ArcGIS Enterprise 기관의 보안을 유지할 때는 실행되는 환경의 보안도 유지해야 합니다. 최고의 보안을 유지하기 위해 따를 수 있는 몇 가지 모범 사례가 있습니다.
이메일 설정 구성
비밀번호 분실, 비밀번호 정책 업데이트 등이 발생하는 경우 구성원 및 관리자에게 이메일 알림을 보내도록 기관을 구성할 수 있습니다. 단계 및 세부정보는 이메일 설정을 검토하세요.
포털의 프록시 기능 제한
포털은 다양한 시나리오에서 프록시 서버로 사용됩니다. 이로 인해 포털의 프록시 기능은 포털 머신이 접근할 수 있는 모든 머신에 대해 DoS(Denial of Service) 또는 SSRF(Server Side Request Forgery) 공격이 시작되는 데 악용될 수 있습니다. 이러한 잠재적인 취약점을 완화하려면 포털의 프록시 기능을 승인된 웹 주소로 제한하는 것을 권장합니다. 자세한 내용 및 전체 지침은 포털의 프록시 기능 제한을 참고하세요.
익명 접근 금지
사용자가 포털에 자격 증명을 제공하지 않고는 콘텐츠에 접근하지 못하도록 하려면 익명 접근을 금지하도록 포털을 구성하는 것이 좋습니다. 익명 접근을 금지하면 공용 사용자가 포털의 리소스에 대한 접근 권한을 얻을 수 없습니다.
ArcGIS Enterprise portal에서 익명 접근을 비활성화하는 방법에 대한 자세한 내용은 익명 접근 비활성화를 참고하세요. 웹 계층 인증을 사용하는 경우, 즉 ArcGIS Web Adaptor를 통해 인증을 수행하는 경우 웹 서버에서도 익명 접속을 비활성화해야 합니다. 자세한 내용은 웹 서버의 제품 설명서를 참고하세요.
CA 서명 서버 인증서 구성
ArcGIS Enterprise 포털은 처음에 테스트하고 완료되었는지 빠르게 확인할 수 있도록 자체 서명된 서버 인증서가 미리 구성되어 있습니다. 그러나 대부분의 경우 기관은 신뢰할 수 있는 CA(인증 기관)의 인증서를 요청하고 이를 사용하도록 포털을 구성해야 합니다. 인증서는 기업(내부) 또는 상용 CA가 서명할 수 있습니다.
기업 또는 상용 CA의 인증서를 사용하여 기관에서 해당하는 각 ArcGIS 컴포넌트를 구성해야 합니다. 일반적인 예시에는 ArcGIS Web Adaptor, ArcGIS Server가 포함됩니다. 예를 들면 ArcGIS Server도 자체 서명된 인증서로 미리 구성됩니다. ArcGIS Server 사이트를 포털과 페더레이션하려면 CA 서명 인증서를 요청하고 이를 사용하도록 웹 어댑터 및 서버를 구성하는 것이 중요합니다.
신뢰할 수 있는 기관의 인증서를 구성하는 것은 웹 기반 시스템에 대한 보안 관행이며 사용자에게 브라우저 경고 또는 기타 예기치 않은 동작이 발생하는 것을 방지합니다. 테스트하는 동안 ArcGIS Enterprise에 포함된 자체 서명된 인증서를 사용하도록 선택한 경우 다음과 같은 상황이 발생합니다.
- 웹 브라우저 또는 ArcGIS Pro에 신뢰할 수 없는 사이트에 대한 경고가 나타납니다. 웹 브라우저에서 자체 서명된 인증서가 발견된 경우 일반적으로 경고가 나타나며 사이트로 이동할지 확인하는 메시지가 나타납니다. 자체 서명된 인증서를 사용하는 한 많은 브라우저에서 경고 아이콘이 표시되거나 주소 표시줄에 빨간색이 표시됩니다.
- 포털의 Map Viewer 또는 Map Viewer Classic에서 페더레이션된 서비스 열기, 포털에 보안 서비스 항목 추가, 페더레이션된 서버에서 ArcGIS Server Manager에 로그인 또는 ArcGIS for Office에서 포털 연결 등의 작업이 모두 불가능합니다.
- 클라이언트 응용프로그램에서 유틸리티 서비스를 구성하고 호스팅 서비스를 인쇄하고 포털에 접근할 때 예기치 않은 동작이 발생합니다.
주의:
자체 서명된 인증서를 사용할 때 발생하는 문제는 위 목록에 국한되지 않습니다. CA 서명 인증서를 사용하여 반드시 포털을 완전히 테스트하고 배포해야 합니다.
CA 서명 인증서를 사용하여 ArcGIS Enterprise를 구성하는 방법에 대한 자세한 내용은 다음 항목을 참고하세요.
HTTPS 구성
ArcGIS Enterprise 배포를 처음 구성하는 경우 자격 증명을 묻는 메시지가 나타날 때마다 HTTPS를 통해 사용자 이름과 비밀번호가 전송됩니다. 즉, 내부 네트워크 또는 인터넷을 통해 전송되는 자격 증명이 암호화되고 가로챌 수 없게 됩니다. 기본 설정에 따라 포털 내의 모든 통신은 HTTPS를 사용하여 전송됩니다. 통신의 가로채기를 방지하기 위해 ArcGIS Web Adaptor를 호스팅하는 웹 서버를 HTTPS를 적용하도록 구성하는 것 역시 권장됩니다.
HTTPS를 통해서만 통신을 적용하면 ArcGIS Server 서비스 및 개방형 공간정보 컨소시엄(OGC) 서비스와 같은 Enterprise 포털 외부의 모든 외부 통신은 HTTPS를 사용할 수 있는 경우에만 포털에서 외부 웹 콘텐츠에 대한 접근을 허용하므로 보안이 유지됩니다. 그렇지 않으면 외부 콘텐츠가 블록됩니다.
그러나 포털 내에서 HTTP와 HTTPS 통신을 모두 활성화하려는 경우가 있을 수 있습니다. ArcGIS Enterprise에서 모든 통신에 HTTP 및 HTTPS를 적용하는 방법은 HTTPS 구성을 참고하세요.
그룹 관리 서비스 계정 사용
포털을 설치할 때 그룹 관리 서비스 계정(gMSA)을 포털 서비스를 실행하는 계정으로 사용하는 것을 권장합니다. gMSA를 사용하면 Active Directory 도메인 계정의 장점을 얻을 수 있으며 주기적인 비밀번호 업데이트를 통해 계정을 안전하게 보호할 수 있습니다.
ArcGIS Portal Directory 비활성화
포털 항목, 서비스, 웹 맵, 그룹 및 기타 리소스가 탐색되거나 웹 검색에서 찾아지거나 HTML 양식을 통해 쿼리될 수 있는 가능성을 줄이기 위해 ArcGIS Portal Directory를 비활성화할 수 있습니다. ArcGIS Portal Directory를 비활성화하면 XSS(교차 사이트 스크립팅) 공격으로부터의 보호 기능도 강화됩니다.
포털의 용도 및 사용자와 개발자가 탐색해야 하는 수준에 따라 ArcGIS Portal Directory를 비활성화할 지 결정합니다. ArcGIS Portal Directory를 비활성화하는 경우 포털에서 제공되는 항목에 대한 기타 목록이나 메타데이터를 생성할 준비를 해야 할 수 있습니다.
자세한 내용은 ArcGIS Portal Directory 비활성화를 참고하세요.
포털에서 작동하도록 방화벽 구성
모든 컴퓨터에는 다른 컴퓨터에서 정보를 보낼 수 있는 수천 개의 포트가 있습니다. 방화벽은 다른 컴퓨터와 내 머신이 통신하는 포트 수를 제한하는 보안 메커니즘입니다. 방화벽을 사용하여 소수의 포트로 통신을 제한하면 이러한 포트를 더욱 면밀히 모니터링하여 공격을 방지할 수 있습니다.
ArcGIS Enterprise 포털은 7005, 7080, 7099, 7443, 7654와 같은 특정 포트를 사용하여 통신합니다. 보안 모범 사례로 방화벽을 열어 해당 포트에서 통신을 허용하는 것을 권장합니다. 허용하지 않으면 포털이 제대로 작동하지 않을 수 있습니다. 자세한 내용은 Portal for ArcGIS에서 사용하는 포트를 참고하세요.
토큰 만료 시간 지정
토큰은 사용자 이름, 토큰 만료 시간, 기타 재산적 가치가 있는 정보를 포함하는 암호화된 정보의 문자열입니다. 토큰이 구성원에게 발행되면 토큰이 만료될 때까지 포털에 접근할 수 있습니다. 토큰이 만료되면 구성원은 사용자 이름과 비밀번호를 다시 입력해야 합니다.
ArcGIS Enterprise 사용 시 새 토큰을 생성할 때마다 만료 시간을 지정해야 합니다. 그렇지 않으면 기본 만료 값이 사용됩니다.
포털에 사용되는 토큰에는 ArcGIS 토큰, OAuth access 토큰, OAuth refresh 토큰과 같은 세 가지 토큰 유형이 있습니다. 각 유형마다 자체 기본 만료 값이 정해져 있습니다.
이러한 최대값 및 기본값은 늘릴 수 없으며 ArcGIS Portal Administrator Directory의 maxTokenExpirationMinutes 등록정보를 설정해서 줄일 수는 있습니다. maxTokenExpirationMinutes 등록정보 값은 각 토큰 유형에 적용됩니다. 해당 값이 최대값보다 작지만 기본값보다 큰 경우 최대값만 영향을 받고 기본값은 그대로 유지됩니다. 해당 값이 최대값 및 기본값 모두보다 작으면 두 값 모두 영향을 받으며 최대값과 기본값은 maxTokenExpirationMinutes에 정의된 값과 일치합니다.
기본 토큰 만료 시간을 변경하려면 기본 토큰 만료 시간 지정의 단계를 따릅니다.
파일 권한 제한
Portal for ArcGIS 설치 디렉터리 및 콘텐츠 디렉터리에 필요한 접근 권한만 부여되도록 파일 권한을 설정하는 것을 권장합니다. Portal for ArcGIS 소프트웨어에는 Portal for ArcGIS 계정을 통해서만 접속할 수 있습니다. 이 계정은 소프트웨어를 실행하는 데 사용되는 계정입니다. 기관에 따라 추가 계정에도 접근 권한을 부여해야 할 수 있습니다. 사이트가 제대로 작동하려면 포털 계정에 설치 및 콘텐츠 디렉터리에 대한 모든 권한이 필요합니다.
Portal for ArcGIS는 설치된 폴더의 상위 폴더에서 파일 권한을 상속합니다. 또한 설치된 디렉터리에 접근할 수 있도록 포털 계정에 사용 권한을 부여합니다. 포털이 실행될 때 생성된 파일은 해당 상위 폴더에서 사용 권한을 상속합니다. 따라서 콘텐츠 디렉터리의 보안을 유지하려면 상위 폴더에 대한 제한된 권한을 설정합니다.
콘텐츠 디렉터리에 대한 쓰기 권한이 있는 계정은 일반적으로 시스템 관리자만 수정할 수 있는 포털 설정을 변경할 수 있습니다. 사용자를 유지 관리하는 데 빌트인 보안 저장소가 사용되는 경우 콘텐츠 디렉터리에는 해당 사용자에 대한 암호화된 비밀번호가 포함됩니다. 이 경우에는 콘텐츠 디렉터리에 대한 읽기 권한도 제한되어야 합니다.