Ao proteger seu portal do ArcGIS Enterprise , é importante que o ambiente no qual seu portal é executado também seja protegido. Há várias melhores práticas que você pode seguir para garantir uma maior segurança.
Restringir o recurso de proxy do portal
O portal é utilizado como um servidor proxy em diversos cenários. Como resultado, o recurso de proxy do portal pode fazer uso errado para iniciar ataques de Denial of Service (DoS) ou Server Side Request Forgery (SSRF) em qualquer computador que a máquina do portal pode acessar. Para mitigar esta vulnerabilidade potencial, é fortemente recomendado que você restrinja o recurso de proxy do portal para endereços da web aprovados. Para detalhes adicionais e instruções completas, consulte Restringindo o recurso de proxy do portal.
Desabilitar o acesso anônimo
Para prevenir qualquer usuário de acessar o conteúdo sem primeiro fornecer as credenciais para o portal, é recomendado que você configure seu portal para desabilitar acesso anônimo. Desabilitar o acesso anônimo ajuda a garantir que um usuário público não possa ter acesso aos recursos no seu portal.
Para informações sobre como desabilitar o acesso anônimo no seu portal do ArcGIS Enterprise , consulte Desabilitando acesso anônimo. Se você estiver utilizando uma autenticação em série da web (isto é, você está executando uma autenticação pelo ArcGIS Web Adaptor), você também precisará desabilitar o acesso anônimo no seu servidor da web. Para instruções, consulte a documentação do produto do seu servidor da web.
Configurar certificados CA assinados do servidor
O portal do ArcGIS Enterprise apresenta um certificado auto assinado do servidor pré-configurado, que permite ao portal ser inicialmente testado e o ajuda a verificar rapidamente que sua instalação foi bem sucedida. Entretanto, em quase todos os casos, uma organização deve solicitar um certificado de uma autoridade de certificação confiável (CA) e configurar o portal para utilizá-lo. O certificado pode ser assinado por um CA corporativo (interno) ou comercial.
Você deve configurar cada componente ArcGIS aplicável na sua organização com um certificado CA corporativo ou comercial. Os exemplos comuns incluem ArcGIS Web Adaptor e ArcGIS Server. Por exemplo, o ArcGIS Server também apresenta um certificado auto assinado pré-configurado. Se você for federar um site do ArcGIS Server com seu portal, é muito importante você solicitar um certificado CA assinado e configurar o servidor e Web Adaptor para utilizá-lo.
Configurar um certificado a partir de uma autoridade confiável é uma prática segura para sistemas baseados na web e também prevenirá usuários de encontrar quaisquer avisos do navegador ou outro comportamento inesperado. Se você optar por utilizar o certificado auto assinado incluído com ArcGIS Enterprise durante o teste, você experimentará o seguinte:
- Avisos do seu navegador da web, do ArcGIS Desktop ou do ArcGIS Pro sobre o site não ser confiável. Quando um navegador da web encontrar um certificado auto assinado, ele normalmente exibirá um aviso e pedirá a você para confirmar que deseja prosseguir no site. Muitos navegadores exibem ícones de aviso ou uma cor vermelha na barra de endereço já que você está utilizando o certificado auto assinado.
- A inabilidade para abrir um serviço federado no Map Viewer do portal, adicionar um item de serviço seguro no portal, entre no ArcGIS Server Manager em um servidor federado ou conectar ao portal do ArcGIS Maps for Office.
- Comportamento inesperado ao configurar serviços do utilitário, serviços de impressão hospedados e acessar o portal de aplicativos cliente.
Aviso:
A lista de problemas acima, você experimentará ao utilizar um certificado auto assinado que não é exaustivo. É imperativo que você utilize um certificado CA assinado para implantar e testar completamente seu portal.
Para instruções sobre como configurar ArcGIS Enterprise com um certificado CA assinado, consulte os seguintes tópicos:
Configurar HTTPS
Quando você configura inicialmente sua implantação do ArcGIS Enterprise , toda vez que você é desafiado para suas credenciais, o nome de usuário e senha são enviados utilizando HTTPS. Isto significa que suas credenciais enviadas por uma rede interna ou a Internet estão codificadas e não podem ser interceptadas. Por padrão, toda comunicação dentro de seu portal é enviado utilizando HTTPS. Para prevenir a interceptação de qualquer comunicação, é recomendado que você configure seu servidor da web hospedando o ArcGIS Web Adaptor para forçar o HTTPS também.
Ao ter a comunicação forçada para somente HTTPS, toda comunicação externa fora do seu portal Enterprise , como serviços ArcGIS Server e serviços Open Geospatial Consortium (OGC), estão seguros já que seu portal somente acessará o conteúdo da web externo se HTTPS estiver disponível. Caso contrário, o conteúdo externo é bloqueado.
Entretanto, pode haver instâncias em que você gostaria de habilitar ambas comunicação de HTTP e HTTPS dentro do seu portal. Para informações sobre como forçar o HTTP e HTTPS para toda comunicação no ArcGIS Enterprise, consulte Configurar HTTPS.
Desabilitar o ArcGIS Portal Directory
Você pode desabilitar o ArcGIS Portal Directory para reduzir a chance dos seus itens, serviços, mapas da web, grupos e outros recursos do portal de serem procurados, encontrados em uma pesquisa da web ou consultados por formulários HTML. Desabilitar o ArcGIS Portal Directory também fornece proteção adicional contra ataques do script de site cruzado (XSS).
A decisão para desabilitar o ArcGIS Portal Directory depende do propósito do seu portal e o grau de necessidade para ser pesquisado por usuários e desenvolvedores. Se você desabilitar o ArcGIS Portal Directory, talvez seja necessário se preparar para criar outras listas ou metadados sobre os itens disponíveis no seu portal.
Para instruções completas, consulte Desabilitar o ArcGIS Portal Directory.
Configurar seu firewall para funcionar com portal
Todo computador tem milhares de portas pelas quais outros computadores podem enviar informações. O firewall é um mecanismo de segurança que limita o número de portas em sua máquina pelas quais outros computadores podem se comunicar. Quando você utiliza um firewall para restringir a comunicação para um número pequeno de portas, é possível monitorar de perto estas portas para prevenir um ataque.
O portal do ArcGIS Enterprise utiliza certas portas para comunicar, como 7005, 7080, 7099, 7443 e 7654. Como uma melhor prática de segurança, é recomendado que você abra seu firewall para permitir a comunicação nestas portas; caso contrário, seu portal poderá não funcionar corretamente. Para mais informações, consulte Portas utilizadas pelo Portal for ArcGIS.
Especificar o tempo de vencimento do token padrão
Se você estiver utilizando o armazenamento de identidade embutido do portal, um token será utilizado para autenticar membros. Quando um usuário tentar acessar o portal, eles fornecem seu nome do usuário e senha. O Portal for ArcGIS verifica as credenciais fornecidas, gera um token, e emite um token para o membro.
Um token é uma string de informações codificadas que contém o nome do usuário, o tempo de vencimento do token e outras informações proprietárias. Quando um token é emitido para o membro, eles podem acessar o portal até que o token expire. Quando ele expirar, o membro deve fornecer seu nome do usuário e senha novamente.
O tempo de vencimento padrão é de duas semanas (20,160 minutos). Embora isto possa ser apropriado para sua organização, um token com um tempo de vencimento mais longo é menos seguro. Por exemplo, um token interceptado por um usuário malicioso pode ser utilizado até o token expirar. Reciprocamente, um tempo de vencimento menor é mais seguro, mas os membros precisarão inserir seu nome do usuário e senha com mais frequência.
Para alterar o tempo de vencimento do token padrão, siga as etapas em Especificar o tempo de vencimento do token padrão.
Restringir permissões do arquivo
É recomendado que as permissões do arquivo sejam configuradas de forma que somente o acesso necessário seja concedido no diretório da instalação e diretório de conteúdo do Portal for ArcGIS. A única conta que o software do Portal for ArcGIS exige ter acesso é a conta do Portal for ArcGIS . Esta é a conta que está sendo utilizada para executar o software. Sua organização também pode exigir acesso para estas contas adicionais. Tenha em mente que a conta do portal precisa de acesso completo aos diretórios de instalação e conteúdo para que o site funcione corretamente.
O Portal for ArcGIS herda as permissões do arquivo da principal pasta onde está instalado. Adicionalmente, ele concede permissão para a conta do portal de forma que possa acessar o diretório onde está instalado. Os arquivos criados para executar no portal herdam suas permissões da principal pasta. Se você desejar a segurança do diretório de conteúdo, configure permissões restritas na principal pasta.
Qualquer conta que tenha acesso de escrita no diretório de conteúdo pode alterar as configurações do portal que normalmente podem ser modificadas somente por um administrador do sistema. Se um armazenamento de segurança embutido estiver sendo utilizado para manter usuários, o diretório de conteúdo terá senhas codificadas para estes usuários. Neste caso, o acesso de leitura no diretório de conteúdo também deverá ser restrito.