Release Notes 4.19

What’s New

ArcGIS Enterprise 10.9.x Unterstützung

Dieses Release ist kompatibel mit ArcGIS Enterprise 10.9.x. Gleichzeitig werden ArcGIS-Versionen bis einschließlich 10.7.1 nicht mehr unterstützt.

PostgreSQL 13 Unterstützung

Ab dieser Version ist die Verwendung von PostgreSQL 13 möglich.

Java 17 Unterstützung

Alternativ zu Java 11 wird nun auch Java 17 unterstützt.

Logging-Verbesserungen

Dieses Release enthält ein verbessertes Logging. Zunächst ist nun der Log-Level über die application.properties konfigurierbar. Zudem können Log-Informationen nun im Graylog Extended Log Format (GELF) bereitgestellt werden. Zusätzlich ist es nun möglich, Log-Informationen für das Produkt service.monitor zur weiteren Analyse bereitzustellen.

Verbesserungen der Druck-Unterstützung

Das Drucken von Karten ist nun mit beliebig benannten Druckservices möglich. Zudem kann nun auch asynchron gedruckt werden.

Update-Hinweise

Falls Sie bei dem Update mehrere Versionen überspringen, befolgen Sie bitte auch alle Update-Hinweise der dazwischenliegenden Versionen.

Entfernen der Konfiguration zur Zugriffsprotokollierung

Die Zugriffsprotokollierung war ein optionales Feature und ist nicht mehr Bestandteil des Produktes. Falls Sie die Protokollierung nicht aktiviert haben, müssen Sie nichts weiter beachten.

Um festzustellen, ob das Feature aktiv ist, überprüfen Sie die Moduldateien im Verzeichnis [INSTALL_FOLDER]/webapp/wss/WEB-INF/classes/enforcementpoint-modules. Falls der folgende Eintrag nicht vorhanden ist, brauchen Sie nichts weiter tun.

  • <Interceptor class="de.conterra.suite.security.interceptor.logging.LoggingInterceptor">…​</Interceptor>

Falls dieser vorhanden ist, entfernen Sie den Eintrag bitte vollständig. Löschen Sie die Datei [INSTALL_FOLDER]/webapp/wss/WEB-INF/classes/log4j.xml, falls diese vorhanden sein sollte.

Veränderte Rollout-Ordner-Struktur

Bitte beachten Sie, dass sich die Ordner-Struktur der Produktauslieferung geändert hat.

Abkündigungen

Für folgende Features wird die Weiterentwicklung eingestellt und das Ende der Unterstützung für die Zukunft angekündigt:

  • Natives Authentifizierungsprotokoll des Web Security Service ("WSS-Schnittstelle")

  • (Json) Token Authentifizierungsprotokoll des Web Security Service(WSS). Wir empfehlen die Nutzung der - aktuell so genannten - "agstoken" Authentifizierungsmethode.

  • Absicherung von Web Coverage Server (WCS)

  • Absicherung von transaktionalen Web Feature Servern (WFS-T)

  • INSPIRE View und Download Service als eigener Dienste-Typ (die Funktionalität wird über die Dienste-Typen WMS und WFS weiterhin aufrecht erhalten)

  • Zugriff auf geschützte Dienste über die Gateway-Applikation (Tab "Zugänge" in der security.manager-Administration)

Bekannte Einschränkungen

Die folgende Liste enthält die zum Zeitpunkt der Freigabe der Version 4.22 bekannten Probleme und Hinweise:

Verzögerte Sichtbarkeit von parallelen Veränderungen an Nutzern und Rechten

Um Änderungen anderer Nutzer/Systeme in der auf der linken Seite angezeigten Baumstruktur des Administrators zu visualisieren, muss der Wurzelknoten der Baumstruktur ausgewählt werden und der Knopf Baum neuladen gedrückt werden.

Wertigkeit zweier Rechte

Werden zwei Rechte definiert, die auf einen Nutzer anwendbar sind, muss die korrekte Reihenfolge im security.manager Administrator (im Dialog „Rechteset") festgelegt werden. Beispiel: Es wird ein Recht definiert, das allen Nutzer Zugriff auf einen WMS gewährt, allerdings mit Copyright-Einschränkung. Für eine Nutzergruppe „registriert" wurde ein weiteres Recht für diesen WMS definiert, das den Zugriff ohne Copyright-Einschränkung gewährt. Beide Rechte sind gültig wenn Nutzer der Gruppe „registriert" den WMS zugreifen, es wird immer das erste anwendbare Recht benutzt. Um zu verhindern, dass die Nutzer der Gruppe „registriert" den gleichen Copyright-Vermerk sehen wie alle anderen, muss dieses Recht im Administration zuoberst aufgeführt werden.

Feature Types eines WFS müssen eindeutige Namen besitzen

Der security.manager unterscheidet nicht zwischen FeatureTypes mit dem gleichen Namen, aber unterschiedlichen Namespaces, z.B. wird x:city als identisch zu y:city gewertet. Daher ist es erforderlich, dass jeder FeatureType einen eindeutigen Namen besitzt.

Variable Feature-IDs bei der Verwendung von WFS als Quelle für räumliche Bedingungen

Beim Anlegen von räumlichen Obligationen muss auf die Korrektheit und Stabilität der angezeigten Feature-Ids geachtet werden. Feature-IDs der Form fid—​4d0f905b_126c17decf6_-7d52 weisen auf intern erzeugte Feature-IDs hin, welche sich mit jeder neuen Anfrage ändern und somit nicht zur Referenzierung von Features verwendet werden können. Wenn sich Feature-IDs mit jeder Anfrage an den WFS ändern, ist dies auf fehlende Feature-IDs in der WFS Antwort zurückzuführen. Hier muss die Konfiguration des WFS überprüft werden, damit korrekte und stabile Feature-IDs ausgeliefert werden.

Konfigurations-Dateien werden nicht korrekt erzeugt, wenn in einer Tomcat-Instanz installiert wird, die das Verzeichnis [TOMCAT_HOME]/conf/Catalina/localhost nicht enthält

Alternative 1: Das entsprechende Verzeichnis vor der Installation erstellen.

Alternative 2: Während der Installation werden die context.xml Dateien im [SECMAN_INSTALL]/webapps/post install Verzeichnis gespeichert. Diese können einfach in das Verzeichnis [TOMCAT_HOME]/conf/Catalina/localhost kopiert werden. Falls eine container-managed Datenbank verwendet wird, müssen die die XML-Dateien mit dem Suffix -jndi.xml kopiert werden.

Die folgenden Dateien müssen kopiert werden:

  • administration.xml

  • gateway.xml

  • wss.xml

Verwendung nicht offizieller EPSG-Codes bei ArcGIS-Server-Diensten

Je nach Konfiguration verwenden ArcGIS-Server-Dienste nicht offizielle EPSG-Codes für Gauß-Krüger-Referenzsysteme. Diese werden intern auf äquivalente offizielle EPSG-Codes abgebildet. Folgende Mappings werden hierbei verwendet:

  • EPSG:31492 → EPSG:31466

  • EPSG:31493 → EPSG:31467

  • EPSG:31494 → EPSG:31468

  • EPSG:31495 → EPSG:31469

Dieses Mapping wird nur für geschützte Dienste angewandt. Für die Definition von räumlichen Einschränkungen durch einen WFS dürfen nur offizielle EPSG-Codes verwendet werden.

Probleme bei räumlicher Autorisierung von WFS-Diensten auf Basis des ArcGIS Servers

ArcGIS Server WFS-Dienste unterstützen weder Multipolygon noch die Verwendung mehrerer Polygone in Filter-Ausdrücken. Daher kann für diese Dienste keine räumliche Autorisierung vorgenommen werden, wenn mehr als eine Geometrie für die räumliche Einschränkung definiert ist oder wenn in der eingehenden Anfrage bereits ein räumlicher Filter definiert ist.

Bei der Verwendung von Safari-Browsern kann es vorkommen, dass wiederholte Logins notwendig werden. Um dies zu vermeiden, wählen Sie unter EinstellungenSicherheitCookies akzeptieren (immer) aus.

WMS GetMap Anfrage mit SLD-Parameter wird blockiert, falls ein layerDefs Parameter angewandt werden würde

Wie in "Filtering features using the layerDefs parameter in WMS requests" beschrieben, werden die Parameter SLD und SLD-BODY vorrangig behandelt. In diesem Fall würde der layerDefs Parameter ignoriert werden.

Drucken von abgesicherten Diensten nur mit ags-relay URLs möglich

URLs von abgesicherten MapServer Diensten müssen mit ags-relay im URL-Schema benutzt werden:

http://[HOST]/wss/service/ags-relay/
  [EndpointID]/[AUTH_SCHEME]/arcgis/rest/services/
  [DIENSTNAME]/MapService

Zur Absicherung des ArcGIS Geocoders muss HTTP Chunked Transfer Encoding im security.manager deaktiviert sein

Der ArcGIS Geocoding-Server unterstützt kein HTTP Chunked Transfer Encoding. Wenn dieser Dienst abgesichert werden soll, muss HTTP Chunking in den security.manager-Einstellungen manuell deaktiviert werden. Stellen Sie dafür sicher, dass der Wert für die http.client.chunking-Property in der application.properties-Datei auf false gesetzt ist (SECMAN-658).

ArcGIS for INSPIRE Feature Download Services und räumliche Einschränkungen

ArcGIS for INSPIRE Feature Download Services unterstützen keine Polygone in Filter-Ausdrücken. Daher kann für diese Dienste keine räumliche Autorisierung vorgenommen werden.

Invalide XML-Antworten von ArcGIS for INSPIRE Feature Download Services

ArcGIS for INSPIRE Feature Download Services erzeugen unter Umständen invalide XML-Antworten, wenn eine GetFeature-Anfrage mehrere Stored Queries und/oder Query Elemente beinhaltet.

ArcGIS Server WFS und räumliche Einschränkungen sowie Einschränkungen durch OGC Filter-Ausdrücke

Beim Zugriff auf ArcGIS Server-basierte WFS kommt es insbesondere bei der Verwendung räumlicher Auflagen zu Fehlern. Betroffen sind die ArcGIS Server Versionen 10.3 und folgende, bei denen die WFS-Implementierung fehlerhaft oder unvollständig ist, so dass (räumliche) Einschränkungen nicht angewandt werden können. Je nach verwendeter WFS Version (1.0.0, 1.1.0, 2.0.0) kommt es zu unterschiedlichen Fehlermeldungen beim Dienstzugriff.

UMN MapServer WFS und räumliche Einschränkungen sowie Einschränkungen durch OGC Filter-Ausdrücke

Die WFS 1.0.0 und 1.1.0 Implementierungen des UMN MapServer unterstützen nicht alle spezifikationskonformen GML-Versionen, weswegen eine Durchsetzung von räumlichen Einschränkungen und Einschränkungen durch OGC Filter-Ausdrücke nicht möglich ist.

ArcGIS Server WFS und DescribeFeatureType-Requests

Bei einem ArcGIS Server WFS kann die Verwendung von DescribeFeatureType-Anfragen ohne Angabe von FeatureTypes zu einer Exception führen, wenn dieser Dienst viele FeatureTypes bzw. FeatureTypes mit langen FeatureType-Namen besitzt.

Performance und geschützte Dienste mit sehr großer Ressourcenzahl

Wenn ein geschützter Dienst (z.B. ein Map Service) eine große Zahl (> 60) von Ressourcen (z.B. Layer) besitzt, kann die Performance von Dienstanfragen wahrnehmbar sinken. Erwägen Sie die Aufteilung von solchen Kartendiensten in mehrere Dienste.

HTTP Basic Authentication in ArcMap und ArcGIS Pro

Wird ein geschützter Dienst über httpauth in ArcMap oder ArcGIS Pro geladen, schlägt das Login trotz korrekt eingegebenem Nutzernamen und Passwort fehl, sobald Nutzername oder Passwort nicht-ASCII Zeichen, z.B. Umlaute, beinhalten.

ArcGIS Webadaptor mit Namen "rest" oder "services"

Wird der Webadaptor für den ArcGIS Server "rest" oder "services" genannt, z.B. http://[HOST]/rest/rest/services oder http://[HOST]/services/rest/services, kann der ArcGIS Server nicht durch den security.manager geschützt werden. Wenn der Name "rest" lautet, können keine Rechte angelegt werden, lautet der Name "services" werden keine Rechte durchgesetzt.

ArcGIS Server MapServer /find Operation mit großen Ergebnismengen und räumliche Einschränkungen

In Verbindung mit räumlichen Einschränkungen kann es vorkommen, dass das Ergebnis der MapServer /find Operation nicht alle erwarteten Features enthält. Große Ergebnismengen der /find Operation werden gekappt, sofern diese das serverseitige Limit überschreiten. Räumliche Einschränkungen werden nur auf der gekappten Ergebnismenge angewandt.

Changelog

4.19.2

Fixed Security Issues

SECMAN-2184

Potentially unprivileged editing of ArcGIS feature layers

Fixed Issues

SECMAN-2156

Don’t enforce field restriction on "subtypeField" and "typeIdField"

SECMAN-2165

[CORS Filter] Ensure 'Vary: Origin' is added to CORS requests, to ensure caching in browsers or proxy servers is correct

SECMAN-2182

ApplyEdits does not support array syntax in deletes parameter

4.19.1

Fixed Security Issues

SECMAN-2159

Potentially unprivileged access to map image

Fixed Issues

SECMAN-2154

SAML 2.0 Federation forwarding to Identity Provider fails

SECMAN-2155

Metadata stays invalid for a long time when initial request failed

4.19.0

Fixed Security Issues

SECMAN-2132

Update jackson-databind to 2.13.2.1 (CVE-2020-36518)

New Features and Improvements

SECMAN-1175

Secured printing should work with "Webkarte exportieren" instead of "Export Web Map" as well

SECMAN-2088

Remove opensaml 1 dependency

SECMAN-2090

Use default values for LDAP properties 'java.naming.security.authentication' and 'java.naming.factory.initial'

SECMAN-2111

Allow to execute print task asynchronously

SECMAN-2112

Enable access to GetLegendGraphic without SERVICE parameter

SECMAN-2115

Provide logging info to service.monitor

SECMAN-2129

Implement basic support for ArcGIS 10.9.x

SECMAN-2146

Allow to configure log level in application.properties

SECMAN-2148

Support GELF logging

Fixed Issues

SECMAN-1444

supportTrueCurve flag in JSON response is always true

SECMAN-2086

LDAP query for implicit groups using "hasSubordinates=true" causes long query times on LDAP server

SECMAN-2087

CSP header prevents redirect back to login initiator

SECMAN-2100

Resource infos of MapServer layers are not cleaned if layer structure is changed

SECMAN-2113

Query to ArcGIS server map service with spatial obligation fails

SECMAN-2131

URL replacement for attribute xsi:schemaLocation fails if attribute value contains multiple empty characters

SECMAN-2134

[Spatial Obligation] Supported Image Types not reduced to png if 'overwriteServiceExtentsWithObligationExtents' is not enabled

SECMAN-2140

Query with spatial filter fails if filter is completely covered by spatial obligation

SECMAN-2144

ApplyEdits does not work with attribute obligations

SECMAN-2149

Unexpected policy set duplication by adding new policy