ArcGIS 10.1 for Server 安全机制（4）访问内容限制
分享
-
2013-11-24
1 限制访问内容
为了进一步保护GIS资源，需要对访问内容进行限制：
1) 用户只需要知道自己要访问的服务地址，而不应该知道GIS服务器到底有哪些GIS服务；
2) 严格保护GIS服务器账户信息和配置信息，警惕非法用户破坏系统；
3) 保护服务缓存切片，防止用户偷偷下载；
4) 对外隐藏真实的服务URL，防止恶意攻击；
通过这样的限制，能够使得用户只能访问到自己关注的内容，而无法知道的太多，从而形成对GIS服务器和GIS资源的保护。
在ArcGIS 10.1 for Server中，提供了如下解决方案来实现对访问内容的限制：
1) 禁用服务目录：防止用户打探服务信息；
2) 账户和目录保护：防止用户篡改GIS服务器配置；
3) 禁用缓存虚拟目录：防止用户偷偷下载缓存图片；
4) 反向代理：对外隐藏真实的服务地址。
2 禁用服务目录
ArcGIS Server 服务目录是用于查看GIS服务信息的快捷方式，通过浏览器输入http://myserver:6080/arcgis/rest/services即可查看。如下图：
但是为了保护服务信息，不应该让更多用户知道GIS服务器上有什么服务，因此需要禁用该服务目录。 禁用服务目录需要通过ArcGIS Server Administrator Directory设置，路径为：system—handlers—rest—servicesdirectory—edit，取消Services Directory Enabled选项，如下图：
禁用之后再访问，服务目录就不能访问了。
这样用户就不能通过浏览器来访问服务目录，因此就无法轻易获取到服务资源列表。
3 账户和目录保护
账户保护主要是严格防止Administrator、Publisher账户泄露，以免非法用户登录ArcGIS Server Manager和ArcGIS Server Administrator Directory。 此外为了更好地保护系统安全，推荐禁用主站点管理，以确保用户只能通过User角色访问服务资源，避免毁灭性的误操作。如下图：
目录保护主要是指对ArcGIS Server安装目录（如：C:\ArcGIS\Server）、配置存储目录（如：C:\arcgisserver\config-store）和服务器目录（如：C:\arcgisserver\directories）。对于这些目录，需要赋予ArcGIS Server账户足够的访问权限，但对于其他操作系统账户，则应该严格限制，以免其他用户误删或修改了配置文件。
4 禁用缓存虚拟目录
ArcGIS 10.1 for Server内置Web服务器，在创建站点的过程中，将为缓存目录等Server目录自动启用虚拟目录。因此可能导致其他用户通过URL，直接下载缓存文件，为了保护缓存文件不被偷偷下载，需要使用本地缓存目录来替代。 在未使用本地缓存目录时，可以通过URL直接访问缓存文件并下载：
地址栏中输入的URL为（其中红色部分就是缓存虚拟目录关键）：http://esri-huangd/arcgis/rest ... undle 为了防止这样的直接访问，需要添加本地缓存目录（如：D：\LocalCache）：
然后停止服务，编辑服务缓存属性，启用本地缓存目录：
修改完成后，可以重新创建缓存，也可以将之前目录中的缓存迁移到本地缓存目录中（原缓存目录中的缓存，最好清空）。然后再通过刚才的URL访问，就会得到找不到资源之类的提示。
5 反向代理
通过反向代理可以隐藏服务的真实URL，从而防止恶意攻击。在ArcGIS 10.1 for Server中，推荐如下的结构：
通过反向代理主机，形成安全区域（DMZ），在安全区域和内网、外网之间，分布搭建防火墙，从而对内网形成多层保护。
而对于内网的机器之间，例如GIS服务器和数据服务器之间，GIS服务器之间，都建议不要使用防火墙。
反向代理搭建方法就不在这里赘述了，感兴趣的朋友可以自行搜索。 综上各种方法，可以保护ArcGIS Server相关目录安全，防止非法用户破坏系统安全，也可以防止用户了解过多的服务信息，并且能够隐藏真实的服务地址。从而使被访问的内容最小化，隐蔽化，达到保护资源的目的。
文章来源：http://blog.csdn.net/esrichinacd/article/details/7974475
为了进一步保护GIS资源，需要对访问内容进行限制：
1) 用户只需要知道自己要访问的服务地址，而不应该知道GIS服务器到底有哪些GIS服务；
2) 严格保护GIS服务器账户信息和配置信息，警惕非法用户破坏系统；
3) 保护服务缓存切片，防止用户偷偷下载；
4) 对外隐藏真实的服务URL，防止恶意攻击；
通过这样的限制，能够使得用户只能访问到自己关注的内容，而无法知道的太多，从而形成对GIS服务器和GIS资源的保护。
在ArcGIS 10.1 for Server中，提供了如下解决方案来实现对访问内容的限制：
1) 禁用服务目录：防止用户打探服务信息；
2) 账户和目录保护：防止用户篡改GIS服务器配置；
3) 禁用缓存虚拟目录：防止用户偷偷下载缓存图片；
4) 反向代理：对外隐藏真实的服务地址。
2 禁用服务目录
ArcGIS Server 服务目录是用于查看GIS服务信息的快捷方式，通过浏览器输入http://myserver:6080/arcgis/rest/services即可查看。如下图：
但是为了保护服务信息，不应该让更多用户知道GIS服务器上有什么服务，因此需要禁用该服务目录。 禁用服务目录需要通过ArcGIS Server Administrator Directory设置，路径为：system—handlers—rest—servicesdirectory—edit，取消Services Directory Enabled选项，如下图：
禁用之后再访问，服务目录就不能访问了。
这样用户就不能通过浏览器来访问服务目录，因此就无法轻易获取到服务资源列表。
3 账户和目录保护
账户保护主要是严格防止Administrator、Publisher账户泄露，以免非法用户登录ArcGIS Server Manager和ArcGIS Server Administrator Directory。 此外为了更好地保护系统安全，推荐禁用主站点管理，以确保用户只能通过User角色访问服务资源，避免毁灭性的误操作。如下图：
目录保护主要是指对ArcGIS Server安装目录（如：C:\ArcGIS\Server）、配置存储目录（如：C:\arcgisserver\config-store）和服务器目录（如：C:\arcgisserver\directories）。对于这些目录，需要赋予ArcGIS Server账户足够的访问权限，但对于其他操作系统账户，则应该严格限制，以免其他用户误删或修改了配置文件。
4 禁用缓存虚拟目录
ArcGIS 10.1 for Server内置Web服务器，在创建站点的过程中，将为缓存目录等Server目录自动启用虚拟目录。因此可能导致其他用户通过URL，直接下载缓存文件，为了保护缓存文件不被偷偷下载，需要使用本地缓存目录来替代。 在未使用本地缓存目录时，可以通过URL直接访问缓存文件并下载：
地址栏中输入的URL为（其中红色部分就是缓存虚拟目录关键）：http://esri-huangd/arcgis/rest ... undle 为了防止这样的直接访问，需要添加本地缓存目录（如：D：\LocalCache）：
然后停止服务，编辑服务缓存属性，启用本地缓存目录：
修改完成后，可以重新创建缓存，也可以将之前目录中的缓存迁移到本地缓存目录中（原缓存目录中的缓存，最好清空）。然后再通过刚才的URL访问，就会得到找不到资源之类的提示。
5 反向代理
通过反向代理可以隐藏服务的真实URL，从而防止恶意攻击。在ArcGIS 10.1 for Server中，推荐如下的结构：
通过反向代理主机，形成安全区域（DMZ），在安全区域和内网、外网之间，分布搭建防火墙，从而对内网形成多层保护。
而对于内网的机器之间，例如GIS服务器和数据服务器之间，GIS服务器之间，都建议不要使用防火墙。
反向代理搭建方法就不在这里赘述了，感兴趣的朋友可以自行搜索。 综上各种方法，可以保护ArcGIS Server相关目录安全，防止非法用户破坏系统安全，也可以防止用户了解过多的服务信息，并且能够隐藏真实的服务地址。从而使被访问的内容最小化，隐蔽化，达到保护资源的目的。
文章来源：http://blog.csdn.net/esrichinacd/article/details/7974475
