Per garantire la sicurezza del portale ArcGIS Enterprise, è importante proteggere anche l'ambiente in cui viene eseguito il portale aziendale. Esistono varie procedure consigliate che è possibile seguire per assicurare la massima protezione.
Limitare la funzionalità proxy del portale
In diversi scenari, il portale viene utilizzato come server proxy. Pertanto, la funzionalità proxy del portale può essere utilizzata impropriamente per lanciare attacchi DoS (Denial of Service) o SSRF (Server Side Request Forgery) verso qualsiasi computer a cui può accedere il server del portale. Per ridurre questa vulnerabilità potenziale, si consiglia di limitare la funzionalità proxy del portale agli indirizzi Web approvati. Per maggiori dettagli e istruzioni complete, vedere Limitare la funzionalità proxy del portale.
Disabilitare l'accesso anonimo
Per impedire agli utenti di accedere ai contenuti senza prima fornire le credenziali al portale, è consigliabile configurare il portale aziendale in modo da disabilitare l'accesso anonimo. La disabilitazione dell'accesso anonimo impedisce agli utenti pubblici di accedere alle risorse del portale aziendale.
Per informazioni su come disabilitare l'accesso anonimo nel portale ArcGIS Enterprise, vedere Disabilitare l'accesso anonimo. Se si utilizza l'autenticazione a livello Web, ovvero si esegue l'autenticazione tramite ArcGIS Web Adaptor, è necessario disabilitare anche l'accesso anonimo al server Web. Per istruzioni, consultare la documentazione del server Web.
Configurare i certificati server firmati da un'autorità di certificazione
Il portale ArcGIS Enterprise viene fornito preconfigurato con un certificato server autofirmato che consente di testare inizialmente il portale e di verificare rapidamente la correttezza dell'installazione. In genere, tuttavia, è consigliabile richiedere un certificato da un'autorità di certificazione (CA) attendibile e configurare il portale affinché lo utilizzi. Il certificato può essere firmato da una CA commerciale o aziendale (interna).
È necessario configurare ciascun componente ArcGIS applicabile nell'organizzazione con un certificato da un'autorità di certificazione (CA) commerciale o aziendale. Gli esempi più comuni includono ArcGIS Web Adaptor e ArcGIS Server. Ad esempio, ArcGIS Server viene fornito con un certificato autofirmato preconfigurato. Se si intende federare un sito di ArcGIS Server con il portale, è importante richiedere un certificato firmato da un'autorità di certificazione e configurare il server e Web Adaptor affinché lo utilizzino.
La configurazione di un certificato rilasciato da un'autorità attendibile è una procedura di sicurezza per i sistemi basati sul Web che evita inoltre agli utenti di ricevere avvisi del browser o rilevare comportamenti imprevisti. Se si sceglie di utilizzare il certificato autofirmato incluso con ArcGIS Enterprise durante il test, si verificherà quanto segue:
- Nel browser Web, da ArcGIS Desktop, o in ArcGIS Pro verranno visualizzati avvisi relativi all'inattendibilità del sito. Quando un browser web verifica la presenza di un certificato autofirmato, viene in genere visualizzato un avviso che chiede di confermare se si desidera accedere al sito. In molti browser vengono visualizzate icone di avviso oppure il colore rosso nella barra degli indirizzi finché si utilizza il certificato autofirmato.
- Non è possibile aprire un servizio federato in Map Viewer del portale, né aggiungere un elemento di servizio protetto al portale, effettuare l'accesso ad ArcGIS Server Manager su un server federato o connettersi al portale da ArcGIS Maps for Office.
- Si verificano comportamenti imprevisti quando si configurano servizi di utility, si stampano servizi ospitati e si accede al portale da applicazioni client.
Attenzione:
L'elenco dei problemi riscontrabili quando si utilizza un certificato autofirmato, riportato in precedenza, non è esaustivo. È assolutamente necessario utilizzare un certificato firmato da una CA per testare interamente e distribuire il portale.
Per istruzioni su come configurare ArcGIS Enterprise con un certificato firmato da un'autorità di certificazione, vedere i seguenti argomenti:
configurare HTTPS
Durante la configurazione iniziale dell'implementazione di ArcGIS Enterprise, ogni volta che vengono richieste le credenziali, il nome e la password dell'utente vengono inviati tramite HTTPS. In questo modo, le credenziali trasmesse sulla rete interna o su Internet vengono crittografate e non possono essere intercettate. Per impostazione predefinita, tutte le comunicazioni all'interno del portale vengono inviate tramite HTTPS. Per impedire che le comunicazioni vengano intercettate, è consigliabile configurare il server Web che ospita ArcGIS Web Adaptor in modo da imporre l'uso dell'HTTPS.
Imponendo la comunicazione esclusivamente tramite HTTPS, tutte le comunicazioni esterne al di fuori del portale Enterprise, come i servizi di ArcGIS Server e di Open Geospatial Consortium (OGC), saranno protette in quanto il portale accederà ai contenuti Web esterni solo se è disponibile l'HTTPS. In caso contrario, i contenuti esterni vengono bloccati.
Tuttavia, potrebbero verificarsi dei casi in cui si desidera abilitare la comunicazione HTTP e HTTPS all'interno del portale. Per informazioni su come applicare l'uso di HTTP e HTTPS per tutte le comunicazioni in ArcGIS Enterprise, consultare Configurare l'HTTPS.
Usare un account del servizio gestito di gruppo
Durante l'installazione del portale, si consiglia di utilizzare un account del servizio gestito di gruppo (gMSA) come account che esegue il servizio del portale. L'uso di un gMSA offre i vantaggi di un account di dominio di Active Directory mantenendo tale account sicuro tramite aggiornamenti periodici della password.
Ulteriori informazioni su account del servizio gestito di gruppo
Disabilitare la directory di Portal for ArcGIS
È possibile disabilitare la directory di Portal for ArcGIS per ridurre la probabilità che gli elementi, i servizi, le mappe Web, i gruppi e le altre risorse del portale aziendale possano essere esplorati, trovati in una ricerca Web o interrogati tramite moduli HTML. La disabilitazione della directory di Portal for ArcGIS costituisce inoltre una protezione aggiuntiva contro gli attacchi XSS (Cross-Site-Scripting).
La scelta di disabilitare la directory di Portal for ArcGIS è legata allo scopo del portale aziendale e al livello di esplorazione desiderato per utenti e sviluppatori. Se si disabilita la directory di Portal for ArcGIS, potrebbe essere necessario creare altri elenchi o metadati per gli elementi disponibili nel portale aziendale.
Per le istruzioni complete, vedere Disabilitare la directory di Portal for ArcGIS.
Configurare il firewall per l'interazione con il portale
Ogni computer dispone di migliaia di porte che possono essere utilizzate da altri computer per inviare informazioni. Un firewall è un meccanismo di sicurezza che limita il numero delle porte del computer utilizzabili dagli altri computer per le comunicazioni. Se si utilizza un firewall per limitare le comunicazioni ad un piccolo numero di porte, è possibile monitorare attentamente tali porte al fine di prevenire eventuali attacchi.
Il portale ArcGIS Enterprise utilizza determinate porte per comunicare, ad esempio 7005, 7080, 7099, 7443 e 7654. Come procedura di sicurezza ottimale, è consigliabile configurare il firewall in modo da consentire le comunicazioni su tali porte, poiché in caso contrario il portale aziendale potrebbe non funzionare correttamente. Per ulteriori informazioni su, vedere Porte utilizzate da Portal for ArcGIS.
Specificare il timeout di scadenza del token
Un token è una stringa di informazioni crittografate che contiene il nome dell'utente, la data/ora di scadenza del token e altre informazioni proprietarie. Quando un token viene rilasciato al membro, può accedere al portale finché il token non scade. Quando scade, il membro deve fornire nuovamente il nome utente e la password.
Ogni volta che si genera un nuovo token durante l'utilizzo di ArcGIS Enterprise, è necessario specificare un tempo di scadenza. In caso contrario, verrà utilizzato un valore di scadenza predefinito.
Ci sono tre tipi di token utilizzati dal portale: i token ArcGIS, i token di OAuth access e i token di OAuth refresh. Ogni tipo ha il proprio valore di scadenza predefinito.
Questi valori predefiniti non possono essere aumentati e possono essere ridotti solo impostando la proprietà maxTokenExpirationMinutes nell'ArcGIS Portal Administrator Directory a un valore inferiore a quello predefinito. Anche se questi valori possono essere appropriati per l'organizzazione, è importante considerare le implicazioni di sicurezza che si nascondono dietro un token. Un token con un tempo di scadenza più lungo è meno sicuro. Ad esempio, un token intercettato da un utente malintenzionato può essere utilizzato finché il token non scade. Al contrario, una data/ora di scadenza più breve è più sicura ma meno conveniente, poiché i membri potrebbero dover inserire nome utente e password più frequentemente.
Per modificare il timeout di scadenza del token predefinito, eseguire i passaggi descritti in Specificare il timeout per la scadenza del token predefinito.
Limitare le autorizzazioni per i file
È consigliabile impostare le autorizzazioni per i file in modo da consentire esclusivamente gli accessi necessari alle directory di installazione e dei contenuti di Portal for ArcGIS. In Portal for ArcGIS, l'account di Portal for ArcGIS è l'unico a cui è necessario consentire tale accesso. poiché è quello utilizzato per l'esecuzione del software. Nella propria organizzazione potrebbe essere necessario consentire l'accesso anche ad altri account. Per assicurare il corretto funzionamento del sito, l'account del portale deve disporre di accesso completo alle directory di installazione e dei contenuti.
Durante l'installazione Portal for ArcGIS eredita le autorizzazioni relative ai file dalla cartella padre. Concede inoltre all'account del portale le autorizzazioni necessarie per accedere alla directory in cui è installato. I file creati durante l'esecuzione del portale ereditano le proprie autorizzazioni dalla cartella padre. Per proteggere la directory dei contenuti, impostare autorizzazioni limitate per la cartella padre.
Tutti gli account che dispongono di accesso in scrittura alla directory dei contenuti hanno la possibilità di modificare le impostazioni del portale, che in genere possono essere modificate solo da un amministratore del sistema. Se per la gestione degli utenti viene utilizzato un archivio di sicurezza incorporato, nella directory dei contenuti sono presenti le password crittografate di tali utenti. In questo caso, è necessario limitare anche l'accesso in lettura alla directory dei contenuti.