ArcGIS Enterprise on Kubernetes umfasst das Python-Skript kubernetesScan.py, mit dem das Portal auf allgemeine Sicherheitsprobleme überprüft wird. Das Skript befindet sich unter setup/tools/security in dem Verzeichnis, in dem Sie das Bereitstellungspaket extrahiert haben.
Zum Ausführen dieses Skripts sind Python 3.x sowie die Module requests und urllib3 erforderlich.
Verwendung
Führen Sie die folgenden Schritte aus, um Ihre Organisation auf Sicherheitsempfehlungen zu überprüfen:
- Öffnen Sie auf dem Kubernetes-Client-Computer ein Terminal.
- Ändern Sie die Verzeichnisse in das Verzeichnis setup/tools/security.
- Führen Sie das Skript kubernetesScan.py mit dem folgenden Befehlsformat aus:
python3 kubernetesScan.py
Im Rahmen des Skripts werden Eingabeaufforderungen angezeigt, z. B.:
Enter ArcGIS Enterprise on Kubernetes hostname [machine.example.com]:
Enter ArcGIS Enterprise on Kubernetes context:
Enter administrator username:
Enter administrator password:
Enter output directory [/setup/tools/security]:
Das Skript überprüft basierend auf Empfehlungen zum Konfigurieren einer sicheren Umgebung für ArcGIS Enterprise, ob Probleme vorliegen. Das Skript erzeugt im angegebenen Ausgabeverzeichnis eine HTML-Datei. Indem Sie die HTML-Datei öffnen, können Sie die Ergebnisse einsehen.
Schweregrade und Kriterien
Das Skript analysiert zahlreiche Kriterien und Konfigurationseigenschaften und unterteilt sie in drei Schweregrade: Critical, Important und Recommended. In der folgenden Tabelle werden diese Kriterien beschrieben:
| ID | Schweregrad | Eigenschaft | Beschreibung |
|---|---|---|---|
ES01 | Kritisch | Proxy-Beschränkungen | Legt fest, ob die Proxy-Funktion des Portals eingeschränkt ist. Der Proxyserver des Portals ist standardmäßig für jede URL geöffnet. Um das Risiko von DoS- und SSRF-Angriffen (Denial of Service und Server Side Request Forgery) zu verringern, wird empfohlen, die Proxy-Funktion des Portals auf genehmigte Webadressen zu beschränken. |
ES02 | Kritisch | Filtern von Webinhalten | Erstellt eine Liste der Feature-Services, in denen die Eigenschaft zum Filtern von Webinhalten deaktiviert ist. Ist diese Eigenschaft deaktiviert, kann der Benutzer beliebigen Text in die Eingabefelder eingeben, wodurch der Service potenziellen Cross-Site-Scripting-Angriffen (XSS-Angriffen) ausgesetzt wird. Diese Eigenschaft ist standardmäßig aktiviert und sollte nur dann deaktiviert werden, wenn nicht unterstützte HTML-Entitäten oder -Attribute erforderlich sind. |
ES03 | Wichtig | Enterprise-Services-Verzeichnisse | Legt fest, ob der Zugriff auf die ArcGIS Enterprise-Services-Verzeichnisse über einen Webbrowser zulässig ist. Deaktivieren Sie diese Eigenschaft, um möglichst zu vermeiden, dass Ihre Services in einem Browser gelesen, in einer Internetsuche gefunden oder über HTML-Formulare abgefragt werden – es sei denn, sie dient den Benutzern aktiv zur Suche nach Services. Dies bietet zusätzlichen Schutz vor Cross-Site-Scripting-Angriffen (XSS-Angriffen). |
ES04 | Wichtig | Web-Kommunikation | Legt fest, ob HTTPS für ArcGIS Enterprise aktiviert ist. Um zu verhindern, dass Kommunikation abgefangen wird, sollten Sie ArcGIS Enterprise und den Webserver, auf dem der Reverseproxy oder ArcGIS Web Adaptor (sofern installiert) gehostet wird, so konfigurieren, dass die SSL-Verschlüsselung erzwungen wird. |
ES05 | Empfohlen | Anmeldung für integriertes Konto | Legt fest, ob Benutzer auf der Anmeldeseite der Organisation auf die Schaltfläche Konto erstellen klicken können, um ein integriertes Konto zu erstellen. Deaktivieren Sie diese Funktion, wenn Sie organisationsspezifische Konten verwenden oder alle Konten manuell erstellen möchten. |
ES06 | Empfohlen | Anonymer Zugriff | Legt fest, ob der anonyme Zugriff zulässig ist. Um zu verhindern, dass Benutzer auf Inhalte zugreifen, ohne zuerst Anmeldeinformationen anzugeben, empfiehlt es sich, den anonymen Zugriff für die Organisation zu deaktivieren. |
ES07 | Empfohlen | LDAP-Identitätsspeicher | Wenn die Organisation mit einem LDAP-Identitätsspeicher konfiguriert ist, wird damit angegeben, ob verschlüsselte Kommunikation verwendet wird. Für die LDAP-URL für Benutzer und Gruppen empfiehlt sich die Verwendung von LDAP. |
ES08 | Empfohlen | TLS-Zertifikat des Ingress-Controllers | Legt fest, ob ein selbstsigniertes Zertifikat vom Ingress-Controller verwendet wird. Zur Reduzierung von Webbrowser-Warnungen und anderen unerwarteten Verhaltensweisen von Clients, die mit dem Portal kommunizieren, wird empfohlen, ein von einer Zertifizierungsstelle signiertes TLS-Zertifikat zu verwenden, das an den Ingress-Controller gebunden ist. |
ES09 | Empfohlen | Domänenübergreifende Anforderungen | Legt fest, ob domänenübergreifende Anforderungen (CORS) uneingeschränkt sind. Um die Möglichkeit des Zugriffs einer unbekannten Anwendung auf ein freigegebenes Portal zu reduzieren, empfiehlt es sich, domänenübergreifende Anforderungen ausschließlich auf Anwendungen zu beschränken, die in vertrauenswürdigen Domänen gehostet werden. |
ES10 | Kritisch | Verwaltungs-URL des Verbundservers | Legt fest, ob die Verwaltungs-URL Ihres Verbundservers über das Portal erreichbar und ob das in dieser URL verwendete TLS-Zertifikat vertrauenswürdig ist. Wenn sie weder vertrauenswürdig noch erreichbar ist, können viele Portal-Funktionen und -Vorgänge nicht ausgeführt werden. |
ES11 | Empfohlen | Services-URL des Verbundservers | Legt fest, ob die Services-URL Ihres Verbundservers über das Portal erreichbar ist und das in dieser URL verwendete SSL-Zertifikat vertrauenswürdig ist. Wenn sie weder vertrauenswürdig noch erreichbar ist, funktioniert das Portal weiterhin, einige Portal-Vorgänge können jedoch möglicherweise nicht ausgeführt werden. |
ES12 | Empfohlen | Öffentliche Inhalte | Wenn die Organisation so konfiguriert ist, dass Mitglieder keine Inhalte öffentlich freigeben können, werden hier alle Elemente aufgeführt, die dennoch für Alle freigegeben sind. |
ES13 | Wichtig | Dynamischer Workspace | Erstellt eine Liste der Services, auf deren Datenbanken über einen dynamischen Workspace zugegriffen werden kann. Ohne angemessenen Schutz sind die Datenbank und der Workspace dem Zugriff böswilliger Dritter über REST ausgesetzt. Aktivieren Sie dynamische Workspaces nur dann, wenn der Service und die dynamische Layer- bzw. Workspacefunktion für die aktive Nutzung in einer Webanwendung vorgesehen sind. Stellen Sie in diesen Fällen unbedingt sicher, dass die vom Kartenservice verwendete Datenbankverbindung für die Verbindung mit dem Workspace bzw. der Datenbank lediglich über die für die Anwendung erforderlichen Mindestberechtigungen verfügt, beispielsweise schreibgeschützten Zugriff ausschließlich auf diejenigen zusätzlichen Tabellen im Workspace, die benötigt werden. |
ES14 | Empfohlen | Berechtigungen für Feature-Services | Listet Feature-Services auf, bei denen Aktualisierungs- oder Löschoperationen aktiviert und die für anonymen Zugriff freigegeben sind. Dadurch können die Feature-Service-Daten ohne Authentifizierung geändert oder gelöscht werden. |
ES15 | Wichtig | SAML-Konfigurationseinstellungen | Wenn die Organisation für die Verwendung der SAML-Authentifizierung konfiguriert ist, legt diese Einstellung fest, ob verschlüsselte Assertions und signierte Anforderungen aktiviert sind. Insofern vom Identity-Provider unterstützt, wird empfohlen, das Portal so zu konfigurieren, dass sowohl verschlüsselte Assertions als auch signierte Anforderungen erforderlich sind. |