Beim Sichern Ihrer ArcGIS Enterprise-Organisation ist es wichtig, dass die Ausführungsumgebung ebenfalls sicher ist. Es gibt verschiedene bewährte Methoden, um optimale Sicherheit zu gewährleisten.
Konfigurieren von E-Mail-Einstellungen
Sie können in Ihrer Organisation konfigurieren, dass bei einem vergessenen Kennwort, bei einer aktualisierten Kennwortrichtlinie usw. E-Mail-Benachrichtigungen an Mitglieder und Administratoren gesendet werden. Schritte und Details finden Sie unter E-Mail-Einstellungen.
Beschränken der Proxy-Funktion des Portals
Das Portal wird in mehreren Szenarien als Proxyserver genutzt. Daher kann die Proxy-Funktion des Portals zum Starten von Denial-of-Service- (DoS-) oder Server Side Request Forgery- (SSRF-)Angriffen gegen Computer missbraucht werden, auf die der Portal-Computer zugreift. Um dieses Sicherheitsrisiko zu verringern, wird empfohlen, die Proxy-Funktion des Portals auf genehmigte Webadressen zu beschränken. Zusätzliche Informationen und vollständige Anweisungen finden Sie unter Beschränken der Proxy-Funktion des Portals.
Deaktivieren des anonymen Zugriffs
Um zu verhindern, dass Benutzer auf Inhalte zugreifen, ohne zuerst Anmeldeinformationen für das Portal anzugeben, empfiehlt es sich, den anonymen Zugriff für das Portal zu deaktivieren. Durch das Deaktivieren des anonymen Zugriffs kann sichergestellt werden, dass ein öffentlicher Benutzer nicht auf Ressourcen im Portal zugreifen kann.
Weitere Informationen zum Deaktivieren des anonymen Zugriffs in Ihrem ArcGIS Enterprise-Portal finden Sie unter Deaktivieren des anonymen Zugriffs. Wenn Sie die Authentifizierung auf Webebene verwenden (d. h. die Authentifizierung über ArcGIS Web Adaptor ausführen), müssen Sie auch den anonymen Zugriff auf den Webserver deaktivieren. Anweisungen dazu finden Sie in der Produktdokumentation zu Ihrem Webserver.
Konfigurieren von Serverzertifikaten, die von einer Zertifizierungsstelle signiert wurden
Das ArcGIS Enterprise-Portal enthält ein vorkonfiguriertes selbstsigniertes Serverzertifikat, mit dem das Portal zunächst getestet werden kann. Außerdem lässt sich mit dem Zertifikat schnell überprüfen, ob die Installation erfolgreich ausgeführt wurde. In fast allen Fällen empfiehlt es sich jedoch, ein Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle (CA) anzufordern und dessen Verwendung im Portal zu konfigurieren. Das Zertifikat kann von einer internen (Unternehmens-) oder kommerziellen Zertifizierungsstelle signiert werden.
Sie sollten jede anwendbare ArcGIS-Komponente in Ihrer Organisation mit einem Zertifikat einer unternehmensinternen oder kommerziellen Zertifizierungsstelle konfigurieren. Gängige Beispiele hierfür sind ArcGIS Web Adaptor und ArcGIS Server. ArcGIS Server verfügt z. B. auch über ein vorkonfiguriertes selbstsigniertes Zertifikat. Wenn Sie eine ArcGIS-Server-Site mit Ihrem Portal verbinden, sollten Sie unbedingt ein von einer Zertifizierungsstelle signiertes Zertifikat anfordern und den Server und Web Adaptor für dessen Verwendung konfigurieren.
Die Konfiguration eines Zertifikats von einer vertrauenswürdigen Zertifizierungsstelle stellt eine Sicherheitsempfehlung für webbasierte Systeme dar und sorgt zudem dafür, dass Benutzer keine Browser-Warnungen erhalten bzw. kein unerwartetes Verhalten auftritt. Wenn Sie beim Testen das selbstsignierte Zertifikat verwenden möchten, das in ArcGIS Enterprise enthalten ist, tritt Folgendes ein:
- Warnungen von Ihrem Webbrowser oder von ArcGIS Pro zu einer nicht vertrauenswürdigen Site. Wenn ein Webbrowser ein selbstsigniertes Zertifikat erkennt, zeigt er in der Regel eine Warnung an, und fordert Sie auf, zu bestätigen, dass Sie zu der Site weitergeleitet werden möchten. Viele Browser zeigen Warnsymbole oder eine rot markierte Adressleiste an, solange Sie das selbstsignierte Zertifikat verwenden.
- Ein Verbundservice kann in Map Viewer oder Map Viewer Classic des Portals nicht geöffnet werden, dem Portal kann kein gesichertes Service-Element hinzugefügt werden, die Anmeldung bei ArcGIS Server Manager auf einem Verbundserver kann nicht durchgeführt werden oder es kann keine Verbindung von ArcGIS for Office zum Portal hergestellt werden..
- Unerwartetes Verhalten beim Konfigurieren von Utility-Services, Drucken von gehosteten Services und beim Zugreifen auf das Portal über Client-Anwendungen.
Vorsicht:
Die oben aufgeführte Liste der Probleme, die im Zusammenhang mit der Verwendung eines selbstsignierten Zertifikats auftreten, erhebt keinen Anspruch auf Vollständigkeit. Es ist unbedingt erforderlich, ein von einer Zertifizierungsstelle signiertes Zertifikat zu verwenden, um das Portal vollständig zu testen und bereitzustellen.
Weitere Anweisungen zum Konfigurieren von ArcGIS Enterprise mit einem von einer Zertifizierungsstelle signierten Zertifikat finden Sie in den folgenden Themen:
Konfigurieren von HTTPS
Bei der Erstkonfiguration Ihrer ArcGIS Enterprise-Bereitstellung werden der Benutzername und das Kennwort bei jeder Aufforderung zur Eingabe Ihrer Anmeldeinformationen über HTTPS gesendet. Dies bedeutet, Ihre über das interne Netzwerk oder das Internet gesendeten Anmeldeinformationen werden verschlüsselt und können nicht abgefangen werden. Standardmäßig wird die gesamte Kommunikation innerhalb des Portals über HTTPS gesendet. Um zu verhindern, dass Kommunikation abgefangen wird, empfiehlt es sich, die Verwendung von HTTPS für den Webserver, auf dem ArcGIS Web Adaptor gehostet wird, zu erzwingen.
Durch die Erzwingung von Kommunikation über HTTPS wird die gesamte externe Kommunikation außerhalb des Enterprise-Portals (z. B. ArcGIS Server-Services und Open Geospatial Consortium (OGC)-Services) sicher gestaltet, da das Portal den Zugriff auf externen Webinhalt nur gestattet, wenn HTTPS verfügbar ist. Anderenfalls wird externer Inhalt blockiert.
Es kann jedoch Situationen geben, in denen Sie sowohl die HTTP- als auch die HTTPS-Kommunikation innerhalb des Portals aktivieren möchten. Informationen zum Erzwingen von HTTP und HTTPS für die gesamte Kommunikation in ArcGIS Enterprise finden Sie unter Konfigurieren von HTTPS.
Verwenden eines gruppenverwalteten Dienstkontos
Bei der Installation des Portals wird die Verwendung eines gruppenverwalteten Dienstkontos (gMSA; Group Managed Service Account) als Konto für die Ausführung des Portal-Service empfohlen. Durch die Verwendung eines gMSA können die Vorteile eines Active Directory-Domänenkontos genutzt und das Konto durch regelmäßige Kennwortaktualisierungen gesichert werden.
Deaktivieren des ArcGIS-Portalverzeichnisses
Sie können das ArcGIS-Portalverzeichnis deaktivieren, um zu vermeiden, dass Ihre Elemente, Services, Webkarten, Gruppen und anderen Ressourcen im Portal durchsucht, im Internet gefunden oder über HTML-Formulare abgefragt werden können. Die Deaktivierung des ArcGIS-Portalverzeichnisses bietet außerdem Schutz vor XSS-Angriffen (Cross Site Scripting).
Die Entscheidung, das ArcGIS-Portalverzeichnis zu deaktivieren, hängt von dem Zweck Ihres Portals ab und dem Grad, in dem Benutzer und Entwickler darin navigieren müssen. Wenn Sie das ArcGIS-Portalverzeichnis deaktivieren, müssen Sie möglicherweise andere Listen oder Metadaten zu den verfügbaren Elementen im Portal erstellen.
Eine vollständige Anleitung finden Sie unter Deaktivieren des ArcGIS-Portalverzeichnisses.
Konfigurieren der Firewall zur Verwendung des Portals
Jeder Computer verfügt über Tausende von Ports, über die andere Computer Informationen senden können. Eine Firewall ist ein Sicherheitsmechanismus, der die Anzahl der Ports am Computer, über die andere Computer kommunizieren können, einschränkt. Wenn Sie die Kommunikation mithilfe einer Firewall auf eine kleine Anzahl von Ports einschränken, können Sie diese Ports streng überwachen, um Angriffe zu verhindern.
Das ArcGIS Enterprise-Portal verwendet zur Kommunikation bestimmte Ports, z. B. 7005, 7080, 7099, 7443 und 7654. Aus Sicherheitsgründen empfiehlt es sich, diese Ports in der Firewall zu öffnen, um die Kommunikation darüber zu ermöglichen. Andernfalls funktioniert das Portal möglicherweise nicht ordnungsgemäß. Weitere Informationen finden Sie unter Von Portal for ArcGIS verwendete Ports.
Festlegen der Token-Gültigkeitsdauer
Ein Token ist eine Zeichenfolge mit verschlüsselten Informationen, die den Namen des Benutzers, die Token-Gültigkeitsdauer und andere proprietäre Informationen enthält. Wenn ein Token an das Mitglied ausgegeben wird, kann dieses Mitglied auf das Portal zugreifen, bis der Token abläuft. Wenn es abgelaufen ist, muss das Mitglied erneut den Benutzernamen und das Kennwort angeben.
Immer wenn Sie ArcGIS Enterprise verwenden und ein neues Token generieren, sollten Sie eine Gültigkeitsdauer festlegen. Andernfalls wird ein Standardwert für die Gültigkeitsdauer verwendet.
Im Portal werden drei Typen von Token verwendet: ArcGIS-Token, OAuth-access-Token und OAuth-refresh-Token. Jeder Typ verfügt über einen eigenen Standardwert für die Gültigkeitsdauer.
Diese Maximal- und Standardwerte können nicht erhöht werden. Sie können lediglich durch Festlegen der maxTokenExpirationMinutes-Eigenschaft im ArcGIS Portal Administrator Directory verringert werden. Der Wert für die maxTokenExpirationMinutes-Eigenschaft gilt für jeden Tokentyp. Wenn dieser Wert kleiner als der Maximalwert, aber größer als der Standardwert ist, hat dies nur Auswirkungen auf den Maximalwert, der Standardwert bleibt unverändert. Ist der Wert kleiner als der Maximal- und der Standardwert, sind beide Werte betroffen, und der Maximal- und der Standardwert entsprechen den Angaben in maxTokenExpirationMinutes.
Um die Standard-Ablaufzeit für Token zu ändern, führen Sie die folgenden Schritte unter Festlegen der maximalen Token-Gültigkeitsdauer aus.
Beschränken von Dateiberechtigungen
Es wird empfohlen, Dateiberechtigungen so festzulegen, dass der Zugriff auf das Installationsverzeichnis und das Inhaltsverzeichnis von Portal for ArcGIS auf die notwendigen Konten beschränkt ist. Das einzige Konto, auf das die Portal for ArcGIS-Software Zugriff benötigt, ist das Portal for ArcGIS-Konto. Dieses Konto wird zum Ausführen der Software verwendet. In Ihrer Organisation kann es erforderlich sein, dass auch anderen Konten Zugriff erteilt wird. Denken Sie daran, dass das Portal-Konto vollständigen Zugriff auf das Installations- und Inhaltsverzeichnis benötigt, damit die Site ordnungsgemäß funktioniert.
Portal for ArcGIS übernimmt die Dateiberechtigungen vom übergeordneten Ordner, in dem die Software installiert ist. Darüber hinaus erteilt es dem Portal-Konto die Berechtigung zum Zugriff auf das Installationsverzeichnis. Dateien, die erstellt werden, während das Portal ausgeführt wird, übernehmen die Berechtigungen vom übergeordneten Ordner. Legen Sie eingeschränkte Berechtigungen für den übergeordneten Ordner fest, um das Inhaltsverzeichnis zu sichern.
Jedes Konto mit Schreibzugriff auf das Inhaltsverzeichnis kann Portal-Einstellungen ändern, die normalerweise nur von Systemadministratoren geändert werden können. Wenn ein integrierter Sicherheitsspeicher zum Verwalten von Benutzern verwendet wird, enthält das Inhaltsverzeichnis verschlüsselte Kennwörter für diese Benutzer. In dem Fall sollte auch der Lesezugriff auf das Inhaltsverzeichnis beschränkt werden.