作为企业级 GIS 的一部分，使用移动 GIS 可提供极大的灵活性，同时提供有益的功能。 安全性在以下方面起到了至关重要的作用：确保在持续发展的移动环境中维护数据的机密性、完整性和可用性。 本主题针对将移动设备作为企业级 GIS 的一部分，介绍了一些有关降低风险最佳做法的建议。
以下列出了有关改善移动部署安全状态的常规移动安全性建议和功能。 有关移动设备风险及缓解策略的完整列表，请参阅 OWASP 十大移动设备风险。
企业移动设备管理 (MDM) 解决方案是维持更安全的移动状态的良好切入点。 MDM 是组织中移动设备的管理。 通常与能够集中和优化移动设备功能和安全管理的软件一起应用。 该软件通常包括一个服务器组件，用于将管理命令发送到具有客户端组件以接收和运行管理命令的移动设备。
MDM 解决方案通常包含以下功能：
- 设备监控、重启和加密
- 强制执行密码策略，重置密码
- 预定义的 WiFi 设置/虚拟专用网络 (VPN) 配置
- 删除锁定和擦除功能
- 备份设置强制执行
- 越狱检测
移动应用程序管理 (MAM) 将为移动设备提供更高级别的安全性；使用软件和服务来提供和控制设备上单个应用程序的访问权限。 由此管理员能够在应用程序级别进行更加精细的控制，以便管理和保护应用程序数据。 MDM 软件解决方案可以将 MAM 功能作为其功能的一部分。
Esri 观察到，需要使用 MDM 软件开发工具包 (SDK) 重新构建应用程序的以 MDM 为中心的 MAM 产品通常无法正常运行。 确实有一些 Esri 客户使用不需要整合 MDM SDK 的 MAM 产品。 Esri 将为已发布的存储版本提供支持，这些版本仅在产品生命周期支持中列出。
有关更多详细信息，Esri 软件安全和隐私团队发布了一份名为 ArcGIS 安全移动实施模式的技术论文，帮助指导 IT 管理者和 GIS 管理员使用移动外业组件部署企业级 GIS。
身份验证
身份验证涉及在确认客户端身份的连接尝试中验证凭据。 确保在访问 GIS 服务时启用身份验证。 尤其是对于移动设备，存在多种潜在选项可供选择，具体取决于企业中可用的功能（例如，是否存在移动安全通道或者移动设备是否可使用现有虚拟专用网络 (VPN)）。 这些选项包括以下内容：
- 集成的 Windows 身份验证 (IWA) - 使用 Kerberos（如果不可用，则使用 NTLM），可提供单点登录基于 Windows 的环境的用户体验。
- 基于令牌的身份验证 - 使用 ArcGIS 令牌可提供跨 ArcGIS 的身份验证。
- 使用 SAML 2.0 或 OpenID Connect 的组织特定帐户 - ArcGIS Online 或 ArcGIS Enterprise 允许客户使用 SAML 2.0 或 OpenID Connect 提供 web 单点登录体验。
授权
授权即在访问资源或执行特定功能前验证客户端权限的过程。 应根据角色和最低权限原则为用户分配权限。 对于移动设备，此操作可在不同等级进行：
- 正确管理 ArcGIS 可用角色（如管理员、发布者和用户）范围内的授权
- 在 EMM 级别，使用粗略的应用程序级别授权和配置
加密
加密是一种转换数据的过程，没有获得解密密钥的人无法读取这些数据。
- 在企业级 GIS 中加密需要 HTTPS 的传输中的数据。
- 加密移动设备上的静态数据。 可通过使用以下内容采用技术手段强制执行此操作：
- 企业 MDM
- 如果使用 Microsoft Exchange，则可执行 MS Exchange ActiveSync
日志记录与审核
日志记录涉及记录系统中的关注事件。 审核是指为确保系统正常运行或解答有关发生的特定事务的问题检查上述日志的行为。 针对移动设备，可在以下级别简化日志记录与审核：
- 在设备级别，可通过企业移动化管理解决方案进行简化
- 在应用程序级别，可通过记录特定用户事务进行简化
这些结果应被馈送到企业安全信息和事件管理 (SIEM) 解决方案中以促进日志数据自动关联，从而有助于检测恶意活动。
强化
强化是指安全配置系统以尽可能地减少安全风险的过程。 可通过执行以下操作最大限度地减少攻击面以进行移动部署：
- 强化服务器端点
- 使用移动应用程序管理 (MAM) 解决方案限制应用程序。
- 根据 OWASP 十大移动风险，服务器端安全可视作最严重的移动风险。
- 请遵循符合行业最佳做法的标准服务器强化建议。