Vzdálený přístup k HMI bez veřejného webového posluchače
Držte HMI mimo veřejný internet a zprostředkujte jednu schválenou akci přes bránu, evidovanou identitu prostředku a relaci, kterou můžete na vyžádání odvolat.
Zobrazit stavovou stránku stroje v kartě prohlížeče není totéž jako ovládat zařízení za ní. HMI má zůstat soukromé, zatímco malá služba vázaná zásadami zprostředkovává jednu akci, kterou uživatel potřebuje. Rozhodněte o operaci, identitě a cestě odvolání dřív, než vyberete produkt. Přenos je ta snadná část k výměně; autorizační model ne.
Vyberte operaci dřív než přenos
Čtení stavové stránky, stažení schváleného reportu a změna žádané hodnoty jsou tři různé požadavky. První lze uspokojit náhledem pouze pro čtení; poslední se dotýká stavu zařízení a potřebuje výslovné schválení vlastníka, servisní okno a místní dohled. Jejich seskupení pod vzdálený přístup tento rozdíl skrývá a obvykle vytváří širší cestu, než úloha vyžaduje. Pojmenujte operaci, roli, která ji smí provést, a důkaz, že se stala.
Přenos pak vyplývá z operace, ne naopak. Potřeba pouze čtení zřídka ospravedlní interaktivní řízení a interaktivní řízení zřídka ospravedlní vystavení vlastního posluchače HMI. Jakmile je operace zapsaná, stává se model přístupu rozhodnutím, ne výchozím nastavením produktu.
Postavte brokera před jeden pojmenovaný zdroj
Brána zdrojů ověřuje uživatele, uplatňuje zásady a otevírá spojení k jedné soukromé službě. HMI drží svého posluchače v soukromé síti a nikdy nepřijímá relace z internetu. Brána ukončuje šifrovanou relaci, čímž se stává hranicí důvěry v otevřeném textu, kterou někdo musí spravovat a monitorovat.
Tato hranice je návrh, ne vedlejší efekt. Zapište, kde šifrování končí, kdo drží klíče brány a který tým může změnit její zásady.
| Model | Where the session ends | Fits when |
|---|---|---|
| Browser gateway | At the broker, then a narrow proxy connection to one HMI service | Read-only pages and approved actions with per-user policy |
| Site engineering workstation | On a controlled host inside the site network | The tool needs local discovery or a legacy client |
| Outbound site connector | At the connector, brokered from outside | No new inbound path to the site is allowed |
Každý řádek nese jiný režim selhání. Brána závisí na svých zásadách a řetězci certifikátů, pracovní stanice v lokalitě závisí na fyzické a místní kontrole účtů a odchozí konektor závisí na dostupnosti brokera. Vyberte řádek, který odpovídá operaci, a pak zdokumentujte závislost, kterou zavádí.
Adresa je směrování, identita je autorizace
Adresa tunelu nebo jméno DNS říká síti, kam posílat pakety; neříká brokerovi, který stroj uživatel zamýšlel. Zaregistrujte každé HMI nebo konektor lokality s odlišnou identitou a svěřte tuto identitu záznamu v inventáři. Když se adresa změní, identita stále vybírá správný prostředek. Když je identita vyřazena, záznam v inventáři ukáže, jaký přístup zmizel.
Dynamický DNS aktualizuje záznam a nic jiného. Neposkytuje ani autorizaci uživatele, ani cestu přes každý nadřazený překladač, a považovat ho za řízení přístupu je způsob, jak staré jméno funguje dál po vyřazení z provozu. Podporovaný odchozí konektor se vyhne nové nevyžádané příchozí cestě, ale stále potřebuje schválení vlastníka sítě a zdokumentované chování, když je broker nedostupný.
Vymezte relaci a prokažte odvolání
Dejte každému uživateli samostatnou identitu, vyžadujte vícefaktorové ověření a přidělujte jen akce, které operace potřebuje. Nastavte servisní okno v zásadách, ne v poznámce v kalendáři. Chraňte přihlašovací údaje a pracovní data, kterých se relace dotýká, a uchovávejte události přístupu, aniž byste sbírali nesouvisející aktivitu uživatelů.
Odvolání se musí otestovat, dokud je relace živá. Odeberte uživateli oprávnění, ukončete relaci z brokera a potvrďte, že HMI už není touto cestou dostupné.
Pak procvičte selhání, o kterém plán tvrdí, že ho přežije: zastavte brokera nebo přerušte tunel a ověřte, že místní provoz a obnova stále fungují. Návrh, který funguje jen dokud je vzdálená cesta zdravá, není plánem vzdáleného přístupu. Zapište datum, operátora a výsledek, protože příští recenzent bude chtít důkazy, ne úmysl.