Hôtes de travail sécurisés

Sur les flottes gérées par le client, vous configurez le système d'exploitation hôte du poste de travail. Les pratiques suivantes permettent de séparer l'agent de travail, les utilisateurs de la file d'attente et leurs données sur l'hôte :

• Passez en revue les scripts de configuration de l'hôte avant de les utiliser et testez les modifications de configuration avant de les déployer dans votre flotte. Une configuration incorrecte peut rendre les travailleurs instables ou les empêcher de travailler.

• N'utilisez pas la même jobRunAsUser valeur avec plusieurs files d'attente, sauf si les tâches soumises à ces files d'attente se situent dans la même limite de sécurité.

• Ne définissez pas la file jobRunAsUser d'attente sur le nom de l'utilisateur du système d'exploitation sous lequel l'agent de travail s'exécute. Pour la raison, voirExécutez des tâches en tant qu'utilisateurs dédiés du système d'exploitation.

• Accordez aux utilisateurs de files d'attente les autorisations de système d'exploitation les moins privilégiées requises pour les charges de travail de file d'attente prévues. Assurez-vous qu'ils ne disposent pas d'autorisations d'écriture dans le système de fichiers pour accéder aux fichiers du programme de l'agent de travail ou à d'autres logiciels partagés.

• Assurez-vous que seul l'utilisateur root ou Linux le Administrator compte connecté possède et peut modifier les fichiers du programme de l'agent de travail. Windows

• Sur les hôtes de Linux travail, envisagez de configurer une umask dérogation permettant à /etc/sudoers l'utilisateur de l'agent de travail de lancer des processus en tant qu'utilisateurs de la file d'attente. Cette configuration permet de garantir que les autres utilisateurs ne peuvent pas accéder aux fichiers écrits dans la file d'attente.

• Limitez les autorisations aux fichiers de configuration de remplacement du DNS local (activé /etc/hosts Linux et activé C:\Windows\system32\etc\hostsWindows) et au routage des tables sur les systèmes d'exploitation hôtes du serveur de travail, afin que le trafic des utilisateurs vers Deadline Cloud ne puisse pas être redirigé.

• Appliquez régulièrement des correctifs au système d'exploitation et à tous les logiciels installés. Cette approche inclut les logiciels spécifiquement utilisés avec Deadline Cloud, tels que les émetteurs, les adaptateurs, les agents de travail, les OpenJD packages, etc.

• Utilisez des mots de passe forts pour la Windows file d'attente jobRunAsUser et alternez régulièrement les mots de passe.

• Accordez l'accès le moins privilégié aux secrets du Windows mot de passe et supprimez les secrets non utilisés.

• N'jobRunAsUserautorisez pas la file d'attente à planifier des commandes à exécuter dans le futur :

  • ActivéLinux, refusez à ces comptes l'accès à cron etat.

  • ActivéWindows, refusez à ces comptes l'accès au Windows planificateur de tâches.