Amazon Web Services 的安全性

制定 Amazon Elastic Compute Cloud (EC2) 的全面安全策略需要在不同层面进行安全性规划。

通过与在 Amazon Elastic Compute Cloud 外部使用 ArcGIS Enterprise 时相同的安全机制，管理对 Web 服务和应用程序的访问。这在 ArcGIS Server 和 Portal for ArcGIS 帮助中有详细说明。

此外，以下是在云端上部署的一些安全注意事项。以下部分将介绍在 Amazon Web Services (AWS) 上部署时需要特别注意的一些安全事项和方法。

保护云端管理环境

可使用 AWS 工具，如 AWS 管理控制台或 AWS 命令行界面，在 AWS 上进行 ArcGIS 部署的高级管理。这些管理任务包括但不限于配置 Amazon 弹性负载均衡器 (ELB) 和弹性 IP、创建 Amazon 简单存储服务 (S3) 存储段，以及查看账户活动和计费信息。

Amazon 建议使用 Amazon 身份和访问管理 (IAM) 角色来管理拥有不同 AWS 账户权限级别的用户群組。使用 IAM 创建至少一个拥有 AWS 账户访问权限的用户，并下载与该用户关联的访问密钥和秘密访问密钥。 IAM 角色用于以下 ArcGIS Enterprise 工作流程：

请仅将您的 Amazon 账户名称、密码、访问密钥和秘密访问密钥分享给组织内少数了解如何使用 AWS 工具（如管理控制台、命令行工具或 API）正确启动、编辑和终止资源的人员。如果允许未经培训的人员广泛访问，您的部署将面临系统严重中断的风险，且账户可能产生过高的费用。此类问题最终造成的危害可能比外部黑客的攻击更为严重。

Amazon 除了账户名称和密码外，还提供可选的保护层。此选项（AWS 多因子身份验证）要求您使用小型便携硬件设备生成的六位数验证码。该代码会频繁更新，因此即使恶意用户获得了您的账户名称和密码，也无法通过 AWS 管理控制台登录您的账户。

安全实例管理

使用 AWS 工具管理您的账户和 EC2 实例只是 AWS 中 ArcGIS 管理的一个方面。配置云端部署的另一个环节是登录您的 EC2 实例，以便进行软件授权或升级、运行随 ArcGIS Enterprise 安装的工具、传输数据、配置应用程序以及添加登录账户。

您最初是以计算机管理员身份登录 Microsoft Windows EC2 实例，使用的是通过密钥对文件获取的随机生成的密码。将密钥对文件保存在安全的位置。然后，首次登录实例时，应将密码改成更容易记住的。将密码写下来或以明文形式保存在本地计算机上的某个位置是不安全的。

提示：

选择符合 Microsoft Windows Server 复杂度要求的密码，应包括以下内容：

密码中不应包含用户的账户名称，或用户全名中连续超过两个字符的任何部分。
密码应至少包含 8 个字符。
密码应包含以下四个类别中的三种字符：
- 英文大写字符（A 至 Z）
- 英文小写字符（a 至 z）
- 10 进制数字（0 至 9）
- 非字母数字字符（例如，！、$、#、%）

登录实例后，您可以使用 Windows 工具来定义具有登录权限的非管理员用户。

防止外部攻击的安全实例

所有 EC2 实例都使用安全组以防止不当或未知的外部访问。您需要配置安全组，以允许针对一系列 IP 地址、端口和协议的访问。每次启动新的 EC2 实例时，需要指定该实例属于哪个安全组，这将决定可以访问该实例的人员。

默认情况下，新的安全组未允许任何访问。至少，您需要允许远程访问和 HTTP 访问，以登录 EC2 实例并测试部署。请参阅打开ArcGIS 的 Amazon Elastic Compute Cloud 安全组，获取相关说明。此外，请参阅常见安全组配置，了解适用于 ArcGIS Enterprise on Amazon Web Services 的安全组设置。

使用 Esri 工具部署站点时，会为您创建并配置安全组。已在安全组中打开了必要的端口以确保站点正常运行，但如有需要，您可以使用 AWS 工具来微调该安全组的设置。例如，如果您要使用 Windows 远程桌面登录某个实例，则需要打开端口 3389。

AWS Cloud Security 包含 EC2 安全架构设计的白皮书和最佳实践文档。这些指南适用于 ArcGIS Enterprise on Amazon Web Services。