Vanaf december 2020 is het niet meer mogelijk om HTTP te gebruiken in ArcGIS Online. Vanaf dat moment is ArcGIS Online “HTTPS Only”. Dit betekent dat een organisatie mogelijk tegen problemen aan kan lopen als het ArcGIS Online portaal van deze organisatie hier nog niet op aangepast is.

In ArcGIS Online is de onderstaande melding zichtbaar wanneer een organisatie toegang toestaat via HTTP en bijgewerkt moet worden naar HTTPS. 

Wat moet er aangepast worden in ArcGIS Online om HTTPS Only te bewerkstelligen?

Het doorvoeren van HTTPS Only in ArcGIS Online heeft gevolgen voor een organisatie als één van de volgende situaties of workflows van toepassing is:

1)    Items die enkel HTTP ondersteunen (en geen HTTPS) die zijn toegevoegd als items en geen gebruik maken van ArcGIS Online sharing zullen onbereikbaar zijn. Dit betreft ook items uit een ArcGIS Enterprise configuratie die zijn toegevoegd met HTTP en bijvoorbeeld ArcGIS Content-services die met HTTP zijn geconfigureerd.

2)    Gebruikers met map documents of packages (.mxd of Aprx) waarvan lagen vanuit ArcGIS Online zijn toegevoegd die HTTP zijn, zullen de referenties naar deze lagen moeten aanpassen.

3)    Gebruikers van Python scripts voor administratie of het back-uppen van data die gebruik maken van een verwijzing naar HTTP URLs in ArcGIS Online zullen niet meer werken. Deze scripts moeten geüpdatet worden naar HTTPS URLs.

4)    Items die verwijzen naar externe links die alleen HTTP ondersteunen zullen niet meer beschikbaar zijn via de browser doordat er mixed-content conflicten ontstaan.

Uitzondering:

5)    Web services waarnaar wordt verwezen via de ArcGIS Online proxy blijven onaangetast.
Het type items die de ArcGIS Online sharing proxy kunnen gebruiken zijn:

• Items die toegang krijgen tot beveiligde lagen die aan ArcGIS Online zijn toegevoegd met opgeslagen inloggegevens
• Items die toegang verkrijgen tot Cross-Domain resources (bijvoorbeeld, servers die CORS niet ondersteunen - meestal OGC-servers van derden)
• Services die een query gebruiken met een HTTP GET statement die meer dan 2048 tekens bevatten

Welke aanpassingen moet een organisatie doen om te zorgen dat alle data toegankelijk blijft?

De beheerders van een organisatie moeten bevestigen of het ArcGIS Online portaal op HTTPS Only is ingesteld. Daarnaast is het van belang dat alle items in een organisatie geüpdatet worden zodat er geen HTTP Only items meer zijn.

Met de beheerdersrol is in de organisatie-instellingen van ArcGIS Online (onder Beveiliging) te zien of HTTPS al is ingesteld. Let op! Als een organisatie al is ingesteld op HTTPS is dit niet terug te zien in de instellingen, alleen als het nog niet is ingesteld is er een optie aanwezig om tussen HTTPS Only en HTTP/HTTPS te wisselen. Zodra HTTPS is ingesteld is dit niet meer terug te draaien. Daarom is het belangrijk om eerst eventueel gebruikte HTTP-bronnen in het portaal te wijzigen naar HTTPS.

Welke tools zijn beschikbaar om items te updaten naar HTTPS Only?

Binnen ArcGIS Online is er een aantal tools beschikbaar om de items in kaarten te updaten naar HTTPS.

1) Gebruik de Laaginstellingen binnen elke webmap om de lagen naar HTTPS te updaten (zie screenshot hieronder).

       Open de instellingen als volgt: open de itemdetails van de webmap → ga rechtsboven naar instellingen → scrol naar beneden naar de categorie Web Map → hier zijn de laaginstellingen te vinden.

Door Lagen naar HTTPS updaten te selecteren, valideert de tool of de kaartlagen in de webmap via HTTPS te benaderen zijn, als dit het geval is worden de verwijzingen geüpdatet naar HTTPS (zie onderstaande screenshot voor de melding).

Na het selecteren van Update lagen, wordt er een lijst gegeneerd met de lagen die geüpdatet zijn naar HTTPS. Tevens wordt er aangegeven welke lagen er geen HTTPS ondersteunen dus niet geüpdatet kunnen worden. Zie voor een voorbeeld van een succesvolle update onderstaand screenshot.

2)    De Update ArcGIS Server Site References tool is ontworpen om aanpassingen in de GIS Server FDQN te doen, maar kan ook worden gebruikt om een bulk update van alle verwijzingen naar HTTPS in de root FQDN te doen. Deze tool valideert of de remote server HTTPS ondersteund. Let op! Geadviseerd wordt om van tevoren na te gaan of de remote server HTTPS ondersteund voordat dit aangepast wordt.

3)    Gebruik de ArcGIS Security Advisor (https://s3.amazonaws.com/ago-security-advisor/index.html). Hiervoor zijn administrator rechten nodig binnen een organisatie en kan alleen worden gebruikt voor ArcGIS Online. Let op! Deze tool wordt niet ondersteund door Esri support. Gebruik de help in de tool om HTTP-verwijzingen te identificeren en op te lossen. Voor issues met deze tool kan contact worden opgenomen met het Amerikaanse Esri Security Team (softwaresecurity@esri.com)

Voor aanvullende informatie zie ook:

https://support.esri.com/en/technical-article/000022877