Lista de endurecimiento
Los ajustes de seguridad que conviene revisar antes de abrir el clúster.
Repasa estos ajustes de seguridad antes de abrir el clúster a tus aplicaciones, además de la lista para producción.
Requisitos
- Un clúster desplegado y acceso a la configuración de cada nodo.
Acceso
- Ningún nodo arranca con
--insecure. - Un usuario por aplicación, con solo sus roles. La contraseña de
rootse guarda fuera del servidor. - Las claves de API llevan solo los roles que necesitan y caducan.
Red
- El puerto de administración 27200 solo lo ve tu equipo de operación.
- Con certificados de cliente,
--tlsCRLFilerechaza los revocados.
Datos
- Cifrado en reposo activo si tus discos no cifran ya.
- Los campos sensibles, con Queryable Encryption.
Registro
- La auditoría escribe en un destino fuera de la máquina del nodo.
- El servidor MCP sigue en solo lectura salvo que un agente necesite escribir.
Comprobar
Cada punto de la lista se puede comprobar en la configuración de arranque de los nodos o con usersInfo y apikey list.
Problemas frecuentes
- Una aplicación vieja sigue entrando con
root. Crea su usuario y cambia la contraseña deroot.