Аддалены доступ да HMI без публічнага вэб-слухача
Трымайце HMI па-за публічным інтэрнэтам, а адно ўзгодненае дзеянне перадавайце праз шлюз, зарэгістраваную ідэнтычнасць актыву і сесію, якую можна адклікаць па патрабаванні.
Паказ старонкі стану машыны ў закладцы браўзера не тое самае, што кіраванне абсталяваннем за ёй. HMI павінна заставацца прыватнай, пакуль невялікая служба, звязаная палітыкай, перадае адно дзеянне, патрэбнае карыстальніку. Вызначце аперацыю, ідэнтычнасць і шлях адклікання перад выбарам прадукту. Транспарт — гэта лёгкая частка для замены; мадэль аўтарызацыі — не.
Выберыце аперацыю раней за транспарт
Чытанне старонкі стану, выгрузка ўзгодненай справаздачы і змена ўстаўкі — гэта тры розныя запыты. Першы можна задаволіць праглядам толькі для чытання; апошні закранае стан абсталявання і патрабуе яўнага ўзгаднення ўладальніка, акна абслугоўвання і мясцовага нагляду. Аб'яднанне іх пад назвай аддаленага доступу хавае гэтую розніцу і звычайна стварае шырэйшы шлях, чым патрабуе задача. Назавіце аперацыю, ролю, якой дазволена яе выконваць, і доказ таго, што яна адбылася.
Тады транспарт вынікае з аперацыі, а не наадварот. Патрэба толькі чытання рэдка апраўдвае інтэрактыўнае кіраванне, а інтэрактыўнае кіраванне рэдка апраўдвае раскрыццё ўласнага слухача HMI. Калі аперацыя запісана, мадэль доступу становіцца рашэннем, а не прадуктовым значэннем па змаўчанні.
Пастаўце пасрэдніка перад адным названым рэсурсам
Шлюз рэсурсаў аўтэнтыфікуе карыстальніка, прымяняе палітыку і адкрывае злучэнне да адной прыватнай службы. HMI трымае свой слухач у прыватнай сетцы і ніколі не прымае сесіі з інтэрнэту. Шлюз завяршае зашыфраваную сесію, што робіць яго мяжой даверу з адкрытым тэкстам, якую хтосьці павінен адміністраваць і кантраляваць.
Гэтая мяжа — гэта дызайн, а не пабочны эфект. Запішыце, дзе сканчаецца шыфраванне, хто трымае ключы шлюза і якая каманда можа змяніць яго палітыку.
| Model | Where the session ends | Fits when |
|---|---|---|
| Browser gateway | At the broker, then a narrow proxy connection to one HMI service | Read-only pages and approved actions with per-user policy |
| Site engineering workstation | On a controlled host inside the site network | The tool needs local discovery or a legacy client |
| Outbound site connector | At the connector, brokered from outside | No new inbound path to the site is allowed |
Кожны радок нясе розны рэжым адмовы. Шлюз залежыць ад сваёй палітыкі і ланцужка сертыфікатаў, працоўная станцыя пляцоўкі залежыць ад фізічнага і мясцовага кантролю ўліковых запісаў, а знешні злучальнік залежыць ад дасяжнасці пасрэдніка. Выберыце радок, які адпавядае аперацыі, затым задокументуйце залежнасць, якую ён уводзіць.
Адрас — гэта маршрутызацыя, ідэнтычнасць — аўтарызацыя
Адрас тунеля або імя DNS паведамляе сетцы, куды адпраўляць пакеты; ён не паведамляе пасрэдніку, якую машыну меў на ўвазе карыстальнік. Зарэгіструйце кожную HMI або злучальнік пляцоўкі з асобнай ідэнтычнасцю і прывяжыце гэтую ідэнтычнасць да запісу інвентару. Калі адрас змяняецца, ідэнтычнасць усё роўна выбірае патрэбны актыў. Калі ідэнтычнасць здымаецца, запіс інвентару паказвае, які доступ знік.
Дынамічны DNS абнаўляе запіс і больш нічога. Ён не дае ні аўтарызацыі карыстальніка, ні маршруту праз кожнага вышэйшага транслятара, і стаўленне да яго як да кантролю доступу — гэта тое, як старое імя працягвае працаваць пасля вываду з эксплуатацыі. Падтрыманы знешні злучальнік пазбягае новага незапатрабаванага ўваходнага шляху, але ўсё яшчэ патрабуе ўзгаднення ўладальніка сеткі і задокументаваных паводзін, калі пасрэднік недасяжны.
Абмяжуйце сесію і дакажыце адкліканне
Дайце кожнаму карыстальніку асобную ідэнтычнасць, патрабуйце шматфактарную аўтэнтыфікацыю і давайце толькі дзеянні, патрэбныя аперацыі. Устанавіце акно абслугоўвання ў палітыцы, а не ў нататцы календара. Абараняйце ўліковыя даныя і даныя працы, якіх датыкаецца сесія, і захоўвайце падзеі доступу, не збіраючы староннюю актыўнасць карыстальнікаў.
Адкліканне трэба правяраць, пакуль сесія актыўная. Забярыце права карыстальніка, завяршыце сесію з боку пасрэдніка і пераканайцеся, што HMI больш не дасяжная праз гэты шлях.
Затым праверце адмову, якую план сцвярджае перажыць: спыніце пасрэдніка або абарвіце тунель і ўпэўніцеся, што мясцовая праца і аднаўленне ўсё яшчэ працуюць. Дызайн, які працуе толькі пакуль аддалены шлях здаровы, не з'яўляецца планам аддаленага доступу. Запішыце дату, аператара і вынік, бо наступны рэцэнзент папросіць доказы, а не намер.