Использование встроенной аутентификации Windows

Вы можете контролировать доступ к вашей организации при помощи встроенной аутентификации Windows (IWA). При использовании IWA учетные данные управляются с помощью Microsoft Windows Active Directory. Пользователи не входят в систему и не выходят из нее в организации; вместо этого, когда они открывают веб-сайт, они входят в систему, используя те же учетные записи, которые они использовали для входа в Windows.

Чтобы использовать интегрированную аутентификацию Windows, необходимо использовать ArcGIS Web Adaptor, развернутый на веб-сервере Microsoft IIS. Вы не можете использовать ArcGIS Web Adaptor (Java Platform) для выполнения интегрированной аутентификации Windows. Если вы еще этого не сделали, установите и настройте ArcGIS Web Adaptor с вашей организацией.

Настройка организации на использование Windows Active Directory

По умолчанию ArcGIS Enterprise требует использования HTTPS для всего обмена данными. Если вы ранее меняли эту опцию, чтобы активировать подключения как по HTTP, так и по HTTPS, вам понадобится перенастроить портал для использования подключения только по HTTPS, выполнив описанные ниже шаги.

Примечание:

Используя хранилище идентичностей Active Directory, ArcGIS Enterprise поддерживает аутентификацию из множества доменов в рамках одного леса, но не обеспечивает аутентификацию между лесами. Для поддержки пользователей, относящихся к конкретной организации, из нескольких лесов требуется провайдер аутентификации SAML.

Настройка организации на использование HTTPS для всех коммуникаций

Выполните следующие шаги для настройки организации для работы с HTTPS:

Войдите на веб-сайт организации в качестве администратора.

URL-адрес имеет формат https://organization.example.com/<context>/home.
Щелкните Организация и щелкните вкладку Настройки, а затем щелкните Безопасность на левой стороне страницы.
Включите опцию Разрешить доступ к порталу только с использованием HTTPS.

Настройка хранилища идентичностей с использованием пользователей и групп Active Directory

Затем обновите хранилище идентичностей вашей организации, чтобы использовать пользователей и группы Windows Active Directory.

Войдите в ArcGIS Enterprise Manager в качестве администратора вашей организации.

URL-адрес имеет формат https://organization.example.com/<context>/manager.
Щелкните Безопасность и выберите Хранилище сущностей.

С помощью кнопок Хранилище учетных записей и Хранилище групп можно выбрать способ управления учетными записями и группами для вашей организации.
Выберите Windows в разделе Хранилище учетных записей.

Для пользователей Windows можно использовать встроенное хранилище групп или хранилище групп Windows. Поля для ввода в разделе Конфигурация хранилища учетных записей и хранилища групп изменяются в зависимости от выбранного типа хранилища групп.
В разделе Конфигурация хранилища учетных записей и хранилища групп введите в каждое поле соответствующую информацию.

Ниже приводятся описания всех текстовых полей:
- Username (Required)
- Password (Required)
- Are usernames case sensitive? - Да или Нет.
- User first name attribute (Required) - Атрибут сервера каталогов для (первого) имени пользователя.
- User last name attribute (Required) - Атрибут сервера каталогов для фамилии пользователя.
- User email attribute (Required) - Атрибут сервера каталогов для адреса электронной почты пользователя.
- Domain controller (Required)
- Domain controller mapping
Нажмите Сохранить, когда закончите ввод информации для конфигурации хранилища аутентификаций.

Настройка дополнительных параметров хранилища аутентификаций

При необходимости вы можете изменить дополнительные параметры конфигурации хранилища идентичностей с помощью ArcGIS Enterprise Administration API. Эти параметры включают ограничение на автоматическое обновление групп при входе в организацию пользователя, относящегося к конкретной организации, установку интервала обновления участия, а также опцию, которая определяет, будет ли производиться проверка форматов разных имен пользователей. Более подробно см. в разделе Обновление хранилища аутентификаций.

Добавление учетных записей конкретной организации

По умолчанию пользователи конкретной организации могут получить доступ к организации ArcGIS Enterprise. Однако они могут лишь просматривать элементы, открытые для всех пользователей организации. Это связано с тем, что учетные записи конкретной организации не были добавлены, и им не были выданы права доступа.

Добавьте учетные записи в свою организацию, используя один из следующих способов:

Индивидуально или массово (по одной, массово из файла .csv или из существующих групп Active Directory)
Автоматически

Рекомендуется назначить по крайней мере одну учетную запись конкретной организации администратором вашего портала. Вы можете сделать это, выбрав роль Администратора при добавлении учетной записи. Теперь, когда у вас появилась дополнительная учетная запись администратора портала, вы можете назначить учетной записи главного администратора роль Пользователя или удалить ее. См. Об учетной записи основного администратора для получения дополнительной информации.

После того как вы добавите учетные записи и выполните перечисленные ниже шаги, пользователи смогут входить в организацию и работать с ее ресурсами.

Настройка ArcGIS Web Adaptor на использование IWA

Чтобы настроить ArcGIS Web Adaptor на использование IWA, выполните следующие действия:

Откройте диспетчер Internet Information Server (IIS).
На панели Подключения найдите и разверните веб-сайт, на котором размещен ArcGIS Web Adaptor.
Щелкните имя ArcGIS Web Adaptor.

По умолчанию – arcgis.
Дважды щелкните Аутентификация на панели Home.
Выберите Анонимная проверка подлинности и щелкните Отключить.
Выберите Аутентификация Windows и щелкните Включить.
Закройте диспетчер Internet Information Server (IIS).

Проверка доступности портала с помощью IWA

Чтобы проверить, используя IWA, есть ли доступ к порталу, выполните следующие действия:

Откройте портал.

URL-адрес имеет формат https://organization.example.com/<context>/home.
Убедитесь, что у вас запросили учетные данные вашей учетной записи организации либо автоматически вошли с использованием таких учетных данных. Если вы не видите этого поведения, подтвердите, что учетная запись Windows, которую вы использовали для входа на компьютер, была добавлена на портал.

Запрет создания собственных учетных записей пользователями

Если вы разрешили пользователям создавать свои собственные встроенные учетные записи портала до настройки IWA, они по-прежнему смогут это делать после настройки. Дополнительную информацию о том, как контролировать создание новых учетных записей, см. в разделе Разрешить пользователям добавлять собственные учетные записи.