Portal for ArcGIS est fourni avec un outil de script Python, portalScan.py, qui recherche les problèmes de sécurité les plus fréquents. L'outil recherche les problèmes en fonction de certaines pratiques conseillées en matière de configuration d'un environnement sécurisé pour votre portail. Il analyse six critères ou propriétés de configuration et les divise en trois niveaux de gravité : Critical, Important et Recommended. Les descriptions de ces critères sont les suivantes :
| ID | Gravité | Propriété | Description |
|---|---|---|---|
PS01 | Critical | Restrictions de proxy | Détermine si la capacité de proxy du portail est restreinte. Par défaut, le serveur proxy du portail est ouvert à n'importe quelle URL. Afin de réduire les risques liés aux attaques par déni de service ou de fausse requête côté serveur, il est fortement recommandé de restreindre la capacité de proxy du portail aux adresses Web approuvées. |
PS02 | Critical | Demandes de jetons | Détermine si les demandes de jetons générées avec des informations d'identification dans le paramètre de requête sont prises en charge. Si ces demandes sont prises en charge, lors de la génération de jetons, les informations d'identification d'un utilisateur peuvent être indiquées dans l'URL et peuvent être affichées via l'historique du navigateur ou dans des journaux réseau. Cette fonctionnalité doit être désactivée sauf si elle est requise par d'autres applications. |
PS03 | Important | Répertoire des services du portail | Détermine si le répertoire des services du portail est accessible via un navigateur Web. Cette fonctionnalité doit être désactivée pour limiter le risque que vos éléments, services, cartes Web, groupes et autres ressources contenues sur le portail soient explorés, repérés dans une recherche Web ou interrogés via des formulaires HTML. |
PS04 | Important | Communication sécurisée | Détermine si le portail communique via HTTPS uniquement. Afin d'empêcher l'interception de communications au sein du portail, nous vous recommandons de configurer votre portail et le serveur Web hébergeant l'adaptateur Web pour la mise en place de SSL. |
PS05 | Recommended | Connexion à un compte intégré | Détermine si les utilisateurs peuvent cliquer sur le bouton Créer un compte sur la page de connexion du portail pour créer un compte de portail intégré. Si vous utilisez des comptes d'entreprise ou souhaitez créer tous les comptes manuellement, désactivez cette option. |
PS06 | Recommended | Accès anonyme | Détermine si l'accès anonyme est autorisé. Pour empêcher un utilisateur d'accéder à du contenu sans fournir au préalable des informations d'identification au portail, nous vous recommandons de configurer votre portail de manière à désactiver l'accès anonyme. |
Le script portalScan.py se situe dans le répertoire <Portal for ArcGIS installation location>/tools/security. Exécutez le script à partir de la ligne de commande ou de l'interface de commande. Vous devez indiquer l'URL du portail, ainsi que le nom d'utilisateur et le mot de passe d'un administrateur.
L'analyse génère un rapport au format HTML qui dresse la liste des problèmes ci-dessus qui ont été détectés dans le portail spécifié. Le rapport est généré dans le dossier dans lequel vous avez exécuté le script et se nomme portalScanReport_[hostname]_[date].html.
Vous avez un commentaire à formuler concernant cette rubrique ?