Proteja los anfitriones de los trabajadores

En las flotas gestionadas por el cliente, se configura el sistema operativo del servidor de trabajo. Las siguientes prácticas mantienen al agente de trabajo, a los usuarios de la cola y a sus datos separados unos de otros en el host:

• Revise los scripts de configuración del host antes de usarlos y pruebe los cambios de configuración antes de implementarlos en su flota. Una configuración incorrecta puede hacer que los trabajadores se vuelvan inestables o impedirles trabajar.

• No utilice el mismo jobRunAsUser valor con varias colas, a menos que los trabajos enviados a esas colas estén dentro del mismo límite de seguridad.

• No jobRunAsUser defina la cola con el nombre del usuario del sistema operativo en el que se ejecuta el agente de trabajo. Para conocer el motivo, consulteEjecute trabajos como usuarios dedicados del sistema operativo.

• Otorgue a los usuarios de las colas los permisos de sistema operativo con menos privilegios necesarios para las cargas de trabajo de colas previstas. Asegúrese de que no tengan permisos de escritura en el sistema de archivos para acceder a los archivos del programa, al agente de trabajo ni a ningún otro software compartido.

• Asegúrese de que solo el usuario root (o la Administrator cuenta) posea los archivos Windows del programa del agente de trabajo y pueda modificarlos. Linux

• En los Linux hosts de trabajo, considere la posibilidad umask de configurar una alternativa /etc/sudoers que permita al usuario del agente de trabajo iniciar procesos como usuarios en cola. Esta configuración ayuda a garantizar que otros usuarios no puedan acceder a los archivos escritos en la cola.

• Restrinja los permisos al DNS local, anule los archivos de configuración (/etc/hostsactivando Linux y C:\Windows\system32\etc\hosts activandoWindows) y enrute las tablas en los sistemas operativos anfitriones de los trabajadores, de modo que el tráfico de trabajadores a Deadline Cloud no se pueda redirigir.

• Aplica parches periódicos al sistema operativo y a todo el software instalado. Este enfoque incluye el software que se utiliza específicamente con Deadline Cloud, como los remitentes, los adaptadores, los agentes de trabajo, OpenJD los paquetes y otros.

• Utilice contraseñas seguras para la Windows cola y rote jobRunAsUser las contraseñas con regularidad.

• Conceda a los menos privilegiados el acceso a los secretos de las Windows contraseñas y elimine los secretos no utilizados.

• No dé jobRunAsUser permiso a la cola para programar comandos para que se ejecuten en el futuro:

  • SíLinux, deniega a estas cuentas el acceso a cron yat.

  • ActivadoWindows, deniega el acceso de estas cuentas al programador de Windows tareas.