Sichere Worker-Hosts

Bei vom Kunden verwalteten Flotten konfigurieren Sie das Betriebssystem des Worker-Hosts. Mit den folgenden Methoden werden der Worker-Agent, die Benutzer in der Warteschlange und ihre Daten auf dem Host voneinander getrennt:

• Überprüfen Sie die Host-Konfigurationsskripts, bevor Sie sie verwenden, und testen Sie die Konfigurationsänderungen, bevor Sie sie in Ihre Flotte übernehmen. Eine falsche Konfiguration kann Mitarbeiter instabil machen oder sie daran hindern, zu arbeiten.

• Verwenden Sie nicht denselben jobRunAsUser Wert für mehrere Warteschlangen, es sei denn, an diese Warteschlangen übermittelte Jobs liegen innerhalb derselben Sicherheitsgrenze.

• Stellen Sie die Warteschlange nicht jobRunAsUser auf den Namen des Betriebssystembenutzers ein, unter dem der Worker-Agent ausgeführt wird. Den Grund dafür finden Sie unterFühren Sie Jobs als dedizierte Betriebssystembenutzer aus.

• Gewähren Sie Warteschlangenbenutzern die Betriebssystemberechtigungen mit den geringsten Rechten, die für die vorgesehenen Warteschlangenworkloads erforderlich sind. Stellen Sie sicher, dass sie keine Dateisystem-Schreibberechtigungen für Worker-Agent-Programmdateien oder andere gemeinsam genutzte Software haben.

• Stellen Sie sicher, dass nur der Root-Benutzer oder das Administrator zugehörige Konto die Worker-Agent-Programmdateien besitzt und ändern kann. Linux Windows

• Auf Linux Worker-Hosts sollten Sie erwägen, eine umask Override-Funktion zu konfigurieren/etc/sudoers, die es dem Worker-Agent-Benutzer ermöglicht, Prozesse als Warteschlangenbenutzer zu starten. Diese Konfiguration trägt dazu bei, dass andere Benutzer nicht auf Dateien zugreifen können, die in die Warteschlange geschrieben wurden.

• Beschränken Sie die Berechtigungen für lokale DNS-Override-Konfigurationsdateien (/etc/hostsLinuxaktiviert und C:\Windows\system32\etc\hosts Windows aktiviert) und für das Routing von Tabellen auf Worker-Host-Betriebssystemen, sodass der Worker-Verkehr nicht zur Deadline Cloud umgeleitet werden kann.

• Patchen Sie regelmäßig das Betriebssystem und die gesamte installierte Software. Dieser Ansatz umfasst Software, die speziell mit Deadline Cloud verwendet wird, wie z. B. Einreicher, Adapter, Worker Agents, OpenJD Pakete und andere.

• Verwenden Sie sichere Passwörter für die Windows Warteschlange jobRunAsUser und wechseln Sie die Passwörter regelmäßig.

• Gewähren Sie den am wenigsten berechtigten Personen Zugriff auf die Windows Kennwortgeheimnisse und löschen Sie ungenutzte Geheimnisse.

• Erteilen Sie der Warteschlange nicht die jobRunAsUser Erlaubnis, Befehle so zu planen, dass sie in future ausgeführt werden:

  • EinLinux, verweigern Sie diesen Konten den Zugriff auf cron undat.

  • Ist diese Windows Option aktiviert, wird diesen Konten der Zugriff auf den Windows Taskplaner verweigert.