Die Erarbeitung einer umfassenden ArcGIS-Server-Sicherheitsstrategie unter Amazon EC2 erfordert eine Sicherheitsplanung auf unterschiedlichen Ebenen. Berücksichtigen Sie dazu die folgenden Fragen:
- Wer soll ArcGIS-Server-Sites mit meinem Amazon-Konto erstellen und löschen dürfen?
- Wer soll sich bei meinen EC2-Instanzen anmelden dürfen, um neue Software zu installieren oder den Server direkt zu verwalten?
- Für welche Computer soll mein Server erkennbar sein, sobald er unter EC2 ausgeführt wird, und zu welchem Zweck?
- Wer soll sich bei meiner Site als Benutzer, Publisher oder Administrator anmelden dürfen?
- Gibt es Benutzer, denen der Zugriff auf bestimmte Services erlaubt und auf andere Services verweigert werden muss?
- Ist für meine Webanwendungen eine Anmeldung erforderlich?
Sie müssen mit einer Reihe von Sicherheitstechniken vertraut sein und sie anwenden, um eine sichere Lösung zu erstellen, die den oben genannten Gesichtspunkten gerecht wird. In diesem Thema wird die Herangehensweise an diese Fragen näher beschrieben.
Sichern der Verwaltungsumgebung für die Cloud
Amazon Identity and Access Management (IAM) ermöglicht Ihnen die Verwaltung von Benutzergruppen, die über unterschiedliche Berechtigungsebenen für Ihr AWS-Konto verfügen. Bevor Sie sich bei Cloud Builder anmelden können, müssen Sie IAM verwenden, um mindestens einen Benutzer mit Zugriff auf Ihr Konto zu erstellen. Anschließend müssen Sie den Zugriffsschlüssel und den geheimen Zugriffsschlüssel herunterladen, die mit diesem Benutzer verknüpft sind. Wenn Sie sich zum ersten Mal bei Cloud Builder anmelden, können Sie festlegen, ob diese Schlüssel gespeichert oder bei jeder Anmeldung angefordert werden sollen.
Die erweiterte Verwaltung von ArcGIS for Server unter Amazon Web Services erfolgt über die AWS Management Console. Sie müssen sich mit Ihrem Amazon-Kontonamen und -Kennwort bei der Konsole anmelden, bevor Sie EC2-Instanzen starten oder beenden, Amazon Elastic Load Balancers (ELBs) und Elastic IPs konfigurieren sowie sonstige Verwaltungsfunktionen der virtuellen Umgebung ausführen können. Wenn Sie angemeldet sind, können Sie Informationen zur Kontoaktivität und Abrechnung anzeigen.
Sie sollten den Kontonamen, das Kennwort, die Zugriffsschlüssel und die geheimen Zugriffsschlüssel für Amazon nur für wenige Benutzer innerhalb der Organisation freigeben, die in der Lage sind, Ressourcen ordnungsgemäß mit Cloud Builder oder der AWS Management Console zu starten, zu bearbeiten und zu beenden. Wenn Sie einer großen Anzahl von ungeschulten Benutzern Zugriff gewähren, kann dies zu schwerwiegenden Systemunterbrechungen und hohen Gebührenabrechnungen führen. Diese Art von Problemen kann letztendlich mehr Schaden anrichten als ein externer Hackerangriff.
Amazon bietet optionalen Schutz für die AWS Management Console über den Kontonamen und das Kontokennwort hinaus. Diese Option mit der Bezeichnung AWS Multi-Factor Authentication erfordert einen sechsstelligen Code, der von einem kleinen Hardware-Gerät erzeugt wird, das sich in Ihrem Besitz befindet. Der Code wird ständig geändert, um zu verhindern, dass Benutzer mit böswilligen Absichten beim Versuch, Zugriff auf Ihren Kontonamen und Ihr Kennwort zu erhalten, sich bei der AWS Management Console anmelden können.
Sichern der Instanzenverwaltung
Die Anmeldung bei Cloud Builder oder AWS Management Console ist nur ein Aspekt der ArcGIS-Server-Verwaltung unter Amazon EC2. Ein weiterer Teil der Einrichtung der Cloud-Bereitstellung ist die Anmeldung bei den EC2-Instanzen, um Daten zu übertragen und GIS-Services und -Anwendungen zu konfigurieren.
Ihre erste Anmeldung bei der Windows-EC2-Instanz erfolgt als Computeradministrator, indem Sie ein nach dem Zufallsprinzip erzeugtes Kennwort verwenden, das Sie über die Schlüsselpaardatei abrufen. Legen Sie die Schlüsselpaardatei an einem sicheren Speicherort ab. Wenn Sie sich dann zum ersten Mal bei der Instanz anmelden, sollten Sie das Kennwort in ein Kennwort ändern, das Sie sich gut merken können. Es ist nicht sicher, das Kennwort zu notieren oder unverschlüsselt auf dem lokalen Computer zu speichern.
Tipp:
Erwägen Sie die Auswahl eines Kennwortes, das den folgenden Anforderungen für die Komplexität von Kennwörtern für Windows Server 2012 entspricht:
- Kennwörter sollten nicht mehr als zwei aufeinanderfolgende Zeichen des Kontonamens des Benutzers oder von Teilen des vollständigen Namens des Benutzers enthalten.
- Kennwörter sollten mindestens aus acht Zeichen bestehen.
- Kennwörter sollten Zeichen von drei der folgenden vier Kategorien enthalten:
- Standardgroßbuchstaben (A bis Z)
- Standardkleinbuchstaben (a bis z)
- Ziffern (0 bis 9)
- Nicht-alphanumerische Zeichen (z. B. !, $, #, %)
Wenn Sie sich bei der Instanz angemeldet haben, können Sie Benutzer ohne administrative Berechtigungen, die sich anmelden können, auch mithilfe von Windows-Werkzeugen definieren.
Sichern von Instanzen gegen externe Angriffe
Alle EC2-Instanzen verwenden eine Firewall zum Schutz gegen unzulässigen oder unbekannten externen Zugriff. Sie konfigurieren die Firewall, indem Sie Sicherheitsgruppen erstellen und den Zugriff auf einen IP-Adressbereich, Ports und Protokolle für jede Gruppe erteilen. Jedes Mal, wenn Sie eine neue EC2-Instanz starten, müssen Sie angeben, zu welcher Sicherheitsgruppe die Instanz gehört.
Neuen Sicherheitsgruppen wird standardmäßig kein Zugriff gewährt. Für die Anmeldung bei Ihrer EC2- Instanz und das Testen Ihres Servers müssen Sie zumindest Remotedesktopzugriff und HTTP-Zugriff gewähren. Weitere Anweisungen finden Sie unter Öffnen einer Amazon EC2-Sicherheitsgruppe für ArcGIS for Server. Weitere Vorschläge für Sicherheitsgruppeneinstellungen, die für ArcGIS for Server unter Amazon Web Services geeignet sind, finden Sie unter Häufige Sicherheitskonfigurationen für Gruppen.
Beim Erstellen einer Site mit ArcGIS Server Cloud Builder for Amazon Web Services wird eine Sicherheitsgruppe erstellt und konfiguriert. Die erforderlichen Ports werden für die Sicherheitsgruppe geöffnet, damit die Site funktioniert. Sie können die Einstellungen dieser Sicherheitsgruppe jedoch ggf. über die AWS Management Console optimieren. Wenn Sie sich beispielsweise über Windows-Remotedesktop bei einer der Instanzen anmelden möchten, müssen Sie Port 3389 öffnen.
Das Amazon Security Center beinhaltet Whitepaper und Dokumente mit Empfehlungen für den Entwurf einer sicheren Architektur für EC2. Diese Richtlinien gelten für ArcGIS for Server unter Amazon Web Services.
Sichern von GIS-Webanwendungen und -Services
Der Zugriff auf Web-Services und Anwendungen wird über die gleichen Sicherheitsmechanismen verwaltet, die außerhalb von Amazon EC2 für ArcGIS for Server verwendet werden. Diese werden in der Hilfe zu ArcGIS unter Sichern Ihrer ArcGIS-Server-Site beschrieben.
Auf der Registerkarte Sicherheit von ArcGIS Server Manager können Sie Benutzer und Rollen konfigurieren und die Benutzer und Rollen auswählen, die Zugriff auf Ihre Services haben. ArcGIS Server verfügt über einen integrierten Benutzer- und Rollenspeicher, der eine attraktive Option in einer cloudbasierten Site sein kann, die keinen Zugriff auf Benutzerspeicher im lokalen Netzwerk hat.