常见安全组配置

Amazon 弹性计算云 (EC2) 实例仅允许来自其安全组中定义的来源和端口的网络流量。使用 Amazon EC2 时，您需要建立若干个与将对 EC2 实例执行的操作类型相对应的安全组。本主题描述了用于配置不同 ArcGIS Server 部署的一些常见安全组。

默认情况下，安全组处于完全锁定状态。通过向安全组中添加规则，可指定允许的流量类型、允许其通过的端口，以及从中接收通信的源计算机。决定打开的端口和需要允许的流量类型取决于您对实例执行的操作。

以下是建议的安全组名称和规则，您可在 AWS 管理控制台中对其进行配置。根据组织的 IT 策略，允许的端口和协议会有所不同。以下建议使用的是最常见的端口号。如果您的组织中有 IT 专家，请考虑咨询他（她）以设计和制定 EC2 实例的最佳安全策略。

ArcGIS Server 开发

考虑专为正用于开发和测试的 EC2 实例创建安全组。此类型的组允许以下访问：

• RDP 通过 3389 端口访问您的 IP 地址或者您组织内一系列已批准的 IP 地址（仅限于 Windows）。这样便可通过 Windows 远程桌面管理您的 EC2 实例。您必须使用无类域间路由 (CIDR) 记法来指定可建立连接的多个 IP 地址（或一个 IP 地址）。例如，0.0.0.0/0 允许所有人连接，而 92.23.32.51/32 仅允许一个特定 IP 地址连接。如需获取本地计算机的面向外部的 IP 地址，请联系系统管理员。
• TCP 通过 22 端口访问您的 IP 地址或您的组织内一系列已批准的 IP 地址（仅限于 Linux）。打开端口 22 使您能够通过 SSH 使用 Linux 实例。
• TCP 通过 6080 端口可访问任何人（如未使用弹性负载均衡器）或 10.0.0.0/8（如使用弹性负载均衡器）。端口 6080 用于与 ArcGIS Server 进行通信。如果未将弹性负载均衡器置于您的站点之前，则需要为将使用 ArcGIS Server Web 服务的任何人开放 6080 端口。如果使用弹性负载均衡器，则仅需要为弹性负载均衡器开放 6080 端口。您无法预测弹性负载均衡器的 IP，但至少可通过仅允许 IP 范围 10.0.0.0/8 来阻止外部流量。
• 从此组中的其他计算机访问。需要执行此操作以使 GIS 服务器计算机能够互相进行通信。同时便于共享文件。可通过选择所有 ICMP 规则类型添加规则以允许此类访问，在来源对话框中输入安全组 ID（例如，sg-xxxxxxxx），并单击添加规则，从而添加允许这种访问类型的规则。当使用此方法时，该组中的计算机会通过所有端口和协议互相进行通信。

ArcGIS Server Production

开发和测试应用程序后，在其迁移到生产层之前，最好禁用远程桌面访问。如果出现问题导致需登录计算机，您可临时更改安全组配置以便访问。ArcGIS Server 生产组允许以下访问：

• TCP 通过 6080 端口访问所有用户（如未使用弹性负载均衡器）或 10.0.0.0/8（如使用弹性负载均衡器）
• 从此组中的其他计算机访问

ArcGIS Server 生产安全

如果需要与计算机进行加密通信，应在站点上配置一个通过端口 443 接收流量的弹性负载均衡器。该端口通常用于通过 SSL 进行加密通信。然后，配置该负载均衡器以将流量转发到端口 6443。在安全组中，为 ArcGIS Server 生产打开上述端口。

企业级地理数据库

如果选择将企业级地理数据库部署在一个与 ArcGIS Server 实例相隔离的实例上，您可专为该企业级地理数据库配置安全组以允许以下操作：

• TCP 通过端口 22 (Linux) 访问您的 IP 地址或您组织内已批准的一系列 IP 地址您至少需要与计算机进行一次远程连接以更改 PostgreSQL 的默认密码。然后，如有必要，可从安全组删除此远程访问规则。
• RDP 通过端口 3389 (Windows) 访问如果要与 SQL Server 或 SQL Server Express 实例进行远程连接，可添加此规则（例如，添加用户或附加地理数据库），并在完成时将其删除。
• 从 ArcGIS server 安全组中的计算机进行访问这可使运行 ArcGIS for Server 的实例能够查看企业级地理数据库实例。如果计算机不包含在连接地理数据库所需的安全组中，则需显式打开端口 5432 以与 PostgreSQL 进行通信。

常用端口

以下是创建安全组时可能用到的一些最常见的端口。其中有些端口无需显式打开，而是您可以决定授予安全组中的计算机相互访问的完整权限。如果希望允许来自安全组以外的计算机（例如，办公中的台式工作站）的访问，则需要打开特定端口号。

端口	常见用途
80	通过 HTTP 访问 IS Web 服务器或负载均衡器
443	通过 HTTPS 访问 IIS Web 服务器或负载均衡器
445	Windows 文件共享
1433	连接 Microsoft SQL Server
3389	连接 Windows 远程桌面
5432	连接 PostgreSQL
6080	通过 HTTP 访问 ArcGIS Server
6443	通过 HTTPS 访问 ArcGIS Server

任何使用 Esri 提供的 AMI 启动的实例均启用了 Windows 防火墙，包括使用云构建器构建的站点。如果安装需使用上表未列出的端口的第三方应用程序，请将 Windows 防火墙配置为允许使用该端口。