Host sicuri per i lavoratori

Nelle flotte gestite dal cliente, è possibile configurare il sistema operativo Worker Host. Le seguenti pratiche mantengono l'agente di lavoro, gli utenti in coda e i relativi dati separati l'uno dall'altro sull'host:

• Esamina gli script di configurazione dell'host prima di utilizzarli e prova le modifiche alla configurazione prima di implementarli nel tuo parco macchine. Una configurazione errata può rendere instabili i lavoratori o impedire loro di lavorare.

• Non utilizzate lo stesso jobRunAsUser valore con più code a meno che i lavori inviati a tali code non rientrino nello stesso limite di sicurezza.

• Non impostate la coda jobRunAsUser sul nome dell'utente del sistema operativo con cui viene eseguito il worker agent. Per il motivo, vediEsegui i lavori come utenti del sistema operativo dedicati.

• Concedi agli utenti della coda le autorizzazioni del sistema operativo con i privilegi minimi richieste per i carichi di lavoro in coda previsti. Assicurati che non dispongano delle autorizzazioni di scrittura del file system per i file di programma degli agenti di lavoro o altri software condivisi.

• Assicurati che solo l'utente root o l'Administratoraccount su Linux di esso possieda e possa modificare Windows i file di programma del worker agent.

• Sugli host Linux worker, valuta la possibilità di configurare un umask override /etc/sudoers che consenta all'utente worker agent di avviare i processi come utenti in coda. Questa configurazione aiuta a garantire che altri utenti non possano accedere ai file scritti nella coda.

• Limita le autorizzazioni al DNS locale, sostituisci i file di configurazione (attivati e /etc/hosts attivatiWindows) Linux e instrada le tabelle C:\Windows\system32\etc\hosts sui sistemi operativi degli host di lavoro, in modo che il traffico dei lavoratori non possa essere reindirizzato a Deadline Cloud.

• Aggiorna regolarmente il sistema operativo e tutto il software installato. Questo approccio include software utilizzati specificamente con Deadline Cloud, come mittenti, adattatori, agenti di lavoro, OpenJD pacchetti e altro.

• Usa password complesse per la Windows coda jobRunAsUser e ruota le password regolarmente.

• Concedi l'accesso con il minimo privilegio alle password segrete ed elimina quelle non utilizzateWindows.

• Non jobRunAsUser autorizzate la coda a pianificare i comandi da eseguire in futuro:

  • SìLinux, nega a questi account l'accesso a cron e. at

  • SìWindows, nega a questi account l'accesso al Windows task scheduler.