Які домени потрібні ArcGIS Online у списку дозволів міжмережевого екрана?
Карта звертається до кінцевих точок порталу, базової карти, даних і сховища. Будуйте список дозволів з актуальних вимог Esri до доменів, а не з однієї відповіді DNS.
Відповідь DNS повідомляє, в яку адресу ім'я хоста розв'язалося в момент запиту. Вона не каже, що адреса постійна, і не перелічує все, до чого звертається карта. Ця різниця найважливіша, коли вихідний трафік обмежений коротким списком дозволів, який хтось набрав з одного запиту. Почніть із робочого процесу, потім виведіть список з актуальних вимог постачальника. Повторюваний приклад — корпоративний клієнт GIS, який звертається до ArcGIS Online через обмежений вихід VPN.
Перелічіть кожен компонент, до якого звертається операція з картою
Поділіть операцію на частини: портал організації та доступ до елементів, тайли базової карти, розміщені сервіси об'єктів або аналізу та будь-які завантаження елементів. Кожна може бути за різною кінцевою точкою. Карта, що посилається на зовнішній сервіс ArcGIS Enterprise або кінцеву точку OGC, додає залежність, про яку команда мережі ніколи не чула. Запишіть усе це до того, як хтось подасть заявку на список дозволів. Компонент, відсутній у цьому переліку, згодом відмовляє так, що це виглядає як проблема з обліковими даними.
| Component | Example host family | Form | Who owns it |
|---|---|---|---|
| Portal and item access | *.arcgis.com | Wildcard | Esri, under the organization subdomain |
| Basemaps and static tiles | *.arcgisonline.com | Wildcard | Esri |
| Hosted feature and analysis services | *.arcgis.com | Wildcard | Esri, same revision |
| Item downloads and regional storage | storage hosts named in the current revision | Revision-specific | Esri |
| ArcGIS Enterprise service | gis.example.com | FQDN | Your organization |
| OGC or third-party endpoint | provider host | FQDN | The provider |
| Custom domain in front of the portal | maps.example.com | FQDN | Your organization |
The Domain and FQDN Requirements document is where those families come from, and two of them carry most of the workflow: *.arcgis.com covers the organization portal, its items and the hosted services behind them, while *.arcgisonline.com serves basemaps and static tiles. Everything else is organization-specific, because an ArcGIS Enterprise service you host, an OGC endpoint or a custom domain in front of the portal has to be added by name. Take those entries from the same revision you read, since the regional storage hosts change between versions.
Успішний вхід до порталу — слабкий доказ. Він доводить, що кінцева точка порталу доступна зі схваленого шляху, і нічого про тайли, аналіз чи завантаження.
Виберіть wildcard або FQDN з актуального документа
Esri публікує Domain and FQDN Requirements, і редакція важлива, бо записи регіонального сховища змінюються між версіями. Актуальний документ пропонує і підхід із wildcard на рівні домену, і суворіший перелік на рівні імені хоста. Він також виділяє хости регіонального сховища і попереджає, що зовнішні системи та власні домени додають записи, специфічні для організації. Скопіюйте в журнал змін ту редакцію, яку ви справді читали, разом із датою.
Суворіший список коштує часу на супровід; ширший дозвіл коштує охоплення безпеки. Цей компроміс належить власнику мережі, і його слід вирішувати за документом, а не за набором адрес, який хтось одного разу зафіксував під час робочої сесії.
Тримайте варіант зі статичною базовою картою вузьким
У поширених запитаннях Esri про міжмережевий екран сказано, що прискорене постачання базових карт може повертати динамічні адреси. Той самий запис документує схему зі статичною IP-адресою спеціально для базових карт, яка залишає шлях прискорення і може знизити продуктивність. Жодне з цих тверджень не перетворює портал, розміщені дані та хости сховища на одну статичну адресу. Якщо політика, що дозволяє лише IP-адреси, є обов'язковою, отримайте підтримувану схему від Esri замість розширення діапазону, який ви вгадали.
Стара відповідь DNS не є підтримуваною схемою, і вона згниє.
Відокремте маршрут від дозволу
Маршрут VPN вибирає шлях; правила виходу вирішують, чи може цей шлях досягти призначення. Це різні засоби контролю, і здоровий тунель нічого не каже про другий. Тому карта може не працювати в одного користувача в одній мережі й працювати в іншого користувача в тому самому обліковому записі. Перевіряйте правило й маршрут окремо, перш ніж звинувачувати сервіс.
Обидва можуть бути правильними, а робочий процес усе ще не працює, якщо перелік неповний.
Перевіряйте компонент за компонентом, потім призначте списку власника
Відтворіть збійну операцію і зафіксуйте, який компонент відмовив: портал, тайл, сервіс об'єктів, завантаження чи зовнішній сервіс. Потім змініть один елемент політики і повторіть. Зміна, що виправляє тайли, нічого не каже про сервіси аналізу. Цей запис за компонентами також перетворює наступне регіональне оновлення на зміну залежностей, а не на чергове коло здогадів. Перегляньте діагностичні URL, перш ніж кудись їх вставити, бо рядок запиту може нести токени та ідентифікатори елементів.
Призначте списку вимог власника й дату перегляду, прив'язану до редакції документа. Коли Esri додає регіон сховища або хост сервісу, цей власник знову запускає перелік, а не виявляє прогалину під час інциденту.