Host pekerja yang aman

Pada armada yang dikelola pelanggan, Anda mengonfigurasi sistem operasi host pekerja. Praktik berikut membuat agen pekerja, pengguna antrean, dan datanya terpisah satu sama lain di host:

• Tinjau skrip konfigurasi host sebelum Anda menggunakannya, dan uji perubahan konfigurasi sebelum meluncurkannya ke armada Anda. Konfigurasi yang salah dapat membuat pekerja tidak stabil atau menghentikan mereka bekerja.

• Jangan gunakan jobRunAsUser nilai yang sama dengan beberapa antrian kecuali pekerjaan yang dikirimkan ke antrian tersebut berada dalam batas keamanan yang sama.

• Jangan atur antrian jobRunAsUser ke nama pengguna OS yang dijalankan oleh agen pekerja. Untuk alasannya, lihatJalankan pekerjaan sebagai pengguna OS khusus.

• Berikan pengguna antrian izin OS dengan hak istimewa yang paling tidak diperlukan untuk beban kerja antrian yang dimaksud. Pastikan bahwa mereka tidak memiliki izin menulis sistem file ke file program agen pekerja atau perangkat lunak bersama lainnya.

• Pastikan bahwa hanya pengguna root yang aktifLinux, atau Administrator akunWindows, yang memiliki dan dapat memodifikasi file program agen pekerja.

• Pada host Linux pekerja, pertimbangkan untuk mengonfigurasi umask penggantian /etc/sudoers yang memungkinkan pengguna agen pekerja meluncurkan proses sebagai pengguna antrian. Konfigurasi ini membantu memastikan pengguna lain tidak dapat mengakses file yang ditulis ke antrian.

• Batasi izin untuk mengganti file konfigurasi DNS lokal (/etc/hostsaktif dan aktifWindows), Linux dan C:\Windows\system32\etc\hosts untuk merutekan tabel pada sistem operasi host pekerja, sehingga lalu lintas pekerja ke Deadline Cloud tidak dapat dialihkan.

• Secara teratur menambal sistem operasi dan semua perangkat lunak yang diinstal. Pendekatan ini mencakup perangkat lunak yang khusus digunakan dengan Deadline Cloud seperti submitter, adaptor, agen pekerja, OpenJD paket, dan lain-lain.

• Gunakan kata sandi yang kuat untuk Windows antrianjobRunAsUser, dan putar kata sandi secara teratur.

• Berikan akses paling tidak istimewa ke rahasia Windows kata sandi, dan hapus rahasia yang tidak digunakan.

• Jangan berikan jobRunAsUser izin antrian untuk menjadwalkan perintah yang akan dijalankan di masa mendatang:

  • AktifkanLinux, tolak akses akun ini ke cron danat.

  • AktifkanWindows, tolak akses akun ini ke penjadwal Windows tugas.