Die Erarbeitung einer umfassenden Sicherheitsstrategie unter Amazon Elastic Compute Cloud (EC2) erfordert eine Sicherheitsplanung auf unterschiedlichen Ebenen.
Der Zugriff auf Web-Services und Anwendungen wird über die gleichen Sicherheitsmechanismen verwaltet, die außerhalb von Amazon Elastic Compute Cloud für ArcGIS Enterprise verwendet werden. Dies wird in der Hilfe zu ArcGIS Server und Portal for ArcGIS beschrieben.
Darüber hinaus gibt es spezifische Sicherheitsaspekte für Cloud-Bereitstellungen zu berücksichtigen. In den folgenden Abschnitten werden einige der spezifischen Sicherheitsaspekte und -ansätze für Bereitstellungen unter Amazon Web Services (AWS) beschrieben.
Sichern der Verwaltungsumgebung für die Cloud
Mit den AWS-Werkzeugen wie der AWS Management Console oder der AWS-Befehlszeilenschnittstelle können Sie in Ihrer ArcGIS-Bereitstellung unter AWS erweiterte Verwaltungsaufgaben durchführen. Zu diesen Verwaltungsaufgaben gehören unter anderem die Konfiguration von Amazon Elastic Load Balancers (ELBs) und Elastic IPs, die Erstellung von Amazon Simple Storage Service (S3)-Buckets und die Anzeige der eigenen Kontoaktivität sowie von Rechnungsinformationen.
Amazon empfiehlt die Verwendung von Amazon Identity and Access Management (IAM)-Rollen zur Verwaltung von Gruppen, deren Benutzer über unterschiedliche Berechtigungsstufen für Ihr AWS-Konto verfügen. Verwenden Sie IAM, um mindestens einen Benutzer mit Zugriff auf Ihr AWS-Konto zu erstellen, und laden Sie den Zugriffsschlüssel und den geheimen Zugriffsschlüssel herunter, der mit diesem Benutzer verknüpft ist. IAM-Rollen werden in den folgenden ArcGIS Enterprise-Workflows verwendet:
- Konfigurieren einer ArcGIS Server-Site mit hoher Verfügbarkeit.
- Konfigurieren eines Portals mit hoher Verfügbarkeit.
- Speichern von Karten- und Image-Service-Caches in S3.
Sie sollten den Kontonamen, das Kennwort, die Zugriffsschlüssel und die geheimen Zugriffsschlüssel für Amazon nur für wenige Benutzer innerhalb der Organisation freigeben, die in der Lage sind, Ressourcen ordnungsgemäß mit AWS-Werkzeugen wie der Management Console, mit Befehlszeilenwerkzeugen oder der API zu starten, zu bearbeiten und zu beenden. Wenn Sie einer großen Anzahl von ungeschulten Benutzern Zugriff gewähren, kann dies zu schwerwiegenden Systemunterbrechungen und hohen Gebührenabrechnungen führen. Diese Art von Problemen kann letztendlich mehr Schaden anrichten als ein externer Hackerangriff.
Amazon bietet optionalen Schutz über den Kontonamen und das Kontokennwort hinaus. Diese Option mit der Bezeichnung AWS Multi-Factor Authentication erfordert einen sechsstelligen Code, der von einem kleinen Hardware-Gerät erzeugt wird, das sich in Ihrem Besitz befindet. Der Code wird ständig geändert, um zu verhindern, dass Benutzer mit böswilligen Absichten beim Versuch, Zugriff auf Ihren Kontonamen und Ihr Kennwort zu erhalten, sich bei Ihrem Konto über die AWS Management Console anmelden können.
Sichern der Instanzenverwaltung
Die Verwaltung Ihres Kontos und Ihrer EC2-Instanzen mithilfe von AWS-Werkzeugen ist nur ein Aspekt der ArcGIS-Verwaltung unter AWS. Ein weiterer Teil der Einrichtung der Cloud-Bereitstellung ist die Anmeldung bei den EC2-Instanzen, um Software zu autorisieren oder zu aktualisieren, mit ArcGIS Enterprise installierte Tools auszuführen, Daten zu übertragen, Anwendungen zu konfigurieren und Anmeldungen hinzuzufügen.
Ihre erste Anmeldung bei den Microsoft WindowsEC2-Instanzen erfolgt als Computeradministrator, indem Sie ein nach dem Zufallsprinzip erzeugtes Kennwort verwenden, das Sie über die Schlüsselpaardatei abrufen. Legen Sie die Schlüsselpaardatei an einem sicheren Speicherort ab. Wenn Sie sich dann zum ersten Mal bei der Instanz anmelden, sollten Sie das Kennwort in ein Kennwort ändern, das Sie sich gut merken können. Es ist nicht sicher, das Kennwort zu notieren oder unverschlüsselt auf dem lokalen Computer zu speichern.
Tipp:
Wählen Sie ein Kennwort aus, das den folgenden Anforderungen für die Komplexität von Kennwörtern für Microsoft Windows Server entspricht:
- Kennwörter sollten nicht mehr als zwei aufeinanderfolgende Zeichen des Kontonamens des Benutzers oder von Teilen des vollständigen Namens des Benutzers enthalten.
- Kennwörter sollten mindestens aus acht Zeichen bestehen.
- Kennwörter sollten Zeichen von drei der folgenden vier Kategorien enthalten:
- Standardgroßbuchstaben (A bis Z)
- Standardkleinbuchstaben (a bis z)
- Ziffern (0 bis 9)
- Nicht-alphanumerische Zeichen (z. B. !, $, #, %)
Wenn Sie sich bei der Instanz angemeldet haben, können Sie Benutzer ohne administrative Berechtigungen, die sich anmelden können, mithilfe von Windows-Werkzeugen definieren.
Sichern von Instanzen gegen externe Angriffe
Alle EC2-Instanzen verwenden eine Sicherheitsgruppe zum Schutz gegen unzulässigen oder unbekannten externen Zugriff. Diese Sicherheitsgruppen müssen Sie konfigurieren, um den Benutzern Zugriff auf einen Bereich von IP-Adressen, Ports und Protokolle zu gewähren. Jedes Mal, wenn Sie eine neue EC2-Instanz starten, müssen Sie angeben, zu welcher Sicherheitsgruppe die Instanz gehört. Davon ist abhängig, wer Zugriff auf die Instanz hat.
Neuen Sicherheitsgruppen wird standardmäßig kein Zugriff gewährt. Für die Anmeldung bei Ihrer EC2-Instanz und das Testen Ihrer Bereitstellung müssen Sie zumindest Remotezugriff und HTTP-Zugriff gewähren. Weitere Anweisungen finden Sie unter Öffnen einer Amazon Elastic Compute Cloud-Sicherheitsgruppe für ArcGIS. Weitere Vorschläge für Sicherheitsgruppeneinstellungen, die für ArcGIS Enterprise on Amazon Web Services geeignet sind, finden Sie unter Häufige Sicherheitskonfigurationen für Gruppen.
Beim Bereitstellen einer Site mit Esri Werkzeugen wird eine Sicherheitsgruppe für Sie erstellt und konfiguriert. Die erforderlichen Ports werden für die Sicherheitsgruppe geöffnet, damit die Site funktioniert. Sie können die Einstellungen dieser Sicherheitsgruppe jedoch ggf. über die AWS-Tools optimieren. Wenn Sie sich beispielsweise über Windows-Remotedesktop bei einer der Instanzen anmelden möchten, müssen Sie Port 3389 öffnen.
AWS Cloud Security beinhaltet Whitepaper und Dokumente mit Empfehlungen für den Entwurf einer sicheren Architektur für EC2. Diese Richtlinien gelten für ArcGIS Enterprise on Amazon Web Services.