Concevoir une stratégie de sécurité ArcGIS Server complète sur Amazon EC2 nécessite une planification de la sécurité à différents niveaux. Posez-vous les questions suivantes :
- Qui doit être capable de créer et de supprimer les sites ArcGIS Server avec mon compte Amazon ?
- Qui doit être en mesure de se connecter à mes instances EC2 pour installer de nouveaux logiciels ou administrer directement le serveur ?
- Quels ordinateurs doivent être capables de détecter mon serveur une fois qu'il s'exécute sur EC2, et dans quels buts ?
- Quoi doit pouvoir se connecter à mon site en tant qu'utilisateur, éditeur ou administrateur ?
- Existe-t-il des utilisateurs dont l'accès doit être accordé sur certains services et refusé sur d'autres ?
- Mes applications nécessiteront-elles une connexion ?
Vous devrez comprendre et utiliser diverses techniques de sécurité pour mettre au point une solution sécurisée qui répond de manière satisfaisante à toutes les questions ci-dessus. Cette rubrique explique comment approcher chaque question.
Sécuriser l'environnement d'administration du cloud
Amazon Identity and Access Management (IAM) permet de gérer des groupes d'utilisateurs dotés de différents niveaux d'autorisations sur votre compte AWS. Avant de vous connecter à Cloud Builder, vous devez utiliser IAM pour créer au moins un utilisateur autorisé à accéder à votre compte. Vous devez ensuite télécharger la clé d'accès et la clé d'accès secrète associées à cet utilisateur. Lors de la première connexion à Cloud Builder vous devez choisir d'enregistrer ces clés ou de les saisir à chaque connexion.
La console de gestion AWS assure l'administration avancée d' ArcGIS Server sur les services Web Amazon. Vous devez vous connecter à la console avec votre nom de compte et votre mot de passe Amazon avant de lancer ou de résilier des instances EC2, de configurer des équilibreurs de charges élastiques et des adresses IP élastiques Amazon, et d'effectuer d'autres opérations administratives de l'environnement virtuel. La connexion vous permet également de consulter les informations de facturation et l'activité de votre compte.
Ne partagez votre nom de compte, mot de passe, clés d'accès et clés d'accès secrètes Amazon qu'avec un petit nombre de personnes dans votre organisation, capables de lancer, mettre à jour et résilier les ressources correctement avec Cloud Builder ou la console de gestion AWS. Autoriser un large accès à un personnel non formé rend votre déploiement vulnérable aux interruptions système graves et surcharge votre compte. Ces types de problèmes peuvent finalement entraîner plus de dommages qu'une attaque menée par un pirate informatique externe.
Amazon offre une couche de protection supplémentaire pour la console de gestion AWS, qui va au-delà du nom et du mot de passe du compte. Pour cette option, AWS Multi-Factor Authentication, vous devez générer un code à six chiffres à l'aide d'un petit périphérique matériel en votre possession. Le code change fréquemment, de sorte que si un utilisateur malveillant réussissait à obtenir votre nom de compte et votre mot de passe, il ne parviendrait pas à se connecter à la console de gestion AWS.
Sécuriser l'administration d'une instance
La connexion à Cloud Builder ou à la console de gestion AWS n'est qu'un aspect de l'administration d'ArcGIS Server sur Amazon EC2. La connexion à vos instances EC2 pour transférer des données et configurer des services et applications SIG constitue une autre partie de la configuration de votre déploiement sur le cloud.
Vous vous connectez initialement à votre instance Windows EC2 en tant qu'administrateur de l'ordinateur, à l'aide d'un mot de passe généré de manière aléatoire que vous récupérez avec votre fichier de paire de clés. Conservez votre fichier de paire de clés dans un emplacement sécurisé. Ensuite, lors de votre première connexion à l'instance, vous devez modifier le mot de passe en un mot de passe facilement mémorisable. Il n'est pas sûr d'écrire le mot de passe ou de le stocker en texte clair quelque part sur votre machine locale.
Astuce:
Choisissez un mot de passe qui répond aux conditions de complexité requises par Windows Server 2012, qui sont les suivantes :
- Les mots de passe ne doivent pas contenir le nom de compte de l'utilisateur ou des parties du nom complet de l'utilisateur de plus de deux caractères consécutifs.
- Les mots de passe doivent comporter huit caractères au moins.
- Les mots de passe doivent contenir des caractères issus des quatre catégories suivantes :
- Des lettres majuscules (A à Z)
- Des lettres minuscules (a à z)
- Des chiffres en base 10 (0 à 9)
- Des caractères non alphanumériques (par exemple !, $, #, %)
Une fois connecté à votre instance, vous pouvez utiliser les outils Windows pour définir les utilisateurs non administratifs pouvant se connecter.
Sécuriser des instances par rapport aux attaques extérieures
Toutes les instances EC2 utilisent un pare-feu pour se protéger de tout accès extérieur inconnu ou inapproprié. Vous configurez le pare-feu en créant des groupes de sécurité et en ouvrant l'accès à une plage d'adresses IP, à des ports et à des protocoles sur chaque groupe. Chaque fois que vous lancez une nouvelle instance EC2, vous devez spécifier à quel groupe de sécurité l'instance appartiendra.
Par défaut, aucun accès n'est autorisé sur les nouveaux groupes de sécurité. Au minimum, vous devez autoriser l'accès au Bureau à distance et l'accès HTTP à se connecter à votre instance EC2 et tester votre serveur. Pour savoir comment procéder, reportez-vous à la rubrique Ouvrir un groupe de sécurité Amazon EC2 pour ArcGIS for Server. Reportez-vous à la rubrique Configurations courantes des groupes de sécurité pour connaître les paramètres des groupes de sécurité adaptés pour ArcGIS Server sur les services Web Amazon.
Lorsque vous utilisez ArcGIS Server Cloud Builder sur Amazon Web Services pour créer un site, un groupe de sécurité est créé et configuré pour vous. Les ports nécessaires sont ouverts sur le groupe de sécurité pour permettre au site de fonctionner, mais si cela est nécessaire, vous pouvez utiliser la console de gestion AWS pour affiner les paramètres de ce groupe de sécurité. Par exemple, si vous souhaitez vous connecter à l'une des instances avec Bureau à distance Windows, vous devez ouvrir le port 3389.
Le Centre de sécurité d'Amazon contient des livres blancs et des documents de pratiques conseillées sur la conception d'une architecture sécurisée pour EC2. Ces directives sont applicables à ArcGIS Server sur les services Web Amazon.
Sécuriser les applications et services Web SIG
L'accès à vos services et applications Web est géré par l'intermédiaire des mêmes mécanismes de sécurité que ceux que vous utilisez avec ArcGIS Server en dehors d'Amazon EC2. Ces options sont décrites dans l'aide, à la section Sécurisation du site ArcGIS Server.
L'onglet Sécurité du gestionnaire ArcGIS Server vous aide à configurer les utilisateurs et rôles et à choisir quels utilisateurs et rôles auront accès à vos services. ArcGIS Server comporte un magasin d'utilisateurs et de rôles intégré qui peut être une option intéressante pour un site sur le cloud qui ne parvient pas à accéder aux magasins d'utilisateurs qui se trouvent sur votre réseau local.
Vous avez un commentaire à formuler concernant cette rubrique ?