Administrar un servidor federado

Si planea federar su sitio de ArcGIS Server con ArcGIS Enterprise, tenga presente que la forma de administrar su sitio de ArcGIS Server cambiará tras la federación. Las principales diferencias que presenta la administración de un servidor federado se enumeran a continuación.

Diferencias de seguridad

Al federar un sitio de ArcGIS Server con ArcGIS Enterprise, el almacén de seguridad del portal controla todos los accesos al servidor. Esto repercute en la forma de acceder y administrar el servidor federado.

Usuarios, roles y permisos

Al federar, todos los usuarios, roles y permisos configurados anteriormente en los servicios de ArcGIS Server dejan de ser válidos. En su lugar, el acceso a los servicios está determinado por los miembros, roles y permisos de uso compartido de la organización.

Al igual que ArcGIS Server, la organización ofrece niveles de privilegio de usuario, publicador y administrador. También proporciona un rol de visor, que tiene un conjunto limitado de privilegios, así como un rol personalizado. Antes de poner su servidor federado a disposición de los usuarios finales, debe configurar y comprobar que estos permisos funcionan según lo previsto.

Durante la federación, en la organización se crean automáticamente los elementos de todos los servicios web existentes de ArcGIS Server. Estos elementos pertenecen al administrador que realiza la federación. Tras la federación, la titularidad puede reasignarse a los miembros existentes de la manera deseada. Los elementos o servicios agregados tras la federación pertenecen de forma explícita al miembro que los creó.

Al federar, se elimina la capacidad de aislar el acceso al servidor. Por ejemplo, cualquier persona que sea miembro del rol de editor integrado puede publicar en cualquier servidor federado. No obstante, se puede actualizar la configuración de seguridad de un servidor federado para restringir el acceso administrativo y de publicador. Consulte Control detallado del acceso de servidores federados a continuación para obtener más detalles.

Rol de visor

Los miembros a quienes se les ha asignado este rol pueden conectarse a ArcGIS Server y usar sus servicios. Cuando se conecta a un servidor federado como visor, se pueden ver y consumir los servicios compartidos con el visor o un grupo al cual pertenece el visor. Los visores ven una vista personalizada de la organización; pueden usar los mapas, las aplicaciones, las capas y las herramientas de la organización y unirse a los grupos propiedad de la organización. Los visores no tienen privilegios para crear, compartir o ser propietarios de elementos.

Rol de usuario

Los miembros a quienes se les ha asignado este rol pueden conectarse a ArcGIS Server y usar sus servicios. Cuando se conecta a un servidor federado como usuario, se pueden ver y consumir los servicios compartidos con el usuario o un grupo al cual pertenece el usuario. Los usuarios ven una vista personalizada de la organización; pueden usar los mapas, las aplicaciones, las capas y las herramientas de la organización y unirse a los grupos propiedad de la organización. Los usuarios también pueden crear mapas y aplicaciones, agregar elementos, compartir contenido y crear grupos.

Rol de publicador

Los editores solo pueden eliminar o modificar los servicios que hayan creado en el portal. No pueden modificar ni eliminar los servicios de otros responsables de publicación. Sin embargo, los editores tienen privilegios de usuario y pueden usar cualquier capa que otros editores compartan con ellos.

Cualquier persona con permisos de publicación puede publicar en cualquier servidor federado. Los servicios publicados en un servidor federado se agregan automáticamente como elementos en la organización. Los servicios alojados que se publican directamente en el portal aparecen como elementos en la organización y como servicios en el servidor de alojamiento.

Rol de administrador

Los administradores tienen permisos de usuario y de responsable de publicación, y tienen permisos para todos los servicios alojados por el servidor federado. Los administradores también tienen privilegios para administrar la organización y todos sus miembros. La organización debe tener al menos un administrador. Sin embargo, no existen límites sobre cuántos pueden administrar una organización. Por ejemplo, si una organización tiene cinco miembros, todos pueden ser administradores.

Rol personalizado

Los roles personalizados incluyen un conjunto específico de permisos definidos por el administrador. Por ejemplo, los miembros con el rol personalizado podrían crear contenido, pero no crear grupos; podrían publicar entidades, pero no teselas. Para permitir a los miembros publicar servicios en un sitio federado de ArcGIS Server, el rol debe tener asignado el privilegio Publicar capas basadas en servidor de contenido general.

Si se crea un rol personalizado con cualquier privilegio administrativo, ArcGIS Server otorga acceso administrativo limitado a los miembros con ese rol. Entre otros, se incluyen derechos para publicar cualquier tipo de servicio directamente en ArcGIS Server y la capacidad de visualizar y acceder a todos los servicios. Tenga en cuenta los riesgos de seguridad antes de crear para cualquier miembro un rol personalizado que incluya privilegios administrativos.

Control detallado del acceso de servidores federados

Es posible actualizar la configuración de seguridad de un servidor federado para restringir el acceso administrativo y de publicador. Después de la actualización, todos los administradores del portal seguirán teniendo privilegios de administración en el servidor. Los miembros del portal con privilegios de publicador no dispondrán de acceso de publicación al servidor de forma predeterminada. En su lugar, el acceso de publicación al servidor está controlado mediante un grupo llamado [nombre del servidor federado]_Publishers o el elemento [nombre del servidor federado]_Publishers.

Nota:

Los nombres de elemento y grupo predeterminados no se deben cambiar.

Para obtener privilegios de publicador en el servidor, el miembro de la organización debe ser miembro del grupo [nombre del servidor federado]_Publishers o miembro de un grupo con el que se haya compartido el elemento [nombre del servidor federado]_Publishers. De forma parecida, el acceso administrativo adicional al servidor está controlado mediante un grupo llamado [nombre del servidor federado]_Administrators o el elemento [nombre del servidor federado]_Administrators. Un miembro debe ser un miembro de este grupo o un miembro del grupo con el que está compartido el elemento para obtener acceso administrativo al servidor.

El control de accesos detallado se configura en el directorio de Portal for ArcGIS. Una vez que haya federado un servidor, siga los pasos siguientes para actualizar el servidor con el fin de permitir este control.

Inicie sesión en el directorio de Portal for ArcGIS como miembro del portal con privilegios de administración.

La URL del Directorio de Portal for ArcGIS tiene el formato https://portal.example.com/arcgis/portaladmin.
Vaya a Federación > Servidores y haga clic en el servidor que desee editar.
Haga clic en Actualizar.
En el menú desplegable Rol del servidor, seleccione Servidor federado con publicación restringida.
Haga clic en Actualizar servidor.

Ahora verá los grupos [nombre del servidor federado]_Administrators y [nombre del servidor federado]_Publishers, así como los elementos correspondientes en la página Mi contenido. Estos son propiedad del miembro del portal que haya actualizado el servidor.

Conectarse a Server Manager

Solo se puede conectar a ArcGIS Server Manager si su cuenta está asignada al rol de administrador o publicador. No puede iniciar sesión en Server Manager con una cuenta asignada al rol de visor, usuario o rol personalizado. Tampoco puede iniciar sesión con la cuenta de administrador de sitio principal del sitio. Al conectarse, use una URL que utilice HTTPS e incluya el nombre de dominio totalmente cualificado del servidor:

Si se conecta directamente a ArcGIS Server, el formato de la URL es https://gisserver.example.com:6443/arcgis/manager. Si el sitio incluye varios equipos, será la URL del equipo que especificó para la URL de administración al federar el sitio.
Si se conecta a través de ArcGIS Web Adaptor, el formato de la URL es https://webadaptorhost.example.com/webadaptorname/manager.

Si el portal está configurado con un almacén de identidades integrado con Lightweight Directory Access Protocol (LDAP), tiene que proporcionar el nombre de usuario y la contraseña de su cuenta de miembro. Si el portal está configurado con Windows Active Directory, es posible que se le solicite introducir sus credenciales de Windows o que se inicie sesión en Server Manager automáticamente.

Modificar acceso directo de escritorio para Server Manager

ArcGIS Server proporciona un acceso directo en el escritorio para ArcGIS Server Manager. La URL de acceso directo predeterminada tiene el formato http://localhost:6080/arcgis/manager, que es una ruta válida siempre y cuando el servidor no se haya federado con ArcGIS Enterprise. Como se indica en la sección anterior, se accede a un servidor federado con el formato de URL https://gisserver.example.com:6443/arcgis/manager, por lo que la URL de acceso directo predeterminada da un mensaje de error de Invalid redirect_uri. Siga estos pasos para actualizar la ruta del acceso directo de un servidor federado:

Localice el archivo de acceso directo en la carpeta <ArcGIS Server installation directory>/Support/Shortcuts.

Abra el archivo de acceso directo de ArcGIS Server Manager en un editor de texto.

El archivo debería quedar como sigue, aunque si utiliza un navegador de Internet distinto podría variar:

[Desktop Entry]
Comment=ArcGIS Server Manager
Encoding=UTF-8
Exec=firefox localhost:6080/arcgis/manager
Icon=web-browser
Name=ArcGIS Server Manager
Terminal=false
Type=Application
Keywords=arcgis;esri;

Modifique la URL de la línea Exec al formato https://gisserver.example.com:6443/arcgis/manager.
Guarde los cambios y salga del programa.

El elemento de acceso directo ahora abrirá ArcGIS Server Manager con la URL actualizada.

En el menú Inicio de Windows del servidor federado, haga clic con el botón derecho en el acceso directo de ArcGIS Server Manager, haga clic en Más y haga clic en Abrir ubicación de archivo.
En la ventana que se abre del Explorador de archivos, haga clic con el botón derecho en el elemento de acceso directo de ArcGIS Server Manager y seleccione de nuevo Abrir la ubicación del archivo.

De esta manera, se abre el vínculo de acceso directo en la carpeta C:\Program Files\Common Files\ArcGIS\Support\Shortcuts.
Corte el elemento de acceso directo de Manager y péguelo en el escritorio.

El elemento de acceso directo de Manager ahora se elimina de su ubicación original.
Haga clic con el botón derecho en el elemento pegado, abra Propiedades y modifique la propiedad de la URL para que esta use HTTPS y el puerto 6443 para conectarse.

Por ejemplo, la URL debe tener un aspecto similar al siguiente: https://gisserver.example.com:6443/arcgis/manager, donde gisserver.example.com es el nombre de dominio totalmente calificado de uno de los equipos en el sitio de ArcGIS Server.
Haga clic en Aceptar para aplicar el cambio y cerrar la ventana de propiedades.
Corte el elemento de acceso directo modificado y péguelo de nuevo en la carpeta C:\Program Files\Common Files\ArcGIS\Support\Shortcuts.

El elemento de acceso directo ahora abrirá ArcGIS Server Manager desde el menú Inicio de Windows.

Conectarse al servidor en ArcGIS Pro

Cuando se conecta al portal en ArcGIS Pro, puede elegir el servidor federado cuando publique. Consulte Administrar conexiones al portal desde ArcGIS Pro e Introducción al uso compartido de capas web en la ayuda de ArcGIS Pro.

Conectarse al Directorio de administrador de ArcGIS Server y al Directorio de servicios

Al intentar acceder al Directorio de administrador de ArcGIS Server en un sitio que está federado con un portal, deberá proporcionar el nombre y la contraseña del administrador principal del sitio o utilizar las credenciales OAuth para iniciar sesión a través de su portal.

Al conectarse con el Directorio de servicios de ArcGIS Server, no necesita proporcionar ningún token. Inicie sesión con unas credenciales de administrador del portal. No puede iniciar sesión con la cuenta de administrador de sitio principal.

Comportamiento de un servidor de alojamiento

Cuando designa un sitio federado de ArcGIS GIS Server para que ejerza de servidor de alojamiento, ofrece a los publicadores la posibilidad de crear teselas de mapas en caché, servicios de entidades y servicios de escena (capas de teselas, capas de entidades y capas de escena). Puede que estos usuarios no tengan productos de ArcGIS en sus equipos; solo pueden publicar los servicios cargando un shapefile o un archivo .csv a través de la organización; sin embargo, la publicación a través de ArcGIS Pro sigue siendo una opción.

Los servicios publicados directamente en la organización son servicios alojados y se ubican en una carpeta de ArcGIS Server denominada Hosted en el servidor de alojamiento. De esta forma, se puede realizar un seguimiento de los servicios que son servicios alojados y los que no.

Si elimina un elemento de la capa alojada en la organización, el servicio también se elimina del servidor de alojamiento. Del mismo modo, si elimina un elemento que hace referencia a un servicio en un servidor federado, eliminar el elemento del portal elimina el servicio. Lo mismo se aplica a los servicios publicados en el servidor federado y a los servicios alojados publicados directamente en la organización.

La tabla siguiente enumera los servicios alojados admitidos y sus tipos de componentes:


Tipo de servicio de ArcGIS Server	Tipo de elemento de portal
Servicio de mapas en caché	Capa de teselas
Servicio de mapas en caché con servicio de entidades	Capa de teselas y Capa de entidades
Servicio de entidades	Capa de entidades
Servicio de imágenes	Capa de imágenes
Servicio de escena	Capa de escena
Servicio WFS	Capa WFS
Servicio de teselas vectoriales	Capa de teselas vectoriales
Servicio de gráficos de conocimiento	Gráfico de conocimiento

El servicio de imágenes que hace referencia a una capa de imágenes alojada se ejecuta en el servidor de análisis de ráster o en el servidor de alojamiento de imágenes, no en el servidor de alojamiento.
El servicio de gráficos de conocimiento al que hace referencia un gráfico de conocimiento alojado se ejecuta en el servidor de conocimiento, no en el servidor de alojamiento.

Cuando visualice y edite las propiedades del servicio alojado en Server Manager, solo está disponible un subconjunto de capacidades u operaciones de ArcGIS Server. Por ejemplo, algunos servicios no mostrarán información de instancias en la galería de servicios ni en la pestaña de servicio Agrupar en Server Manager.

Un servidor de alojamiento necesita suficiente espacio de almacenamiento, CPU y memoria para acomodar los servicios que alojará. Forme a sus editores para que entiendan que repercusiones tienen los servicios en los recursos del servidor de alojamiento y supervise las métricas de los equipos del servidor de alojamiento para evitar exceder la capacidad.

Consideraciones sobre las capas de teselas y los trabajos de almacenamiento en caché

Las capas en teselas presentan desafíos especiales debido a la potencia de procesamiento que puede exigir un solo trabajo grande de almacenamiento en caché o varios trabajos concurrentes. Al publicar una capa de teselas a gran escala en un área indiscriminadamente amplia, un publicador del portal sin formación podría enviar al servidor un trabajo de almacenamiento en caché muy grande que consumiría los recursos del portal durante un largo periodo de tiempo.

Puede mitigar potencialmente el efecto de almacenar en caché trabajos ejecutando el servicio CachingTools en un clúster de ArcGIS Server independiente desde otros servicios. Si esto no es posible, puede reducir el número de instancias del servicio CachingTools que se permitan para ejecutarse de una vez; de ese modo, se dejan disponibles ciclos de CPU para otros servicios.

También puede limitar el número de trabajos de almacenamiento en caché que se puedan ejecutar de una vez reduciendo el número máximo de instancias permitidas para el servicio CachingControllers. De forma predeterminada, se pueden ejecutar tres trabajos simultáneamente.

Consulte Herramientas de almacenamiento de caché y recursos del servidor para almacenar en la caché si desea conocer más detalles sobre cómo se distribuyen los recursos del servidor para el almacenamiento en caché de los trabajos.

Anular la federación de un servidor

Precaución:

Puede anular la federación de un sitio de ArcGIS Server desde el portal para permitir que uno y otro sigan funcionando de manera independiente. Sin embargo, anular la federación de un sitio de ArcGIS Server tiene diversas consecuencias importantes y no se debe hacer como parte de la solución de problemas rutinaria. No se puede deshacer fácilmente y puede tener consecuencias irreversibles. La eliminación de un servidor de alojamiento de ArcGIS Enterprise convierte en inutilizables las capas web existentes alojadas. La adición de nuevo de un servidor de alojamiento no devuelve los servicios alojados a un estado utilizable. Anule la federación de un sitio solamente si entiende claramente el impacto.

Solo los sitios que cumplen un número limitado de roles se pueden ejecutar como sitios independientes de ArcGIS Server. Por ejemplo, los sitios de ArcGIS Knowledge Server no pueden funcionar como sitios independientes y no federarlos los inutiliza.

Para anular la federación es necesario realizar los siguientes pasos:

Eliminar servicios

Si los servicios están en un servidor de alojamiento, debe eliminarlos. Si los servicios están en un servidor federado que puede actuar como sitio independiente de ArcGIS Server, puede omitir este paso.
- Si el servidor federado que desea eliminar no es el servidor de alojamiento, y los servicios que se publicaron en este servidor federado ya no se necesitan, puede iniciar sesión en ArcGIS Server Manager como administrador y eliminar los servicios.
- Si este servidor federado es el servidor de alojamiento, inicie sesión en el sitio web del portal y elimine las capas web alojadas que se publicaron en el portal.
Elimine el sitio de ArcGIS Server del portal, lo que restaura la configuración predeterminada del almacén de seguridad de ArcGIS Server y elimina los elementos del portal que se unieron desde el servidor cuando este estaba federado.
Configure la seguridad de ArcGIS Server de modo que use los almacenes de roles y de usuarios que desee.