Dienste, Karten und Anwendungen können in ArcGIS Online und ArcGIS Enterprise auch für die anonyme Nutzung freigegeben werden. Erfahren Sie in diesem Beitrag, wie das sicher und kontrolliert gestaltet werden kann.
In ArcGIS Online und ArcGIS Enterprise haben Nutzer:innen die Möglichkeit, Daten hochzuladen und daraus Webdienste zu erstellen, die wiederum zur Erstellung von Karten und Anwendungen verwendet werden können. Die Sicherung dieser Dienste, Karten und Anwendungen erfolgt über das Freigabesystem von ArcGIS.
- Die Freigabe von Elementen erfolgt entweder privat (Standard > Elemente sind nur für Ersteller:in sichtbar) oder für alle angemeldeten Nutzer:innen des Portals bzw. für Mitglieder einer ArcGIS-Gruppe.
- Zusätzlich können Elemente auch öffentlich geteilt werden, wobei bei ArcGIS Enterprise alle Personen mit Zugriff auf den Server und bei ArcGIS Online das gesamte Internet auf die Elemente zugreifen kann.
Diese Flexibilität ist eine der herausragenden Stärken von ArcGIS Online, da Informationen schnell und ohne zusätzliche Kosten öffentlich bereitgestellt werden können, wobei Esri die Skalierung der Infrastruktur übernimmt.
Gelegentlich können jedoch Fehler auftreten, bei denen Nutzer:innen Elemente freigeben, die eigentlich geschützt sein sollen. Dieser Blogbeitrag beschreibt Maßnahmen, um die Wahrscheinlichkeit solcher Fehler zu minimieren, indem man Konfigurationen passend wählt und ungewollte Freigaben identifiziert und zurücknimmt.
Hinweis 1: Nutzer:innen von ArcGIS, die die Administrator Rolle haben, können auch Elemente anderer Nutzer:innen sehen, auch wenn diese nur privat geteilt sind.
Hinweis 2: Ein privater Dienst kann auch in einer öffentlichen Karte genutzt werden und bleibt trotzdem privat, d. h. man muss sich anmelden, um diesen Dienst zu sehen. Beim Abspeichern der Karte wird man allerdings darauf hingewiesen und kann die Freigabe des Dienstes an die Karte anpassen.
Absichern des ArcGIS Portals
Öffentliche Freigabe prinzipiell verhindern
Die wirksamste Maßnahme, um zu verhindern, dass Elemente freigegeben werden können, ist eine ArcGIS-portalweite Einstellung:
- Melden Sie sich mit einem User, der die Administrator Rolle hat, am ArcGIS System an
- Klicken Sie im obersten Menü (weißer Hintergrund) auf Organisation
- Und im darunterliegen Menü (blauer Hintergrund) auf Einstellungen
- Im Submenü auf der linken Seite gehen Sie auf Sicherheit
- In den Einstellungen zur Sicherheit auf der rechten Seite scrollen Sie bis zum Bereich Freigabe und Suche
- Deaktivieren Sie den Schalter bei “Mitglieder, die keine Administratoren sind, können Ihre Inhalte, Gruppen und Profile veröffentlichen.”
Jetzt können die Anwender:innen ihre Inhalte zwar noch innerhalb der Organisation und für Gruppen freigeben, aber nicht mehr öffentlich.
Prinzipiell ist die öffentliche Freigabe von Elementen, also der anonyme Zugang zu Daten ohne Login, nicht schlecht und vielleicht möchten Sie genau das tun. Darum gibt es zwei Möglichkeiten, wie Sie ausgewählte Elemente doch noch öffentlich freigeben können.
Öffentliche Freigabe für ausgewählte Rollen erlauben
Die Berechtigungen von Nutzer:innen von ArcGIS werden über Rollen definiert. Nutzende brauchen mindestens die Rolle Publisher, um überhaupt Elemente (Dienste, Karten, Anwendungen, etc.) zu erstellen.
Nutzende, die die Standardrolle Adminstrator haben, können nicht nur Elemente erstellen, sondern auch eigene Elemente und auch die Elemente anderer Nutzer:innen öffentlich freigeben. Die oben beschriebene Einstellung hat für einen User mit der Administrator Rolle keinen Einfluss.
Die Rolle Publisher hat im Standard das Recht, Elemente auch öffentlich freizugeben. Aber die organisationsweite Einstellung von weiter oben überschreibt dieses Recht.
Wenn man aus organisatorischen Gründen nicht will, dass für die Freigabe von definierten Elementen ein User mit den vollen Rechten eines Administrators notwendig ist, kann man auch eine eigene Rolle definieren, die nur ausgewählte Berechtigungen hat.
Definieren einer Publisher Rolle, die Elemente auch öffentlich freigeben kann
Ich gehe davon aus, dass die öffentliche Freigabe prinzipiell für die Organisation verhindert wird, wie oben beschrieben.
- Melden Sie sich mit einem User, der die Administrator Rolle hat, am System an
- Klicken Sie im obersten Menü (weißer Hintergrund) auf Organisation
- Und im darunterliegen Menü (blauer Hintergrund) auf Einstellungen
- Im Submenü auf der linken Seite gehen Sie auf Mitgliederrollen
- In den Einstellungen zur Verwaltung von Rollen auf der rechten Seite klicken Sie auf Rolle erstellen
- Vergeben Sie einen Rollennamen und eine Beschreibung
- Klicken Sie bei Rollenberechtigung auf Anhand vorhandener Rolle festlegen
- Im darauf erscheinenden Dropdownfeld wählen Sie bitte Publisher. Es kann sein, dass es hier noch eine (unbeabsichtigte) Übersetzung gibt und Sie auf Herausgeber klicken müssen
- Scrollen Sie bei den Rollenberechtigungen weiter nach unten und aktivieren Sie unter Administrator | Inhalt das Recht Inhalte von Mitgliedern für die Öffentlichkeit freigeben. Das System aktiviert automatisch Alle anzeigen damit auch Inhalte von anderen Nutzer:innen angezeigt werden können.
Jetzt haben Sie eine benutzerdefinierte Rolle erstellt und können diese einem Nutzer bzw. einer Nutzerin zuweisen, der bzw. die Inhalte für die Öffentlichkeit freigeben darf.
Hinweis: Wenn man in ArcGIS Pro (Stand 3.2.2) Inhalte veröffentlicht, dann haben Nutzende mit der Rolle Publisher scheinbar das Recht, öffentlich zu teilen, auch wenn dies für das gesamte ArcGIS System eigentlich deaktiviert ist. Auch wenn man in diesem Fall den Haken setzt, werden Inhalte nicht öffentlich geteilt.
Organisatorische Maßnahmen
Freigabe-Workflow definieren
Die oben beschriebenen ArcGIS Einstellungen und die Definition von eigenen Rollen sind grundlegende Maßnahmen, die Sie bei der Einrichtung eines Portals bedenken sollten. Mit diesen Maßnahmen kann ein Freigabe-Workflow auch technisch gestaltet werden.
Meine Empfehlung: Entwickeln Sie einen Plan und Arbeitsvorschriften, wie Elementfreigaben in Ihrem Unternehmen mit ArcGIS gehandhabt werden.
Die Vorgaben aus einem solchen Plan können Sie passend zu Ihrem Unternehmen definieren. Darum möchte ich Ihnen hier nur ein paar Vorschläge machen:
- Definieren Sie, wer grundsätzlich Daten und Dienste im ArcGIS System erstellen darf. Sie können hier über das Erstellen von benutzerdefinierten Rollen festlegen, welche Rolle welche Diensttypen erstellen darf.
- Definieren Sie, ob öffentliches Freigeben von Elementen erlaubt sein soll. Sie können zudem definieren, ob ein Nutzer bzw. eine Nutzerin eigene Elemente für alle angemeldeten Nutzenden oder für Gruppen freigeben darf oder nur für sich selbst. Auch diese Freigaben können über angepasste Rollen gesteuert werden.
- Wenn die Freigabe von Elementen für einzelne User beschränkt ist, definieren Sie, wie eine erweiterte Freigabe trotzdem erfolgen kann. Ein Administrator oder ein User mit einer passenden Freigabe-Rolle (siehe oben), kann im Auftrag die Elemente eines anderen User freigeben.
- Für Elemente, die öffentlich freigeben werden sollen, ist es Best Practice, nicht nur die Freigabe, sondern auch den Besitz von Elementen zu steuern.
D. h. ein User mit den notwendigen Fachkentnissen erstellt die Dienste, Karten und Anwendungen. Ein anderer User, der auch freigeben darf, übernimmt den Besitz dieser Elemente und gibt dann entsprechend frei.
Element-Metadaten nutzen
Jedes Element in ArcGIS besitzt Metadaten, also Informationen, die den eigentlichen Datensatz beschreiben, wie Nutzungsbedingungen, Besitzer, Lizenz, usw. Je öffentlicher ein Datensatz ist, umso wichtiger sind Metadaten, damit Anwender:innen, die darauf zugreifen, wissen, was es für Daten sind und wie sie genutzt werden dürfen.
Beispiel für ein Element mit den notwendigen Basis-Metadaten: Das
Geländemodell München ist Open Data und wird von Esri Deutschland zur Nutzung in unserem ArcGIS Open-Data Portal bereitgestellt.
Man kann die Metadaten eines Elementes auch nutzen, um die korrekte Freigabe manuell oder automatisch (dazu später in diesem Artikel) zu prüfen. Besonders geeignet sind hier Kategorien. Diese Kategorien funktionieren ähnlich wie Element-Tags. Sie können aber nicht frei von jedem Elementbesitzer vergeben werden, sondern sie werden fest für eine ArcGIS Organisation definiert und können jedem Element zugeordnet werden.
Definieren von Kategorien
- Melden Sie sich mit einem User, der die Administrator Rolle hat, am System an (nur ein User mit administrativen Rechten kann Kategorien verwalten)
- Klicken Sie im obersten Menü (weißer Hintergrund) auf Organisation
- Und im darunterliegen Menü (blauer Hintergrund) auf Einstellungen
- Im Submenü auf der linken Seite gehen Sie auf Elemente
- Auf der rechten Seite klicken Sie unter Organisationskategorien auf Kategorien konfigurieren
Im Menü können Sie einen vorgefertigten Satz von Kategorien nutzen und diesen erweitern oder Kategorien komplett neu definieren:
Für dieses Beispiel habe ich eine Kategorie ‚Freigabe‘ und die Subkategorien intern und extern angelegt.
Die Idee ist, dass nur Elemente mit der Kategorie extern auch öffentlich freigegeben werden dürfen.
- Beim Anlegen von neuen Diensten, Karten, etc. kann man diese Kategorien verwenden, um sofort zu sehen, ob die Freigabe passt.
- Die Vergabe von Kategorien kann systemisch nicht erzwungen werden. Die Nutzung von Kategorien und ganz allgemein das Bereitstellen von Metadaten sollte deshalb durch Arbeitsanweisungen vorgegeben werden.
Im folgenden Screenshot sieht man ein Beispiel eines Elementes und die Festlegung von Kategorien. Kategorien und alle anderen Metadaten kann der bzw. die Besitzer:in des Elementes oder ein User mit passenden administrativen Rechten vergeben.
Die Kategorien helfen nicht nur, um ein einzelnes Element richtig einschätzen zu können, sondern auch bei der Suche nach Elementen.
Freigegebene Elemente finden
Innerhalb von ArcGIS Online oder ArcGIS Enterprise kann man nach Elementen mit Schlagworten und Filtern suchen. Diese Suche kann genutzt werden, um den korrekten Freigabestatus aller Elemente in einem Portal zu überprüfen.
Ein User kann immer nur nach den Elementen suchen, für die er bzw. sie auch die nötigen Berechtigungen besitzt. Da das ganze Portal auf korrekte Nutzung überprüft werden soll, sollte ein Administrator eine solche Suche durchführen.
Elemente suchen im Portal (einfach)
- Melden Sie sich mit einem User, der die Administrator Rolle hat, am System an
- Klicken Sie im obersten Menü (weißer Hintergrund) auf Inhalt
- Und im darunterliegen Menü (blauer Hintergrund) auf Eigene Organisation
Sie sehen jetzt alle Inhalte Ihrer Organisation, auf die Sie prinzipiell Zugriff haben.
- Auf der linken Seite können Filter gesetzt werden.
Markieren Sie im Bereich Freigabe die Option Alle (öffentlich) und im Bereich Kategorien die Subkategorie intern in der Kategorie Freigabe.
Das sind die Kategorien, die ich weiter oben eingerichtet und im Portal einigen Elementen zugwiesen habe.
Im obigen Screenshot sieht man sofort zwei Dinge:
- Es sind anscheinend zwei Elemente öffentlich geteilt, obwohl sie die Kategorie intern haben. > „Hier stimmt etwas nicht“.
- Hinter dem Filter sieht man auch die Menge an Elementen, die diesem Filter entsprechen. Hier Alle (öffentlich) 73 und intern (3) sowie extern (2) . 73 Elemente sind öffentlich, aber nur zwei haben die Kategorie ‚extern‘. Da wurde offensichtlich bei den Metadaten nicht sauber gearbeitet.
Als Folge kann man sich jetzt die Elemente näher ansehen und die Freigabe für jedes Element ändern.
Elemente suchen im Portal (fortgeschritten)
Fehler passieren und das kann auch bei der Vergabe der Kategorien, die für die Freigabe und Suche genutzt werden, vorkommen. Dann bildet die einfache Suche nur ein Teilergebnis ab. Es gibt aber auch Sucheinstellungen, die weiterführender sind als die Filter, welche man in der obigen Oberfläche setzen kann.
Vorgehen:
- Wie oben, aber keine Filter setzen
- Im Suchbereich einen Ausdruck nutzen
Hier ein paar Beispiele:
Beispiel 1
Folgender Fehler ist passiert: Es wurden Elemente freigegeben und die Kategorie extern wurde nicht gesetzt.
Suchausdruck: access:public NOT categories:extern
Beispiel 2
Folgender Fehler ist passiert: Es wurden Elemente freigegeben und die Kategorie intern und extern wurde gesetzt.
Suchausdruck: (categories:intern AND categories:extern) AND access:pub
Beispiel 3
Folgender Fehler ist passiert: Elemente mit der Kategorie intern oder mit ‚intern‘ und ‚extern‘ wurden freigegeben.
Suchausdruck: (categories:intern AND categories:extern) OR (categories: intern) AND access:public
Security Advisor
Esri stellt auf der Seite https://trust.arcgis.com eine Online App zur Verfügung, die alle Einstellungen eines Portals – ArcGIS Online oder ArcGIS Enterprise – auf empfohlene Einstellungen überprüft. Klicken Sie dafür rechts oben auf der Webseite auf Launch Security Advisor.
Diese Anwendung wird von Esri bereitgestellt und läuft auf Servern von Esri. Man muss sich in der Anwendung mit einem User mit Administratorrechten in seinem Portal anmelden.
Die Anwendung überprüft alle Bereiche auf Empfehlungen und gibt Hinweise, dass Einstellungen geändert werden sollten und wie das geschehen kann. Die Anwendung selbst nimmt keine Änderungen vor. Man muss sich im Portal anmelden und im Portal selbst die Änderungen durchführen.
Warnungen beziehen sich immer auf die Einstellungen, die Sie in ihrem eigenen Portal vorgenommen haben. Kritische Warnungen sollte man natürlich sehr ernst nehmen, aber evtl. ist die betroffenen Einstellungen auch absichtlich so vorgenommen worden.
Mit den Hinweisen des Security Advisor können Sie informierte Entscheidungen zur Konfiguration Ihres ArcGIS Portals treffen.
Automatisierung
Die manuelle Suche, die weiter oben beschrieben ist, kann natürlich auch automatisiert werden. Das Mittel der Wahl sind Python und Notebooks. In diesen Notebooks kann man interaktiv arbeiten, oder sie auch automatisch nach einem Zeitplan laufen lassen. Sie können die Python Befehle natürlich auch außerhalb von ArcGIS Online und ArcGIS Enterprise ausführen.
ArcGIS Online hat eine eingebaute Notebook Umgebung und auch bei ArcGIS Enterprise ist ein Notebook Server enthalten.
| ArcGIS Online | ArcGIS Enterprise |
|---|---|
| Bei ArcGIS Online kostet die Durchführung des hier gezeigten Beispielnotebooks nichts, wenn man es interaktiv macht und 1,5 Credits pro Stunde, wenn es automatisiert ist. | Bei ArcGIS Enterprise ist der Notebook Server in der Lizenz enthalten. Es entstehen, abgesehen von der Hardware, keine weiteren Kosten. |
Wie man Notebooks erstellt und automatisches Ausführen aktiviert, ist in der ArcGIS Online Hilfe beschrieben: Erstellen eines Notebooks
Als Python Engine für dieses Notebook reicht Standard. Mit diesen Python Befehlen können Sie die obige Suche per Skript ausführen und automatisieren:
- Verbindung mit ArcGIS herstellen
from arcgis.gis import arcgis
gis_verbindung = arcgis.gis.GIS("home")
- Elemente suchen mit den Kategorien und dem Suchbegriff von weiter oben
items = gis_verbindung.content.search(query="(categories:intern AND categories:extern) OR (categories: intern) AND access:public", max_items=1000)
- Für die gefundenen Elemente die Freigabe ändern (von öffentlich auf Organisation) und die Eigentümer:innen der Elemente informieren
for item in items:
if item.shared_with["everyone"]:
item.share(everyone=False, org=True)
gis_verbindung.users.send_notification([item.owner], "Item Freigabe geändert","Item Freigabe geändert "+item.title,type='buildin')
Im Notebook gibt es ein paar mehr Befehlen und Beschreibungen. Sie können das Notebook herunterladen oder über Vorschau einen Blick in das Skript werfen.
Die im Skript genutzten Benachrichtigungen nutzen das in ArcGIS eingebaute Notifcation System. Wenn ein Anwender oder eine Anwenderin sich im Portal von ArcGIS Online anmeldet, bekommt er bzw. sie z. B. diese Meldung:
Zusammenfassung
ArcGIS ist ein sicheres System und bietet unterschiedliche Möglichkeiten, sicher und gemäß den Datenschutzvorschriften konfiguriert zu werden. Man muss die Werkzeuge und Konfiguration aber auch nutzen. Um ein Bild zu bemühen: Eine einbruchssichere Tür nutzt nur dann etwas, wenn man sie schließt und evtl. auch noch absperrt. Und alle Nutzer:innen das auch wissen.
Die folgenden Empfehlungen gelten für ArcGIS Online und ArcGIS Enterprise, wobei für Enterprise zusätzliche Maßnahmen erforderlich sind, da es in der eigenen Infrastruktur bereitgestellt wird:
- Deaktivieren Sie die Option, dass Nicht-Administratoren Elemente öffentlich freigeben können.
- Definieren Sie eigene Rollen für die Freigabe von Elementen auf verschiedenen Ebenen. Basis für die eigenen Rollen kann die Standardrolle Publisher sein.
- Etablieren Sie kurze und einfache Workflows für die Erstellung und Freigabe von Elementen.
- Nutzen Sie Metadaten zur Beschreibung von Freigaben und Nutzung.
- Überprüfen Sie regelmäßig Freigaben und Organisationseinstellungen.
- Implementieren Sie automatisierte Prüfmechanismen.
Der Zweck von ArcGIS ist es, Daten in unterschiedlichster Form zu verarbeiten, zu nutzen und mit anderen zu teilen. Obwohl eine öffentliche Freigabe von Elementen grundsätzlich positiv ist, sollte sie sorgfältig und bewusst durchgeführt werden.
Bei der Entwicklung Ihrer Datenstrategie ist es wichtig, sowohl an die Prinzipien von Open Data und Informationsfreiheit zu denken, als auch die Aspekte des Datenschutzes und der Datenhoheit zu berücksichtigen.
Mehr Informationen
- Konfigurieren von Sicherheitseinstellungen: Die ArcGIS Online Hilfe ist ein guter Startpunkt, um die unterschiedlichsten Aspekte kennenzulernen.
- ArcGIS Online: Security und Compliance: Folien zur Verteilung von Sicherheit in IT Systemen. Die zitierten staatlichen Vorgaben sind zwar USA basiert, die entsprechenden europäischen Vorschriften sind aber fast identisch. Darum sind die Prinzipien auch hier gültig.
- ArcGIS Enterprise Hardening Guide: Best Practices um ArcGIS Enterprise sicher zu installieren, zu konfigurieren und zu warten.
- ArcGIS Location Sharing Privacy Best Practices: Spezifische Informationen zum Umgang mit den ArcGIS Mobile Apps und der Möglichkeit, den Ort des Gerätes zu übermitteln.
- Stopping Data Leakage: Vortrag von der Esri User Conference 2023.
