Skip to main content

Использование LDAP и аутентификации на веб-уровне

У вас есть возможность безопасного входа в вашу организацию с использованием Облегченного протокола доступа к каталогам (LDAP). При использовании LDAP учетные данные управляются с помощью сервера LDAP вашей организации.

Чтобы использовать LDAP, вы можете настроить аутентификацию на уровне портала или аутентификацию на веб-уровне с помощью ArcGIS Web Adaptor (Java Platform), развернутого на сервере приложений Java. Вы не можете использовать ArcGIS Web Adaptor (IIS) для выполнения аутентификации на веб-уровне с LDAP.

Настройка организации с помощью LDAP

По умолчанию ArcGIS Enterprise требует использования HTTPS для всего обмена данными. Если вы ранее меняли эту опцию, чтобы активировать подключения как по HTTP, так и по HTTPS, вам понадобится перенастроить портал для использования подключения только по HTTPS, выполнив описанные ниже шаги.

Настройка организации для использования HTTPS для всех коммуникаций

Выполните следующие шаги для настройки организации для работы с HTTPS:

  1. Войдите на веб-сайт организации в качестве администратора.

    URL-адрес имеет формат https://organization.example.com/<context>/home.

  2. Щелкните Организация, щелкните вкладку Настройки, а затем щелкните Безопасность слева на странице.

  3. Включите опцию Разрешить доступ к порталу только с использованием HTTPS.

Настройка хранилища идентификаций с использованием пользователей и групп LDAP

Далее обновите хранилище аутентификаций вашей организации, чтобы использовались учетные записи и группы LDAP.

  1. Войдите в ArcGIS Enterprise Manager как администратор вашей организации. URL представлен в формате https://organization.example.com/<context>/manager.

  2. Щелкните Безопасность > Хранилище идентификаций.

  3. С помощью опций Хранилище учетных записей и Хранилище групп можно выбрать способ управления учетными записями и группами для вашей организации.

  4. Выберите LDAP в разделе Хранилище учетных записей. Для учетных записей LDAP вы можете использовать встроенное хранилище групп или хранилище групп LDAP. Поля для ввода в разделе Конфигурация хранилища учетных записей и хранилища групп изменяются в зависимости от выбранного типа хранилища групп.

  5. В разделе Конфигурация хранилища учетных записей и хранилища групп введите в каждое поле соответствующую информацию. Ниже приводятся описания всех текстовых полей:

    • Type — LDAP или LDAPS.

    • Hostname (Required) — Имя размещающего компьютера, на котором работает каталог LDAP.

    • Port (Required) — Номер порта на размещающем компьютере, с которого каталог LDAP считывает входящие подключения.

      Примечание:

      Для безопасных соединений обычно используется порт 636.

    • User Base DN (Required) — Отличительное имя (DN) узла в директории сервера, под которым поддерживается пользовательская информация, например, ou=users,dc=example,dc=com.

    • Group base DN (Required) — Отличительное имя (DN) узла в директории сервера, под которым поддерживается информация о группе, например, ou=groups,dc=example,dc=com.

    • Username (Required) — Отличительное имя (DN) учетной записи LDAP, которая имеет доступ к узлу, содержащему информацию пользователя. Административный доступ для этой учетной записи не обязателен.

    • Password (Required) — Пароль учетной записи пользователя LDAP, который используется для доступа к серверу директорий.

    • LDAP URL for users — LDAP URL для пользователей, который используется для подключения к директории LDAP.

      Примечание:

      Это значение создается автоматически, но при необходимости его можно изменить.

    • LDAP URL for groups — LDAP URL для групп, который используется для подключения к директории LDAP.

      Примечание:

      Это значение создается автоматически, но при необходимости его можно изменить.

    • Are usernames case sensitive? — Да или Нет.

    • User first name attribute (Required) — Атрибут сервера каталогов для (первого) имени пользователя.

    • User last name attribute (Required) — Атрибут сервера каталогов для фамилии пользователя.

    • User email attribute (Required) — Атрибут сервера каталогов для адреса электронной почты пользователя.

    • Username attribute (Required) — Атрибут сервера каталогов для имени пользователя.

    • User search attribute — Это необязательное поле, которое требуется только при настройке Enterprise для использования аутентификации на веб-уровне на веб-адаптере Java. В некоторых сценариях веб-адаптер Java может возвращать аутентифицированное имя пользователя в формате, отличном от ожидаемого имени пользователя, указанного выше. Примером может быть случай, когда веб-адаптор Java настраивается для использования аутентификации клиентского сертификата, а с веб-сервера возвращается полное отличительное имя вместо имени пользователя. В этом примере Атрибут поиска пользователя должен быть задан как distinguishedName.

    • Member attribute (Required) — Атрибут сервера каталогов для списка пользователей, которые являются участниками конкретной группы.

    • Group name attribute (Required) — Атрибут сервера каталогов для имени группы.

  6. Нажмите Сохранить, когда закончите ввод информации для конфигурации хранилища аутентификаций.

Добавление учетных записей конкретной организации

По умолчанию пользователи конкретной организации могут получить доступ к организации ArcGIS Enterprise. Однако они могут лишь просматривать элементы, открытые для всех пользователей организации. Это связано с тем, что учетные записи конкретной организации не были добавлены, и им не были выданы права доступа.

Добавьте учетные записи в свою организацию, используя один из следующих способов:

Рекомендуется назначить по крайней мере одну учетную запись конкретной организации администратором вашего портала. Вы можете сделать это, выбрав роль Администратора при добавлении учетной записи. Теперь, когда у вас появилась дополнительная учетная запись администратора портала, вы можете назначить учетной записи главного администратора роль Пользователя или удалить ее. Дополнительные сведения см. в разделе Об учетной записи основного администратора.

После того как вы добавите учетные записи и выполните перечисленные ниже шаги, пользователи смогут входить в организацию и работать с ее ресурсами.

Настройка ArcGIS Web Adaptor на использование аутентификации веб-уровня

После того как вы установили и настроили ArcGIS Web Adaptor в своей организации, следуя соответствующему руководству по установке, необходимо настроить сервер приложений Java, выполнив две основные задачи:

  1. Интеграция с вашим хранилищем идентификации LDAP. Это позволит вашему серверу приложений Java аутентифицировать пользователей, управляемых в этом хранилище LDAP.

  2. Включите механизм аутентификации на основе браузера, такой как аутентификация на основе форм или диалоговых окон, для контекста ArcGIS Web Adaptor организации.

Для получения инструкций обратитесь к документации по серверу приложений Java, странице Профессиональные сервисы Esri или проконсультируйтесь со своим системным администратором.

Проверка доступности портала с использованием LDAP

  1. Откройте портал.

    URL представлен в формате https://organization.example.com/<context>/home.

  2. Убедитесь, что вас попросили ввести свои учетные данные LDAP. Если вы этого не увидели, проверьте, что для входа в LDAP вы использовали учетную запись, добавленную на портал.

Запрет создания собственных учетных записей пользователями

Если вы разрешили пользователям создавать свои собственные встроенные учетные записи портала до настройки IWA, они по-прежнему смогут это делать после настройки. Дополнительную информацию о том, как контролировать создание новых учетных записей, см. в разделе Разрешить пользователям добавлять собственные учетные записи.