Die Erarbeitung einer umfassenden Sicherheitsstrategie unter Amazon EC2 erfordert eine Sicherheitsplanung auf unterschiedlichen Ebenen.
Der Zugriff auf Web-Services und Anwendungen wird über die gleichen Sicherheitsmechanismen verwaltet, die außerhalb von Amazon EC2 für ArcGIS Enterprise verwendet werden. Dies wird in der Hilfe zu ArcGIS Server und Portal for ArcGIS beschrieben.
Darüber hinaus gibt es spezifische Sicherheitsaspekte für Cloud-Bereitstellungen zu berücksichtigen. In den folgenden Abschnitten werden einige der spezifischen Sicherheitsaspekte und -ansätze für Bereitstellungen unter Amazon Web Services (AWS) beschrieben.
Sichern der Verwaltungsumgebung für die Cloud
Amazon Identity and Access Management (IAM) ermöglicht Ihnen die Verwaltung von Benutzergruppen, die über unterschiedliche Berechtigungsebenen für Ihr AWS-Konto verfügen. Bevor Sie sich bei ArcGIS Server Cloud Builder on Amazon Web Services anmelden können, müssen Sie mithilfe von IAM mindestens einen Benutzer mit Zugriff auf Ihr Konto erstellen. Anschließend müssen Sie den Zugriffsschlüssel und den geheimen Zugriffsschlüssel herunterladen, die mit diesem Benutzer verknüpft sind. Wenn Sie sich zum ersten Mal bei Cloud Builder anmelden, können Sie festlegen, ob diese Schlüssel gespeichert oder bei jeder Anmeldung angefordert werden sollen. Sie können auch mithilfe einer IAM-Rolle eine hoch verfügbare ArcGIS Server-Site konfigurieren.
Die erweiterte Verwaltung von ArcGIS Enterprise on Amazon Web Services erfolgt über die AWS Management Console. Sie müssen sich mit Ihrem Amazon-Kontonamen und -Kennwort bei der Konsole anmelden, bevor Sie EC2-Instanzen starten oder beenden, Amazon Elastic Load Balancers (ELBs) und Elastic IPs konfigurieren sowie sonstige Verwaltungsfunktionen der virtuellen Umgebung ausführen können. Wenn Sie angemeldet sind, können Sie Informationen zur Kontoaktivität und Abrechnung anzeigen.
Sie sollten den Kontonamen, das Kennwort, die Zugriffsschlüssel und die geheimen Zugriffsschlüssel für Amazon nur für wenige Benutzer innerhalb der Organisation freigeben, die in der Lage sind, Ressourcen ordnungsgemäß mit Cloud Builder oder der AWS Management Console zu starten, zu bearbeiten und zu beenden. Wenn Sie einer großen Anzahl von ungeschulten Benutzern Zugriff gewähren, kann dies zu schwerwiegenden Systemunterbrechungen und hohen Gebührenabrechnungen führen. Diese Art von Problemen kann letztendlich mehr Schaden anrichten als ein externer Hackerangriff.
Amazon bietet optionalen Schutz für die AWS Management Console über den Kontonamen und das Kontokennwort hinaus. Diese Option mit der Bezeichnung AWS Multi-Factor Authentication erfordert einen sechsstelligen Code, der von einem kleinen Hardware-Gerät erzeugt wird, das sich in Ihrem Besitz befindet. Der Code wird ständig geändert, um zu verhindern, dass Benutzer mit böswilligen Absichten beim Versuch, Zugriff auf Ihren Kontonamen und Ihr Kennwort zu erhalten, sich bei der AWS Management Console anmelden können.
Sichern der Instanzenverwaltung
Die Anmeldung bei Cloud Builder oder der AWS Management Console ist nur ein Aspekt der ArcGIS-Verwaltung unter Amazon EC2. Ein weiterer Teil der Einrichtung der Cloud-Bereitstellung ist die Anmeldung bei den EC2-Instanzen, um Software zu autorisieren oder zu aktualisieren, mit ArcGIS Enterprise installierte Tools auszuführen, Daten zu übertragen, Anwendungen zu konfigurieren und Anmeldungen hinzuzufügen.
Ihre erste Anmeldung bei einer Windows-EC2-Instanz erfolgt als Computeradministrator mit einem zufällig erzeugten Kennwort, das Sie über die Schlüsselpaardatei abrufen. Legen Sie die Schlüsselpaardatei an einem sicheren Speicherort ab. Wenn Sie sich dann zum ersten Mal bei der Instanz anmelden, sollten Sie das Kennwort in ein Kennwort ändern, das Sie sich gut merken können. Es ist nicht sicher, das Kennwort zu notieren oder unverschlüsselt auf dem lokalen Computer zu speichern.
Tipp:
Erwägen Sie die Auswahl eines Kennwortes, das den folgenden Anforderungen für die Komplexität von Kennwörtern für Windows Server entspricht:
- Kennwörter sollten nicht mehr als zwei aufeinanderfolgende Zeichen des Kontonamens des Benutzers oder von Teilen des vollständigen Namens des Benutzers enthalten.
- Kennwörter sollten mindestens aus acht Zeichen bestehen.
- Kennwörter sollten Zeichen von drei der folgenden vier Kategorien enthalten:
- Standardgroßbuchstaben (A bis Z)
- Standardkleinbuchstaben (a bis z)
- Ziffern (0 bis 9)
- Nicht-alphanumerische Zeichen (z. B. !, $, #, %)
Wenn Sie sich bei der Instanz angemeldet haben, können Sie Benutzer ohne administrative Berechtigungen, die sich anmelden können, auch mithilfe von Windows-Werkzeugen definieren.
Sichern von Instanzen gegen externe Angriffe
Alle EC2-Instanzen verwenden eine Firewall zum Schutz gegen unzulässigen oder unbekannten externen Zugriff. Sie konfigurieren die Firewall, indem Sie Sicherheitsgruppen erstellen und den Zugriff auf einen IP-Adressbereich, Ports und Protokolle für jede Gruppe erteilen. Jedes Mal, wenn Sie eine neue EC2-Instanz starten, müssen Sie angeben, zu welcher Sicherheitsgruppe die Instanz gehört.
Neuen Sicherheitsgruppen wird standardmäßig kein Zugriff gewährt. Für die Anmeldung bei Ihrer EC2- Instanz und das Testen Ihres Servers müssen Sie zumindest Remotedesktopzugriff und HTTP-Zugriff gewähren. Weitere Anweisungen finden Sie unter Öffnen einer Amazon EC2-Sicherheitsgruppe für ArcGIS. Weitere Vorschläge für Sicherheitsgruppeneinstellungen, die für ArcGIS Enterprise on Amazon Web Services geeignet sind, finden Sie unter Häufige Sicherheitskonfigurationen für Gruppen.
Beim Erstellen einer ArcGIS Server-Site oder einer von Esri bereitgestellten AWS-CloudFormation-Vorlage mit ArcGIS Server Cloud Builder on Amazon Web Services wird eine Sicherheitsgruppe erstellt und konfiguriert. Die erforderlichen Ports werden für die Sicherheitsgruppe geöffnet, damit die Site funktioniert. Sie können die Einstellungen dieser Sicherheitsgruppe jedoch ggf. über die AWS Management Console optimieren. Wenn Sie sich beispielsweise über Windows-Remotedesktop bei einer der Instanzen anmelden möchten, müssen Sie Port 3389 öffnen.
Das Amazon Security Center beinhaltet Whitepaper und Dokumente mit Empfehlungen für den Entwurf einer sicheren Architektur für EC2. Diese Richtlinien gelten für ArcGIS Enterprise on Amazon Web Services.