Sicherheit unter Amazon Web Services
Um eine umfassende Sicherheitsstrategie für Amazon Elastic Compute Cloud (EC2) zu entwickeln, müssen Sie Sicherheitsmaßnahmen auf verschiedenen Ebenen einplanen.
Der Zugriff auf Ihre Web-Services und -Anwendungen wird über dieselben Sicherheitsmechanismen verwaltet, die Sie auch bei ArcGIS Enterprise außerhalb von Amazon Elastic Compute Cloud verwenden. Weitere Informationen finden Sie in der Hilfe zu ArcGIS Server und Portal for ArcGIS.
Darüber hinaus gibt es Sicherheitsaspekte, die speziell für die Bereitstellungen in der Cloud zu berücksichtigen sind. Die folgenden Abschnitte beschreiben einige der Sicherheitsüberlegungen und Ansätze, die speziell für Bereitstellungen unter Amazon Web Services (AWS) zu berücksichtigen sind.
Sichern Ihrer Cloud-Verwaltungsumgebung
Sie verwenden AWS-Werkzeuge wie die AWS Management Console oder die AWS-Befehlszeilenschnittstelle, um erweiterte Verwaltungsaufgaben für Ihre ArcGIS-Bereitstellung unter AWS durchzuführen. Zu diesen Verwaltungsaufgaben gehören unter anderem die Konfiguration von Amazon Elastic Load Balancers (ELBs) und Elastic IPs, das Erstellen von Amazon Simple Storage Service (S3)-Buckets sowie die Nachvollziehung Ihrer Kontoaktivitäten und Abrechnungsinformationen.
Amazon empfiehlt, IAM-Rollen (Amazon Identity and Access Management) zu verwenden, um Benutzergruppen zu verwalten, die über unterschiedliche Berechtigungsstufen für Ihr AWS-Konto verfügen. Erstellen Sie mithilfe von IAM mindestens einen Benutzer mit Zugriff auf Ihr AWS-Konto und laden Sie den Zugriffsschlüssel und den geheimen Zugriffsschlüssel herunter, die diesem Benutzer zugeordnet sind. IAM-Rollen werden in den folgenden ArcGIS Enterprise-Workflows verwendet:
Geben Sie Ihren Amazon-Kontonamen, Ihr Kennwort, Ihre Zugriffsschlüssel und Ihre geheimen Zugriffsschlüssel nur an eine kleine Anzahl von Personen in Ihrer Organisation weiter, die wissen, wie man Ressourcen mithilfe von AWS-Werkzeugen wie der Management-Konsole, Befehlszeilen-Werkzeugen oder der API ordnungsgemäß startet, bearbeitet und beendet. Wenn Sie ungeschultem Personal uneingeschränkten Zugriff gewähren, ist Ihre Installation anfällig für schwerwiegende Systemstörungen und überhöhte Kosten auf Ihrem Konto. Solche Probleme können letztlich schädlicher sein als ein Angriff eines externen Hackers.
Amazon bietet über Ihren Kontonamen und Ihr Kennwort hinaus eine optionale Schutzschicht. Die Option AWS Multi-Factor Authentication, erfordert, dass Sie einen sechsstelligen Code haben, der von einem kleinen Hardwaregerät generiert wird. Der Code ändert sich regelmäßig, sodass ein böswilliger Benutzer, selbst wenn er Ihren Kontonamen und Ihr Kennwort in Erfahrung bringen konnte, sich dennoch nicht über die AWS Management Console an Ihrem Konto anmelden könnte.
Sichere Instanzverwaltung
Die Verwaltung Ihres Kontos und EC2-Instanzen mit AWS-Werkzeugen ist nur ein Aspekt der ArcGIS-Verwaltung auf AWS. Ein weiterer Teil der Einrichtung Ihrer Cloud-Bereitstellung ist das Anmelden bei Ihren EC2-Instanzen, um Software zu autorisieren oder zu aktualisieren, Werkzeuge mit ArcGIS Enterprise auszuführen, Daten zu übertragen, Anwendungen zu konfigurieren und Anmeldungen hinzuzufügen.
Sie melden sich zunächst als Computeradministrator bei Microsoft Windows EC2-Instanzen an und verwenden ein zufällig generiertes Kennwort, das Sie mit Ihrer Schlüsselpaardatei abrufen. Bewahren Sie Ihre Schlüsselpaardatei an einem sicheren Ort auf. Wenn Sie sich dann zum ersten Mal bei der Instanz anmelden, sollten Sie das Kennwort in eines ändern, das Sie sich leichter merken können. Es ist nicht sicher, das Kennwort aufzuschreiben oder es irgendwo auf dem lokalen Computer in Klartext zu speichern.
Tipp:
Wählen Sie ein Kennwort, das den Komplexitätsanforderungen von Microsoft Windows Server entspricht, zu denen Folgendes gehört:
Kennwörter sollten weder den Kontonamen des Benutzers noch Teile des vollständigen Namens enthalten, die aus mehr als zwei aufeinanderfolgende Zeichen bestehen.
Das Kennwort sollte mindestens aus acht Zeichen bestehen.
Kennwörter sollten Zeichen aus drei der folgenden vier Kategorien enthalten:
Englische Großbuchstaben (A bis Z)
Englische Kleinbuchstaben (a bis z)
Basis 10 Ziffern (0 bis 9)
Nicht-alphanumerische Zeichen (zum Beispiel !, $, #, %)
Sobald Sie sich bei der Instanz angemeldet haben, können Sie Windows-Werkzeuge verwenden, um Benutzer ohne administrative Berechtigungen zu definieren, die sich anmelden können.
Sichere Instanzen gegen Angriffe von außen
Alle EC2-Instanzen nutzen Sicherheitsgruppen, um sich gegen Zugriffe zu schützen, die unangemessen sind oder von unbekannten Personen stammen. Es ist erforderlich, die Sicherheitsgruppen so konfigurieren, dass sie Zugriff auf eine Reihe von IP-Adressen, Ports und Protokollen ermöglichen. Jedes Mal, wenn Sie eine neue EC2-Instanz starten, müssen Sie angeben, zu welcher Sicherheitsgruppe die Instanz gehört, wodurch bestimmt wird, wer auf die Instanz zugreifen kann.
Standardmäßig sind neue Sicherheitsgruppen nicht zugriffsberechtigt. Sie müssen mindestens über Remote- und HTTP-Zugriff verfügen, um sich bei Ihrer EC2-Instanz anzumelden und Ihre Bereitstellung zu testen. Anweisungen hierzu finden Sei unter Öffnen der Amazon Elastic Compute Cloud-Sicherheitsgruppe für ArcGIS. Unter Häufige Sicherheitskonfigurationen für Gruppen finden Sie Anregungen zu Sicherheitsgruppeneinstellungen, die für ArcGIS Enterprise on Amazon Web Services geeignet sind.
Wenn Sie Esri Werkzeuge zur Bereitstellung Ihrer Site verwenden, wird eine Sicherheitsgruppe für Sie erstellt und konfiguriert. Die notwendigen Ports werden in der Sicherheitsgruppe geöffnet, damit die Seite funktioniert, aber falls nötig können Sie AWS-Werkzeuge verwenden, um die Einstellungen dieser Sicherheitsgruppe zu optimieren. Wenn Sie sich zum Beispiel mit Windows Remote Desktop bei einer der Instanzen anmelden möchten, muss der Port 3389 geöffnet werden.
AWS Cloud Security enthält Whitepaper und Best-Practice-Dokumente zur Gestaltung einer sicheren Architektur für EC2. Diese Richtlinien gelten für ArcGIS Enterprise on Amazon Web Services.