Обеспечение безопасности административной среды облака

Amazon Identity and Access Management (IAM) позволяет вам управлять группами пользователей, которые имеют разные уровни доступа к вашей учетной записи AWS. Прежде чем вы сможете войти в Cloud Builder, необходимо использовать IAM для создания как минимум одного пользователя с правами доступа администратора к вашей учетной записи. Затем вам будет необходимо загрузить Ключ доступа (Access Key) и Секретный ключ доступа (Secret Access Key), присвоенные этому пользователю. Cм. раздел Часто задаваемые вопросы, чтобы узнать, как это сделать. Когда вы первый раз входите в Cloud Builder, вы можете решить, сохранить ли эти ключи, или требовать их при каждом входе.

Расширенное администрирование ArcGIS Server on Amazon Web Services выполняется с помощью AWS Management Console. Вы должны войти на консоль с вашей учетными именем и паролем Amazon до того, как вы сможете запустить или завершить экземпляры EC2, настроить Amazon Elastic Load Balancers (ELBs) и Elastic IPs, и выполнить другие административные функции в виртуальной среде. Вход также позволяет вам просмотреть активность вашей учетной записи и платежную информацию.

Давайте ваше имя, пароль, ключи доступа (Access Keys) и секретные ключи доступа (Secret Access Keys) только небольшому числу людей в вашей организации, которые знают, как правильно запустить, отредактировать и удалить ресурсы с использованием Cloud Builder или AWS Management Console. Разрешение широкого доступа для нетренированного персонала делает ваше размещение уязвимым к тяжелым нарушением системы и чрезмерным оплатам для вашей учетной записи. Такого рода проблемы, в конечном итоге, могут быть более разрушительными, чем нападения внешних хакеров.

Amazon предлагает дополнительный уровень защиты для консоли управления AWS Management Console помимо имени и пароля вашей учетной записи. Данная опция, AWS Multi-Factor Authentication, требует от вас иметь шестизначный код, генерируемый небольшим аппаратным устройством в вашем распоряжении. Код часто меняется, так что, если злоумышленник попытается получить ваше имя и пароль, он или она все равно не смогут войти на AWS Management Console.

Безопасное администрирование экземпляра

Вход на Cloud Builder или AWS Management Console – это только один аспект администрирования ArcGIS Server на Amazon EC2. Другая часть настройки вашего облачного размещения состоит во входе на ваш экземпляр EC2 для передачи данных и настройки ГИС-сервисов и приложений.

Сначала вы входите в свой экземпляр EC2 на Windows как администратор компьютера, используя случайно сгенерированный пароль, который вы получаете с помощью файла пары ключей. Храните ваш файл пары ключей в секретном местоположении. Затем, во время первого входа на ваш экземпляр, вам следует изменить пароль на другой, более легко запоминающийся. Это небезопасно – записать ваш пароль или сохранить его в чистом тексте на вашем локальном компьютере.

Когда вход в экземпляр будет выполнен, вы можете при желании с помощью инструментов Windows задать пользователей (не администраторов), которые могут входить.

Обеспечение безопасности экземпляров от внешних атак

Все экземпляры EC2 используют брандмауэр для защиты от несанкционированного или неизвестного внешнего доступа. Вы настраиваете брандмауэр посредством создания групп безопасности и открытия доступа к диапазону IP-адресов, портам и протоколам для каждой группы. Каждый раз, когда вы запускаете экземпляр EC2, вам необходимо указать, каким группам безопасности будет принадлежать экземпляр.

По умолчанию, новые группы безопасности не имеют разрешенного доступа. Как минимум, вам необходимо разрешить доступ удаленного рабочего стола (remote desktop) и доступ HTTP для входа на ваш экземпляр и тестирования вашего сервера. См. инструкции в разделе Открытие группы безопасности Amazon EC2 для ArcGIS for Server. Также см. раздел Общие настройки групп безопасности, для знакомства с концепциями групповых правил безопасности, подходящих для ArcGIS Server on Amazon Web Services.

Когда вы используете ArcGIS Server Cloud Builder on Amazon Web Services для создания сайта, для вас создается и настраивается группа безопасности. Необходимые порты открыты для группы безопасности для обеспечения функционирования сайта, но если необходимо, вы можете использовать AWS Management Console для тонкой настройки группы безопасности. Например, если вы захотите войти на один из экземпляров с использованием Windows Remote Desktop, то вам необходимо открыть порт 3389.

Amazon Security Center содержит официальные документы и документы лучшей практики по дизайну архитектуры безопасности для EC2. Эти рекомендации и правила применимы к ArcGIS Server on Amazon Web Services.

Обеспечение безопасности веб-сервисов и веб-приложений ГИС

Доступ к вашим веб-сервисам и веб-приложениям управляется через те же механизмы обеспечения безопасности, что вы используете для ArcGIS Server за пределами Amazon EC2. Их описание можно найти в Справке ArcGIS, в разделе Обеспечение безопасности сайта ArcGIS Server.

Закладка Безопасность (Security) в ArcGIS Server Manager поможет вам настроить пользователей и роли, и выбрать, какие из пользователей и ролей будут иметь доступ к вашим сервисам. ArcGIS Server имеет встроенное хранилище пользователей и ролей, которое может быть привлекательной опцией на облачном сайте, который не может обратится к хранилищу пользователей в вашей локальной сети.