Recomendações adicionais de proteção
Medidas adicionais de proteção para nós, rede de cluster, administração de cluster e configuração de aplicativo.
A proteção padrão aplicada automaticamente durante a instalação do cluster do
FactoryTalk® Optix™
High Availability
inclui criptografia WireGuard entre os nós, criptografia de segredos em repouso, log de auditoria do Kubernetes, permissões de arquivo kubeconfig
restritas, regras de firewall do host e antiafinidade de pods.Aplique estas recomendações adicionais de proteção manual:
- Proteção do nó e do SO
- Aplique uma linha de base de proteção padrão ao nó Ubuntu e ao sistema operacional antes da instalação do cluster. Limite o acesso, remova os serviços desnecessários e mantenha as atualizações de segurança em dia.
- Criptografia de disco
- Habilite a criptografia de disco em cada nó antes da instalação do cluster para proteger os dados do K3s e os dados persistentes do aplicativo em repouso.
- Credenciais do agente K3s
- Proteja as credenciais em/var/lib/rancher/k3s/agent/com permissões de arquivo restritas e proteção em repouso.
- Exposição da rede do cluster
- Limite as portas do cluster e do aplicativo somente às origens necessárias e mantenha o tráfego do cluster no segmento de rede local dedicado compatível com VIP e failover.
- Administração do cluster
- Restrinja o acesso SSH e de administração do cluster, altere o token de ingresso do nó após a configuração inicial e monitore ingressos inesperados de nós.
- Configuração do aplicativo
- NoFactoryTalk OptixStudio, use HTTPS para o mecanismo de apresentação da Web, TLS para MQTT quando MQTT for usado e um modo de segurança OPC UA para o servidor OPC UA de tempo de execução.
High Availability
Hardening
Disk encryption
Kubernetes
SSH
Dê sua opinião