Ao proteger seu portal do ArcGIS Enterprise , é importante que o ambiente no qual seu portal é executado também seja protegido. Há várias melhores práticas que você pode seguir para garantir uma maior segurança.
Restringir o recurso de proxy do portal
O portal é utilizado como um servidor proxy em diversos cenários. Como resultado, o recurso de proxy do portal pode fazer uso errado para iniciar ataques de Denial of Service (DoS) ou Server Side Request Forgery (SSRF) em qualquer computador que a máquina do portal pode acessar. Para mitigar esta vulnerabilidade potencial, é fortemente recomendado que você restrinja o recurso de proxy do portal para endereços da web aprovados. Para detalhes adicionais e instruções completas, consulte Restringindo o recurso de proxy do portal.
Desabilitar o acesso anônimo
Para prevenir qualquer usuário de acessar o conteúdo sem primeiro fornecer as credenciais para o portal, é recomendado que você configure seu portal para desabilitar acesso anônimo. Desabilitar o acesso anônimo ajuda a garantir que um usuário público não possa ter acesso aos recursos no seu portal.
Para informações sobre como desabilitar o acesso anônimo no seu portal do ArcGIS Enterprise , consulte Desabilitando acesso anônimo. Se você estiver utilizando uma autenticação em série da web (isto é, você está executando uma autenticação pelo ArcGIS Web Adaptor), você também precisará desabilitar o acesso anônimo no seu servidor da web. Para instruções, consulte a documentação do produto do seu servidor da web.
Configurar certificados CA assinados do servidor
O portal do ArcGIS Enterprise apresenta um certificado auto assinado do servidor pré-configurado, que permite ao portal ser inicialmente testado e o ajuda a verificar rapidamente que sua instalação foi bem sucedida. Entretanto, em quase todos os casos, uma organização deve solicitar um certificado de uma autoridade de certificação confiável (CA) e configurar o portal para utilizá-lo. O certificado pode ser assinado por um CA corporativo (interno) ou comercial.
Você deve configurar cada componente ArcGIS aplicável na sua organização com um certificado CA corporativo ou comercial. Os exemplos comuns incluem ArcGIS Web Adaptor e ArcGIS Server. Por exemplo, o ArcGIS Server também apresenta um certificado auto assinado pré-configurado. Se você for federar um site do ArcGIS Server com seu portal, é muito importante você solicitar um certificado CA assinado e configurar o servidor e Web Adaptor para utilizá-lo.
Configurar um certificado a partir de uma autoridade confiável é uma prática segura para sistemas baseados na web e também prevenirá usuários de encontrar quaisquer avisos do navegador ou outro comportamento inesperado. Se você optar por utilizar o certificado auto assinado incluído com ArcGIS Enterprise durante o teste, você experimentará o seguinte:
- Avisos do seu navegador da web, do ArcGIS Desktop ou do ArcGIS Pro sobre o site não ser confiável. Quando um navegador da web encontrar um certificado auto assinado, ele normalmente exibirá um aviso e pedirá a você para confirmar que deseja prosseguir no site. Muitos navegadores exibem ícones de aviso ou uma cor vermelha na barra de endereço já que você está utilizando o certificado auto assinado.
- A inabilidade para abrir um serviço federado no Map Viewer do portal, adicionar um item de serviço seguro no portal, entrar no ArcGIS Server Manager em um servidor federado ou conectar ao portal do ArcGIS Maps for Office.
- Comportamento inesperado ao configurar serviços do utilitário, serviços de impressão hospedados e acessar o portal de aplicativos cliente.
Aviso:
A lista de problemas acima, você experimentará ao utilizar um certificado auto assinado que não é exaustivo. É imperativo que você utilize um certificado CA assinado para implantar e testar completamente seu portal.
Para instruções sobre como configurar ArcGIS Enterprise com um certificado CA assinado, consulte os seguintes tópicos:
Configurar HTTPS
Quando você configura inicialmente sua implantação do ArcGIS Enterprise , toda vez que você é desafiado para suas credenciais, o nome de usuário e senha são enviados utilizando HTTPS. Isto significa que suas credenciais enviadas por uma rede interna ou a Internet estão codificadas e não podem ser interceptadas. Por padrão, toda comunicação dentro de seu portal é enviado utilizando HTTPS. Para prevenir a interceptação de qualquer comunicação, é recomendado que você configure seu servidor da web hospedando o ArcGIS Web Adaptor para também forçar HTTPS.
Ao ter a comunicação forçada para somente HTTPS, toda comunicação externa fora do seu portal Enterprise , como serviços ArcGIS Server e serviços Open Geospatial Consortium (OGC), estão seguros já que seu portal somente acessará o conteúdo da web externo se HTTPS estiver disponível. Caso contrário, o conteúdo externo é bloqueado.
Entretanto, pode haver instâncias em que você gostaria de habilitar ambas comunicação de HTTP e HTTPS dentro do seu portal. Para informações sobre como forçar o HTTP e HTTPS para toda comunicação no ArcGIS Enterprise, consulte Configurar HTTPS.
Utilizar uma Conta de Serviço Gerenciada
Ao instalar o portal, é recomendado utilizar uma Conta de Serviço Gerenciada (gMSA) do grupo como a conta que executa o serviço do portal. O uso de uma gMSA oferece as vantagens de uma conta de domínio do Active Directory, mantendo a conta segura por meio de atualizações periódicas de senha.
Desabilitar o ArcGIS Portal Directory
Você pode desabilitar o ArcGIS Portal Directory para reduzir a chance dos seus itens, serviços, mapas da web, grupos e outros recursos do portal de serem procurados, encontrados em uma pesquisa da web ou consultados por formulários HTML. Desabilitar o ArcGIS Portal Directory também fornece proteção adicional contra ataques do script de site cruzado (XSS).
A decisão para desabilitar o ArcGIS Portal Directory depende do propósito do seu portal e o grau de necessidade para ser pesquisado por usuários e desenvolvedores. Se você desabilitar o ArcGIS Portal Directory, talvez seja necessário se preparar para criar outras listas ou metadados sobre os itens disponíveis no seu portal.
Para instruções completas, consulte Desabilitar o ArcGIS Portal Directory.
Configurar seu firewall para funcionar com portal
Todo computador tem milhares de portas pelas quais outros computadores podem enviar informações. O firewall é um mecanismo de segurança que limita o número de portas em sua máquina pelas quais outros computadores podem se comunicar. Quando você utiliza um firewall para restringir a comunicação para um número pequeno de portas, é possível monitorar de perto estas portas para prevenir um ataque.
O portal do ArcGIS Enterprise utiliza certas portas para comunicar, como 7005, 7080, 7099, 7443 e 7654. Como uma melhor prática de segurança, é recomendado que você abra seu firewall para permitir a comunicação nestas portas; caso contrário, seu portal poderá não funcionar corretamente. Para saber mais, consulte Portas utilizadas pelo Portal for ArcGIS.
Especificar tempo de vencimento do token
Um token é uma string de informações codificadas que contém o nome do usuário, o tempo de vencimento do token e outras informações proprietárias. Quando um token é emitido para o membro, eles podem acessar o portal até que o token expire. Quando ele expirar, o membro deve fornecer seu nome do usuário e senha novamente.
Cada vez que você gera um novo token ao utilizar ArcGIS Enterprise, você deve especificar um tempo de vencimento. Caso contrário, um valor de vencimento padrão será utilizado.
Há três tipos de tokens utilizados pelo portal: tokens do ArcGIS, tokens access de OAuth, e tokens refresh de OAuth. Cada tipo tem seu próprio valor de vencimento padrão.
Estes valores padrão não podem ser aumentados e podem ser diminuídos somente pela configuração da propriedade maxTokenExpirationMinutes no ArcGIS Portal Administrator Directory para um valor menor que o valor padrão. Embora estes valores possam ser apropriados para sua organização, é importante considerar as implicações de segurança por trás de um token. Um token com tempo de vencimento mais longo é menos seguro. Por exemplo, um token interceptado por um usuário malicioso pode ser utilizado até o token expirar. Por outro lado, um tempo de vencimento menor é mais seguro, mas menos conveniente, pois os membros podem precisar digitar seu nome de usuário e senha com mais frequência.
Para alterar o tempo de vencimento do token padrão, siga as etapas em Especificar o tempo de vencimento do token padrão.
Restringir permissões do arquivo
É recomendado que as permissões do arquivo sejam configuradas de forma que somente o acesso necessário seja concedido no diretório da instalação e diretório de conteúdo do Portal for ArcGIS. A única conta que o software Portal for ArcGIS exige acesso é a conta do Portal for ArcGIS . Esta é a conta que está sendo utilizada para executar o software. Sua organização também pode exigir acesso para estas contas adicionais. Tenha em mente que a conta do portal precisa de acesso completo aos diretórios de instalação e conteúdo para que o site funcione corretamente.
O Portal for ArcGIS herda as permissões do arquivo da principal pasta onde está instalado. Adicionalmente, ele concede permissão para a conta do portal de forma que possa acessar o diretório onde está instalado. Os arquivos criados para executar no portal herdam suas permissões da principal pasta. Se você desejar a segurança do diretório de conteúdo, configure permissões restritas na principal pasta.
Qualquer conta que tenha acesso de escrita no diretório de conteúdo pode alterar as configurações do portal que normalmente podem ser modificadas somente por um administrador do sistema. Se um armazenamento de segurança embutido estiver sendo utilizado para manter usuários, o diretório de conteúdo terá senhas codificadas para estes usuários. Neste caso, o acesso de leitura no diretório de conteúdo também deverá ser restrito.