Quais domínios o ArcGIS Online precisa em uma lista de permissões do firewall?
Um mapa toca endpoints de portal, mapa base, dados e armazenamento. Monte a lista de permissões a partir dos requisitos atuais de domínio da Esri, não de uma única resposta DNS.
Uma resposta DNS diz a qual endereço um nome de host foi resolvido no momento em que você perguntou. Ela não diz que o endereço é permanente e não enumera tudo o que o mapa toca. Essa distinção importa mais quando a saída está restrita a uma lista curta que alguém digitou a partir de uma única consulta. Comece pelo fluxo de trabalho e depois derive a lista dos requisitos atuais do provedor. O exemplo recorrente é um cliente de GIS corporativo que alcança o ArcGIS Online por uma saída VPN restrita.
Liste cada componente que a operação do mapa toca
Divida a operação em partes: o portal da organização e o acesso aos itens, as telhas do mapa base, os serviços hospedados de feição ou de análise e qualquer download de itens. Cada um pode estar atrás de um endpoint diferente. Um mapa que referencia um serviço externo do ArcGIS Enterprise ou um endpoint OGC adiciona uma dependência da qual a equipe de rede nunca ouviu falar. Anote tudo isso antes de alguém abrir uma solicitação de lista de permissões. Um componente ausente desse inventário falha mais tarde de um modo que parece um problema de credenciais.
| Component | Example host family | Form | Who owns it |
|---|---|---|---|
| Portal and item access | *.arcgis.com | Wildcard | Esri, under the organization subdomain |
| Basemaps and static tiles | *.arcgisonline.com | Wildcard | Esri |
| Hosted feature and analysis services | *.arcgis.com | Wildcard | Esri, same revision |
| Item downloads and regional storage | storage hosts named in the current revision | Revision-specific | Esri |
| ArcGIS Enterprise service | gis.example.com | FQDN | Your organization |
| OGC or third-party endpoint | provider host | FQDN | The provider |
| Custom domain in front of the portal | maps.example.com | FQDN | Your organization |
The Domain and FQDN Requirements document is where those families come from, and two of them carry most of the workflow: *.arcgis.com covers the organization portal, its items and the hosted services behind them, while *.arcgisonline.com serves basemaps and static tiles. Everything else is organization-specific, because an ArcGIS Enterprise service you host, an OGC endpoint or a custom domain in front of the portal has to be added by name. Take those entries from the same revision you read, since the regional storage hosts change between versions.
O login no portal funcionar é uma prova fraca. Ele prova que o endpoint do portal é alcançável pelo caminho aprovado, e nada sobre telhas, análise ou downloads.
Escolha wildcard ou FQDN no documento atual
A Esri publica o Domain and FQDN Requirements, e a revisão importa porque as entradas de armazenamento regional mudam entre versões. O documento atual oferece tanto uma abordagem wildcard no nível de domínio quanto um inventário mais rigoroso no nível de nome de host. Ele também destaca os hosts de armazenamento regional e avisa que sistemas externos e domínios personalizados adicionam entradas específicas da organização. Copie para o registro de mudanças a revisão que você realmente leu, com a data incluída.
Uma lista mais rigorosa custa tempo de manutenção; uma permissão mais ampla custa superfície de segurança. Essa troca pertence ao dono da rede, e deve ser decidida com base no documento e não em um conjunto de endereços que alguém capturou uma vez durante uma sessão de trabalho.
Mantenha a opção de mapa base estático estreita
O FAQ de firewall da Esri afirma que a entrega acelerada de mapas base pode devolver endereços dinâmicos. A mesma entrada documenta um arranjo de IP estático especificamente para mapas base, que abandona o caminho de aceleração e pode reduzir o desempenho. Nenhuma das duas afirmações transforma o portal, os dados hospedados e os hosts de armazenamento em um único endereço estático. Se uma política que permite apenas endereços IP for obrigatória, obtenha da Esri o arranjo suportado em vez de ampliar uma faixa que você adivinhou.
Uma resposta DNS antiga não é um arranjo suportado, e vai apodrecer.
Separe a rota da permissão
Uma rota VPN seleciona um caminho; as regras de saída decidem se esse caminho pode alcançar o destino. São controles diferentes, e um túnel saudável não diz nada sobre o segundo. Por isso um mapa pode falhar para um usuário em uma rede e funcionar para outro usuário na mesma conta. Verifique a regra e a rota separadamente antes de culpar o serviço.
Ambos podem estar corretos enquanto o fluxo de trabalho ainda falha, se o inventário estiver incompleto.
Verifique componente por componente e depois dê à lista um responsável
Reproduza a operação que falha e registre qual componente falhou: portal, telha, serviço de feição, download ou serviço externo. Depois mude um elemento de política e repita. Uma mudança que conserta telhas não diz nada sobre serviços de análise. Esse registro por componente também é o que transforma a próxima atualização regional em uma mudança de dependência em vez de mais uma rodada de suposições. Revise as URL de diagnóstico antes de colá-las em qualquer lugar, porque a string de consulta pode carregar tokens e identificadores de itens.
Dê à lista de requisitos um responsável e uma data de revisão vinculada à revisão do documento. Quando a Esri adiciona uma região de armazenamento ou um host de serviço, esse responsável executa o inventário novamente em vez de descobrir a lacuna durante um incidente.