其他强化建议

节点、集群网络、集群管理和应用程序配置的其他强化措施。

在

FactoryTalk® Optix™

High Availability

集群安装期间自动应用的默认强化措施包括节点间的 WireGuard 加密、静态敏感信息加密、Kubernetes 审计日志记录、受限的

kubeconfig

文件权限、主机防火墙规则和 Pod 反亲和性。

可以应用以下额外的手动强化建议：

节点和操作系统强化: 在安装集群之前，应用标准 Ubuntu 节点和操作系统强化基线。限制访问、移除不需要的服务，并使安全更新保持最新状态。
磁盘加密: 在安装集群之前，在每个节点上启用磁盘加密，以静态保护 K3s 数据和持久性应用程序数据。
K3s 代理凭据: 使用受限的文件权限和静态保护来保护
/var/lib/rancher/k3s/agent/
下的凭据。
集群网络暴露: 将集群和应用程序端口仅限定为所需的源，并将集群流量保留在支持 VIP 和故障转移的专用本地网段上。
集群管理: 限制 SSH 和集群管理访问，在初始设置后轮换节点加入令牌，并监测意外的节点加入。
应用程序配置: 在
FactoryTalk Optix
Studio 中，对 Web 画面引擎使用 HTTPS，在使用 MQTT 时对 MQTT 使用 TLS，并对运行时 OPC UA 服务器使用 OPC UA 安全模式。

提供反馈

对本文档有问题或反馈吗？请在这里提交您的反馈。