Version 4.1. securitymanager. What's New?

Transkript

1 Version 4.1 securitymanager What's New?

2 1 Neue Features der Version Neue Features der Version Neue Features der Version Neue Features der Version Neue Features der Version Neue Features der Version

3 3

4 4

5 Neue Features der Version 4.1 ArcGIS for Server 10.1 Support ArcGIS for Server 10.1 können in gleichem Umfang wie Instanzen der Versionen 10.0 und 9.3 abgesichert werden. MapServer-Anfragen, die versuchen einen dynamische Layer zu erzeugen, werden in dieser Version des securitymanager abgewiesen. ArcGIS for Server und HTTP Basic Authentication securitymanager erlaubt die Absicherung von ArcGIS Server Instanzen die ihrerseits über den HTTP Basic Authentication-Mechanismus abgesichert sind. Passwort-Wiederherstellung securitymanager bietet eine Funktion zur Wiederherstellung vergessener Passwörter. Benutzer können den Versand einer mit zufälliger Wiederherstellungs-ID unter Angabe des Benutzernamens starten. WMTS Support securitymanager unterstützt das Absichern von WMTS Layern inklusive Durchsetzung räumlicher Beschränkungen. WFS Rechte mit Filterausdrücken WFS Berechtigungen erlauben die Angabe eines OGC Filter Encoding-Ausdrucks, über den ausgewählt werden kann, welche Features von einem geschützten WFS zurückgegeben werden sollen. Optionale Nutzer-Attribute Einige der bei der Nutzerregistrierung oder beim Anlegen eines Nutzers einzutragenden Nutzerattribute sind nun optional. Grundlegende WFS 2.0 Unterstützung securitymanager unterstützt die Absicherung und Erstellung von Berechtigungen für WFS 2.0-konforme Dienste. "Stored queries", Rechte mit räumlichen Einschränkungen und Rechte mit Einschränkungen basierend OGC Filter-Ausdrücken werden derzeit für WFS 2.0 nicht unterstützt. 5

6 Erweiterte Definition Queries Bei der Anfrage von Karten- oder Featurediensten, die von ArcGIS for Server bereitgestellt werden, können generell Definition Queries verwendet werden, um analog zu SQL Anfragen die Menge der zurückgegebenen Objekte einzuschränken. Mit securitymanager können diese Definition Queries an Rechte gebunden werden, sodass bestimmte Objekte nur für zugelassene Rollen zugreifbar sind. Im securitymanager 4.1 sind Definition Queries nun für folgende Dienstetypen verfügbar: ArcGIS for Server MapServer ArcGIS for Server FeatureServer WMS (beschränkt auf WMS die durch ArcGIS for Server 10.1 SP 1 oder spätere Versionen bereitgestellt werden) Außerdem können nun in Definition Queries Attribute des aktuell anfragenden Nutzers referenziert werden, sodass bei entsprechendem Datenmodell des geschützten Dienstes z.b. nur die Objekte zurückgegeben werden, bei den das Attribut "Besitzer" gleich dem Nutzernamen des anfragenden Nutzers ist. ArcGIS for Server FeatureServer securitymanager erlaubt nun die Definition von Berechtigungen auf Layer bzw. Tables eines FeatureServer. Dabei kann zwischen lesendem und schreibendem Zugriff unterschieden werden. Verbesserte Performance für MapServer Feature Anfragen Die Geschwindigkeit und der Speicherverbrauch bei Nutzung der Query-Schnittstelle des ArcGIS for Server MapServer wurden wesentlich optimiert. Attribut-Einschränkungen bei Editieroperationen Für Editieroperationen auf ArcGIS Server Feature Server können Einschränkungen bzgl. der Werte festgelegt werden, die Felder eines editierten (also hinzuzufügenden oder zu aktualisierenden) Features besitzen müssen, damit das Feature akzeptiert wird. 6

7 Neue Features der Version 4.0 Domain-Cookie-basiertes Single-Sign-On (SSO) Produktübergreifendes Single Sign-On (auch bei Zugriff auf geschützte Dienste) Integration externer Java Web Apps ins securitymanager SSO Föderations-Unterstützung (SAML 2.0) Föderations-weites Single-Sign-On auf Basis von SAML 2.0 SAML 2.0 Identity Provider (IdP) SAML 2.0 Service Provider (SP) Attribut-Mapping Verwendung persistenter Pseudonyme für externe Service Provider Verwendung des Windows-Logins zur Anmeldung am securitymanager Bei Verwendung eines Active Directory mit Active Directory Federation Services ( ADFS) kann das Active Directory als SAML 2.0 IdP konfiguriert werden Wenn der verwendete Browser NTLM-Authentifizierung unterstützt, kann das Windows-Login für den Zugriff auf den securitymanager verwendet werden REST-Schnittstelle zum Policy-Management REST-Schnittstelle zum Bearbeiten der securitymanager-policies ODATA konform Brief-Token-Support Verwendung kurzer Token beim Token-Service zur Einhaltung von Maximallängen in URLs LDAP/ADS-Konfiguration Einführung von '*' als Wildcard für das Rollen-Mapping von LDAP/ADS-Attributen. 7

8 Neue Features der Version 3.2 Erweiterte ArcGIS Server-Unterstützung Räumliche Autorisierung für cached MapServer HTML-Catalog-Ansicht für MapServer und FeatureServer Unterstützung für Web Mercator CRS (EPSG:3857) wie von ArcGIS Online verwendet Security Script-Filter zur Verhinderung von Cross-Site-Scripting Verhinderung von Brute-Force-Attacken auf Login- und Selbstregistrierungsfunktion Erweiterte Möglichkeiten zur Definition von Passwort-Policies Speicherung der Passwort-Historie und Verhinderung von Passwort-Wiederholungen Login Audit (Speicherung aller erfolgreichen und fehlgeschlagenen Login-Versuche) Nutzerverwaltung Hybrides Nutzermanagement zur parallelen Verwendung mehrerer Nutzerverwaltungen Verwendung von externen Logos beim Single-Sign-On für Drittsysteme 8

9 Neue Features der Version Zugriffsbeschränkungen mit ArcGIS Definition Queries Logging Mit Berechtigungen können Definition Queries" (s. Esri ArcMap) verknüpft werden, sodass sich bestimmte Objekte eines Kartenlayers ausblenden lassen, z. B. sicherheitsrelevante Einrichtungen. Logging zusätzlicher Nutzerattribute, z. B. Adresse des zugreifenden Nutzers Neuer Token Service Zusätzlicher Dienst zur Generierung von Nutzertokens im JSON-Format Zusätzliche Authentifizierungsmethode für geschützte Dienste, die Nutzertokens des neuen Token Service akzeptiert Nutzerverwaltung Gültige Namen für Nutzerkonten werden durch regulären Ausdruck beschrieben und dürfen zusätzliche Sonderzeichen enthalten, z. 9

10 Neue Features der Version 3.1 Unterstützte Services Logging Unterstützung von ArcGIS Server 10 Unterstützung von INSPIRE-View und Feature-Download-Diensten Umfangreiche Logging-Möglichkeiten Zusätzliche Unterstützung weiterer Servlet-Container Tomcat 5.5.x [ ] with JDK 1.5.x [1.5.0_21+], 32bit or JDK 1.5.x [1.5.0_20+] 64-bit Tomcat 6.0.x [ ] with JDK 1.6.x [1.6.0_16+], 32bit or JDK 1.6.x [1.6.0_15b03+] 64-bit Oracle WebLogic 10.1 Oracle WebLogic 10.3 Sun GlassFish 2.1 Servlet Exec AS 6.0 Zusätzliche Unterstützung weiterer Browser Firefox Version 3.5 Microsoft Internet Explorer Version 8.0 Microsoft Internet Explorer Version 7.0 Google Chrome 5 Apple Safari 5 10

11 Neue Features der Version 3.0 Unterstützte Services Schutz von ArcGIS Server REST-Diensten der Version 9.3. Unterstützung von WMS 1.3 Generischer Schutz von URLs Es ist eine Autorisierung von URLs möglich, hinter denen sich beliebige Ressourcen (Dienste, Dokumente, Websites, etc.) verbergen, geschützt werden. Zudem können Subdomains zu diesen URLs definiert und separat autorisiert werden. Integrierte Administrations-Umgebung Neben Benutzern und Rechten können nun auch Geschützte Dienste, Zugänge (Gates) und die LDAP-Konfiguration über die Administrationsumgebung verwaltet werden. Geschützte Dienste können deaktiviert werden, ohne diese zu löschen. Einfache Einrichtung eines Gastzugangs ohne Authentifizierung zu geschützten Diensten Erweiterte Nutzer-Administration Der Selbstregistrierungs-Prozess von neuen Nutzern verwendet nun ein -Verifikationsverfahren. Nach einer Selbstregistrierung ist ein Nutzer zunächst gesperrt. Gleichzeitig wird eine an die vom Nutzer angegebene -Adresse versandt, die einen Bestätigungslink enthält. Erst nach Aufruf dieser Bestätigung ist der Nutzer aktiv und kann sich am System anmelden. Erfolgt keine Bestätigung innerhalb von zwei Tagen, wird der Nutzer automatisch wieder gelöscht. Anzeige aller Nutzer zu Rollen und Benutzergruppen. Alphabetische Gruppierung von Nutzern in der Baumdarstellung. Möglichkeit, Nutzer zu sperren, ohne diese zu löschen. Verbesserte Rechtedefinition Warnung beim Versuch, ein weiteres Rechteset zu einem Dienst, für den bereits ein Rechteset definiert ist, anzulegen. Optimierte Auswahl von Rollen, Ressourcen und Aktionen. Verwendung von Ressourcennamen zusätzlich zu deren IDs Direkte Auswahl eines geschützen Dienstes beim Anlegen eines Rechtesets statt manueller Eingabe einer URL. Sprungmöglichkeit direkt aus der Definition eines geschützten Dienstes in das dazugehörige Rechteset. 11

12 Erweiterte Gruppenadministration Gruppenadministratoren können selbst geschützte Dienste registrieren. Gruppenadministratoren sehen nur geschützte Dienste, die von der eigenen Gruppe angelegt wurden. Gruppenadministratoren können selbst Rechtesets und Rechte zu den Diensten der eigenen Gruppe definieren. Gruppenadministratoren können nur Rechtesets und Rechte der eigenen Gruppe sehen. Active Directory-Support Über LDAP Simple-Bind Über ADS Domänen-Login Single Sign on-lösung Single Sign on möglich für beliebige Java-Webapplikationen. Installation & Konfiguration Integration der Datenbank-Konfiguration im Installer. Erzeugung von Schlüsselpaaren zur Verwendung von digitalen Signaturen im Installationsprozess Performance Verbesserte Performance durch GZIP-Support Caching von Rechten während der Autorisierung Indexierung von Rechten 12