Настройка HTTPS

Когда вы изначально создаете свой сайт ArcGIS Server, все взаимодействие на сайте осуществляется посредством незащищенного протокола HTTP. Это означает, что ваши учетные данные, отправляемые по внутренней сети или через Интернет, не закодированы и могут быть перехвачены. Для предотвращения перехвата сообщений рекомендуется настроить ArcGIS Server и ArcGIS Web Adaptor (если он установлен) на обязательное использование шифрования SSL. Когда вы изначально создаете свой сайт, вы увидите сообщение с предупреждением в журналах, рекомендующее вам обновить протокол сообщений на сайте на использование SSL.

Используется два метода включения SSL:

• HTTP and HTTPS – Этот метод вызывает настройку ArcGIS Server на использование для работы протоколов HTTP и HTTPS или только HTTPS. При такой настройке сервера ваше имя пользователя и пароль посылаются через HTTPS при любом запросе учетных данных. Это означает, что ваши учетные данные, отправляемые по внутренней сети или через Интернет, закодированы и не могут быть перехвачены. Однако любой другой обмен сообщениями с вашим сайтом осуществляется через протокол HTTP, а это небезопасно.
• Только HTTPS – Этот метод вызывает настройку ArcGIS Server на использование для работы исключительно протокола HTTPS. Имена пользователей, пароли и все взаимодействие осуществляется через HTTPS. Обмен сообщениями исключительно по протоколу SSL может замедлить работу вашего сервера. Кроме того, если у вас есть ярлыки или закладки ArcGIS Server Manager или Administrator Directory, которые используют HTTP, то вам следует обновить их для использования HTTPS.

Если вы будете интегрировать свой сайт с Portal for ArcGIS, требуется использование SSL (HTTP и HTTPS, или только HTTPS). Для изучения настройки сайта с помощью SSL см. раздел Включение SSL в ArcGIS Server. Вы воспользуетесь ArcGIS Server Administrator Directory, чтобы настроить SSL для своего сайта.

Запрос и настройка собственного сертификата SSL

ArcGIS Server поставляется с готовым самозаверенным сертификатом SSL, который позволяет сразу протестировать сервис и убедиться, что установка прошла успешно. Однако почти во всех случаях, организации следует запросить SSL-сертификат у доверенного центра сертификации (CA) и настроить сервер на работу с ним. Это может быть доменный сертификат, выпущенный вашей организацией, или подписанный CA сертификат.

Так же как ArcGIS Server, Portal for ArcGIS поставляется с готовым самозаверенным сертификатом. Если вы собираетесь интегрировать сайт ArcGIS Server с Portal for ArcGIS, вам необходимо запросить SSL-сертификат у доверенного центра сертификации (CA) и настроить портал на работу с ним.

Настройка сертификата от доверенного центра авторизации – это обычная мера безопасности для веб-систем, также избавляющая пользователей от получения предупреждений браузера или непредвиденного поведения. Если вы выбираете использование самозаверенного сертификата, включенного в ArcGIS Server и Portal for ArcGIS во время тестирования, вы увидите следующее:

• Предупреждения от веб-браузера и ArcGIS for Desktop о сомнительном содержании сайта. При обнаружении самозаверяющего сертификата веб-браузер обычно выдает предупреждение и просит подтвердить переход на сайт. Если вы используете самозаверяющий сертификат, многие браузеры предупреждают об этом с помощью значков или красного цвета в адресной строке. Будьте готовы увидеть такие предупреждения, если вы используете самозаверяющийся сертификат.
• Невозможность открыть интегрированный сервис во вьюере карт портала, добавить элемент защищенного сервиса к порталу, войти в ArcGIS Server Manager на интегрированном сервере и подключиться к порталу из Esri Maps for Office.
• Непредвиденное поведение при настройке служебных сервисов, печати размещённых сервисов и доступе к порталу из клиентских приложений.

В следующих разделах приведены инструкции по настройке Portal for ArcGIS, ArcGIS Server и ArcGIS Web Adaptor с подписанным центром сертификации (CA) сертификатом:

• Импорт сертификата в портал
• Включение SSL для ArcGIS Server с помощью сертификата, подписанного центром сертификации
• Включение SSL на вашем веб-сервере

Ограничение прав доступа к файлам

Рекомендуется настроить права доступа к файлам таким образом, чтобы оставить только минимально необходимый доступ к директории инсталляции ArcGIS Server, хранилищу конфигураций и директориям сервера. Единственная учетная запись ArcGIS Server, доступ к которой требуется программному обеспечению, это учетная запись ArcGIS Server. Это учетная запись, которая используется для запуска программного обеспечения. Организации может потребоваться доступ и к дополнительным учетным записям. Помните, что учетная запись ArcGIS Server должна иметь полный доступ к директории инсталляции, хранилищу конфигураций и директориям сервера, чтобы сайт нормально функционировал.

ArcGIS Server устанавливается с правами доступа, позволяющими учетной записи, запускающей ArcGIS Server, иметь доступ только к файлам. Файлы, создаваемые ArcGIS Server, например, хранилище конфигураций и директории сервера, уже заблокированы, так что доступ к ним может иметь только учетная запись, запускающая ArcGIS Server.

Любая учетная запись, имеющая права на запись в хранилище конфигураций, может изменить настройки ArcGIS Server, которые обычно могут быть изменены только администратором системы. Если встроенное хранилище безопасности используется для хранения пользователей, хранилище конфигураций будет содержать зашифрованные пароли для этих пользователей. В этом случае, права на чтение хранилища конфигураций тоже следует ограничить.

При наличии защищенных картографических сервисов или сервисов геообработки, необходимо блокировать доступ к файлам директорий серверов, чтобы гарантировать, что не авторизованные учетные записи не получат доступа к картам и результатам работы задач геообработки.

Отключение учетной записи основного администратора сайта

Учетная запись основного администратора сайта – это учетная запись, которая задается в ходе первого создания сайта в ArcGIS Server Manager. Ее имя пользователя и пароль распознаются только ArcGIS Server; она не относится к учетной записи операционной системы, и управление ей осуществляется из пользовательской учетной записи в хранилище аутентификации учетных записей.

Учетную запись основного администратора сайта рекомендуется отключить. Это гарантирует, что единственным способом администрирования ArcGIS Server будет использование группы или роли, заданной в хранилище аутентификации учетных записей. Инструкции см. в статье Отключение учетной записи основного администратора сайта (Disabling the primary site administrator account).

Определение открытого ключа, используемого для создания токена ArcGIS.

Токен в ArcGIS – это строка зашифрованной информации. Общий ключ – это криптографический ключ, используемый для генерирования этой зашифрованной строки. Чем сложнее общий ключ, тем труднее злоумышленнику взломать шифр и расшифровать общий ключ. Если пользователь может расшифровать общий ключ, скопировать алгоритм шифрования ArcGIS Server и получить список зарегистрированных пользователей, он сможет создать токены и получать доступ ко всем защищенным ресурсам именно на этом сайте ArcGIS Server.

Перед определением открытого ключа примите во внимание следующее:

• Общий ключ должен быть настроен на длину 16 символов (символы после 16-го не используются). Рекомендуется использовать для ключа случайную последовательность символов. Можно использовать любые символы, в том числе и не буквенно-цифровые.
• В качестве ключа нельзя использовать словарное слово или общепринятое значение, которое легко угадать. Поскольку ключ не нужно запоминать или использовать где-либо, сложная комбинация не вызовет проблем, как это бывает с паролями.
• Токены шифруются общим ключом с помощью улучшенного стандарта шифрования (Advanced Encryption Standard, AES), также известного как Rijndael. 16 символов в ключе представляют 128 бит, используемых для шифрования. Дополнительные сведения о шифровании и AES можно получить по ссылкам о безопасности или проконсультировавшись с кем-нибудь в организации, кто хорошо разбирается в безопасности и шифровании.
• В хорошо защищенных средах рекомендуется периодически изменять открытый ключ. Помните, что изменение открытого ключа может потребовать обновления ваших приложений для его использования. Все существующие внедренные токены перестанут работать после изменения открытого ключа.

Подробную информацию см. в О токенах ArcGIS.

Безопасная передача токенов ArcGIS

Чтобы предотвратить перехват и злоупотребление токенами, рекомендуется использовать безопасное подключение по HTTPS (Secure Sockets Layer или SSL). Использование HTTPS/SSL гарантирует, что имя пользователя и пароль, отправленные с клиентского компьютера, и токен, получаемый с ArcGIS Server, не будут перехвачены. Подробнее см. раздел Включение SSL на ArcGIS Server.

Использование стандартизированных запросов

ArcGIS Server имеет опцию безопасности, известную как стандартизированные запросы, которая обеспечит вам защиту от вредоносных SQL-атак. По умолчанию эта опция включена.

Если вы являетесь администратором сервера, рекомендуется оставить эту опцию включенной и объяснить разработчикам, что они должны использовать выражения условия WHERE с синтаксисом, не зависящим от конкретной базы данных. Выключение этой опции сделает вашу систему более уязвимой для SQL-атак.

Подробнее см. раздел О стандартизированных запросах.

Отключение Services Directory

Можно отключить Services Directory, чтобы уменьшить возможность поиска по сети ваших данных и осуществления запроса к ним через формы HTML. Отключение Services Directory также приведет к более качественной защите от межсайтовых атак (XSS).

Отключение или неотключение Services Directory зависит от назначения вашего сайта и уровня доступа к нему со стороны пользователей и разработчиков. При отключении Services Directory вам, возможно, придется создавать другие списки и метаданные для сервисов, доступных на вашем сайте.

О выключении Services Directory см. в разделе Отключение Services Directory.

Ограничение междоменных запросов

Междоменные запросы используются во многих системных атаках. Рекомендуемая практика состоит в том, чтобы ограничить использование сервисов ArcGIS Server приложениями, управляемыми только теми доменами, которым вы доверяете. Более подробно см. Ограничение междоменных запросов к ArcGIS for Server.