保护工作人员主机

在使用主机配置脚本之前对其进行审查，并在将配置更改部署到队列之前对其进行测试。不正确的配置会使工作人员变得不稳定或使他们无法工作。

除非提交到多个队列的任务位于相同的安全边界内，否则不要对多个队列使用相同的jobRunAsUser值。

不要将队列设置jobRunAsUser为运行工作器代理的操作系统用户的名称。有关原因，请参阅以专属操作系统用户身份运行作业。

向队列用户授予预期队列工作负载所需的最低权限操作系统权限。确保他们没有对工作代理程序文件或其他共享软件的文件系统写入权限。

确保只有 root 用户或其上的AdministratorWindows帐户拥有并可以修改工作器代理程序文件。Linux

在Linux工作器主机上，可以考虑在中配置umask替代项/etc/sudoers，允许工作器代理用户以队列用户身份启动进程。此配置有助于确保其他用户无法访问写入队列的文件。

限制本地 DNS 覆盖配置文件（/etc/hosts开启Linux和C:\Windows\system32\etc\hosts启用Windows）以及工作主机操作系统上的路由表的权限，这样就无法将工作人员流量重定向到 Deadline Cloud。

定期修补操作系统和所有已安装的软件。这种方法包括专门用于 Deadline Cloud 的软件，例如提交者、适配器、工作代理、OpenJD软件包等。

在Windows队列中使用高强度密码jobRunAsUser，并定期轮换密码。

授予对Windows密码密钥的最低权限访问权限，并删除未使用的密钥。

不要向队列jobRunAsUser授予调度将来运行命令的权限：