ArcGIS-Server-Konto

ArcGIS Server startet und beendet Prozesse, liest Daten, schreibt sie an Speicherorte im Dateisystem und kommuniziert mit Computern. Für die sichere Ausführung dieser Schritte wird ein Betriebssystemkonto verwendet, das Sie bei der Installation von ArcGIS Server festlegen. Dieses wird in der Dokumentation als ArcGIS-Server-Konto bezeichnet.

Einsatzbereich des ArcGIS-Server-Kontos

Das Konto der ArcGIS Server wird für folgende Aufgaben verwendet:

Prozesse, die ArcGIS Server und -Services unterstützen, starten und beenden
im Hintergrund der Dienste die GIS-Daten lesen, wenn die registrierte Datenbank Betriebssystemauthentifizierung verwendet
Dateien in den ArcGIS Server-Verzeichnissen lesen und schreiben Wenn Sie einen Karten-Cache erstellen, schreibt das ArcGIS Server-Konto beispielsweise die Cache-Kacheln in das Server-Cache-Verzeichnis.
Dateien im Konfigurationsspeicher lesen und schreiben
Dateien am ArcGIS Server-Installationsspeicherort und im temporären Systemverzeichnis lesen und schreiben. Das Konto schreibt beispielsweise Protokolldateien, mit denen Sie Probleme des Servers behandeln können.
Protokollmeldungen im Protokollverzeichnis lesen und schreiben

Hinweis:

Das ArcGIS Server-Konto ist nicht identisch mit dem primären Site-Administrator, den Sie beim Erstellen der ArcGIS Server definieren. Weitere Informationen hierzu finden Sie unter Sichern Ihrer ArcGIS Server-Site.

Als ArcGIS-Server-Konto festzulegendes Konto

Das ArcGIS-Server-Konto ist das Konto, das Sie bei der Installation der Software verwendet haben. Das Installationsprogramm macht dieses Konto zum Eigentümer aller Dateien, die es auf das System kopiert. Bei einer Site mit mehreren ArcGIS Server-Computern muss die Benutzer-ID (UID) für das ArcGIS-Server-Konto auf allen Rechnern gleich sein, sodass alle mithilfe der gleichen NFS-Berechtigungen auf die Daten, den Konfigurationsspeicher und die Serververzeichnisse zugreifen können.

Aus Sicherheitsgründen kann das Root-Konto weder als ArcGIS-Server-Konto noch zur Installation der Software verwendet werden.

Das ArcGIS Server-Konto benötigt außer dem Dateizugriff auf die Daten, den Konfigurationsspeicher und die Serververzeichnisse keine besonderen Berechtigungen auf Betriebssystemebene. Das Konto der ArcGIS Server muss kein Administrator auf dem Computer sein.

Für das ArcGIS-Server-Konto wird standardmäßig der Name "arcgis" verwendet. Diese Standardeinstellung ist für die meisten nicht produktionsbezogenen Bereitstellungen ausreichend. Bei Produktionssystemen empfiehlt sich jedoch, vor der Installation von ArcGIS Server ein Domänen- oder ein Active Directory-Konto zu erstellen. Wenn die Sicherheitsrichtlinie Ihrer Organisation nur für einen bestimmten Zeitraum gültige Kennwörter erfordert, müssen Sie das Dienstprogramm "Service-Konto konfigurieren" ausführen, um das abgelaufene Kennwort zu aktualisieren.

Hinweis:

Aus Sicherheitsgründen wird empfohlen, ein Konto zu verwenden, das kein Mitgliedskonto der Gruppe "Administratoren" ist und über minimale Berechtigungen verfügt.

Sie können ein lokales Konto oder ein Domänenkonto auswählen. Sie können beim Installieren von ArcGIS Server auf dem ersten Computer der Site die Setupkonfigurationsdatei exportieren und diese verwenden, wenn Sie ArcGIS Server auf den anderen Computern der Site installieren. So können Sie sicherstellen, dass das ArcGIS-Server-Konto auf allen Computern der Site genau gleich konfiguriert ist.

Nach der Installation können Sie das ArcGIS-Server-Konto ändern, indem Sie das Dienstprogramm "Service-Konto konfigurieren" verwenden.

Domänenkonto

Ein Domänenkonto ermöglicht den Zugriff auf Daten in Remote-Systemen. Ein Domänenkonto ist auch aus Sicherheitsgründen vorzuziehen, da das Konto zentral verwaltet wird.

Wenn Sie ein Domänenkonto angeben, verwenden Sie das Format DOMAIN\username. Wenn Sie keine Domäne festlegen, erstellt der ArcGIS-Server-Installationsassistent ein lokales Konto mit dem von Ihnen angegebenen Benutzernamen. Wenn Sie ein Domänenkonto angeben, das nicht vorhanden ist, wird bei der Installation ein Fehler zurückgegeben.

Wenn Sie keine Anmelderechte für den Computer haben, auf dem ArcGIS Server installiert ist, wird bei der Installation eine Fehlermeldung angezeigt. Es ist nicht notwendig, dem ArcGIS-Server-Konto die Gruppenrichtlinieneinstellungen Lokal anmelden zu erteilen. Weitere Informationen finden Sie unter Erweiterte Überlegungen bei der Verwendung von Domänenkonten.

Lokales Konto

Wenn Sie ein lokales Konto ausgewählt haben, muss dieses zusammen mit dem Kennwort auf jedem Computer der ArcGIS-Server-Site vorhanden und identisch sein. Sie können auf jedem Computer das lokale Konto mit demselben Kennwort erstellen, bevor Sie ArcGIS Server installieren, oder das lokale Konto vom ArcGIS-Server-Installationsassistenten erstellen lassen. Sie müssen jedoch sicherstellen, dass auf jedem Computer der Site der gleiche Benutzername und das gleiche Kennwort verwendet werden.

Wenn Sie im Rahmen der Installation ein lokales Konto erstellt haben, muss das Kennwort, das Sie für das Konto angeben, der lokalen Sicherheitsrichtlinie des Betriebssystems entsprechen. Wenn das Kennwort die minimale Kennwortstärke des Betriebssystems nicht erfüllt, wird bei der Installation ein Fehler zurückgegeben.

Öffnen Sie die Konsole "Lokale Sicherheitsrichtlinie", um die Kennwortrichtlinien des lokalen Computers zu ermitteln. Informationen zum Zugriff auf "Lokale Sicherheitsrichtlinie" finden Sie in der Microsoft Windows-Dokumentation.

Gruppenverwaltetes Dienstkonto

Ein gruppenverwaltetes Dienstkonto (gMSA) ist ein spezielles Active Directory-Domänenkonto, das die automatische Verwaltung von Kennwörtern ermöglicht. Das Konto kann nicht für interaktive Anmeldungen verwendet werden, und seine Verwendung ist auf vordefinierte Servergruppen beschränkt.

Die Verwendung eines gMSA ist insbesondere dann sinnvoll, wenn über ein Dienstkonto Software auf mehreren Computern gesteuert wird, beispielsweise in einer ArcGIS-Server-Site. Da das gMSA auf Domänenebene konfiguriert ist, kann damit das Dienstkonto-Kennwort für jeden Computer regelmäßig geändert werden, ohne dass manuelle Schritte erforderlich sind.

Mit dem Dienstprogramm configureserviceaccount kann der ArcGIS-Server-Service für die Ausführung unter einem gMSA konfiguriert werden. Im Parameter für den Benutzernamen kann das gruppenverwaltete Dienstkonto mit oder ohne das Zeichen $ am Ende der Zeichenfolge angegeben werden. Der password-Parameter ist nicht erforderlich. Die Funktion der readconfig- und writeconfig-Parameter bleibt bei Verwendung eines gruppenverwalteten Dienstkontos unverändert.

Ein gMSA kann zum Beispiel mit folgendem Befehl als ArcGIS-Server-Konto konfiguriert werden:

configureserviceaccount.bat --username mydomain\enterprise-gmsa$ --writeconfig c:\temp\domainaccountconfig.xml

Verwenden des nativen LocalSystem-Kontos von Windows zum Ausführen des ArcGIS-Server-Service

Es empfiehlt sich aus den im Folgenden genannten Gründen nicht, zum Ausführen des ArcGIS-Server-Service das native LocalSystem-Konto von Windows zu verwenden:

Das LocalSystem-Konto von Windows verfügt über hohe Berechtigungen, und dies hat Auswirkungen auf die Sicherheit. Weitere Informationen finden Sie unter Das LocalSystem-Konto im Microsoft Development Center.
Das LocalSystem-Konto ist nicht für den Zugriff auf Netzwerkstandorte vorgesehen. Für den Zugriff auf den Service und die Site-Daten unter Verwendung des LocalSystem-Kontos müssen die Daten lokal gespeichert werden.
In einer Site mit mehreren Computern kann LocalSystem nicht als ArcGIS-Server-Konto verwendet werden.

Berechtigungen, die dem ArcGIS-Server-Konto erteilt werden müssen

Durch die Installation von ArcGIS Server werden dem ArcGIS-Server-Konto Berechtigungen zur Durchführung grundlegender Funktionen wie das Starten und Beenden von Serverprozessen erteilt. Zudem werden dem Konto Leseberechtigungen für alle Ordner im Installationsverzeichnis von ArcGIS Server sowie Berechtigungen zum Vollzugriff auf die folgenden Ordner gewährt:

<ArcGIS Server installation directory>\bin
<ArcGIS Server installation directory>\DatabaseSupport
<ArcGIS Server installation directory>\framework
<ArcGIS Server installation directory>\usr

Bevor Sie die Site erstellen, müssen Sie dem ArcGIS-Server-Konto folgende Berechtigungen erteilen:

Berechtigungen zum Vollzugriff für den Speicherort, an dem die Serververzeichnisse erstellt werden. Beachten Sie, dass Sie dem ArcGIS-Server-Konto Lese- und Schreibberechtigungen für jedes neue Serververzeichnis erteilen müssen, das Sie nach der Site-Konfiguration erstellen.
Berechtigungen zum Vollzugriff für den Speicherort, an dem der Konfigurationsspeicher erstellt wird.
Berechtigungen zum Vollzugriff für das Verzeichnis, in dem ArcGIS-Server-Protokolle gespeichert werden, und Berechtigungen zum Erstellen dieses Ordners, wenn Sie diesen nicht bereits manuell erstellt haben. Dieses Verzeichnis ist standardmäßig C:\arcgisserver\logs.
Leseberechtigungen für die Verzeichnisse, in denen sich Datenbankverbindungsdateien befinden, die Sie vor dem Veröffentlichen von Web-Services bei der ArcGIS-Server-Site registrieren. Wenn Sie die Windows-Authentifizierung anstelle der Datenbankauthentifizierung verwenden, müssen Sie dem ArcGIS-Server-Konto auch Schreibzugriff gewähren.
Leseberechtigungen für die GIS-Datenordner, die Sie vor dem Veröffentlichen von Web-Services bei der ArcGIS-Server-Site registrieren. Wenn Sie zulassen, dass beim Veröffentlichen die Daten auf den Server kopiert werden (siehe Automatisches Kopieren von Daten auf den Server beim Veröffentlichen), werden die Daten in den Serververzeichnissen gespeichert, für die das ArcGIS-Server-Konto bereits über Berechtigungen verfügt. Den ursprünglichen Serververzeichnissen müssen keine weiteren Berechtigungen gewährt werden.

Wenn Sie die Site erstellen, werden dem ArcGIS-Server-Konto Lese- und Schreibzugriff auf das ArcGIS-Server-Protokollverzeichnis gewährt. Wenn Sie einen neuen Speicherort für die Protokolle erstellen, müssen Sie dem ArcGIS-Server-Konto manuell Lese- und Schreibzugriff darauf erteilen.

Das ArcGIS-Server-Konto muss sich auf keinem Computer der Site in der Gruppe der Windows-Administratoren befinden.

Angeben des Gebietsschemas des ArcGIS-Server-Kontos

Als Gebietsschema des ArcGIS-Server-Kontos ist das Gebietsschema des Windows-Kontos festgelegt, das während der Installation angegeben wurde. Wenn kein Konto angegeben wurde und der Standardwert (arcgis) verwendet wird, wird das Gebietsschema des Kontos durch Ihre Betriebssystemeinstellungen festgelegt. Das Gebietsschema ist wichtig, da alle von ArcGIS Server generierten Meldungen (z. B. Protokolle) im Gebietsschema des ArcGIS-Server-Kontos angezeigt werden. Um die Meldungen in einer anderen Sprache oder einem anderen Format anzuzeigen, müssen Sie für jeden Computer der ArcGIS-Server-Site die Anzeigesprache für das ArcGIS-Server-Konto ändern. Spezielle Anweisungen für die von Ihnen verwendete Betriebssystemversion finden Sie in der Microsoft-Dokumentation.