Proxy-Funktion des Portals beschränken

Das Portal wird in mehreren Szenarien als Proxy-Server genutzt. Daher kann die Proxy-Funktion des Portals zum Starten von Denial-of-Service- (DoS-) oder Server Side Request Forgery- (SSRF-)Angriffen gegen Computer missbraucht werden, auf die der Portal-Computer zugreift. Um dieses Sicherheitsrisiko zu verringern, wird dringend empfohlen, die Proxy-Funktion des Portals auf genehmigte Webadressen zu beschränken. Zusätzliche Informationen und vollständige Anweisungen finden Sie unter Proxy-Funktion des Portals beschränken.

Deaktivieren des anonymen Zugriffs

Um zu verhindern, dass Benutzer auf Inhalte zugreifen, ohne zuerst Anmeldeinformationen für das Portal anzugeben, empfiehlt es sich, den anonymen Zugriff für das Portal zu deaktivieren. Durch das Deaktivieren des anonymen Zugriffs kann sichergestellt werden, dass ein öffentlicher Benutzer nicht auf Ressourcen im Portal zugreifen kann.

Weitere Informationen zum Deaktivieren des anonymen Zugriffs in Portal for ArcGIS finden Sie unter Deaktivieren des anonymen Zugriffs. Wenn Sie die Authentifizierung auf Webebene verwenden (d. h., Sie führen die Authentifizierung über ArcGIS Web Adaptor aus), müssen Sie auch den anonymen Zugriff auf den Webserver deaktivieren. Anweisungen dazu finden Sie in der Produktdokumentation zu Ihrem Webserver.

Konfigurieren von SSL-Zertifikaten, die von einer Zertifizierungsstelle signiert wurden

Portal for ArcGIS enthält ein vorkonfiguriertes selbstsigniertes SSL-Zertifikat, mit dem das Portal zuerst getestet werden kann. Außerdem lässt sich mit dem Zertifikat schnell überprüfen, ob die Installation erfolgreich ausgeführt wurde. In fast allen Fällen empfiehlt es sich jedoch, ein SSL-Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle (CA) anzufordern und dessen Verwendung im Portal zu konfigurieren. Das Zertifikat kann von einer internen (Unternehmens-) oder kommerziellen Zertifizierungsstelle signiert werden.

Sie sollten jede anwendbare ArcGIS-Komponente in Ihrer Organisation mit einem Zertifikat einer unternehmensinternen oder kommerziellen Zertifizierungsstelle konfigurieren Gängige Beispiele hierfür sind ArcGIS Web Adaptor oder ArcGIS for Server. ArcGIS for Server verfügt z. B. auch über ein vorkonfiguriertes selbstsigniertes Zertifikat. Wenn Sie eine ArcGIS-Server-Site mit Ihrem Portal verbinden, sollten Sie unbedingt ein von einer Zertifizierungsstelle signiertes Zertifikat anfordern und den Server und Web Adaptor für dessen Verwendung konfigurieren.

Die Konfiguration eines Zertifikats von einer vertrauenswürdigen Zertifizierungsstelle ist eine Sicherheitsempfehlung für webbasierte Systeme und sorgt dafür, dass Benutzer keine Browser-Warnungen erhalten bzw. kein unerwartetes Verhalten auftritt. Wenn Sie beim Testen das selbstsignierte Zertifikat verwenden möchten, das in Portal for ArcGIS und ArcGIS for Server enthalten ist, tritt Folgendes ein:

• Webbrowser- und ArcGIS for Desktop-Warnungen zu einer nicht vertrauenswürdigen Site. Wenn ein Webbrowser ein selbstsigniertes Zertifikat erkennt, zeigt er in der Regel eine Warnung an, und fordert Sie auf, zu bestätigen, dass Sie zu der Site weitergeleitet werden möchten. Viele Browser zeigen Warnsymbole oder eine rot markierte Adressleiste an, so lange Sie das selbstsignierte Zertifikat verwenden. Diese Art von Warnungen sind typisch, wenn Sie ein selbstsigniertes Zertifikat verwenden.
• Ein Verbund-Service kann im Map Viewer des Portals nicht geöffnet werden, dem Portal kann kein gesichertes Service-Element hinzugefügt werden, die Anmeldung bei ArcGIS Server Manager auf einem Verbundserver kann nicht durchgeführt werden und es kann keine Verbindung mit dem Portal über Esri Maps for Office hergestellt werden.
• Unerwartetes Verhalten beim Konfigurieren von Utility-Services, Drucken von gehosteten Services und beim Zugreifen auf das Portal über Client-Anwendungen.

Weitere Anweisungen zum Konfigurieren von Portal for ArcGIS, ArcGIS for Server und ArcGIS Web Adaptor mit einem solchen Zertifikat finden Sie in den folgenden Themen:

• Importieren eines Zertifikats in das Portal
• Aktivieren von SSL auf dem ArcGIS-Server mit einem CA-signierten Zertifikat
• Aktivieren von SSL auf dem Webserver

Konfigurieren von HTTPS

Bei der Erstkonfiguration der Portal-Bereitstellung werden der Benutzername und das Kennwort bei jeder Aufforderung zur Eingabe Ihrer Anmeldeinformationen über HTTPS (Secure Sockets Layer oder SSL) gesendet. Dies bedeutet, Ihre über ein internes Netzwerk oder das Internet gesendeten Anmeldeinformationen werden verschlüsselt und können nicht abgefangen werden. Die restliche Kommunikation im Portal wird jedoch über HTTP gesendet und ist damit nicht sicher. Um zu verhindern, dass Kommunikation im Portal abgefangen wird, empfiehlt es sich, im Portal und auf dem Webserver, auf dem ArcGIS Web Adaptor gehostet wird, die Verwendung von SSL zu erzwingen.

Die Performance des Portals kann abnehmen, wenn die gesamte Kommunikation über SSL erfolgt. Falls Sie über Verknüpfungen oder Lesezeichen zur Portal-Website verfügen, die HTTP verwenden, müssen Sie diese außerdem für die Verwendung von HTTPS aktualisieren.

Durch das Erzwingen von SSL in Ihrem Portal wird auch die Kommunikation mit externem Webinhalt, beispielsweise ArcGIS Server-Services, OGC-Services (Open Geospatial Consortium) usw., gesteuert. Wenn SSL erzwungen wird, greift Portal for ArcGIS nur per SSL auf externen Webinhalt zu. Wenn SSL nicht verfügbar ist, wird externer Inhalt gesperrt.

Informationen zum Erzwingen von SSL für die gesamte Kommunikation in Portal for ArcGIS finden Sie unter Konfigurieren von HTTPS.

Deaktivieren des ArcGIS Portal Directory

Sie können das ArcGIS Portal Directory deaktivieren, um zu vermeiden, dass Ihre Elemente, Services, Webkarten, Gruppen und anderen Ressourcen im Portal durchsucht, im Internet gefunden oder über HTML-Formulare abgefragt werden können. Die Deaktivierung des ArcGIS Portal Directory bietet außerdem Schutz vor Cross Site Scripting- (XSS-)Angriffen.

Die Entscheidung, das ArcGIS Portal Directory zu deaktivieren, hängt von dem Zweck Ihres Portals ab und dem Grad, in dem Benutzer und Entwickler darin navigieren müssen. Wenn Sie das ArcGIS Portal Directory deaktivieren, müssen Sie möglicherweise andere Listen oder Metadaten zu den verfügbaren Elementen im Portal erstellen.

Eine vollständige Anleitung finden Sie unter Deaktivieren des ArcGIS Portal Directory .

Konfigurieren der Firewall zur Verwendung des Portals

Jeder Computer verfügt über Tausende von Ports, über die andere Computer Informationen senden können. Eine Firewall ist ein Sicherheitsmechanismus, der die Anzahl der Ports am Computer, über die andere Computer kommunizieren können, einschränkt. Wenn Sie die Kommunikation mithilfe einer Firewall auf eine kleine Anzahl von Ports einschränken, können Sie diese Ports streng überwachen, um Angriffe zu verhindern.

Portal for ArcGIS verwendet bestimmte Ports zur Kommunikation, z. B. 7080, 7443, 7005, 7099, 7199 und 7654 Aus Sicherheitsgründen empfiehlt es sich, diese Ports in der Firewall zu öffnen, um die Kommunikation zu ermöglichen. Andernfalls funktioniert das Portal möglicherweise nicht ordnungsgemäß. Weitere Informationen finden Sie unter Von Portal for ArcGIS verwendete Ports.

Festlegen des Wertes für den Ablauf des Standard-Tokens

Wenn Sie den integrierten Identitätsspeicher des Portals verwenden, wird ein Token zum Authentifizieren von Mitgliedern verwendet. Wenn Benutzer versuchen, auf das Portal zuzugreifen, müssen sie ihren Benutzernamen und ihr Kennwort angeben. Portal for ArcGIS überprüft die bereitgestellten Anmeldeinformationen, erstellt einen Token und gibt einen Token an das Mitglied aus.

Ein Token ist eine Zeichenfolge mit verschlüsselten Informationen, die den Namen des Benutzers, die Token-Gültigkeitsdauer und andere proprietäre Informationen enthält. Wenn ein Token an das Mitglied ausgegeben wird, kann dieses Mitglied auf das Portal zugreifen, bis der Token abläuft. Wenn er abgelaufen ist, muss das Mitglied erneut den Benutzernamen und das Kennwort angeben.

Die standardmäßige Gültigkeitsdauer beträgt zwei Wochen (20.160 Minuten). Obwohl diese Einstellung möglicherweise für Ihre Organisation gut geeignet ist, ist ein Token mit einer langen Ablaufzeit weniger sicher. Beispielsweise kann ein Token, der von einem böswilligen Benutzer abgefangen wurde, verwendet werden, bis er abgelaufen ist. Dagegen ist eine kürzere Ablaufzeit sicherer; Mitglieder müssen jedoch ihren Benutzernamen und ihr Kennwort häufiger eingeben.

Um die Standard-Ablaufzeit für Token zu ändern, führen Sie die folgenden Schritte unter Festlegen des Wertes für den Ablauf des Standard-Tokens aus.

Beschränken von Dateiberechtigungen

Es wird empfohlen, Dateiberechtigungen so festzulegen, dass der Zugriff auf das Installationsverzeichnis und das Inhaltsverzeichnis von Portal for ArcGIS auf die notwendigen Konten beschränkt ist. Das einzige Konto, auf das die Portal for ArcGIS-Software Zugriff benötigt, ist das Portal for ArcGIS-Konto. Dieses Konto wird zum Ausführen der Software verwendet. In Ihrer Organisation kann es erforderlich sein, dass auch anderen Konten Zugriff erteilt wird. Denken Sie daran, dass das Portal for ArcGIS-Konto vollständigen Zugriff auf das Installations- und Inhaltsverzeichnis benötigt, damit die Site ordnungsgemäß funktioniert.

Portal for ArcGIS übernimmt die Dateiberechtigungen vom übergeordneten Ordner, in dem die Software installiert ist. Darüber hinaus erteilt Portal for ArcGIS dem Portal for ArcGIS-Konto die Berechtigung zum Zugriff auf das Installationsverzeichnis. Dateien, die erstellt werden, während das Portal ausgeführt wird, übernehmen die Berechtigungen vom übergeordneten Ordner. Wenn Sie das Inhaltsverzeichnis sichern möchten, legen Sie eingeschränkte Berechtigungen für den übergeordneten Ordner fest.

Jedes Konto mit Schreibzugriff auf das Inhaltsverzeichnis kann Portal for ArcGIS-Einstellungen ändern, die in der Regel nur vom Systemadministrator geändert werden können. Wenn ein integrierter Sicherheitsspeicher zum Verwalten von Benutzern verwendet wird, enthält das Inhaltsverzeichnis verschlüsselte Kennwörter für diese Benutzer. In dem Fall sollte auch der Lesezugriff auf das Inhaltsverzeichnis beschränkt werden.