Lorsque vous sécurisez votre organisation ArcGIS Enterprise, il est essentiel que l’environnement dans lequel elle s’exécute soit également sécurisé. Vous pouvez appliquer plusieurs pratiques conseillées pour bénéficier d’un niveau de sécurité optimal.
Définir des privilèges minimum sur le compte de registre de conteneur
Le compte de registre de conteneur que vous spécifiez pendant le déploiement doit être associé à un niveau minimum de privilèges, par exemple, uniquement ceux pour télécharger des images de conteneur. Par défaut,Kubernetes stocke les informations d’identification non chiffrées de ce compte sous forme de secret et y accède. Il est recommandé de ne pas spécifier de compte disposant de privilèges permettant d’intégrer des modifications, de mettre à jour des métadonnées ou d’administrer le registre de conteneur.
Configurer les paramètres de courrier électronique
Vous pouvez configurer votre organisation pour qu’elle envoie des notifications par courrier électronique aux membres et aux administrateurs en cas d’oubli de mot de passe, de stratégie de mise à jour du mot de passe, etc. Passez en revue la rubrique Paramètres relatifs au courrier électronique pour en savoir plus sur la procédure et les renseignements détaillés.
Restreindre la capacité de proxy du portail
Le portail est utilisé comme serveur proxy dans plusieurs scénarios. Ainsi, la capacité de proxy du portail peut être détournée pour lancer des attaques de déni de service ou de fausse requête côté serveur contre tout ordinateur auquel la machine du portail peut accéder. Afin de réduire cette vulnérabilité potentielle, il est fortement recommandé de restreindre la capacité de proxy du portail à des adresses web approuvées. Pour obtenir davantage d’informations et des instructions complètes, reportez-vous à la section Restreindre la capacité de proxy du portail.
Désactiver l'accès anonyme
L’option de l’accès anonyme au portail contrôle l’accès au site web du portail. Pour empêcher un utilisateur d’accéder au site Web du portail sans fournir au préalable d’identifiants de connexion associés, nous vous recommandons de désactiver l’accès anonyme. Bien que la désactivation de l’accès anonyme n’empêche pas les utilisateurs anonymes d’accéder au contenu partagé avec tout le monde, cela permet de s’assurer qu’un utilisateur public ne peut pas utiliser le site Web du portail pour rechercher du contenu ou des ressources partagés avec tout le monde. Pour savoir comment désactiver l’accès anonyme sur votre portail ArcGIS Enterprise, reportez-vous à la rubrique Désactiver l’accès anonyme.
Configurer et sécuriser des certificats TLS signés par une autorité de certification
La configuration d’un certificat émanant d’une autorité fiable est une pratique sûre pour les systèmes Web, qui empêche également l’émission d’avertissements du navigateur ou tout autre comportement inattendu. Pendant le déploiement, votre organisation doit fournir ou générer un certificat d’identité TLS qui sera utilisé par le contrôleur ingress. Dans de nombreuses configurations de déploiement, ce certificat TLS est celui qui est exposé à tous les utilisateurs finaux. Cela signifie qu’il est hautement recommandé de faire signer par une autorité de certification de confiance le certificat attribué au contrôleur ingress. Si un certificat auto-signé est généré lors du déploiement, vous pouvez le remplacer en important un nouveau certificat et en l’attribuant au contrôleur ingress après la création de l’organisation.
Si l’autorité de certification ayant signé le certificat est une autorité de certification d’entreprise ou de domaine et non une autorité de certification bien connue, le certificat public de l’autorité de certification doit également être importé en tant que certificat sécurisé. ArcGIS Enterprise peut ainsi valider et sécuriser n’importe quel certificat signé par cette autorité de certification.
Pour connaître la procédure d’importation d’un certificat d’identité ou sécurisé, reportez-vous à la rubrique Importer des certificats.
Configurer HTTPS
Lors de la configuration initiale de votre déploiement ArcGIS Enterprise, le nom d’utilisateur et le mot de passe sont envoyés via le protocole HTTPS chaque fois que vous êtes invité à saisir vos identifiants de connexion. Cela signifie que vos identifiants de connexion transmis sur un réseau interne ou sur Internet sont chiffrées et ne peuvent pas être interceptées. Par défaut, toutes les communications au sein de votre portail sont effectuées via HTTPS.
L’instauration exclusive de liaisons HTTPS permet de sécuriser toutes les communications extérieures à votre portail Enterprise (telles que les services ArcGIS Server et Open Geospatial Consortium [OGC]). Votre portail accédera au contenu Web externe à condition que HTTPS soit disponible. Sinon, le contenu externe sera bloqué.
Cependant, il peut être utile, dans certains cas, d’activer à la fois les communications HTTP et HTTPS au sein de votre portail. Pour savoir comment mettre en place HTTP et HTTPS pour toutes les communications dans ArcGIS Enterprise, reportez-vous à la rubrique Configurer HTTPS.
Désactiver les répertoires d’API non-administrateur
Le répertoire administrateur vous permet de désactiver l’accès HTML au répertoire du portail ArcGIS /<context>/sharing/rest et au répertoire des services REST ArcGIS /<context>/rest/services. Cela permet de limiter le risque que vos éléments, services, cartes Web, groupes et autres ressources du portail soient explorés, repérés dans une recherche Web ou interrogés via des formulaires HTML. En désactivant l’accès à ces répertoires, vous renforcez la protection contre les attaques par exécution de scripts de site à site (XSS).
La décision de désactiver l’accès à ces répertoires dépend de l’objectif de votre portail et de son degré de fréquentation par les utilisateurs et les développeurs. Si vous désactivez l’accès à ces répertoires, vous devrez sans doute au préalable créer des listes des opérations disponibles ou des métadonnées concernant les éléments et les services disponibles sur votre portail.
Pour plus d’informations, reportez-vous à la rubrique Désactiver les répertoires d’API non-administrateur.
Indiquer le délai d’expiration du jeton
Un jeton est une chaîne d'informations chiffrées qui contient le nom de l'utilisateur, le délai d'expiration du jeton et d'autres informations propriétaires. Lorsqu'un jeton est remis au membre, ce dernier peut accéder au portail jusqu'à l'expiration du jeton. A l'expiration, le membre doit de nouveau fournir son nom d'utilisateur et son mot de passe.
Chaque fois que vous générez un nouveau jeton au cours de l’utilisation de ArcGIS Enterprise, vous devriez indiquer un délai d’expiration. Si vous ne le faites pas, une valeur d’expiration par défaut est utilisée.
Il existe trois types de jetons employés dans le portail : les jetons ArcGIS, les jetons access OAuth et les jetons refresh OAuth. À chaque type de jeton correspond une valeur d’expiration par défaut .
Il n’est pas possible d’augmenter ces valeurs maximum et par défaut. Vous pouvez les diminuer en définissant la propriété maxTokenExpirationMinutes dans le répertoire du portail ArcGIS. La valeur pour la propriété maxTokenExpirationMinutes s’applique à chaque type de jeton. Si cette valeur est inférieure à la valeur maximum mais supérieure à la valeur par défaut, seule la valeur maximum sera impactée et la valeur par défaut restera identique. Si la valeur est inférieure à la fois aux valeurs maximum et par défaut, les deux valeurs seront affectées et les valeurs maximum et par défaut correspondront à celles définies dans maxTokenExpirationMinutes.
Pour modifier le délai d'expiration du jeton par défaut, suivez la procédure de la section Indiquer le délai d'expiration du jeton par défaut.
Vous avez un commentaire à formuler concernant cette rubrique ?