Truy cập HMI từ xa mà không cần trình nghe web công khai

Hiển thị trang trạng thái của một máy trong tab trình duyệt không giống như điều khiển thiết bị phía sau nó. HMI nên giữ riêng tư trong khi một dịch vụ nhỏ, bị ràng buộc bởi chính sách, môi giới hành động duy nhất mà người dùng cần. Hãy quyết định thao tác, danh tính và đường thu hồi trước khi chọn sản phẩm. Truyền tải là phần dễ thay thế; mô hình ủy quyền thì không.

Chọn thao tác trước khi chọn truyền tải

Đọc trang trạng thái, lấy báo cáo đã phê duyệt và thay đổi điểm đặt là ba yêu cầu khác nhau. Yêu cầu đầu có thể đáp ứng bằng chế độ chỉ đọc; yêu cầu cuối chạm vào trạng thái thiết bị và cần sự phê duyệt rõ ràng của chủ sở hữu, cửa sổ bảo trì và giám sát tại chỗ. Gộp chúng dưới quyền truy cập từ xa sẽ che giấu sự khác biệt đó và thường tạo ra đường đi rộng hơn mức nhiệm vụ yêu cầu. Hãy đặt tên cho thao tác, vai trò được phép thực hiện và bằng chứng rằng nó đã xảy ra.

Sau đó truyền tải bắt nguồn từ thao tác chứ không phải ngược lại. Nhu cầu chỉ đọc hiếm khi biện minh cho điều khiển tương tác, và điều khiển tương tác hiếm khi biện minh cho việc phơi bày chính trình nghe của HMI. Khi thao tác đã được ghi lại, mô hình truy cập trở thành một quyết định chứ không phải mặc định của sản phẩm.

Đặt môi giới phía trước một tài nguyên có tên

Một cổng tài nguyên xác thực người dùng, áp dụng chính sách và mở kết nối đến một dịch vụ riêng. HMI giữ trình nghe trên mạng riêng và không bao giờ chấp nhận phiên từ internet. Cổng kết thúc phiên được mã hóa, khiến nó trở thành ranh giới tin cậy dạng văn bản thuần mà ai đó phải quản trị và giám sát.

Ranh giới đó chính là thiết kế, không phải tác dụng phụ. Hãy ghi lại nơi mã hóa kết thúc, ai giữ khóa của cổng và nhóm nào có thể thay đổi chính sách của nó.

Mỗi hàng mang một chế độ lỗi khác nhau. Cổng phụ thuộc vào chính sách và chuỗi chứng chỉ của nó, máy trạm tại chỗ phụ thuộc vào kiểm soát vật lý và tài khoản cục bộ, còn đầu nối đi ra phụ thuộc vào việc môi giới có thể truy cập được. Chọn hàng phù hợp với thao tác, rồi ghi lại sự phụ thuộc mà nó đưa vào.

Địa chỉ là định tuyến, danh tính là ủy quyền

Địa chỉ đường hầm hoặc tên DNS cho mạng biết nơi gửi gói tin; nó không cho môi giới biết người dùng định nói đến máy nào. Đăng ký mỗi HMI hoặc đầu nối tại chỗ với một danh tính riêng và gắn danh tính đó với bản ghi kiểm kê. Khi địa chỉ thay đổi, danh tính vẫn chọn đúng tài sản. Khi một danh tính bị thu hồi, mục kiểm kê cho thấy quyền truy cập nào đã biến mất.

DNS động cập nhật một bản ghi và không gì khác. Nó không cung cấp ủy quyền người dùng hay tuyến đường qua mọi bộ dịch phía trên, và coi nó như kiểm soát truy cập chính là cách một cái tên cũ tiếp tục hoạt động sau khi ngừng sử dụng. Một đầu nối đi ra được hỗ trợ tránh đường vào mới không mong muốn, nhưng vẫn cần sự chấp thuận của chủ mạng và hành vi được ghi lại khi không thể truy cập môi giới.

Giới hạn phạm vi phiên và chứng minh việc thu hồi

Cấp cho mỗi người dùng một danh tính riêng, yêu cầu xác thực đa yếu tố và chỉ cấp những hành động mà thao tác cần. Đặt cửa sổ bảo trì trong chính sách chứ không phải trong ghi chú lịch. Bảo vệ thông tin đăng nhập và dữ liệu công việc mà phiên chạm vào, và lưu giữ các sự kiện truy cập mà không thu thập hoạt động người dùng không liên quan.

Việc thu hồi phải được kiểm tra khi phiên còn sống. Gỡ quyền của người dùng, kết thúc phiên từ môi giới, và xác nhận rằng không còn truy cập được HMI qua đường đó.

Sau đó hãy thực hành lỗi mà kế hoạch tuyên bố sẽ vượt qua: dừng môi giới hoặc cắt đường hầm và xác minh rằng vận hành tại chỗ và phục hồi vẫn hoạt động. Một thiết kế chỉ hoạt động khi đường từ xa khỏe mạnh không phải là kế hoạch truy cập từ xa. Ghi lại ngày, người vận hành và kết quả, vì người đánh giá tiếp theo sẽ yêu cầu bằng chứng chứ không phải ý định.