Beim Sichern Ihres ArcGIS Enterprise-Portals ist es wichtig, dass die Umgebung, in der das Portal ausgeführt wird, ebenfalls sicher ist. Es gibt verschiedene bewährte Methoden, um optimale Sicherheit zu gewährleisten.
Proxy-Funktion des Portals beschränken
Das Portal wird in mehreren Szenarien als Proxy-Server genutzt. Daher kann die Proxy-Funktion des Portals zum Starten von Denial-of-Service- (DoS-) oder Server Side Request Forgery- (SSRF-)Angriffen gegen Computer missbraucht werden, auf die der Portal-Computer zugreift. Um dieses Sicherheitsrisiko zu verringern, wird dringend empfohlen, die Proxy-Funktion des Portals auf genehmigte Webadressen zu beschränken. Zusätzliche Informationen und vollständige Anweisungen finden Sie unter Beschränken der Proxy-Funktion des Portals.
Deaktivieren des anonymen Zugriffs
Um zu verhindern, dass Benutzer auf Inhalte zugreifen, ohne zuerst Anmeldeinformationen für das Portal anzugeben, empfiehlt es sich, den anonymen Zugriff für das Portal zu deaktivieren. Durch das Deaktivieren des anonymen Zugriffs kann sichergestellt werden, dass ein öffentlicher Benutzer nicht auf Ressourcen im Portal zugreifen kann.
Weitere Informationen zum Deaktivieren des anonymen Zugriffs in Ihrem ArcGIS Enterprise-Portal finden Sie unter Deaktivieren des anonymen Zugriffs. Wenn Sie die Authentifizierung auf Webebene verwenden (d. h. die Authentifizierung über ArcGIS Web Adaptor ausführen), müssen Sie auch den anonymen Zugriff auf den Webserver deaktivieren. Anweisungen dazu finden Sie in der Produktdokumentation zu Ihrem Webserver.
Konfigurieren von Serverzertifikaten, die von einer Zertifizierungsstelle signiert wurden
Das ArcGIS Enterprise-Portal enthält ein vorkonfiguriertes selbstsigniertes Serverzertifikat, mit dem das Portal zunächst getestet werden kann. Außerdem lässt sich mit dem Zertifikat schnell überprüfen, ob die Installation erfolgreich ausgeführt wurde. In fast allen Fällen empfiehlt es sich jedoch, ein Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle (CA) anzufordern und dessen Verwendung im Portal zu konfigurieren. Das Zertifikat kann von einer internen (Unternehmens-) oder kommerziellen Zertifizierungsstelle signiert werden.
Sie sollten jede anwendbare ArcGIS-Komponente in Ihrer Organisation mit einem Zertifikat einer unternehmensinternen oder kommerziellen Zertifizierungsstelle konfigurieren Gängige Beispiele hierfür sind ArcGIS Web Adaptor und ArcGIS Server. ArcGIS Server verfügt z. B. auch über ein vorkonfiguriertes selbstsigniertes Zertifikat. Wenn Sie eine ArcGIS-Server-Site mit Ihrem Portal verbinden, sollten Sie unbedingt ein von einer Zertifizierungsstelle signiertes Zertifikat anfordern und den Server und Web Adaptor für dessen Verwendung konfigurieren.
Die Konfiguration eines Zertifikats von einer vertrauenswürdigen Zertifizierungsstelle stellt eine Sicherheitsempfehlung für webbasierte Systeme dar. Auf diese Weise erhalten Benutzer weder Browser-Warnungen noch kommt es zu unerwartetem Verhalten. Wenn Sie beim Testen das selbstsignierte Zertifikat verwenden möchten, das in ArcGIS Enterprise enthalten ist, tritt Folgendes ein:
- Warnungen von Ihrem Webbrowser und ArcGIS Desktop zu einer nicht vertrauenswürdigen Site. Wenn ein Webbrowser ein selbstsigniertes Zertifikat erkennt, zeigt er in der Regel eine Warnung an, und fordert Sie auf, zu bestätigen, dass Sie zu der Site weitergeleitet werden möchten. Viele Browser zeigen Warnsymbole oder eine rot markierte Adressleiste an, solange Sie das selbstsignierte Zertifikat verwenden.
- Ein Verbundservice kann in Map Viewer des Portals nicht geöffnet werden, dem Portal kann kein gesichertes Service-Element hinzugefügt werden, die Anmeldung bei ArcGIS Server Manager auf einem Verbundserver kann nicht durchgeführt werden oder es kann keine Verbindung von ArcGIS Maps for Office zum Portal hergestellt werden.
- Unerwartetes Verhalten beim Konfigurieren von Utility-Services, Drucken von gehosteten Services und beim Zugreifen auf das Portal über Client-Anwendungen.
Vorsicht:
Die oben aufgeführte Liste der Probleme, die im Zusammenhang mit der Verwendung eines selbstsignierten Zertifikats auftreten, erhebt keinen Anspruch auf Vollständigkeit. Es ist unbedingt erforderlich, ein von einer Zertifizierungsstelle signiertes Zertifikat zu verwenden, um das Portal vollständig zu testen und bereitzustellen.
Weitere Anweisungen zum Konfigurieren von ArcGIS Enterprise mit einem von einer Zertifizierungsstelle signierten Zertifikat finden Sie in den folgenden Themen:
Konfigurieren von HTTPS
Bei der Erstkonfiguration Ihrer ArcGIS Enterprise-Bereitstellung werden der Benutzername und das Kennwort bei jeder Aufforderung zur Eingabe Ihrer Anmeldeinformationen über HTTPS gesendet. Dies bedeutet, Ihre über das interne Netzwerk oder das Internet gesendeten Anmeldeinformationen werden verschlüsselt und können nicht abgefangen werden. Die restliche Kommunikation im Portal wird jedoch über HTTP gesendet und ist damit nicht sicher. Um zu verhindern, dass Kommunikation im Portal abgefangen wird, empfiehlt es sich, die Verwendung von HTTPS für das Portal und den Webserver, auf dem ArcGIS Web Adaptor gehostet wird, zu erzwingen. Sie müssen bestehende Verknüpfungen oder Lesezeichen zur Portal-Website, für die HTTP verwendet wird, auf HTTPS aktualisieren.
Durch das Erzwingen von HTTPS in Ihrem Portal wird auch die Kommunikation mit externen Webinhalten, z. B. ArcGIS-Server-Services, OGC-Services (Open Geospatial Consortium) usw., gesteuert. Wenn HTTPS erzwungen wird, greift das ArcGIS Enterprise-Portal nur per HTTPS auf externen Webinhalt zu. Wenn HTTPS nicht verfügbar ist, wird externer Inhalt gesperrt.
Informationen zum Erzwingen von HTTPS für die gesamte Kommunikation in ArcGIS Enterprise finden Sie unter Konfigurieren von HTTPS.
Deaktivieren des ArcGIS-Portalverzeichnisses
Sie können das ArcGIS-Portalverzeichnis deaktivieren, um zu vermeiden, dass Ihre Elemente, Services, Webkarten, Gruppen und anderen Ressourcen im Portal durchsucht, im Internet gefunden oder über HTML-Formulare abgefragt werden können. Die Deaktivierung des ArcGIS-Portalverzeichnisses bietet außerdem Schutz vor Cross Site Scripting- (XSS-)Angriffen.
Die Entscheidung, das ArcGIS-Portalverzeichnis zu deaktivieren, hängt von dem Zweck Ihres Portals ab und dem Grad, in dem Benutzer und Entwickler darin navigieren müssen. Wenn Sie das ArcGIS-Portalverzeichnis deaktivieren, müssen Sie möglicherweise andere Listen oder Metadaten zu den verfügbaren Elementen im Portal erstellen.
Eine vollständige Anleitung finden Sie unter Deaktivieren des ArcGIS-Portalverzeichnisses.
Konfigurieren der Firewall zur Verwendung des Portals
Jeder Computer verfügt über Tausende von Ports, über die andere Computer Informationen senden können. Eine Firewall ist ein Sicherheitsmechanismus, der die Anzahl der Ports am Computer, über die andere Computer kommunizieren können, einschränkt. Wenn Sie die Kommunikation mithilfe einer Firewall auf eine kleine Anzahl von Ports einschränken, können Sie diese Ports streng überwachen, um Angriffe zu verhindern.
Das ArcGIS Enterprise-Portal verwendet zur Kommunikation bestimmte Ports, z. B. 7005, 7080, 7099, 7443 und 7654. Aus Sicherheitsgründen empfiehlt es sich, diese Ports in der Firewall zu öffnen, um die Kommunikation zu ermöglichen. Andernfalls funktioniert das Portal möglicherweise nicht ordnungsgemäß. Weitere Informationen finden Sie unter Von Portal for ArcGIS verwendete Ports.
Festlegen der standardmäßigen Token-Gültigkeitsdauer
Wenn Sie den integrierten Identitätsspeicher des Portals verwenden, wird ein Token zum Authentifizieren von Mitgliedern verwendet. Wenn Benutzer versuchen, auf das Portal zuzugreifen, müssen sie ihren Benutzernamen und ihr Kennwort angeben. Portal for ArcGIS überprüft die bereitgestellten Anmeldeinformationen, erstellt einen Token und gibt einen Token an das Mitglied aus.
Ein Token ist eine Zeichenfolge mit verschlüsselten Informationen, die den Namen des Benutzers, die Token-Gültigkeitsdauer und andere proprietäre Informationen enthält. Wenn ein Token an das Mitglied ausgegeben wird, kann dieses Mitglied auf das Portal zugreifen, bis der Token abläuft. Wenn er abgelaufen ist, muss das Mitglied erneut den Benutzernamen und das Kennwort angeben.
Die standardmäßige Gültigkeitsdauer beträgt zwei Wochen (20.160 Minuten). Obwohl diese Einstellung möglicherweise für Ihre Organisation gut geeignet ist, ist ein Token mit einer langen Ablaufzeit weniger sicher. Beispielsweise kann ein Token, der von einem böswilligen Benutzer abgefangen wurde, verwendet werden, bis er abgelaufen ist. Dagegen ist eine kürzere Ablaufzeit sicherer; Mitglieder müssen jedoch ihren Benutzernamen und ihr Kennwort häufiger eingeben.
Um die Standard-Ablaufzeit für Token zu ändern, führen Sie die folgenden Schritte unter Festlegen des Wertes für den Ablauf des Standard-Tokens aus.
Beschränken von Dateiberechtigungen
Es wird empfohlen, Dateiberechtigungen so festzulegen, dass der Zugriff auf das Installationsverzeichnis und das Inhaltsverzeichnis von Portal for ArcGIS auf die notwendigen Konten beschränkt ist. Das einzige Konto, auf das die Portal for ArcGIS-Software Zugriff benötigt, ist das Portal for ArcGIS-Konto. Dieses Konto wird zum Ausführen der Software verwendet. In Ihrer Organisation kann es erforderlich sein, dass auch anderen Konten Zugriff erteilt wird. Denken Sie daran, dass das Portal-Konto vollständigen Zugriff auf das Installations- und Inhaltsverzeichnis benötigt, damit die Site ordnungsgemäß funktioniert.
Portal for ArcGIS übernimmt die Dateiberechtigungen vom übergeordneten Ordner, in dem die Software installiert ist. Darüber hinaus erteilt es dem Portal-Konto die Berechtigung zum Zugriff auf das Installationsverzeichnis. Dateien, die erstellt werden, während das Portal ausgeführt wird, übernehmen die Berechtigungen vom übergeordneten Ordner. Wenn Sie das Inhaltsverzeichnis sichern möchten, legen Sie eingeschränkte Berechtigungen für den übergeordneten Ordner fest.
Jedes Konto mit Schreibzugriff auf das Inhaltsverzeichnis kann Portal-Einstellungen ändern, die normalerweise nur von Systemadministratoren geändert werden können. Wenn ein integrierter Sicherheitsspeicher zum Verwalten von Benutzern verwendet wird, enthält das Inhaltsverzeichnis verschlüsselte Kennwörter für diese Benutzer. In dem Fall sollte auch der Lesezugriff auf das Inhaltsverzeichnis beschränkt werden.