幻灯片 1

Size: px

Start display at page:

Download "幻灯片 1"

吞岑
5 years ago
Views:

1 ArcGIS Server 10.1 服务安全设计策略 Esri 中国北京有限公司行业技术部程杰

2 内容企业级 GIS 安全概述 ArcGIS Server 安全配置用户与角色服务安全保护缓存目录 Token 验证 HTTP 验证防火墙集成安全 ***

3 企业级 GIS 安全概述

4 安全性概述访问安全 - 只有经过授权的合法用户才能访问特定的资源 - 合法的用户 - 经过授权传输安全 - 对敏感信息在传输过程中的加密其他 : - 操作系统 - 升级防病毒 - 代码 -SQL 注入 - 用户培训 - 网络钓鱼 -

5 ESRI 的安全策略 Authentication Authorization Data and Assets Physical Controls Policy Controls Technical Controls Filters Encryption Logging

$ArcGIS Server 一般的安全模型请求资源身份证明角色映射角色评估和授权 Browser/Desktop Applications Web 认证 \ 验证 Web server 授权 Web service handler Token$

6 ArcGIS Server 一般的安全模型请求资源身份证明角色映射角色评估和授权 Browser/Desktop Applications Web 认证 \ 验证 Web server 授权 Web service handler Token service Web applications 认证 \ 验证 Principal Store (Users & Roles) 查看 / 配置 cluster Permission Store (for services) GIS Services Manager 配置

7 GIS 安全模式基本模式 - 不敏感的数据公共信息 - 所有架构层都可以部署在一个服务器上标准模式 - 数据丢失或者完整性破坏会有一定的影响 - 架构层部署到多个单独的系统 - 可能需要联合服务高级模式 - 敏感的数据 - 所有组件采用冗余配置以保证高可用性 - 使用第三方企业安全性组件 Basic Standard Advanced

8 ArcGIS Server 安全配置用户与角色服务安全保护缓存目录 Token 验证 HTTP 验证防火墙集成安全性

9 用户和角色角色 : 控制访问服务资源用户 : 通过控制拥有某个角色的权限, 从而控制访问服务资源的权限

10 admin ROLE1 user1 admin ROLE2 user2 user1 admin user2

11 用户和角色存储 ArcGIS Server 内嵌存贮 Lightweight Directory Access Protocol(LDAP) 或者 Windows 用户和组用户和角色分开存贮

12 GIS Web 服务安全 root 单独设置的权限基于角色模型的安全控制 - 目录和服务都可设置权限 - 权限向下继承适用于服务所有的 Web 接口 - SOAP, REST, OGC, KML 从根节点继承权限从文件夹继承权限支持 Desktop, Web ADF,JavaScript,Flex 等单独设置的权限功能和服务具有相同的安全性

13 ArcGIS Server: 从开放到安全启用安全和权限设置互相独立如果没有启用安全, 任何人都可以访问所有服务启用安全后, 如果没有设置访问权限, 所有服务都不能被访问

14 Demo1 :ArcGIS Server 安全设置

15 保护缓存目录目标 : 阻止直接通过 REST URL 访问缓存图片

16 保护缓存目录方法 : 使用 Token

17 保护缓存目录目标阻止直接通过 Cache 虚拟路径访问图片

18 保护缓存目录方法新建 cach 目录

19 Token 是什么? Token 是一个加密的字符串, 包含以下信息 - 用户名 - 过期时间 - 客户端 ID - IP 地址或 URL

20 从页面获取 token 用 IP 和代理页组合程序必须通过 HTTP 访问 mywebapphost/myapp 程序可以通过 HTTP 或 HTTPS 访问 WlKIV-rRW5MewDVSq_kiXy9SArD3dvKMUPr8CxsqBXpWHC90YRc4nHGFNycuefyO

21 Token 服务常见使用方法开发人员 7 把 token 复制到程序代码 1 开发人员访问 token 服务页面 2 输入必要的信息 6 返回 token Web 服务器 Token 服务 4 身份验证 5 通过验证用户和角色存储位置 3 客户端请求 token

22 Demo2 :Token 的使用

23 HTTP 身份验证 HTTP Basic Authentication(ArcGIS 10.1 new) HTTP Digest Authentication(ArcGIS 10.1 new)

24 HTTP Basic Authentication 基本认证是一种用来允许 Web 浏览器, 或其他客户端程序在请求时提供以用户名和口令形式的凭证用户输入了用户名和口令后, 客户端在原先的请求上添加了认证消息头 ( 值是 base64encode(username+":"+password)), 然后重新发送

25 HTTP 基本认证优缺点优点 : 所有流行的网页浏览器都支持基本认证缺点 : 以明文传输的密钥和口令很容易被拦截没有对服务器返回的信息提供保护现存的浏览器保存认证信息直到标签页或浏览器被关闭, 或者用户清除历史记录服务端其没有一种有效的方法来登出, 而无需关闭浏览器

26 HTTP Digest Authentication 在客户发送请求后, 收到一个 401( 未授权 ) 消息, 包含一个 Challenge, 消息里面有一个唯一的字符串每次请求返回都丌一样客户将用户名密码以及返回的 Challenge 一起加密后传给服务器为了防止重放攻击, 采用摘要访问认证

27 防火墙单一防火墙场景 Single firewall scenario 多防火墙反向代理 Multiple firewall scenario with reverse proxy Web server

28 反向代理反向代理隐蔽内部系统 - 添加 Web Application Firewall (WAF) - 代理服务器和 Web 服务器之间的通信可以是任何端口 Geodatabase in DMZ(demilitarized zone) - 通过 HTTP 单向复制 (One-way replication via HTTP) - 每个 Web 服务器上都需要部署防火墙 - 互联网用户只能访问到整个地理数据库的子集 Internet DMZ Intranet Reverse proxy / WAF Web Web HTTP GIS GIS DCOM User HTTP GDB HTTP RDBMS SQL Author & Publish

29 ArcGIS Server 集成的安全 ArcGIS Server 10 引入的一种新的安全模型发出请求的用户身份在系统的各个层都可以得到, 每个层都可以根据用户身份进行访问控制 - 仅限于以 Internet 方式访问 ArcGIS Web Service 的应用程序 - 通过 Web Service Handler 把用户信息传递给 SOM 和 SOC 如果数据来自 ArcSDE for Oracle, 用户信息还可以传递给 Oracle 数据库 - 该功能目前只支持 Oracle

30 客户端 1 SOAP/REST Token User_two shengjie heliu mxd shengjie shenghui heliu 发布 ArcGIS Server 服务 chengj Token User_one shengjie shenghui shengjie shenghui heliu 客户端 2 SOAP/REST User_one User_two

31 Demo 3: 集成安全性

32 1 创建一个编辑地图的用户 CREATE USER map IDENTIFIED BY map DEFAULT TABLESPACE sde TEMPORARY TABLESPACE temp; GRANT CONNECT, RESOURCE TO map; 也可以用已有的 sde 用户或者新建一个数据库用户

33 2 创建访问 web service 的数据库用户 CREATE USER user_one IDENTIFIED by user_one; GRANT CONNECT,RESOURCE to user_one; CREATE USER user_two IDENTIFIED by user_two; GRANT CONNECT,RESOURCE to user_two;

34 3 设置 web service 账号的访问权限 CREATE ROLE sel_shenghui NOT IDENTIFIED; GRANT SELECT ON map.shengjie TO sel_shenghui; GRANT SELECT ON map.shenghui TO sel_shenghui; GRANT sel_shenghui to user_one; CREATE ROLE sel_heliu NOT IDENTIFIED; GRANT SELECT ON map.shengjie TO sel_heliu; GRANT SELECT ON map.heliu TO sel_heliu; GRANT sel_heliu to user_two;

35 4 创建地图文档并发布用 map 用户连接 SDE, 作为数据源配图完成以后发布成地图服务地图服务的功能, 比如 WMS,KML 的访问控制和标准的 ArcGIS Web Service 是一致的 (SOAP/REST)

$InstallationDirectory>\server\system\Server.$

36 5 修改 ArcGIS Server 的配置文件修改 <ArcGIS InstallationDirectory>\server\system\Server.dat 文件重启 ArcGIS Server

38 欢迎移步到体验区体验炫彩 GIS 世界

如何构建安全应用

如何构建安全应用 Esri 中国 ( 北京 ) 有限公司王坚提纲安全性概述安装和配置 GIS web service 的安全使用 token - 代理页 ArcGIS Server 集成的安全性 (10) 安全性概述访问安全 - 只有经过授权的合法用户才能访问特定的资源 - 合法的用户 - 经过授权传输安全 - 对敏感信息在传输过程中的加密其他 : - 操作系统 - 升级防病毒 -