Toute communication envoyée sur un réseau d'ordinateurs peut être interceptée, déchiffrée ou modifiée. Pour sécuriser les communications sur un réseau dans ArcGIS Enterprise, l’utilisation de HTTPS est recommandée et appliquée par défaut.
Le protocole HTTPS chiffre les communications depuis et vers un serveur web. Cela permet de sécuriser les communications réseau en identifiant et en authentifiant le serveur web au niveau de chaque client web qui communique avec lui. L’utilisation du protocole HTTPS permet d’assurer la confidentialité et l’intégrité de toutes les données transmises.
Pour créer une connexion HTTPS entre un serveur web et un client, le serveur web a besoin d’un certificat de serveur. Un certificat est un fichier numérique contenant des informations sur l'identité du serveur Web. Ce certificat contient également la technique de chiffrement à utiliser lors de l'établissement d'un canal sécurisé entre le server Web et le client. Il doit être créé par le propriétaire du site Web et signé numériquement.
Esri recommande plusieurs pratiques par rapport aux certificats de serveur. Ces pratiques conseillées concernent tous les sites ArcGIS Server et le portail ArcGIS Enterprise, mais doivent également être prises en compte pour les autres composants de votre déploiement.
Remplacer les certificats auto-signés par des certificats signés par une autorité de certification
Suite à l’installation de ArcGIS Server et Portal for ArcGIS, ces composants sont automatiquement configurés avec des certificats auto-signés. Ces certificats, qui ne sont signés que par le propriétaire d’un site Web, autorisent des communications HTTPS sans nécessiter d’étapes supplémentaires. Mais la plupart des navigateurs Web n’approuvent initialement pas les URL de votre déploiement ArcGIS Enterprise. De ce fait, vos utilisateurs ainsi que vous-même devrez supprimer les avertissements de navigateur, qui peuvent alarmer et susciter la suspicion.
Il vous est recommandé de configurer votre déploiement avec des certificats signés par une autorité de certification tierce dès que possible. Les certificats signés par une autorité de certification garantissent aux navigateurs web de vos utilisateurs que vos sites sont des sites fiables. Pour demander un certificat, faites une demande de connexion du certificat à l’autorité de certification.
Si vous disposez déjà d’un certificat signé par une autorité de certification, vous pouvez configurer ArcGIS Server avec le certificat, puis l’importer sur le portail.
Vous pouvez également demander à une autorité de certification de signer un certificat auto-signé, configurer le nouveau certificat avec ArcGIS Server, puis l’importer sur le portail.
Remarque :
S’assurer que les certificats racine et intermédiaires sont présents
Lorsqu’une application client vérifie votre certificat signé par une autorité de certification, elle doit également valider l’autorité de certification elle-même. Cela s’effectue à l’aide des certificats racine et intermédiaires, qui appartiennent à l’autorité de certification. Le certificat racine établit l’identité de l’autorité de certification, tandis que le certificat intermédiaire renforce sa crédibilité dans l’émission de certificats d’entité finale tels que les vôtres. Si les certificats racine et intermédiaires sont présents, les navigateurs et les applications client peuvent être assurés que votre certificat a bien été signé par une autorité de certification valide.
ArcGIS Enterprise approuve automatiquement les certificats racine et intermédiaire signés par de nombreuses autorités de certification connues. Si votre organisation fait appel à une autorité de certification personnalisée ou si vous disposez d’un certificat intermédiaire spécifique que vous voulez ajouter à votre déploiement, vous pouvez utiliser les opérations importRootOrIntermediate dans le répertoire administrateur d’ArcGIS Portal et dans le répertoire administrateur de ArcGIS Server.
Inclure un autre nom d’objet dans vos certificats
Certains navigateurs, parmi lesquels Google Chrome, n’autorisent pas les certificats qui ne comportent pas de nom alternatif (SAN, qui peuvent être plusieurs). Si votre déploiement ArcGIS Enterprise est configuré avec des certificats qui n’ont pas de valeur SAN, les utilisateurs qui accèdent à vos sites recevront des avertissements.
Les certificats créés par les administrateurs informatiques incluent généralement une ou plusieurs valeurs SAN, mais la commande makecert de Windows et l’application IIS Manager, fréquemment utilisée, ne permettent pas de configurer un SAN. Vous devez utiliser un autre outil pour générer vos certificats de domaine, qui sont signés par l’autorité de certification interne de votre organisation.
Si vous créez votre propre certificat de domaine sur Windows, Esri fournit un script afin de créer un certificat de domaine contenant des valeurs SAN. Les certificats générés à l’aide de ce script PowerShell peuvent alors avoir la confiance de Chrome et autres navigateurs web.
Comprendre et résoudre le problème de non correspondance de nom
Dans la mesure où ArcGIS Enterprise peut être déployé sur plusieurs machines et éventuellement plusieurs domaines ou sous-domaines, il est important de connaître la cause et la solution potentielle au problème de non-concordance des noms. Ce problème se produit lorsqu’un utilisateur accède à une URL sur un site qui ne correspond pas au nom courant, ou plus récemment une valeur SAN, fourni par le certificat du site. En d’autres termes, si le certificat présenté par une page web est accordé pour une URL différente de celle à laquelle l’utilisateur accède, le navigateur signale une erreur.
Comme avec les certificats auto-signés, les utilisateurs peuvent choisir d’accepter l’URL et de s’y fier malgré l’erreur. Mais il s’agit d’une erreur alarmante pour les utilisateurs non familiarisés avec votre site, ainsi que d’un inconvénient fréquent.
La pratique conseillée consiste à ajouter immédiatement chaque domaine et sous-domaine nouveau que votre organisation utilise en tant que valeur SAN à votre certificat signé par une autorité de certification. Cette approche proactive évite aux utilisateurs de rencontrer des erreurs de non correspondance de nom.
Par exemple, imaginez une agence qui déploie les composants ArcGIS Enterprise sur deux sous-domaines, https://water.example.com et electricity.example.com. L’agence utilise un certificat signé par une autorité de certification, avec des valeurs SAN qui correspondent à « water.example.com » et « electricity.example.com ». Elle lance un nouveau site à l’adresse https://recycling.example.com. L’administrateur informatique doit ajouter une entrée « recycling.example.com » au paramètre SAN dans le certificat du site.
Rechercher des problèmes de sécurité à l’aide de scripts Esri
Pour vous aider à identifier les risques de sécurité courants dans votre déploiement ArcGIS Enterprise, Esri fournit des scripts vérifiant les pratiques conseillées en matière de sécurité sur votre portail et vos sites Server. Les scripts serverscan.py et portalscan.py sont intégrés au logiciel et peuvent être exécutés à tout moment. Parmi les éléments examinés par les scripts figure une vérification établissant si le composant utilise ou non un certificat auto-signé.
Il est utile d’exécuter les analyses peu après l’installation de chaque composant, après la mise à niveau vers de nouvelles versions et après des modifications significatives apportées à votre déploiement ou à ses composants informatiques. Par exemple, vous devez réexécuter le script serverscan.py si votre organisation a remplacé ses certificats serveur récemment ou a modifié les URL d’un site.
Vous avez un commentaire à formuler concernant cette rubrique ?