Sichern der Verwaltungsumgebung für die Cloud

Amazon Identity and Access Management (IAM) ermöglicht Ihnen die Verwaltung von Benutzergruppen, die über unterschiedliche Berechtigungsebenen für Ihr AWS-Konto verfügen. Bevor Sie sich bei Cloud Builder anmelden können, müssen Sie IAM verwenden, um mindestens einen Benutzer mit Administratorzugriff auf Ihr Konto zu erstellen. Anschließend müssen Sie den Zugriffsschlüssel und den geheimen Zugriffsschlüssel herunterladen, die mit diesem Benutzer verknüpft sind. Weitere Informationen hierzu finden Sie unter Häufig gestellte Fragen. Wenn Sie sich zum ersten Mal bei Cloud Builder anmelden, können Sie festlegen, ob diese Schlüssel gespeichert oder bei jeder Anmeldung angefordert werden sollen.

Die erweiterte Verwaltung von ArcGIS for Server unter Amazon Web Services erfolgt über die AWS Management Console. Sie müssen sich mit Ihrem Amazon-Kontonamen und -Kennwort bei der Konsole anmelden, bevor Sie EC2-Instanzen starten oder beenden, Amazon Elastic Load Balancers (ELBs) und Elastic IPs konfigurieren sowie sonstige Verwaltungsfunktionen der virtuellen Umgebung ausführen können. Wenn Sie angemeldet sind, können Sie Informationen zur Kontoaktivität und Abrechnung anzeigen.

Sie sollten den Kontonamen, das Kennwort, die Zugriffsschlüssel und die geheimen Zugriffsschlüssel für Amazon nur für wenige Benutzer innerhalb der Organisation freigeben, die in der Lage sind, Ressourcen ordnungsgemäß mit Cloud Builder oder der AWS Management Console zu starten, zu bearbeiten und zu beenden. Wenn Sie einer großen Anzahl von ungeschulten Benutzern Zugriff gewähren, kann dies zu schwerwiegenden Systemunterbrechungen und hohen Gebührenabrechnungen führen. Diese Art von Problemen kann letztendlich mehr Schaden anrichten als ein externer Hackerangriff.

Amazon bietet optionalen Schutz für die AWS Management Console über den Kontonamen und das Kontokennwort hinaus. Diese Option mit der Bezeichnung AWS Multi-Factor Authentication erfordert einen sechsstelligen Code, der von einem kleinen Hardware-Gerät erzeugt wird, das sich in Ihrem Besitz befindet. Der Code wird ständig geändert, um zu verhindern, dass Benutzer mit böswilligen Absichten, die versuchen Zugriff auf Ihren Kontonamen und Ihr Kennwort zu erhalten, sich nicht bei der AWS Management Console anmelden können.

Sichern der Verwaltung der Instanz

Die Anmeldung bei Cloud Builder oder AWS Management Console ist nur ein Aspekt der ArcGIS-Server-Verwaltung unter Amazon EC2. Ein weiterer Teil der Einrichtung der Cloud-Bereitstellung ist die Anmeldung bei den EC2-Instanzen, um Daten zu übertragen und GIS-Services und -Anwendungen zu konfigurieren.

Ihre erste Anmeldung bei der Windows-EC2-Instanz erfolgt als Computeradministrator, indem Sie ein nach dem Zufallsprinzip erzeugtes Kennwort verwenden, das Sie über die Schlüsselpaardatei abrufen. Legen Sie die Schlüsselpaardatei an einem sicheren Speicherort ab. Wenn Sie sich dann zum ersten Mal bei der Instanz anmelden, sollten Sie das Kennwort in ein Kennwort ändern, das Sie sich gut merken können. Es ist nicht sicher, das Kennwort zu notieren oder unverschlüsselt auf dem lokalen Computer zu speichern.

Wenn Sie sich bei der Instanz angemeldet haben, können Sie Benutzer ohne administrative Berechtigungen, die sich anmelden können, auch mithilfe von Windows-Werkzeugen definieren.

Sichern von Instanzen gegen externe Angriffe

Alle EC2-Instanzen verwenden eine Firewall zum Schutz gegen unzulässigen oder unbekannten externen Zugriff. Sie konfigurieren die Firewall, indem Sie Sicherheitsgruppen erstellen und den Zugriff auf einen IP-Adressbereich, Ports und Protokolle für jede Gruppe erteilen. Jedes Mal, wenn Sie eine neue EC2-Instanz starten, müssen Sie angeben, zu welcher Sicherheitsgruppe die Instanz gehört.

Neuen Sicherheitsgruppen wird standardmäßig kein Zugriff gewährt. Für die Anmeldung bei Ihrer EC2- Instanz und das Testen Ihres Servers müssen Sie zumindest Remotedesktopzugriff und HTTP-Zugriff gewähren. Weitere Anweisungen finden Sie unter Öffnen einer Amazon EC2-Sicherheitsgruppe für ArcGIS for Server. Weitere Vorschläge für Sicherheitsgruppeneinstellungen, die für ArcGIS for Server unter Amazon Web Services geeignet sind, finden Sie unter Häufige Sicherheitskonfigurationen für Gruppen.

Beim Erstellen einer Site mit ArcGIS Server Cloud Builder for Amazon Web Services wird eine Sicherheitsgruppe erstellt und konfiguriert. Die erforderlichen Ports werden für die Sicherheitsgruppe geöffnet, damit die Site funktioniert, Sie können die Einstellungen dieser Sicherheitsgruppe jedoch ggf. über die AWS Management Console optimieren. Wenn Sie sich beispielsweise über Windows-Remotedesktop bei einer der Instanzen anmelden möchten, müssen Sie Port 3389 öffnen.

Das Amazon Security Center beinhaltet Whitepaper und Dokumente mit Empfehlungen für den Entwurf einer sicheren Architektur für EC2. Diese Richtlinien gelten für ArcGIS for Server unter Amazon Web Services.

Sichern von GIS-Webanwendungen und -Services

Der Zugriff auf Web-Services und Anwendungen wird über die gleichen Sicherheitsmechanismen verwaltet, die außerhalb von Amazon EC2 für ArcGIS for Server verwendet werden. Diese werden in der Hilfe zu ArcGIS unter Sichern Ihrer ArcGIS-Server-Site beschrieben.

Auf der Registerkarte Sicherheit von ArcGIS Server Manager können Sie Benutzer und Rollen konfigurieren und die Benutzer und Rollen auswählen, die Zugriff auf Ihre Services haben. ArcGIS Server verfügt über einen integrierten Benutzer- und Rollenspeicher, der eine attraktive Option in einer cloudbasierten Site sein kann, die keinen Zugriff auf Benutzerspeicher im lokalen Netzwerk hat.