Hvilke domener trenger ArcGIS Online i en tillatt-liste for brannmuren?
Et kart berører portal-, bakgrunnskart-, data- og lagringsendepunkter. Bygg listen ut fra Esris gjeldende domenekrav, ikke fra ett DNS-svar.
Et DNS-svar forteller deg hva et vertsnavn ble slått opp til i det øyeblikket du spurte. Det sier ikke at adressen er permanent, og det lister ikke opp alt kartet berører. Den forskjellen betyr mest når utgangen er begrenset til en kort tillatt-liste som noen har skrevet inn fra ett enkelt oppslag. Start med arbeidsflyten, og utled deretter listen fra leverandørens gjeldende krav. Det tilbakevendende eksempelet er en bedrifts-GIS-klient som når ArcGIS Online gjennom en begrenset VPN-utgang.
List opp hver komponent kartoperasjonen berører
Del operasjonen i deler: organisasjonens portal og tilgang til elementer, bakgrunnskartfliser, hostede funksjons- eller analysetjenester og eventuelle nedlastinger av elementer. Hver av dem kan ligge bak et annet endepunkt. Et kart som refererer til en ekstern ArcGIS Enterprise-tjeneste eller et OGC-endepunkt, legger til en avhengighet nettverksteamet aldri har hørt om. Skriv ned alt dette før noen sender inn en søknad om tillatt-liste. En komponent som mangler i den oversikten, feiler senere på en måte som ser ut som et legitimasjonsproblem.
| Component | Example host family | Form | Who owns it |
|---|---|---|---|
| Portal and item access | *.arcgis.com | Wildcard | Esri, under the organization subdomain |
| Basemaps and static tiles | *.arcgisonline.com | Wildcard | Esri |
| Hosted feature and analysis services | *.arcgis.com | Wildcard | Esri, same revision |
| Item downloads and regional storage | storage hosts named in the current revision | Revision-specific | Esri |
| ArcGIS Enterprise service | gis.example.com | FQDN | Your organization |
| OGC or third-party endpoint | provider host | FQDN | The provider |
| Custom domain in front of the portal | maps.example.com | FQDN | Your organization |
The Domain and FQDN Requirements document is where those families come from, and two of them carry most of the workflow: *.arcgis.com covers the organization portal, its items and the hosted services behind them, while *.arcgisonline.com serves basemaps and static tiles. Everything else is organization-specific, because an ArcGIS Enterprise service you host, an OGC endpoint or a custom domain in front of the portal has to be added by name. Take those entries from the same revision you read, since the regional storage hosts change between versions.
Vellykket pålogging til portalen er svakt bevis. Det beviser at portalendepunktet er nåbart fra den godkjente veien, og ingenting om fliser, analyse eller nedlastinger.
Velg wildcard eller FQDN fra gjeldende dokument
Esri publiserer Domain and FQDN Requirements, og revisjonen betyr noe fordi oppføringene for regional lagring endres mellom versjoner. Gjeldende dokument tilbyr både en wildcard-tilnærming på domenenivå og en strengere oversikt på vertsnavnnivå. Det fremhever også regionale lagringsverter og advarer om at eksterne systemer og egendefinerte domener legger til organisasjonsspesifikke oppføringer. Kopier revisjonen du faktisk leste, med dato, inn i endringsloggen.
En strengere liste koster vedlikeholdstid; en bredere tillatelse koster sikkerhetsomfang. Den avveiningen tilhører nettverkseieren, og den bør avgjøres mot dokumentet i stedet for mot et sett adresser noen fanget opp én gang under en arbeidsøkt.
Hold alternativet for statisk bakgrunnskart smalt
Esris brannmur-FAQ sier at akselerert levering av bakgrunnskart kan returnere dynamiske adresser. Samme oppføring dokumenterer en statisk IP-ordning spesielt for bakgrunnskart, som forlater akselerasjonsveien og kan redusere ytelsen. Ingen av utsagnene gjør portalen, de hostede dataene og lagringsvertene til én statisk adresse. Hvis en policy som bare tillater IP-adresser er obligatorisk, skaff den støttede ordningen fra Esri i stedet for å utvide et område du har gjettet.
Et gammelt DNS-svar er ikke en støttet ordning, og det vil råtne.
Skill ruten fra tillatelsen
En VPN-rute velger en vei; utgangsreglene avgjør om den veien kan nå destinasjonen. Dette er forskjellige kontroller, og en sunn tunnel sier ingenting om den andre. Derfor kan et kart feile for én bruker på ett nettverk og fungere for en annen bruker på samme konto. Kontroller regelen og ruten hver for seg før du klandrer tjenesten.
Begge kan være riktige mens arbeidsflyten fortsatt feiler, hvis oversikten er ufullstendig.
Verifiser komponent for komponent, og gi deretter listen en eier
Reproduser den feilende operasjonen og registrer hvilken komponent som feilet: portal, flis, funksjonstjeneste, nedlasting eller en ekstern tjeneste. Endre så ett policyelement og gjenta. En endring som fikser fliser sier ingenting om analysetjenester. Den komponentvise registreringen er også det som gjør den neste regionale oppdateringen til en avhengighetsendring i stedet for nok en runde med gjetting. Gå gjennom diagnostiske URL-er før du limer dem inn noe sted, fordi spørringsstrengen kan bære tokens og elementidentifikatorer.
Gi kravlisten en eier og en gjennomgangsdato knyttet til dokumentrevisjonen. Når Esri legger til en lagringsregion eller en tjenestevert, kjører den eieren oversikten på nytt i stedet for å oppdage hullet under en hendelse.