服务安全设计

2010Esri中国区域用户大会服务安全设计王坚目标构建安全的GIS服务，供互联网用户使用REST/SOAP适用于ArcGISServerforJava和.Net提纲使用反向代理服务器为敏感服务添加访问控制对敏感信息的传输使用HTTPS保护Cache目录使用代理页获取token使用反向代理服务器企业级安全机制验证授权防火墙日志加密架构1——直接访问内网RESTSOAPTOKENSWeb服务器SOMSOCsArcGISServer用户和角色ManagerArcMap数据架构2——使用反向代理服务器RESTSOAPTOKENSWeb服务器SOMSOCsArcGISServer用户和角色ManagerArcMap数据DMZ反向代理服务器反向代理服务器与防火墙两台web服务器，两个防火墙反向代理服务器ArcGISServerweb服务器优点：隐藏细节ArcGISServer运行在内网环境配置反向代理服务器ArcGISServer10虚拟机：WindowsServer2008IP：192.168.137.2反向代理服务器Windows7，域名：IP：192.168.137.1&192.168.100.101Apache2.2.11添加虚拟路径修改服务的配置使用新添加的output和cache目录修改REST配置java\manager\web_output\rest\WEB-INF\classesserver.propertiesresources\rest-config.properties…com.esri.rest.SOAP_URL==……base.url=…添加映射ApacheProxyRequestsOffProxyPassMatch(?i)^/arcgis/services(.*)$://192.168.137.2:8399/arcgis/servicesProxyPassMatch(?i)^/arcgis/rest(.*)$://192.168.137.2:8399/arcgis/rest新的ServiceDirectory程序和SOAP应用所有的链接都通过反向代理服务器的域名地址访问(Demo)为敏感的服务添加访问控制访问控制的主要模块用户和角色存储支持LDAP，数据库，自定义提供访问这些信息的API可以不企业现有的用户管理策略结合权限存储每个角色拥有的访问权限提供访问这些信息的APIArcGISTokenServiceDemo配置存储管理用户和角色GIS服务的安全机制基于角色的访问控制访问权限是授予角色的验证的时候会检查用户拥有的角色通过Token进行访问控制访问安全的GIS服务时要求在URL中添加tokenArcGISTokenService用来生成token桌面客户端和WebADF程序可以自劢获取token并使用通过Manager配置访问权限Token包含的信息Token是一个包含一些加密信息的字符串:用户名有效期客户端IDIP地址或WebURL(HTTPReferrer)TokenService的使用方法开发人员5.把Token复制到代码Tokenservice2.请求tokenArcGISServer(用户/角色)3.身份验证1.访问Tokenservice页面4.返回TokenWebAPI/REST客户端如何使用Token客户端程序PermissionStore(.SEC文件)SOMWeb服务器GISServicesWebservicehandlerTokenservice用户/角色1.客户端携带token发送请求2.获取用户角色、服务授权的角色3.返回请求的数据Demo配置GIS服务的访问控制JavaScriptAPI程序（RESTAPI）访问非安全的GIS服务访问安全的GIS服务从TokenService获取Token对敏感信息的传输使用HTTPSHTTPS的实现方式导出TokenService，部署到配置了SSL的web服务器上在反向代理服务器上配置SSLTokenServiceHTTPSHTTP修改SOAP和REST的security.xml文件%INSTALL_PATH%\java\manager\web_outputservices\WEB-INF\classes\security.xmlrest\WEB-INF\classes\security.xml反向代理服务器entrykey=TokenServiceURL=TokenServiceURL(?i)^/arcgis/tokens(.*)$://192.168.137.2:8399/arcgis/tokensDemoFiddler抓取HTTPS和HTTP两种获取Token的方式保护Cache目录保护Cache目录目标阻止直接通过cache图片的URL地址访问ADFREST阻止直接通过RESTURL访问Cache图片设置访问控制只有提供token才能访问cache图片直接输入URL地址会重定向到登录页面Demo阻止直接通过Cache虚拟路径访问图片ADF程序默认是使用cache的虚拟路径来获取图片的(Demo)阻止直接通过Cache虚拟路径访问图片删除cache的虚拟路径先停止所有使用cache的地图服务重启地图服务去掉proxycache的反向代理映射设为空#ProxyPassMatch(?i)^/proxycache/(.*)$://192.168.137.2:8399/arcgis/server/proxycache/阻止直接通过Cache虚拟路径访问图片cache虚拟路径丌再可用，换成了SOAP形式的URL(Demo)阻止匿名访问？添加访问控制（Demo）.../MapServer?format=png&mapname=Layers&level=1&row=5&column=6使用代理页获取token使用代理页获取token——proxypage主要针对REST开发方式，JavaScript、Flex、SilverlightASP.NET，JAVA/JSP，PHPToken如果过期HTTP错误代码498定期在源代码中更新Token值Proxypage在服务器端的代理页中嵌入Token优点：token丌会暴露给客户端缺点：token会过期，需要定期更新使用代理页获取token——步骤下载相应的proxypageproxypage_net.zip，proxypage_java.zip，roxypage_php.zip获取token指定IP使用代理页获取token——步骤修改proxypage修改页面代码String[]serverUrls={//url[,token]//(有访问控制的服务器):http://[host1]/arcgis/rest/services,[token]//(没有访问控制的服务器):http://[host2]/arcgis/rest/services[token]};esri.config.defaults.io.proxyUrl=proxy16.jsp;//指定proxy.jsp的位置esri.config.defaults.io.alwaysUseProxy=true;Demo丌使用代理使用代理