Beim Sichern Ihres ArcGIS Enterprise-Portals ist es wichtig, dass die Umgebung, in der das Portal ausgeführt wird, ebenfalls sicher ist. Es gibt verschiedene bewährte Methoden, um optimale Sicherheit zu gewährleisten.
Proxy-Funktion des Portals beschränken
Das Portal wird in mehreren Szenarien als Proxy-Server genutzt. Daher kann die Proxy-Funktion des Portals zum Starten von Denial-of-Service- (DoS-) oder Server Side Request Forgery- (SSRF-)Angriffen gegen Computer missbraucht werden, auf die der Portal-Computer zugreift. Um dieses Sicherheitsrisiko zu verringern, wird dringend empfohlen, die Proxy-Funktion des Portals auf genehmigte Webadressen zu beschränken. Zusätzliche Informationen und vollständige Anweisungen finden Sie unter Beschränken der Proxy-Funktion des Portals.
Deaktivieren des anonymen Zugriffs
Um zu verhindern, dass Benutzer auf Inhalte zugreifen, ohne zuerst Anmeldeinformationen für das Portal anzugeben, empfiehlt es sich, den anonymen Zugriff für das Portal zu deaktivieren. Durch das Deaktivieren des anonymen Zugriffs kann sichergestellt werden, dass ein öffentlicher Benutzer nicht auf Ressourcen im Portal zugreifen kann.
Weitere Informationen zum Deaktivieren des anonymen Zugriffs in Ihrem ArcGIS Enterprise-Portal finden Sie unter Deaktivieren des anonymen Zugriffs. Wenn Sie die Authentifizierung auf Webebene verwenden (d. h. die Authentifizierung über ArcGIS Web Adaptor ausführen), müssen Sie auch den anonymen Zugriff auf den Webserver deaktivieren. Anweisungen dazu finden Sie in der Produktdokumentation zu Ihrem Webserver.
Konfigurieren von Serverzertifikaten, die von einer Zertifizierungsstelle signiert wurden
Das ArcGIS Enterprise-Portal enthält ein vorkonfiguriertes selbstsigniertes Serverzertifikat, mit dem das Portal zunächst getestet werden kann. Außerdem lässt sich mit dem Zertifikat schnell überprüfen, ob die Installation erfolgreich ausgeführt wurde. In fast allen Fällen empfiehlt es sich jedoch, ein Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle (CA) anzufordern und dessen Verwendung im Portal zu konfigurieren. Das Zertifikat kann von einer internen (Unternehmens-) oder kommerziellen Zertifizierungsstelle signiert werden.
Sie sollten jede anwendbare ArcGIS-Komponente in Ihrer Organisation mit einem Zertifikat einer unternehmensinternen oder kommerziellen Zertifizierungsstelle konfigurieren. Gängige Beispiele hierfür sind ArcGIS Web Adaptor und ArcGIS Server. ArcGIS Server verfügt z. B. auch über ein vorkonfiguriertes selbstsigniertes Zertifikat. Wenn Sie eine ArcGIS-Server-Site mit Ihrem Portal verbinden, sollten Sie unbedingt ein von einer Zertifizierungsstelle signiertes Zertifikat anfordern und den Server und Web Adaptor für dessen Verwendung konfigurieren.
Die Konfiguration eines Zertifikats von einer vertrauenswürdigen Zertifizierungsstelle stellt eine Sicherheitsempfehlung für webbasierte Systeme dar. Auf diese Weise erhalten Benutzer weder Browser-Warnungen noch kommt es zu unerwartetem Verhalten. Wenn Sie beim Testen das selbstsignierte Zertifikat verwenden möchten, das in ArcGIS Enterprise enthalten ist, tritt Folgendes ein:
- Warnungen von Ihrem Webbrowser, ArcGIS for Desktop oder ArcGIS Pro zu einer nicht vertrauenswürdigen Site. Wenn ein Webbrowser ein selbstsigniertes Zertifikat erkennt, zeigt er in der Regel eine Warnung an, und fordert Sie auf, zu bestätigen, dass Sie zu der Site weitergeleitet werden möchten. Viele Browser zeigen Warnsymbole oder eine rot markierte Adressleiste an, solange Sie das selbstsignierte Zertifikat verwenden.
- Ein Verbundservice kann in Map Viewer des Portals nicht geöffnet werden, dem Portal kann kein gesichertes Service-Element hinzugefügt werden, die Anmeldung bei ArcGIS Server Manager auf einem Verbundserver kann nicht durchgeführt werden oder es kann keine Verbindung von ArcGIS Maps for Office zum Portal hergestellt werden.
- Unerwartetes Verhalten beim Konfigurieren von Utility-Services, Drucken von gehosteten Services und beim Zugreifen auf das Portal über Client-Anwendungen.
Vorsicht:
Die oben aufgeführte Liste der Probleme, die im Zusammenhang mit der Verwendung eines selbstsignierten Zertifikats auftreten, erhebt keinen Anspruch auf Vollständigkeit. Es ist unbedingt erforderlich, ein von einer Zertifizierungsstelle signiertes Zertifikat zu verwenden, um das Portal vollständig zu testen und bereitzustellen.
Weitere Anweisungen zum Konfigurieren von ArcGIS Enterprise mit einem von einer Zertifizierungsstelle signierten Zertifikat finden Sie in den folgenden Themen:
Konfigurieren von HTTPS
Bei der Erstkonfiguration Ihrer ArcGIS Enterprise-Bereitstellung werden der Benutzername und das Kennwort bei jeder Aufforderung zur Eingabe Ihrer Anmeldeinformationen über HTTPS gesendet. Dies bedeutet, Ihre über das interne Netzwerk oder das Internet gesendeten Anmeldeinformationen werden verschlüsselt und können nicht abgefangen werden. Standardmäßig wird die gesamte Kommunikation innerhalb des Portals über HTTPS gesendet. Um zu verhindern, dass Kommunikation abgefangen wird, empfiehlt es sich, die Verwendung von HTTPS für den Webserver, auf dem ArcGIS Web Adaptor gehostet wird, zu erzwingen.
Durch die Erzwingung von Kommunikation über HTTPS wird die gesamte externe Kommunikation außerhalb des Enterprise-Portals (z. B. ArcGIS Server-Services und Open Geospatial Consortium (OGC)-Services) sicher gestaltet, da das Portal nur auf externen Webinhalt zugreift, wenn HTTPS verfügbar ist. Anderenfalls wird externer Inhalt blockiert.
Es kann jedoch Situationen geben, in denen Sie sowohl die HTTP- als auch die HTTPS-Kommunikation innerhalb des Portals aktivieren möchten. Informationen zum Erzwingen von HTTP und HTTPS für die gesamte Kommunikation in ArcGIS Enterprise finden Sie unter Konfigurieren von HTTPS.
Verwenden eines gruppenverwalteten Service-Kontos
Bei der Installation des Portals wird die Verwendung eines gruppenverwalteten Service-Kontos (gMSA; Group Managed Service Account) als Konto für die Ausführung des Portal-Service empfohlen. Durch die Verwendung eines gMSA können die Vorteile eines Active Directory-Domänenkontos genutzt und das Konto durch regelmäßige Kennwortaktualisierungen gesichert werden.
Deaktivieren des ArcGIS-Portalverzeichnisses
Sie können das ArcGIS-Portalverzeichnis deaktivieren, um zu vermeiden, dass Ihre Elemente, Services, Webkarten, Gruppen und anderen Ressourcen im Portal durchsucht, im Internet gefunden oder über HTML-Formulare abgefragt werden können. Die Deaktivierung des ArcGIS-Portalverzeichnisses bietet außerdem Schutz vor XSS-Angriffen (Cross Site Scripting).
Die Entscheidung, das ArcGIS-Portalverzeichnis zu deaktivieren, hängt von dem Zweck Ihres Portals ab und dem Grad, in dem Benutzer und Entwickler darin navigieren müssen. Wenn Sie das ArcGIS-Portalverzeichnis deaktivieren, müssen Sie möglicherweise andere Listen oder Metadaten zu den verfügbaren Elementen im Portal erstellen.
Eine vollständige Anleitung finden Sie unter Deaktivieren des ArcGIS-Portalverzeichnisses.
Konfigurieren der Firewall zur Verwendung des Portals
Jeder Computer verfügt über Tausende von Ports, über die andere Computer Informationen senden können. Eine Firewall ist ein Sicherheitsmechanismus, der die Anzahl der Ports am Computer, über die andere Computer kommunizieren können, einschränkt. Wenn Sie die Kommunikation mithilfe einer Firewall auf eine kleine Anzahl von Ports einschränken, können Sie diese Ports streng überwachen, um Angriffe zu verhindern.
Das ArcGIS Enterprise-Portal verwendet zur Kommunikation bestimmte Ports, z. B. 7005, 7080, 7099, 7443 und 7654. Aus Sicherheitsgründen empfiehlt es sich, diese Ports in der Firewall zu öffnen, um die Kommunikation zu ermöglichen. Andernfalls funktioniert das Portal möglicherweise nicht ordnungsgemäß. Weitere Informationen finden Sie unter Von Portal for ArcGIS verwendete Ports.
Festlegen der Token-Gültigkeitsdauer
Ein Token ist eine Zeichenfolge mit verschlüsselten Informationen, die den Namen des Benutzers, die Token-Gültigkeitsdauer und andere proprietäre Informationen enthält. Wenn ein Token an das Mitglied ausgegeben wird, kann dieses Mitglied auf das Portal zugreifen, bis der Token abläuft. Wenn er abgelaufen ist, muss das Mitglied erneut den Benutzernamen und das Kennwort angeben.
Immer wenn Sie ArcGIS Enterprise verwenden und ein neues Token generieren, sollten Sie eine Gültigkeitsdauer festlegen. Andernfalls wird ein Standardwert für die Gültigkeitsdauer verwendet.
Im Portal werden drei Typen von Token verwendet: ArcGIS-Token, OAuth-access-Token und OAuth-refresh-Token. Jeder Typ verfügt über einen eigenen Standardwert für die Gültigkeitsdauer.
Diese Standardwerte können nicht erhöht werden. Sie können lediglich verringert werden, indem die maxTokenExpirationMinutes-Eigenschaft im ArcGIS Portal Administrator Directory auf einen kleineren Wert als den Standardwert festgelegt wird. Diese Werte sind zwar möglicherweise für Ihre Organisation geeignet, jedoch müssen die Sicherheitsaspekte eines Token beachtet werden. Ein Token mit längerer Gültigkeitsdauer bietet weniger Sicherheit. Beispielsweise kann ein Token, der von einem böswilligen Benutzer abgefangen wurde, verwendet werden, bis er abgelaufen ist. Dagegen bietet eine kürzere Gültigkeitsdauer höhere Sicherheit, jedoch weniger Komfort, da die Mitglieder ihren Benutzernamen und ihr Kennwort häufiger eingeben müssen.
Um die Standard-Ablaufzeit für Token zu ändern, führen Sie die folgenden Schritte unter Festlegen des Wertes für den Ablauf des Standard-Tokens aus.
Beschränken von Dateiberechtigungen
Es wird empfohlen, Dateiberechtigungen so festzulegen, dass der Zugriff auf das Installationsverzeichnis und das Inhaltsverzeichnis von Portal for ArcGIS auf die notwendigen Konten beschränkt ist. Das einzige Konto, auf das die Portal for ArcGIS-Software Zugriff benötigt, ist das Portal for ArcGIS-Konto. Dieses Konto wird zum Ausführen der Software verwendet. In Ihrer Organisation kann es erforderlich sein, dass auch anderen Konten Zugriff erteilt wird. Denken Sie daran, dass das Portal-Konto vollständigen Zugriff auf das Installations- und Inhaltsverzeichnis benötigt, damit die Site ordnungsgemäß funktioniert.
Portal for ArcGIS übernimmt die Dateiberechtigungen vom übergeordneten Ordner, in dem die Software installiert ist. Darüber hinaus erteilt es dem Portal-Konto die Berechtigung zum Zugriff auf das Installationsverzeichnis. Dateien, die erstellt werden, während das Portal ausgeführt wird, übernehmen die Berechtigungen vom übergeordneten Ordner. Wenn Sie das Inhaltsverzeichnis sichern möchten, legen Sie eingeschränkte Berechtigungen für den übergeordneten Ordner fest.
Jedes Konto mit Schreibzugriff auf das Inhaltsverzeichnis kann Portal-Einstellungen ändern, die normalerweise nur von Systemadministratoren geändert werden können. Wenn ein integrierter Sicherheitsspeicher zum Verwalten von Benutzern verwendet wird, enthält das Inhaltsverzeichnis verschlüsselte Kennwörter für diese Benutzer. In dem Fall sollte auch der Lesezugriff auf das Inhaltsverzeichnis beschränkt werden.