Skip to main content

Использование LDAP и аутентификации сертификата клиента для безопасного доступа

При использовании Упрощенного протокола доступа к каталогам (LDAP) для аутентификации пользователей вы можете использовать аутентификацию на основе клиентских сертификатов инфраструктуры открытых ключей (PKI) для обеспечения безопасности доступа к вашей организации ArcGIS Enterprise.

Чтобы использовать LDAP и PKI, необходимо настроить аутентификацию с помощью клиентских сертификатов, используя ArcGIS Web Adaptor, развернутый на сервере приложений Java. Вы не можете использовать ArcGIS Web Adaptor для выполнения аутентификации с помощью клиентских сертификатов с LDAP.

Настройка своей организации с помощью LDAP

По умолчанию организация ArcGIS Enterprise принудительно использует HTTPS для всех коммуникаций. Если вы ранее меняли эту опцию, чтобы активировать подключения как по HTTP, так и по HTTPS, вам понадобится перенастроить портал для использования подключения только по HTTPS, выполнив описанные ниже шаги.

Настройка организации на использование HTTPS для всех коммуникаций

Выполните следующие шаги для настройки организации для работы с HTTPS:

  1. Войдите на веб-сайт организации в качестве администратора.

    URL-адрес имеет формат https://organization.example.com/<context>/home.

  2. Щелкните Организация, щелкните вкладку Настройки, а затем щелкните Безопасность в левой части страницы.

  3. Включите опцию Разрешить доступ к порталу только с использованием HTTPS.

Настройка хранилища идентификационных данных с использованием пользователей и групп LDAP

Далее обновите хранилище аутентификаций вашей организации, чтобы использовались учетные записи и группы LDAP.

  1. Войдите в ArcGIS Enterprise Manager в качестве администратора вашей организации.

    URL-адрес имеет формат https://organization.example.com/<context>/manager.

  2. Щелкните Безопасность и выберите Хранилище сущностей.

  3. Щелкните кнопки в разделе Хранилище учетных записей и Хранилище групп, чтобы выбрать способ управления учетными записями и группами для вашей организации.

  4. Выберите LDAP в разделе Хранилище учетных записей.

    Для учетных записей LDAP вы можете использовать встроенное хранилище групп или хранилище групп LDAP. Поля для ввода в разделе Конфигурация хранилища учетных записей и хранилища групп изменяются в зависимости от выбранного типа хранилища групп.

  5. В разделе Конфигурация хранилища учетных записей и хранилища групп введите в каждое поле соответствующую информацию.

    Ниже приводятся описания всех текстовых полей:

    • Type —LDAP или LDAPS.

    • Hostname (Required)Имя размещающего компьютера, на котором работает каталог LDAP.

    • Port (Required) —Номер порта на размещающем компьютере, с которого каталог LDAP считывает входящие подключения.

      Примечание:

      Для безопасных соединений это обычно 636.

    • User Base DN (Required) —Отличительное имя (DN) узла в директории сервера, под которым поддерживается информация о пользователе, например, ou=users,dc=example,dc=com.

    • Group base DN (Required) —Отличительное имя (DN) узла в директории сервера, под которым поддерживается информация о группе, например, ou=groups,dc=example,dc=com.

    • Username (Required) —Отличительное имя (DN) учетной записи LDAP, которая имеет доступ к узлу, содержащему информацию пользователя. Административный доступ для этой учетной записи не обязателен.

    • Password (Required) —Пароль учетной записи пользователя LDAP, который используется для доступа к серверу директорий.

    • LDAP URL for users — LDAP URL для пользователей, который используется для подключения к директории LDAP.

      Примечание:

      Это значение создается автоматически, но при необходимости его можно изменить.

    • LDAP URL for groups — LDAP URL для групп, который используется для подключения к директории LDAP.

      Примечание:

      Это значение создается автоматически, но при необходимости его можно изменить.

    • Are usernames case sensitive? — Да или Нет.

    • User first name attribute (Required) — Атрибут сервера каталогов для (первого) имени пользователя.

    • User last name attribute (Required) - Атрибут сервера каталогов для фамилии пользователя.

    • User email attribute (Required) - Атрибут сервера каталогов для адреса электронной почты пользователя.

    • Username attribute (Required) —Атрибут сервера каталогов для имени пользователя.

    • User search attribute — Это необязательное поле, которое требуется только при настройке Enterprise для использования аутентификации на веб-уровне на веб-адаптере Java. В некоторых сценариях Java Web Adaptor может возвращать аутентифицированное имя пользователя в формате, отличном от ожидаемого имени пользователя, указанного выше. Примером может быть случай, когда веб-адаптор Java настраивается для использования аутентификации клиентского сертификата, а с веб-сервера возвращается полное отличительное имя вместо имени пользователя. В этом примере Атрибут поиска пользователя должен быть задан как distinguishedName.

    • Member attribute (Required) — Атрибут сервера каталогов для списка пользователей, которые являются участниками конкретной группы.

    • Group name attribute (Required) — Атрибут сервера каталогов для имени группы.

  6. Нажмите Сохранить, когда закончите ввод информации для конфигурации хранилища аутентификаций.

Добавление учетных записей конкретной организации

По умолчанию пользователи конкретной организации могут получить доступ к организации ArcGIS Enterprise. Однако они могут лишь просматривать элементы, открытые для всех пользователей организации. Это связано с тем, что учетные записи конкретной организации не были добавлены, и им не были выданы права доступа.

Добавьте учетные записи в свою организацию, используя один из следующих способов:

Рекомендуется назначить по крайней мере одну учетную запись конкретной организации администратором вашего портала. Это можно сделать, выбрав роль Администратора при добавлении учетной записи. Теперь, когда у вас появилась дополнительная учетная запись администратора портала, вы можете назначить учетной записи главного администратора роль Пользователя или удалить ее. См. Об учетной записи основного администратора для получения дополнительной информации.

После того как вы добавите учетные записи и выполните перечисленные ниже шаги, пользователи смогут входить в организацию и работать с ее ресурсами.

Настройка ArcGIS Web Adaptor для использования аутентификации по клиентскому сертификату

После установки и настройки ArcGIS Web Adaptor с вашей организацией настройте область LDAP на сервере приложений Java и настройте аутентификацию по клиентскому сертификату на основе PKI для ArcGIS Web Adaptor. Для получения инструкций обратитесь к своему системному администратору или ознакомьтесь с документацией по этому продукту для сервера приложений Java.

Примечание:

Для работы аутентификации по клиентскому сертификату TLS 1.3 должен быть отключен на сервере приложений Java.

Проверка доступа к организации с использованием LDAP и аутентификации по клиентскому сертификату

Для проверки доступности портала с использованием LDAP и аутентификации сертификата клиента выполните следующие шаги:

  1. Войдите в организацию.

  2. Убедитесь, что вас попросили ввести безопасные учетные данные, и вы можете войти на веб-сайт.

Запрет создания собственных учетных записей пользователями

Если вы разрешили пользователям создавать свои собственные встроенные учетные записи портала до настройки IWA, они по-прежнему смогут это делать после настройки. Дополнительную информацию о том, как контролировать создание новых учетных записей, см. в разделе Разрешить пользователям добавлять собственные учетные записи.