Оптимальные методы конфигурирования безопасной среды
При защите ArcGIS Server важно, чтобы среда, в которой запускается ArcGIS Server, тоже была защищена. Существует несколько оптимальных методов защиты, которые можно использовать, чтобы гарантировать наивысшую защищенность.
Ограничение прав доступа к файлам
Рекомендуется настроить права доступа к файлам таким образом, чтобы оставить только минимально необходимый доступ к установочной директории ArcGIS Server, хранилищу конфигураций и директориям сервера. Единственная учетная запись ArcGIS Server, доступ к которой требуется программному обеспечению, это учетная запись ArcGIS Server. Это учетная запись, которая используется для запуска программного обеспечения. Организации может потребоваться доступ и к дополнительным учетным записям. Помните, что учетная запись ArcGIS Server должна иметь полный доступ к установочной директории, хранилищу конфигураций и директориям сервера, чтобы сайт нормально функционировал.
ArcGIS Server наследует права доступа к файлам от родительской папки, в которой он установлен. Кроме того, ArcGIS Server предоставляет учетной записи доступ к директории, в которую он установлен. Файлы, создаваемые, когда ArcGIS Server запущен (например, журналы) наследуют права доступа у родительской папки. Если нужно защитить хранилище конфигураций и директории сервера, тогда установите для родительской папки ограниченные права доступа.
Любая учетная запись, имеющая права на запись в хранилище конфигураций, может изменить настройки ArcGIS Server, которые обычно могут быть изменены только администратором системы. Если встроенное хранилище безопасности используется для хранения пользователей, хранилище конфигураций будет содержать зашифрованные пароли для этих пользователей. В этом случае, права на чтение хранилища конфигураций тоже следует ограничить.
При наличии защищенных картографических сервисов или сервисов геообработки, необходимо блокировать доступ к файлам директорий серверов, чтобы гарантировать, что не авторизованные учетные записи не получат доступа к картам и результатам работы задач геообработки.
Отключение учетной записи основного администратора сайта
Учетная запись основного администратора сайта – это учетная запись, которая задается в ходе первого создания сайта в Менеджере (Manager) ArcGIS Server. Ее имя пользователя и пароль распознаются только ArcGIS Server; она не относится к учетной записи операционной системы, и управление ей осуществляется из пользовательской учетной записи в хранилище идентичностей учетных записей.
Учетную запись основного администратора сайта рекомендуется отключить. Это гарантирует, что единственным способом администрирования ArcGIS Server будет использование группы или роли, заданной в хранилище удостоверений учетных записей. Инструкции см. в статье Отключение учетной записи основного администратора сайта (Disabling the primary site administrator account).
Определение открытого ключа, используемого для создания токена ArcGIS.
МаркерТокен в ArcGIS — это строка зашифрованной информации. Общий ключ — это криптографический ключ, используемый для генерирования этой зашифрованной строки. Чем сложнее общий ключ, тем труднее злоумышленнику взломать шифр и расшифровать общий ключ. Если пользователь может расшифровать общий ключ, скопировать алгоритм шифрования в ArcGIS for Server и получить список зарегистрированных пользователей, он сможет создать маркертокены и получать доступ ко всем защищенным ресурсам на этом ArcGIS for Server.
Перед определением открытого ключа примите во внимание следующее:
- Общий ключ должен быть настроен на использованиеиметь длину 16 символов (все остальные символы после 16-го не используются). Рекомендуется использовать для ключа случайную последовательность символов. Можно использовать любые символы, в том числе и не буквенно-цифровые.
- В качестве ключа нельзя использовать словарное слово или общепринятое значение, которое легко угадать. Поскольку ключ не нужно запоминать или использовать где-либо, сложная комбинация не вызовет проблем, как это бывает с паролями.
- МаркерТокены шифруются общим ключом с помощью улучшенного стандарта шифрования (Advanced Encryption Standard, AES), также известного как Rijndael. 16 символов в ключе представляют 128 бит, используемых для шифрования. Дополнительные сведения о шифровании и AES можно получить по ссылкам о безопасности или проконсультировавшись с кем-нибудь в организации, кто хорошо разбирается в безопасности и шифровании.
- В хорошо защищенных средах рекомендуется периодически изменять открытый ключ. Помните, что изменение открытого ключа может потребовать обновления ваших приложений для его использования. Все существующие внедренные токены перестанут работать после изменения открытого ключа.
Подробную информацию см. в О токенах ArcGIS.
Безопасная передача токенов ArcGIS
Чтобы предотвратить перехват и злоупотребление маркертокенами, рекомендуется использовать безопасное подключение по HTTPS (Secure Sockets Layer или SSL). Использование HTTPS/SSL гарантирует, что имя пользователя и пароль, отправленные с клиентского компьютера, и маркертокен, получаемый с ArcGIS Server, не будут перехвачены. Более подробно см. Активация SSL в ArcGIS for Server.