ArcGIS Enterprise 組織をセキュリティで保護する場合は、実行している環境を保護することも重要です。 セキュリティを最大限に高めるためのベスト プラクティスについて説明します。
コンテナー レジストリ アカウントの最小権限の設定
配置の際に指定するコンテナー レジストリ アカウントには、コンテナー イメージをダウンロードする権限のみなど、最小限のレベルの権限が関連付けられている必要があります。 デフォルトでは、Kubernetes は、このアカウントの暗号化されていない認証情報をシークレットとして保存し、アクセスします。 変更内容のプッシュ、メタデータの編集、またはコンテナー レジストリの管理の権限があるアカウントを指定しないことをお勧めします。
電子メール設定の構成
パスワードを忘れた場合やパスワード ポリシーが更新された場合などに、メンバーや管理者に電子メール通知を送信するように組織を構成できます。 手順および詳細については、「電子メール設定」をご参照ください。
ポータルのプロキシ機能の制限
ポータルは、いくつかのシナリオでプロキシ サーバーとして使用されます。 そのため、ポータルのプロキシ機能は、ポータル コンピューターがアクセスできる任意のコンピューターに対してサービス妨害 (DoS) 攻撃または SSRF (Server Side Request Forgery) 攻撃を開始するために悪用される恐れがあります。 この脆弱性の危険を軽減するために、ポータルのプロキシ機能を承認された Web アドレスに制限することを強くお勧めします。 これに関する詳細と詳しい手順については、「ポータルのプロキシ機能の制限」をご参照ください。
匿名アクセスの無効化
ポータルの匿名アクセス オプションは、ポータル Web サイトへのアクセスを制御します。 ポータルに認証情報を入力していないユーザーがポータル Web サイトにアクセスできないように、匿名アクセスを無効化しておくことをお勧めします。 匿名アクセスを無効化すると、すべての人と共有されたコンテンツに匿名ユーザーがアクセスできないようになる一方で、一般ユーザーが、すべての人と共有されたコンテンツやリソースの検索を目的としてポータル Web サイトを使用できないようにすることができます。 ArcGIS Enterprise ポータルで匿名アクセスを無効化する方法については、「匿名アクセスの無効化」をご参照ください。
CA 署名 TLS 証明書を信頼するように構成する
信頼された認証機関からの証明書を構成することによって、Web ベース システムを安全に保護し、ブラウザーの警告メッセージなどの予期しない動作が発生するのを防ぎます。 デプロイメント時に、組織は、Ingress コントローラーで使用するために TLS ID 証明書を指定または生成する必要があります。 多くのデプロイメントの構成で、すべてのエンドユーザーに公開される証明書はこの TLS 証明書になります。 したがって、Ingress コントローラーに割り当てられる証明書は、信頼できる認証機関による署名を受けることを強くお勧めします。 デプロイメント時に自己署名証明書が生成された場合は、組織が作成された後に、新しい証明書をインポートして Ingress コントローラーに割り当てることで、この証明書を置き換えることができます。
証明書に署名した認証機関が、よく知られている CA ではなく、社内またはドメイン CA である場合は、その CA の公開証明書も信頼証明書としてインポートする必要があります。 これにより、確実に ArcGIS Enterprise はその CA が署名した証明書を検証して信頼できるようになります。
ID 証明書または信頼証明書をインポートする手順については、「証明書のインポート」をご参照ください。
HTTPS の構成
ArcGIS Enterprise デプロイメントを構成した時点では、認証情報を入力するとユーザー名とパスワードが HTTPS を使用して送信されます。 つまり、内部ネットワークまたはインターネットで送信される認証情報は、暗号化され、盗聴できません。 デフォルトでは、ポータル内での通信はすべて HTTPS を使用して送信されます。
HTTPS のみの通信が適用されるようにすると、Enterprise ポータル外でのすべての外部通信 (ArcGIS Server サービスや OGC (Open Geospatial Consortium) サービスなど) がセキュリティで保護され、ポータルは HTTPS が使用できる場合のみ外部の Web コンテンツにアクセスします。 HTTPS が使用できない場合、外部コンテンツはブロックされます。
ただし、ポータル内で HTTP と HTTPS 両方の通信を有効化することが好ましい場合もあります。 ArcGIS Enterprise のすべての通信に HTTP と HTTPS を適用する方法については、「HTTPS の構成」をご参照ください。
非管理 API ディレクトリの無効化
Administrator Directory から、ArcGIS Portal Directory (/<context>/sharing/rest) と ArcGIS REST サービス ディレクトリ (/<context>/rest/services) の両方への HTML アクセスを無効化できます。 これを行うと、ポータルの自分のアイテム、サービス、Web マップ、グループなどのリソースが、参照されたり、Web 検索で検出されたり、HTML フォームでクエリされたりする可能性を減らすことができます。 これらのディレクトリへのアクセスを無効化すると、クロスサイト スクリプティング (XSS) 攻撃から保護することもできます。
これらのディレクトリへのアクセスを無効化するかどうかは、ポータルの目的と、ユーザーと開発者がそのサイトを参照する必要性の度合いによって決まります。 これらのディレクトリへのアクセスを無効にした場合は、ポータルで提供されているアイテムとサービスに関する利用可能な操作やメタデータのリストの作成が必要になることがあります。
詳細については、「non-administrative API ディレクトリの無効化」をご参照ください。
トークンの有効期限の指定
トークンは、ユーザー名、トークンの有効期限、およびその他の機密情報を含む暗号化された情報の文字列です。 トークンがメンバーに対して発行されると、そのメンバーはトークンの有効期限が切れるまでポータルにアクセスできます。 トークンの有効期限が切れた時点で、メンバーはユーザー名とパスワードをもう一度指定する必要があります。
ArcGIS Enterprise を使用しているときに、新しいトークンを生成するたびに、有効期限を指定する必要があります。 有効期限を指定しない場合、有効期限のデフォルト値が使用されます。
ポータルによって使用されるトークンには、ArcGIS トークン、OAuth access トークン、および OAuth refresh トークンという 3 つのタイプがあります。 各タイプには、固有の有効期限のデフォルト値があります。
これらの最大値およびデフォルト値は、増やすことができず、ArcGIS Portal Directory で maxTokenExpirationMinutes プロパティを設定することによって、減らすことができます。 maxTokenExpirationMinutes のプロパティの値は、各タイプのトークンに適用されます。 この値が最大値より小さいが、デフォルト値より大きい場合、最大値のみが影響を受け、デフォルト値は変わりません。 この値が最大値とデフォルト値の両方より小さい場合、両方の値が影響を受け、最大値およびデフォルト値は、maxTokenExpirationMinutes で定義された値に一致します。
トークンのデフォルト有効期限を変更するには、「トークンのデフォルトの有効期限の指定」に記載されている手順に従ってください。