גישה מרחוק ל-HMI ללא מאזין אינטרנט ציבורי
השאירו את ה-HMI מחוץ לאינטרנט הציבורי ותווכו פעולה אחת מאושרת דרך שער, זהות נכס רשומה והפעלה שתוכלו לבטל לפי דרישה.
הצגת דף המצב של מכונה בכרטיסייה בדפדפן אינה אותו דבר כמו שליטה בציוד שמאחוריה. ה-HMI צריך להישאר פרטי בזמן ששירות קטן וכבול במדיניות מתווך את הפעולה האחת שהמשתמש צריך. החליטו על הפעולה, הזהות ומסלול הביטול לפני בחירת מוצר. התעבורה היא החלק הקל להחלפה; מודל ההרשאה אינו.
בחרו את הפעולה לפני התעבורה
קריאת דף מצב, הוצאת דוח מאושר ושינוי נקודת הגדרה הם שלוש בקשות שונות. הראשונה נענית בתצוגה לקריאה בלבד; האחרונה נוגעת במצב הציוד וזקוקה לאישור מפורש של הבעלים, לחלון תחזוקה ולפיקוח מקומי. קיבוץ שלהן תחת גישה מרחוק מסתיר את ההבדל הזה ובדרך כלל יוצר מסלול רחב ממה שהמשימה דורשת. תנו שם לפעולה, לתפקיד שמורשה לבצע אותה ולראיה שהיא התרחשה.
לאחר מכן התעבורה נגזרת מהפעולה ולא להפך. צורך בקריאה בלבד ממעט להצדיק שליטה אינטראקטיבית, ושליטה אינטראקטיבית ממעטת להצדיק חשיפה של המאזין של ה-HMI עצמו. ברגע שהפעולה כתובה, מודל הגישה הופך להחלטה ולא לברירת מחדל של מוצר.
הציבו את המתווך מול משאב אחד בעל שם
שער משאבים מאמת את המשתמש, מיישם מדיניות ופותח חיבור לשירות פרטי אחד. ה-HMI שומר על המאזין שלו ברשת הפרטית ולעולם אינו מקבל הפעלות מהאינטרנט. השער מסיים את ההפעלה המוצפנת, מה שהופך אותו לגבול אמון בטקסט גלוי שמישהו חייב לנהל ולנטר.
הגבול הזה הוא התכנון, לא תופעת לוואי. כתבו היכן ההצפנה נגמרת, מי מחזיק במפתחות השער ואיזו קבוצה יכולה לשנות את המדיניות שלו.
| Model | Where the session ends | Fits when |
|---|---|---|
| Browser gateway | At the broker, then a narrow proxy connection to one HMI service | Read-only pages and approved actions with per-user policy |
| Site engineering workstation | On a controlled host inside the site network | The tool needs local discovery or a legacy client |
| Outbound site connector | At the connector, brokered from outside | No new inbound path to the site is allowed |
כל שורה נושאת מצב כשל אחר. שער תלוי במדיניות שלו ובשרשרת האישורים שלו, תחנת עבודה באתר תלויה בשליטה פיזית ובחשבונות מקומיים, ומחבר יוצא תלוי בנגישות של המתווך. בחרו את השורה שמתאימה לפעולה, ואז תעדו את התלות שהיא מכניסה.
כתובת היא ניתוב, זהות היא הרשאה
כתובת מנהרה או שם DNS אומרים לרשת לאן לשלוח מנות; הם אינם אומרים למתווך איזו מכונה התכוון המשתמש. רשמו כל HMI או מחבר אתר בזהות נפרדת וקשרו את הזהות לרשומת מלאי. כשכתובת משתנה, הזהות עדיין בוחרת את הנכס הנכון. כשזהות מוסרת, רשומת המלאי מראה איזו גישה נעלמה.
DNS דינמי מעדכן רשומה ולא דבר אחר. הוא אינו מספק הרשאת משתמש ואינו מספק מסלול דרך כל מתרגם במעלה הזרם, והתייחסות אליו כאל בקרת גישה היא הדרך שבה שם ישן ממשיך לעבוד לאחר הוצאה משירות. מחבר יוצא נתמך נמנע ממסלול נכנס חדש שלא התבקש, אבל עדיין זקוק לאישור בעל הרשת ולהתנהגות מתועדת כשהמתווך אינו נגיש.
הגבילו את ההפעלה והוכיחו ביטול
תנו לכל משתמש זהות נפרדת, דרשו אימות רב-גורמי והעניקו רק את הפעולות שהפעולה דורשת. קבעו את חלון התחזוקה במדיניות ולא ברשומת יומן. הגנו על פרטי הכניסה ועל נתוני העבודה שההפעלה נוגעת בהם, ושמרו אירועי גישה בלי לאסוף פעילות משתמש לא קשורה.
יש לבדוק ביטול בזמן שההפעלה פעילה. הסירו את הזכות של המשתמש, סיימו את ההפעלה מהמתווך, ואז ודאו שה-HMI אינו נגיש עוד דרך אותו מסלול.
לאחר מכן תרגלו את הכשל שהתוכנית טוענת לשרוד: עצרו את המתווך או נתקו את המנהרה וודאו שהתפעול המקומי וההתאוששות עדיין עובדים. תכנון שפועל רק כשהמסלול המרוחק בריא אינו תוכנית גישה מרחוק. תעדו את התאריך, המפעיל והתוצאה, כי הסוקר הבא יבקש ראיות ולא כוונות.