Skip to main content

Использование LDAP или Active Directory и аутентификации на уровне портала

Настройка организации на использование HTTPS для всех коммуникаций

По умолчанию ArcGIS Enterprise требует использования HTTPS для всего обмена данными. Если вы ранее изменили этот параметр, чтобы разрешить обмен данными как по протоколу HTTP, так и по протоколу HTTPS, необходимо перенастроить организацию для использования связи только по протоколу HTTPS, выполнив следующие действия:

  1. Войдите в ArcGIS Enterprise как администратор вашей организации.

    URL-адрес имеет формат https://organization.example.com/<context>/home.

  2. На странице Организация щелкните вкладку Настройки и щелкните Безопасность.

  3. Отметьте опцию Разрешить доступ к порталу только с использованием HTTPS.

  4. Нажмите Сохранить, чтобы применить изменения.

Обновление хранилища учетных записей вашей организации

Затем обновите хранилище аутентификаций портала, чтобы оно использовало либо протокол LDAP, либо учетные записи и группы Active Directory.

Обновление хранилища аутентификаций с помощью LDAP

Чтобы обновить хранилище аутентификаций с помощью LDAP, выполните следующие действия:

  1. Войдите в ArcGIS Enterprise Administrator Directory в качестве администратора вашей организации.

    URL-адрес имеет формат https://organization.example.com/context/admin.

  2. Щелкните Безопасность > Конфигурация > Обновить хранилище идентификаторов.

  3. В текстовом окне Настройка хранилища пользователей (в формате JSON) вставьте информацию о конфигурации пользователей LDAP вашей организации (в формате JSON). Либо обновите следующий пример информацией о пользователях, относящейся к вашей организации.

    {
  "type": "LDAP",
  "properties": {
    "userPassword": "secret",
    "isPasswordEncrypted": "false",
    "user": "uid=admin,ou=system",
    "userFullnameAttribute": "cn",
    "userGivenNameAttribute": "givenName",
    "userSurnameAttribute": "sn",
    "ldapURLForUsers": "ldaps://myLdapServer:10636/ou=users,ou=ags,dc=example,dc=com",
    "userEmailAttribute": "mail",
    "usernameAttribute": "uid",
    "caseSensitive": "false",
    "userSearchAttribute": "uid"
  }
}

    В большинстве случаев вам нужно будет изменить только значения для параметров user, userPassword и ldapURLForUsers. URL для вашего LDAP должен предоставляться администратором LDAP.

    В приведенном выше примере URL-адрес LDAP относится к пользователям в определенном OU (ou=пользователи). Когда пользователи существуют в нескольких OU, URL-адрес LDAP может указывать на более высокий уровень OU или даже, при необходимости, на корневой уровень. В этом случае URL-адрес будет выглядеть так:

    "ldapURLForUsers": "ldaps://myLdapServer:10636/dc=example,dc=com",

    Учетной записи, которую вы используете для параметров пользователя, необходимо иметь права доступа для просмотра адресов электронной почты и имен пользователей в вашей организации. Хотя вы вводите пароль в виде обычного текста, он будет зашифрован, когда вы щелкните Обновить хранилище аутентификаций (ниже).

    Если ваш LDAP чувствителен к регистру, установите для параметра caseSensitive значение true.

  4. Для создания групп в портале, использующих существующие группы LDAP в вашем хранилище учетных записей, вставьте информацию о конфигурации групп LDAP вашей организации (в формате JSON) в текстовое окно Конфигурация хранилища групп (в формате JSON), как показано ниже. Либо обновите следующий пример информацией о группах, относящейся к вашей организации. Если вы хотите использовать только встроенные группы портала, удалите все из текстового поля и пропустите этот шаг.

    {
  "type": "LDAP",
  "properties": {
    "userPassword": "secret",
    "isPasswordEncrypted": "false",
    "user": "uid=admin,ou=system",
    "ldapURLForUsers": "ldaps://myLdapServer:10636/ou=users,ou=ags,dc=example,dc=com",
    "ldapURLForRoles": "ldaps://myLdapServer:10636/dc=example,dc=com",
    "usernameAttribute": "uid",
    "caseSensitive": "false",
    "userSearchAttribute": "uid",
    "memberAttributeInRoles": "member",
    "rolenameAttribute":"cn"
  }
}

    В большинстве случаев вам нужно будет изменить только значения для параметров user, userPassword и ldapURLForUsers. URL для вашего LDAP должен предоставляться администратором LDAP.

    В приведенном выше примере URL-адрес LDAP относится к пользователям в определенном OU (ou=пользователи). Когда пользователи существуют в нескольких OU, URL-адрес LDAP может указывать на более высокий уровень OU или даже, при необходимости, на корневой уровень. В этом случае URL-адрес будет выглядеть так:

    "ldapURLForUsers": "ldaps://bar2:10636/dc=example,dc=com",

    Учетной записи, которую вы используете для параметров пользователя, необходимо иметь права доступа для просмотра адреса эл. почты и имен пользователей в вашей организации. Хотя вы вводите пароль в виде обычного текста, он будет зашифрован, когда вы щелкните Обновить хранилище аутентификаций (ниже).

    Если ваш LDAP чувствителен к регистру, установите для параметра caseSensitive значение true.

  5. Щелкните Обновить хранилище аутентификаций, чтобы сохранить изменения.

Обновление хранилища аутентификаций с помощью Active Directory

Чтобы обновить хранилище аутентификаций с помощью Active Directory, выполните следующие действия:

  1. Войдите в ArcGIS Enterprise Administrator Directory в качестве администратора вашей организации.

    URL-адрес имеет формат https://organization.example.com/context/admin.

  2. Щелкните Безопасность > Конфигурация > Обновить хранилище идентификаторов.

  3. В текстовом окне Настройка хранилища пользователей (в формате JSON) вставьте информацию о конфигурации пользователей Windows Active Directory вашей организации (в формате JSON). Либо обновите следующий пример информацией о пользователях, относящейся к вашей организации.

    {
  "type": "WINDOWS",
  "properties": {
    "userPassword": "secret",
    "isPasswordEncrypted": "false",
    "user": "mydomain\\winaccount",
    "userFullnameAttribute": "cn",
    "userEmailAttribute": "mail",
    "userGivenNameAttribute": "givenName",
    "userSurnameAttribute": "sn",
    "caseSensitive": "false"
  }
}

    В большинстве случаев вам нужно будет изменить только значения для параметров userPassword и user. Хотя вы вводите пароль в виде обычного текста, он будет зашифрован, когда вы щелкните Обновить хранилище аутентификаций (ниже). Учетной записи, которую вы указываете для параметра пользователя, требуются только права доступа для поиска адреса электронной почты и полного имени учетных записей Windows в сети. Если возможно, задайте для учетной записи пароль, срок действия которого не истекает.

    В редком случае, когда ваш Windows Active Directory настроен как чувствительный к регистру, установите параметр caseSensitive в значение true.

  4. Для создания групп в портале, использующих существующие группы Active Directory в вашем хранилище учетных записей, вставьте информацию о конфигурации групп Windows Active Directory вашей организации (в формате JSON) в текстовое окно Конфигурация хранилища групп (в формате JSON), как показано ниже. Либо обновите следующий пример информацией о группах, относящейся к вашей организации. Если вы хотите использовать только встроенные группы портала, удалите все из текстового поля и пропустите этот шаг.

    {
  "type": "WINDOWS",
  "properties": {
    "isPasswordEncrypted": "false",
    "userPassword": "secret",
    "user": "mydomain\\winaccount"
  }
}

    В большинстве случаев вам нужно будет изменить только значения для параметров userPassword и user. Хотя вы вводите пароль в виде обычного текста, он будет зашифрован, когда вы щелкните Обновить хранилище аутентификаций (ниже). Учетной записи, которую вы указываете для параметра пользователя, требуются только права доступа для поиска имен групп Windows в сети. Если возможно, задайте для учетной записи пароль, срок действия которого не истекает.

  5. Щелкните Обновить хранилище аутентификаций, чтобы сохранить изменения.

Настройка дополнительных параметров хранилища аутентификаций

Существуют дополнительные параметры хранилища аутентификаций, которые можно изменить с помощью ArcGIS Enterprise Administrator Directory. Эти параметры включают такие опции, как ограничение автоматического обновления групп при входе пользователя конкретной организации в портал, настройка интервала обновления членства и определение необходимости проверки множества форматов имен пользователей. Более подробно см. в разделе Обновление хранилища аутентификаций.

Настройка аутентификации на уровне портала

После настройки организации с использованием хранилища идентификаторов Active Directory или LDAP, необходимо включить анонимный доступ через Web Adaptor в IIS или на сервере приложений Java. Когда пользователь открывает страницу входа в организацию, он может войти в систему, используя учетные данные конкретной организации или встроенные учетные данные. Корпоративные пользователи должны будут вводить свои учетные данные при каждом входе на портал; автоматический вход и система единого входа недоступны. При этом типе аутентификации также разрешается анонимный доступ к картам и другим ресурсам организации, к которым предоставлен доступ для всех.

Проверка доступности портала с использованием учетных данных

Для проверки доступности портала с использованием учетных данных выполните следующие шаги:

  1. Откройте ArcGIS Enterprise.

    Формат URL-адреса: https://organization.example.com/context/home.

  2. Войдите под учетной записью организации (см. ниже пример синтаксиса).

При использовании аутентификации уровня портала участники вашей организации будут заходить в систему, используя следующий синтаксис:

  • При использовании портала вместе с Active Directory синтаксис может быть или domain\username``username@domain. Независимо от того, как участник входит в систему, имя пользователя всегда отображается как username@domain в ArcGIS Enterprise.

  • При использовании LDAP синтаксис зависит от usernameAtrribute, указанного в конфигурации хранилища пользователей. ArcGIS Enterprise также отображает учетную запись в этом формате.

Добавление на портал учетных записей конкретной организации

По умолчанию пользователи конкретной организации могут получить доступ к ArcGIS Enterprise. Однако они могут лишь просматривать элементы, открытые для всех пользователей организации. Это связано с тем, что корпоративные учетные записи не были добавлены на портал, и им не были выданы права доступа.

Добавьте учетные записи в свою организацию, используя один из следующих способов:

Рекомендуется назначить хотя бы одну учетную запись конкретной организации в качестве администратора. Это можно сделать, выбрав роль Администратора при добавлении учетной записи. Теперь, когда у вас появилась дополнительная учетная запись администратора портала, вы можете назначить учетной записи главного администратора роль Пользователя или удалить ее. Подробнее см. раздел Работа с учетной записью основного администратора.

После добавления учетных записей пользователи смогут входить в организацию и пользоваться ресурсами.