공개 웹 리스너 없이 HMI 원격 접속하기

브라우저 탭에 기계의 상태 페이지를 표시하는 것은 그 뒤의 설비를 제어하는 것과 같지 않습니다. HMI는 비공개로 남아 있어야 하며, 정책에 묶인 작은 서비스가 사용자에게 필요한 단 하나의 작업을 중계해야 합니다. 제품을 고르기 전에 작업, ID, 취소 경로를 정하십시오. 전송은 교체하기 쉬운 부분이지만 권한 부여 모델은 그렇지 않습니다.

전송보다 먼저 작업을 고르십시오

상태 페이지 읽기, 승인된 보고서 가져오기, 설정값 변경은 서로 다른 세 가지 요청입니다. 첫 번째는 읽기 전용 보기로 충족할 수 있고, 마지막은 설비 상태를 건드리므로 소유자의 명시적 승인, 유지보수 시간대, 현장 감독이 필요합니다. 이들을 원격 접속이라는 이름으로 묶으면 그 차이가 가려지고 보통 작업이 요구하는 것보다 넓은 경로가 생깁니다. 작업, 그것을 수행할 수 있는 역할, 수행되었다는 증거를 명명하십시오.

그다음 전송은 작업에서 따라오며 그 반대가 아닙니다. 읽기 전용 필요는 대화형 제어를 거의 정당화하지 못하고, 대화형 제어는 HMI 자체의 리스너를 노출하는 것을 거의 정당화하지 못합니다. 작업이 문서화되면 접속 모델은 제품 기본값이 아니라 결정이 됩니다.

브로커를 이름이 붙은 하나의 자원 앞에 두십시오

자원 게이트웨이는 사용자를 인증하고 정책을 적용하며 하나의 비공개 서비스로 연결을 엽니다. HMI는 리스너를 비공개 네트워크에 두고 인터넷에서 오는 세션을 절대 받지 않습니다. 게이트웨이는 암호화된 세션을 종료하므로 누군가 관리하고 감시해야 하는 평문 신뢰 경계가 됩니다.

그 경계가 바로 설계이며 부작용이 아닙니다. 암호화가 어디서 끝나는지, 게이트웨이의 키를 누가 보관하는지, 어느 팀이 그 정책을 바꿀 수 있는지 적으십시오.

각 행은 서로 다른 고장 방식을 지닙니다. 게이트웨이는 정책과 인증서 체인에, 현장 워크스테이션은 물리적 및 로컬 계정 통제에, 아웃바운드 커넥터는 브로커 도달 가능성에 의존합니다. 작업에 맞는 행을 고르고 그것이 들여오는 의존성을 문서화하십시오.

주소는 라우팅이고 ID는 권한 부여입니다

터널 주소나 DNS 이름은 패킷을 어디로 보낼지 네트워크에 알려주지만, 사용자가 어느 기계를 의도했는지는 브로커에 알려주지 않습니다. 각 HMI나 현장 커넥터를 별도 ID로 등록하고 그 ID를 인벤토리 기록에 연결하십시오. 주소가 바뀌어도 ID는 올바른 자산을 선택합니다. ID가 폐기되면 인벤토리 항목에 어떤 접근이 사라졌는지 나타납니다.

동적 DNS는 레코드 하나를 갱신할 뿐 그 밖의 것은 하지 않습니다. 사용자 권한 부여도, 상위 변환기마다 통과하는 경로도 제공하지 않으며, 이를 접근 통제로 취급하는 것이 폐기 후에도 오래된 이름이 계속 동작하는 이유입니다. 지원되는 아웃바운드 커넥터는 새로 요청되지 않은 인바운드 경로를 피하지만, 브로커에 도달할 수 없을 때의 문서화된 동작과 네트워크 소유자의 승인이 여전히 필요합니다.

세션 범위를 정하고 취소를 증명하십시오

사용자마다 별도 ID를 주고 다중 요소 인증을 요구하며 작업에 필요한 동작만 부여하십시오. 유지보수 시간대는 달력 메모가 아니라 정책에 설정하십시오. 세션이 접촉하는 자격 증명과 작업 데이터를 보호하고, 관련 없는 사용자 활동을 수집하지 않은 채 접근 이벤트를 보관하십시오.

취소는 세션이 살아 있는 동안 시험해야 합니다. 사용자의 권한을 제거하고 브로커에서 세션을 종료한 뒤 HMI가 더 이상 그 경로로 도달되지 않음을 확인하십시오.

그다음 계획이 견딘다고 주장하는 고장을 실제로 시험하십시오: 브로커를 멈추거나 터널을 끊고 현장 운영과 복구가 여전히 동작하는지 확인하십시오. 원격 경로가 건강할 때만 동작하는 설계는 원격 접속 계획이 아닙니다. 다음 검토자는 의도가 아니라 증거를 요구하므로 날짜, 운영자, 결과를 기록하십시오.