Hvilke domæner skal ArcGIS Online have i en firewall-tilladelsesliste?
Et kort rører portal-, baggrundskort-, data- og lagerendepunkter. Byg tilladelseslisten ud fra Esris aktuelle domænekrav, ikke ud fra ét DNS-svar.
Et DNS-svar fortæller dig, hvad et værtsnavn blev opløst til i det øjeblik, du spurgte. Det fortæller ikke, at adressen er permanent, og det oplister ikke alt, hvad kortet rører. Den forskel er vigtigst, når udgående trafik er begrænset til en kort tilladelsesliste, som nogen har skrevet ud fra et enkelt opslag. Start med arbejdsgangen, og udled derefter listen af udbyderens aktuelle krav. Det tilbagevendende eksempel er en enterprise-GIS-klient, der når ArcGIS Online gennem en begrænset VPN-udgang.
Oplist hver komponent, som kortoperationen rører
Del operationen op i dele: organisationens portal og vareadgang, baggrundskortfliser, hostede feature- eller analysetjenester og eventuelle varedownloads. Hver af dem kan ligge bag et forskelligt endepunkt. Et kort, der refererer til en ekstern ArcGIS Enterprise-tjeneste eller et OGC-endepunkt, tilføjer en afhængighed, som netværksteamet aldrig har hørt om. Skriv det hele ned, før nogen indsender en anmodning om en tilladelsesliste. En komponent, der mangler i den fortegnelse, fejler senere på en måde, der ligner et legitimationsproblem.
| Component | Example host family | Form | Who owns it |
|---|---|---|---|
| Portal and item access | *.arcgis.com | Wildcard | Esri, under the organization subdomain |
| Basemaps and static tiles | *.arcgisonline.com | Wildcard | Esri |
| Hosted feature and analysis services | *.arcgis.com | Wildcard | Esri, same revision |
| Item downloads and regional storage | storage hosts named in the current revision | Revision-specific | Esri |
| ArcGIS Enterprise service | gis.example.com | FQDN | Your organization |
| OGC or third-party endpoint | provider host | FQDN | The provider |
| Custom domain in front of the portal | maps.example.com | FQDN | Your organization |
The Domain and FQDN Requirements document is where those families come from, and two of them carry most of the workflow: *.arcgis.com covers the organization portal, its items and the hosted services behind them, while *.arcgisonline.com serves basemaps and static tiles. Everything else is organization-specific, because an ArcGIS Enterprise service you host, an OGC endpoint or a custom domain in front of the portal has to be added by name. Take those entries from the same revision you read, since the regional storage hosts change between versions.
At portallogin lykkes, er svagt bevis. Det beviser, at portalens endepunkt kan nås fra den godkendte vej, og intet om fliser, analyse eller downloads.
Vælg wildcard eller FQDN ud fra det aktuelle dokument
Esri udgiver Domain and FQDN Requirements, og revisionen betyder noget, fordi posterne for regionalt lager ændrer sig mellem versioner. Det aktuelle dokument tilbyder både en wildcard-tilgang på domæneniveau og en strengere fortegnelse på værtsnavnniveau. Det fremhæver også regionale lagerverter og advarer om, at eksterne systemer og brugerdefinerede domæner tilføjer organisationsspecifikke poster. Kopier den revision, du faktisk læste, med dato, ind i ændringsloggen.
En strengere liste koster vedligeholdelsestid; en bredere tilladelse koster sikkerhedsomfang. Den afvejning tilhører netværksejeren, og den bør afgøres ud fra dokumentet i stedet for ud fra et sæt adresser, som nogen har fanget én gang under en arbejdsgang.
Hold muligheden for statisk baggrundskort snæver
Esris firewall-FAQ angiver, at accelereret levering af baggrundskort kan returnere dynamiske adresser. Samme post dokumenterer en statisk IP-ordning specifikt til baggrundskort, som forlader accelerationsvejen og kan reducere ydeevnen. Ingen af udsagnene gør portalen, de hostede data og lagerverterne til én statisk adresse. Hvis en politik, der kun tillader IP-adresser, er obligatorisk, skal du skaffe den understøttede ordning fra Esri i stedet for at udvide et interval, du har gættet.
Et gammelt DNS-svar er ikke en understøttet ordning, og det vil rådne.
Adskil ruten fra tilladelsen
En VPN-rute vælger en vej; udgangsreglerne afgør, om den vej må nå destinationen. Det er forskellige kontroller, og en sund tunnel siger intet om den anden. Derfor kan et kort fejle for én bruger på ét netværk og virke for en anden bruger på samme konto. Kontroller reglen og ruten hver for sig, før du bebrejder tjenesten.
Begge kan være korrekte, mens arbejdsgangen stadig fejler, hvis fortegnelsen er ufuldstændig.
Verificer komponent for komponent, og giv derefter listen en ejer
Reproducer den fejlende operation, og registrer hvilken komponent der fejlede: portal, flise, featuretjeneste, download eller en ekstern tjeneste. Skift derefter ét policyelement, og gentag. En ændring, der retter fliser, siger intet om analysetjenester. Den fortegnelse pr. komponent er også det, der gør den næste regionale opdatering til en afhængighedsændring i stedet for endnu en runde gætteri. Gennemgå diagnostiske URL'er, før du indsætter dem nogen steder, fordi forespørgselsstrengen kan bære tokens og vare-id'er.
Giv kravlisten en ejer og en gennemgangsdato knyttet til dokumentrevisionen. Når Esri tilføjer en lagerregion eller en tjenestevært, kører den ejer fortegnelsen igen i stedet for at opdage huller under en hændelse.