Quali domini serve ad ArcGIS Online in una whitelist del firewall?

Una risposta DNS vi dice a quale indirizzo si è risolto un nome host nel momento in cui avete chiesto. Non dice che l’indirizzo è permanente e non elenca tutto ciò che la mappa tocca. Questa distinzione conta soprattutto quando l’uscita è limitata a una breve whitelist che qualcuno ha digitato da un’unica ricerca. Partite dal flusso di lavoro e poi ricavate l’elenco dai requisiti attuali del fornitore. L’esempio ricorrente è un client GIS aziendale che raggiunge ArcGIS Online attraverso un’uscita VPN limitata.

Elencate ogni componente che l’operazione della mappa tocca

Scomponete l’operazione in parti: il portale dell’organizzazione e l’accesso agli elementi, le tessere della mappa di base, i servizi ospitati di feature o di analisi e qualsiasi download di elementi. Ognuna può stare dietro un endpoint diverso. Una mappa che fa riferimento a un servizio ArcGIS Enterprise esterno o a un endpoint OGC aggiunge una dipendenza di cui il team di rete non ha mai sentito parlare. Annotate tutto prima che qualcuno presenti una richiesta di whitelist. Un componente assente da quell’inventario fallisce più tardi in un modo che sembra un problema di credenziali.

The Domain and FQDN Requirements document is where those families come from, and two of them carry most of the workflow: *.arcgis.com covers the organization portal, its items and the hosted services behind them, while *.arcgisonline.com serves basemaps and static tiles. Everything else is organization-specific, because an ArcGIS Enterprise service you host, an OGC endpoint or a custom domain in front of the portal has to be added by name. Take those entries from the same revision you read, since the regional storage hosts change between versions.

Un accesso riuscito al portale è una prova debole. Dimostra che l’endpoint del portale è raggiungibile dal percorso approvato, e nulla su tessere, analisi o download.

Scegliete wildcard o FQDN dal documento attuale

Esri pubblica Domain and FQDN Requirements, e la revisione conta perché le voci di archiviazione regionale cambiano tra le versioni. Il documento attuale offre sia un approccio wildcard a livello di dominio sia un inventario più rigoroso a livello di nome host. Segnala anche gli host di archiviazione regionale e avverte che sistemi esterni e domini personalizzati aggiungono voci specifiche dell’organizzazione. Copiate nel registro delle modifiche la revisione che avete realmente letto, data inclusa.

Un elenco più rigoroso costa tempo di manutenzione; un’autorizzazione più ampia costa superficie di sicurezza. Quel compromesso spetta al proprietario della rete, e va deciso rispetto al documento e non rispetto a un insieme di indirizzi che qualcuno ha catturato una volta durante una sessione di lavoro.

Tenete stretta l’opzione della mappa di base statica

Le FAQ sul firewall di Esri affermano che la distribuzione accelerata delle mappe di base può restituire indirizzi dinamici. La stessa voce documenta un accordo con IP statico specificamente per le mappe di base, che abbandona il percorso di accelerazione e può ridurre le prestazioni. Nessuna delle due affermazioni trasforma il portale, i dati ospitati e gli host di archiviazione in un unico indirizzo statico. Se una politica che consente solo indirizzi IP è obbligatoria, ottenete da Esri l’accordo supportato invece di ampliare un intervallo che avete indovinato.

Una vecchia risposta DNS non è un accordo supportato, e marcirà.

Separate la rotta dall’autorizzazione

Una rotta VPN seleziona un percorso; le regole di uscita decidono se quel percorso può raggiungere la destinazione. Sono controlli diversi, e un tunnel sano non dice nulla sul secondo. Per questo una mappa può fallire per un utente su una rete e funzionare per un altro utente sullo stesso account. Verificate la regola e la rotta separatamente prima di dare la colpa al servizio.

Entrambi possono essere corretti mentre il flusso di lavoro fallisce ancora, se l’inventario è incompleto.

Verificate componente per componente, poi date un proprietario all’elenco

Riproducete l’operazione che fallisce e registrate quale componente ha fallito: portale, tessera, servizio di feature, download o servizio esterno. Poi cambiate un elemento della politica e ripetete. Una modifica che sistema le tessere non vi dice nulla sui servizi di analisi. Quella registrazione per componente è anche ciò che trasforma il prossimo aggiornamento regionale in un cambio di dipendenza invece che in un altro giro di congetture. Esaminate gli URL diagnostici prima di incollarli da qualche parte, perché la stringa di query può trasportare token e identificatori di elementi.

Date all’elenco dei requisiti un proprietario e una data di revisione legata alla revisione del documento. Quando Esri aggiunge una regione di archiviazione o un host di servizio, quel proprietario riesegue l’inventario invece di scoprire la lacuna durante un incidente.