Recommandations supplémentaires de renforcement de la sécurité

Mesures supplémentaires de renforcement de la sécurité pour les nœuds, le réseau du cluster, l’administration du cluster et la configuration des applications.
Le renforcement de la sécurité appliqué automatiquement par défaut lors de l’installation du cluster
FactoryTalk® Optix™
High Availability
 comprend le chiffrement WireGuard entre les nœuds, le chiffrement des secrets au repos, la journalisation d’audit Kubernetes, les autorisations restreintes du fichier
kubeconfig
, les règles de pare-feu de l’hôte et l’anti-affinité des pods.
Appliquez ces recommandations manuelles supplémentaires de renforcement de la sécurité :
Renforcement de la sécurité des nœuds et du système d’exploitation
Appliquez la base de référence standard de renforcement du nœud et du système d’exploitation Ubuntu avant l’installation du cluster. Limitez l’accès, retirez les services inutiles et appliquez régulièrement les mises à jour de sécurité.
Chiffrement du disque
Activez le chiffrement du disque sur chaque nœud avant l’installation du cluster pour protéger les données K3s et les données d’application persistantes au repos.
Informations d’identification de l’agent K3s
Protégez les informations d’identification sous
/var/lib/rancher/k3s/agent/
 avec des autorisations de fichier restreintes et une protection au repos.
Exposition du réseau du cluster
Limitez les ports du cluster et de l’application aux seules sources requises, et maintenez le trafic du cluster sur le segment de réseau local dédié qui prend en charge la VIP et le basculement.
Administration du cluster
Limitez l’accès SSH et l’accès à l’administration du cluster, renouvelez le jeton de jonction du nœud après la configuration initiale et surveillez les ajouts inattendus de nœuds.
Configuration de l’application
Dans
FactoryTalk Optix
 Studio, utilisez HTTPS pour le moteur de présentation Web, TLS pour MQTT lorsque MQTT est utilisé, et un mode de sécurité OPC UA pour le serveur OPC UA d’exécution.
Fournir une réponse
Vous avez des questions ou des commentaires sur cette documentation ? Veuillez envoyer vos commentaires ici.
Normal