Welche Domains braucht ArcGIS Online in einer Firewall-Allowlist?

Eine DNS-Antwort sagt Ihnen, wohin ein Hostname in dem Moment aufgelöst wurde, in dem Sie gefragt haben. Sie sagt nicht, dass die Adresse dauerhaft ist, und sie zählt nicht auf, was die Karte alles berührt. Dieser Unterschied zählt am meisten, wenn der ausgehende Verkehr auf eine kurze Allowlist beschränkt ist, die jemand aus einer einzigen Abfrage abgetippt hat. Beginnen Sie beim Workflow und leiten Sie die Liste dann aus den aktuellen Anforderungen des Anbieters ab. Das wiederkehrende Beispiel ist ein Enterprise-GIS-Client, der ArcGIS Online über einen eingeschränkten VPN-Ausgang erreicht.

Listen Sie jede Komponente auf, die der Kartenvorgang berührt

Zerlegen Sie den Vorgang in Teile: das Portal der Organisation und den Elementzugriff, Basemap-Kacheln, gehostete Feature- oder Analyse-Dienste und alle Element-Downloads. Jeder Teil kann hinter einem anderen Endpunkt liegen. Eine Karte, die auf einen externen ArcGIS-Enterprise-Dienst oder einen OGC-Endpunkt verweist, fügt eine Abhängigkeit hinzu, von der das Netzwerkteam noch nie gehört hat. Schreiben Sie all das auf, bevor jemand einen Allowlist-Antrag stellt. Eine Komponente, die in diesem Inventar fehlt, scheitert später auf eine Weise, die wie ein Anmeldedatenproblem aussieht.

The Domain and FQDN Requirements document is where those families come from, and two of them carry most of the workflow: *.arcgis.com covers the organization portal, its items and the hosted services behind them, while *.arcgisonline.com serves basemaps and static tiles. Everything else is organization-specific, because an ArcGIS Enterprise service you host, an OGC endpoint or a custom domain in front of the portal has to be added by name. Take those entries from the same revision you read, since the regional storage hosts change between versions.

Eine erfolgreiche Portal-Anmeldung ist ein schwacher Beweis. Sie belegt, dass der Portal-Endpunkt über den freigegebenen Pfad erreichbar ist, und nichts über Kacheln, Analyse oder Downloads.

Wählen Sie Wildcard oder FQDN aus dem aktuellen Dokument

Esri veröffentlicht Domain and FQDN Requirements, und die Revision ist entscheidend, weil sich die Einträge für regionale Speicherung zwischen Versionen ändern. Das aktuelle Dokument bietet sowohl einen Wildcard-Ansatz auf Domain-Ebene als auch ein strengeres Inventar auf Hostnamen-Ebene. Es nennt außerdem regionale Speicher-Hosts und warnt davor, dass externe Systeme und benutzerdefinierte Domains organisationsspezifische Einträge hinzufügen. Kopieren Sie die Revision, die Sie tatsächlich gelesen haben, samt Datum, in das Änderungsprotokoll.

Eine strengere Liste kostet Wartungszeit; eine breitere Freigabe kostet Sicherheitsumfang. Dieser Kompromiss gehört dem Netzwerkeigentümer und sollte anhand des Dokuments entschieden werden, nicht anhand einer Reihe von Adressen, die jemand einmal während einer Arbeitssitzung erfasst hat.

Halten Sie die Option für statische Basemaps eng

Die Firewall-FAQ von Esri stellt fest, dass eine beschleunigte Basemap-Bereitstellung dynamische Adressen zurückgeben kann. Derselbe Eintrag dokumentiert eine statische IP-Regelung speziell für Basemaps, die den Beschleunigungspfad verlässt und die Leistung verringern kann. Keine der Aussagen macht das Portal, die gehosteten Daten und die Speicher-Hosts zu einer einzigen statischen Adresse. Wenn eine Richtlinie, die nur IP-Adressen zulässt, zwingend ist, holen Sie die unterstützte Regelung bei Esri ein, statt einen Bereich zu erweitern, den Sie geraten haben.

Eine alte DNS-Antwort ist keine unterstützte Regelung, und sie wird verrotten.

Trennen Sie die Route von der Berechtigung

Eine VPN-Route wählt einen Pfad; die Ausgangsregeln entscheiden, ob dieser Pfad das Ziel erreichen darf. Das sind verschiedene Kontrollen, und ein gesunder Tunnel sagt nichts über die zweite aus. Deshalb kann eine Karte für einen Benutzer in einem Netz fehlschlagen und für einen anderen Benutzer im selben Konto funktionieren. Prüfen Sie Regel und Route getrennt, bevor Sie dem Dienst die Schuld geben.

Beides kann korrekt sein, während der Workflow weiterhin scheitert, wenn das Inventar unvollständig ist.

Prüfen Sie Komponente für Komponente und geben Sie der Liste dann einen Eigentümer

Reproduzieren Sie den fehlschlagenden Vorgang und halten Sie fest, welche Komponente versagt hat: Portal, Kachel, Feature-Dienst, Download oder ein externer Dienst. Ändern Sie dann ein Richtlinienelement und wiederholen Sie den Test. Eine Änderung, die Kacheln repariert, sagt nichts über Analyse-Dienste. Diese Aufzeichnung pro Komponente ist auch das, was das nächste regionale Update zu einer Abhängigkeitsänderung macht statt zu einer weiteren Rate-Runde. Prüfen Sie diagnostische URLs, bevor Sie sie irgendwo einfügen, denn die Abfragezeichenfolge kann Token und Element-IDs enthalten.

Geben Sie der Anforderungsliste einen Eigentümer und ein Überprüfungsdatum, das an die Dokumentrevision gebunden ist. Wenn Esri eine Speicherregion oder einen Dienst-Host hinzufügt, lässt dieser Eigentümer das Inventar erneut laufen, statt die Lücke während eines Vorfalls zu entdecken.