Vzdialený prístup k HMI bez verejného webového poslucháča
Držte HMI mimo verejného internetu a sprostredkujte jednu schválenú akciu cez bránu, registrovanú identitu prostriedku a reláciu, ktorú môžete na požiadanie odvolať.
Zobraziť stavovú stránku stroja v karte prehliadača nie je to isté ako ovládať zariadenie za ňou. HMI má zostať súkromné, kým malá služba viazaná zásadami sprostredkúva jednu akciu, ktorú používateľ potrebuje. Rozhodnite o operácii, identite a ceste odvolania skôr, než vyberiete produkt. Prenos je tá ľahká časť na výmenu; autorizačný model nie.
Vyberte operáciu skôr než prenos
Čítanie stavovej stránky, stiahnutie schváleného reportu a zmena žiadanej hodnoty sú tri rôzne požiadavky. Prvú možno uspokojiť náhľadom iba na čítanie; posledná sa dotýka stavu zariadenia a potrebuje výslovné schválenie vlastníka, servisné okno a miestny dohľad. Ich zoskupenie pod vzdialený prístup tento rozdiel skrýva a zvyčajne vytvára širšiu cestu, než úloha vyžaduje. Pomenujte operáciu, rolu, ktorá ju smie vykonať, a dôkaz, že sa stala.
Prenos potom vyplýva z operácie, nie naopak. Potreba iba čítania zriedka ospravedlní interaktívne riadenie a interaktívne riadenie zriedka ospravedlní vystavenie vlastného poslucháča HMI. Keď je operácia zapísaná, model prístupu sa stáva rozhodnutím, nie predvoleným nastavením produktu.
Postavte brokera pred jeden pomenovaný zdroj
Brána zdrojov overuje používateľa, uplatňuje zásady a otvára spojenie k jednej súkromnej službe. HMI drží svojho poslucháča v súkromnej sieti a nikdy neprijíma relácie z internetu. Brána ukončuje šifrovanú reláciu, čím sa stáva hranicou dôvery v otvorenom texte, ktorú niekto musí spravovať a monitorovať.
Táto hranica je návrh, nie vedľajší efekt. Zapíšte, kde šifrovanie končí, kto drží kľúče brány a ktorý tím môže zmeniť jej zásady.
| Model | Where the session ends | Fits when |
|---|---|---|
| Browser gateway | At the broker, then a narrow proxy connection to one HMI service | Read-only pages and approved actions with per-user policy |
| Site engineering workstation | On a controlled host inside the site network | The tool needs local discovery or a legacy client |
| Outbound site connector | At the connector, brokered from outside | No new inbound path to the site is allowed |
Každý riadok nesie iný režim zlyhania. Brána závisí od svojich zásad a reťazca certifikátov, pracovná stanica v lokalite od fyzickej a miestnej kontroly účtov a odchádzajúci konektor od dostupnosti brokera. Vyberte riadok, ktorý zodpovedá operácii, a potom zdokumentujte závislosť, ktorú zavádza.
Adresa je smerovanie, identita je autorizácia
Adresa tunela alebo názov DNS hovorí sieti, kam posielať pakety; nehovorí brokerovi, ktorý stroj používateľ zamýšľal. Zaregistrujte každé HMI alebo konektor lokality s odlišnou identitou a prepojte túto identitu so záznamom v inventári. Keď sa adresa zmení, identita stále vyberá správny prostriedok. Keď je identita vyradená, záznam v inventári ukáže, aký prístup zmizol.
Dynamický DNS aktualizuje záznam a nič iné. Neposkytuje ani autorizáciu používateľa, ani cestu cez každý nadradený prekladač, a považovať ho za riadenie prístupu je spôsob, akým staré meno funguje ďalej po vyradení z prevádzky. Podporovaný odchádzajúci konektor sa vyhne novej nevyžiadanej prichádzajúcej ceste, ale stále potrebuje schválenie vlastníka siete a zdokumentované správanie, keď je broker nedostupný.
Vymedzte reláciu a preukážte odvolanie
Dajte každému používateľovi samostatnú identitu, vyžadujte viacfaktorové overenie a prideľujte len akcie, ktoré operácia potrebuje. Nastavte servisné okno v zásadách, nie v poznámke v kalendári. Chráňte prihlasovacie údaje a pracovné údaje, ktorých sa relácia dotýka, a uchovávajte udalosti prístupu bez zbierania nesúvisiacej aktivity používateľov.
Odvolanie sa musí otestovať, kým je relácia živá. Odoberte používateľovi oprávnenie, ukončite reláciu z brokera a potvrďte, že HMI už nie je touto cestou dostupné.
Potom precvičte zlyhanie, o ktorom plán tvrdí, že ho prežije: zastavte brokera alebo prerušte tunel a overte, že miestna prevádzka a obnova stále fungujú. Návrh, ktorý funguje len kým je vzdialená cesta zdravá, nie je plánom vzdialeného prístupu. Zapíšte dátum, operátora a výsledok, pretože ďalší recenzent bude chcieť dôkazy, nie úmysel.