote el token de unión del nodo después de la configuración inicial y monitorice las incorporaciones inesperadas de nodos.
- Configuración de la aplicación
- EnFactoryTalk OptixStudio, utilice HTTPS para el motor de presentación web, TLS para MQTT cuando se utilice MQTT y un modo de seguridad OPC UA para el servidor OPC UA de tiempo de ejecución.
High Availability
Hardening
Disk encryption
Kubernetes
SSH
Entregue su opinión