Skip to main content

Использование Windows Active Directory и аутентификации по сертификату клиента для защиты доступа

При использовании Windows Active Directory для аутентификации пользователей вы можете применять аутентификацию по сертификату клиента на основе инфраструктуры открытых ключей (PKI) для защиты доступа к вашей организации.

Для использования встроенной аутентификации Windows и аутентификации по сертификату клиента необходимо использовать ArcGIS Web Adaptor, развернутый на веб-сервере Microsoft IIS. Вы не можете использовать ArcGIS Web Adaptor (Java Platform) для выполнения интегрированной аутентификации Windows. Если вы еще этого не сделали, выполните установку и настройку ArcGIS Web Adaptor в вашей организации.

Настройка вашего портала на использование Windows Active Directory

Сначала настройте портал для использования SSL для всех коммуникаций. Затем обновите хранилище аутентификаций вашего портала, чтобы использовались учетные записи и группы Windows Active Directory.

Настройка организации на использование HTTPS для всех коммуникаций

Выполните следующие шаги для настройки организации для работы с HTTPS:

  1. Войдите на веб-сайт организации в качестве администратора.

    URL-адрес имеет формат https://organization.example.com/<context>/home.

  2. Щелкните Организация, щелкните вкладку Настройки, а затем щелкните Безопасность на левой стороне страницы.

  3. Включите опцию Разрешить доступ к порталу только с использованием HTTPS.

Настройка хранилища идентичностей с использованием пользователей и групп Active Directory

Затем обновите хранилище идентичностей вашей организации для использования пользователей и групп Windows Active Directory.

  1. Войдите в ArcGIS Enterprise Manager в качестве администратора вашей организации.

    URL-адрес имеет формат https://site.example.com/<site context>/manager.

  2. Щелкните Безопасность > Хранилище идентичностей.

    С помощью кнопок опций Хранилище учетных записей и Хранилище групп можно выбрать способ управления учетными записями и группами для вашей организации.

  3. Выберите Windows в разделе Хранилище учетных записей.

    Для пользователей Windows вы можете использовать встроенное хранилище групп или хранилище групп Windows. Текстовые поля в разделе Конфигурация хранилища учетных записей и хранилища групп изменяются в зависимости от выбранного типа хранилища групп.

  4. В разделе Конфигурация хранилища учетных записей и хранилища групп введите в каждое текстовое окно соответствующую информацию.

    Ниже приводятся описания всех текстовых полей:

    • Имя пользователя (обязательно)

    • Пароль (обязательно)

    • Чувствительны ли имена пользователей к регистру — Да или Нет

    • Атрибут имени учетной записи (обязательно) — атрибут сервера каталогов для (первого) имени пользователя

    • Атрибут фамилии учетной записи (обязательно) — атрибут сервера каталогов для фамилии пользователя

    • Атрибут электронной учетной записи (обязательно) — атрибут сервера каталогов для электронной почты пользователя

    • Контроллер домена (обязательно)

    • Сопоставление контроллера домена

  5. Нажмите Сохранить, когда закончите ввод информации для конфигурации хранилища аутентификаций.

Добавление учетных записей конкретной организации

По умолчанию пользователи конкретной организации могут получить доступ к организации ArcGIS Enterprise. Однако они могут лишь просматривать элементы, открытые для всех пользователей организации. Это связано с тем, что учетные записи конкретной организации не были добавлены, и им не были выданы права доступа.

Добавьте учетные записи в свою организацию, используя один из следующих способов:

Рекомендуется назначить по крайней мере одну учетную запись конкретной организации администратором вашего портала. Вы можете сделать это, выбрав роль Администратора при добавлении учетной записи. Теперь, когда у вас появилась дополнительная учетная запись администратора портала, вы можете назначить учетной записи главного администратора роль Пользователя или удалить ее. См. Об учетной записи основного администратора для получения дополнительной информации.

После того как вы добавите учетные записи и выполните перечисленные ниже шаги, пользователи смогут входить в организацию и работать с ее ресурсами.

Установите и включите аутентификацию Active Directory Client Certificate Mapping

Картография клиентских сертификатов Active Directory недоступна в установке IIS по умолчанию. Вам необходимо установить и включить эту возможность.

Установка аутентификации Active Directory Client Certificate Mapping

Выполните следующие шаги для установки Картографии клиентских сертификатов на Windows Server 2016, 2019, 2022 и 2025:

  1. Откройте Server Manager.

  2. В Server Manager Dashboard щелкните Добавить роли и компоненты.

    Откроется Мастер Добавить роли и функции.

  3. Примите настройки по умолчанию и щелкните Далее на страницах Перед началом работы, Тип установки и Выбор сервера.

  4. На странице Роли сервера включите Веб сервер (IIS).

  5. В открывшемся диалоговом окне щелкните Добавить функции, затем Далее.

  6. На страницах Функции и Роль веб-сервера (IIS) щелкните Далее.

  7. На странице Сервисы ролей разверните раздел Безопасность, выберите Client Certificate Mapping Authentication и щелкните Далее.

  8. На странице Подтверждение щелкните Установить.

  9. Когда установка завершится, щелкните Закрыть, чтобы закрыть мастер.

Включение аутентификации Active Directory Client Certificate Mapping

После того ,как вы установите Active Directory Client Certificate Mapping, выполните следующие шаги, чтобы включить компонент:

  1. Запуск диспетчера Internet Information Server (IIS).

  2. В узле Подключения щелкните имя вашего веб-сервера.

  3. Дважды щелкните Авторизация в окне Просмотр возможностей.

  4. Убедитесь, что отображается Аутентификация Active Directory Client Certificate Mapping.

    Если компонент не отображается или недоступен, то перезагрузите веб-сервер, чтобы завершить установку компонента Аутентификация Active Directory Client Certificate.

  5. Щелкните дважды Active Directory Client Certificate Authentication и выберите Включить в окне Действия.

Появляется сообщение, утверждающее, что SSL должен быть включен для использования Active Directory Client Certificate Authentication. В следующем разделе вы будете над этим работать.

Настройте ArcGIS Web Adaptor с учетом требований SSL и клиентских сертификатов

Выполните следующие шаги для настройки ArcGIS Web Adaptor с учетом требований SSL и клиентских сертификатов:

  1. Запустите Internet Information Services (IIS) Manager.

  2. Разверните узел Подключения и выберите сайт ArcGIS Web Adaptor.

  3. Дважды щелкните Авторизация в окне Просмотр возможностей.

  4. Отключите все формы аутентификации.

  5. Снова выберите ваш ArcGIS Web Adaptor из списка Соединения.

  6. Дважды щелкните Настройки SSL.

  7. Включите опцию Требовать SSL и выберите опцию Требовать под Сертификаты клиентов.

  8. Нажмите Применить, чтобы сохранить изменения.

Примечание:

Для работы аутентификации по клиентским сертификатам на Microsoft Windows Server 2022 TLS 1.3 должен быть отключен в привязках сайта HTTPS.

Проверка доступа к порталу с использованием Windows Active Directory и аутентификации по клиентским сертификатам

Выполните следующие шаги, чтобы проверить, что вы можете открыть портал с использованием Windows Active Directory и аутентификации по клиентским сертификатам:

  1. Откройте портал.

    URL-адрес имеет формат https://organization.example.com/<context>/home.

  2. Убедитесь, что вас попросили ввести безопасные учетные данные, и вы можете войти на веб-сайт.

Запрет создания собственных учетных записей пользователями

Если вы разрешили пользователям создавать свои собственные встроенные учетные записи портала до настройки IWA, они по-прежнему смогут это делать после настройки. Дополнительную информацию о том, как контролировать создание новых учетных записей, см. в разделе Разрешить пользователям добавлять собственные учетные записи.