Настройте ArcGIS Server с новым сертификатом, подписанным CA

В этой теме рассматриваются шаги создания сертификата, его подписания центром сертификации (CA) и настройка с помощью ArcGIS Server. Шаги для этого следующие:

1. Создание нового самозаверенного сертификата.

2. Отправьте запрос в центр сертификации на подпись сертификата.

3. Настройте сайт ArcGIS Server для использования сертификата, подписанного CA.

4. Настройка всех ГИС-серверов в развертывании.

5. {data-pivot='OS-Windows'} Импортируйте корневой сертификат CA в хранилище сертификатов Windows.

6. Доступ к сайту.

Создание нового самозаверенного сертификата

1. Войдите в ArcGIS Server Administrator Directory https://gisserver.example.com:6443/arcgis/admin.

2. Перейдите к ** machines > [имя компьютера] > sslcertificates**.

3. Нажмите generate.

4. Введите значения параметров на этой странице:

   Опция	Описание
   Псевдоним	Уникальное название, которое позволяет легко идентифицировать сертификат.
   Алгоритм ключа	Используйте RSA (по умолчанию) или DSA.
   Размер ключа	Задает размер в битах для формирования криптографических ключей, которые используются для создания сертификата. Чем больше размер ключа, тем труднее взломать шифр, однако при этом возрастает время расшифровки данных. Для DSA размер ключа составляет от 512 до 1024. Для RSA рекомендуется использовать размер 2048 или больше.
   Алгоритм подписи	Используйте стандартную версию (SHA256withRSA). Если у вашей организации особые требования безопасности, то для DSA можно использовать один из следующих алгоритмов: SHA384withRSA, SHA512withRSA, SHA1withRSA, SHA1withDSA.
   Общее имя	Общее имя - это поле дополнительное и используется для обратной совместимости с устаревшими веб-браузерами и программным обеспечением. Рекомендуется использовать полное доменное имя для компьютера вашего портала в качестве общего имени. Если доступ к серверу будет осуществляться через Интернет по URL-адресу https://www.gisserver.example.com:6443/arcgis/, используйте www.gisserver.com в качестве обычного имени. Если доступ к серверу будет осуществляться только по локальной сети по URL-адресу https://gisserver.example.com:6443/arcgis, используйте gisserver.domain.com в качестве общего имени.
   Подразделение организации	Имя подразделения организации, например, Отдел ГИС.
   Организация	Имя организации, например, Esri.
   Город или местность	Название города нахождения, например, Редландс.
   Штат или провинция	Полное название штата или области, например, Калифорния.
   Код страны	Код страны, например, US.
   Срок действия	Общее время в днях, в течение которого будет действителен этот сертификат, например, 365.
   Альтернативное имя субъекта	Альтернативное имя субъекта - subject alternative name (SAN) используется для проверки того, что сертификат SSL, предоставляемый веб-сайтом, был выдан именно для этого веб-сайта. Если параметр слева не заполнен, по умолчанию используется полное доменное имя локального компьютера. Поле SAN поддерживает множественные значения; но оно должно содержать полное доменное имя веб-сайта. Значение параметра SAN не может содержать пробелов. Например, если сервер доступен по URL https://www.esri.com, параметр SAN должен быть установлен на DNS:www.esri.com. Если сервер будет доступен в интернете по URL https://www.esri.com и в локальной сети вашей организации по URL https://gisserver.esri.com, то параметр SAN должен быть установлен на DNS:www.esri.com,DNS:gisserver.esri.com. Использование wildcards (*.esri.com) в параметре SAN поддерживается, но не рекомендуется. Когда один и тот же сертификат используется для нескольких сайтов или поддоменов, укажите каждый веб-сайт или поддомен в параметре SAN, как показано в следующем примере: Пример: DNS:www.esri.com,DNS:esri.com,DNS:www.esri.ch,DNS:www.esri.rw,DNS:www.esri.de,DNS:maps.esri.com,DNS:support.esri.com,DNS:pro.arcgis.com.

5. Щелкните Создать, чтобы сформировать сертификат.

Обращение в центр сертификации с запросом на подпись сертификата

Чтобы веб-браузеры приняли ваш сертификат как доверенный, он должен быть проверен и подписан известным центром сертификации, таким как Verisign или Thawte.

Прежние версии:

В версиях 10.5.1 и более ранних вы импортировали подписанные центром сертификации корневые сертификаты в хранилище сертификатов ОС с использованием переменной CA_ROOT_CERTIFICATE_DIR скрипта init_user_param.sh. В версии 10.6 этого не требуется.

1. Откройте self-signed certificate, созданный в предыдущем разделе, и щелкните generateCSR. Скопируйте содержимое в файл, обычно с расширением .csr.

2. Отправьте CSR-файл в выбранный центр сертификации. Вы можете получить сертификаты с кодировкой Distinguished Encoding Rules (DER) или Base64. Если CA запрашивает тип веб-сервера, для которого готовится сертификат, укажите Other\Unknown или Java Application Server. После проверки центр сертификации отправить вам файл .crt или .cer.

3. Сохраните подписанный сертификат, полученный от CA на компьютер, куда можно получить доступ из ArcGIS Server Administrator Directory. Помимо подписанного сертификата центр сертификации также издает корневой сертификат. Сохраните корневой сертификат на компьютере.

4. Войдите в ArcGIS Server Administrator Directory: https://gisserver.example.com:6443/arcgis/admin.

5. Выберите machines > [имя компьютера] > sslcertificates > importRootOrIntermediate, чтобы импортировать корневой сертификат центра сертификации. Если CA выдал какие-либо дополнительные промежуточные сертификаты, импортируйте и их.

6. Перейдите к ** machines > [имя компьютера] > sslcertificates**.

7. Выберите имя самозаверенного сертификата, направленного в центр сертификации.

8. Нажмите importSignedCertificate и перейдите к месту, где находится сохраненный подписанный сертификат, полученный из центра сертификации.

9. Щелкните Подтвердить. Он заменит самозаверенный сертификат, который вы создали ранее, на сертификат, подписанный центром сертификации.

Настройка HTTPS в ArcGIS Server с использованием сертификата, подписанного центром сертификации

Примечание:

Точки распространения CRL (CDP), записанные в сертификате, подписанном CA, должны быть действительными и доступными с машины или машин, где установлен сервер ArcGIS. Если CDP, записанный в сертификате, недействителен или недоступен из-за отсутствия доступа в Интернет, сети или из-за настройки межсетевого экрана, публикация из ArcGIS Pro завершится ошибкой. Чтобы обойти эту проблему, следуйте следующим шагам: Я не могу опубликовать сервис на сайте ArcGIS Server, использующий сертификат, выданный CA, в разделе Общие проблемы и решения.

1. Войдите в ArcGIS Server Administrator Directory https://gisserver.example.com:6443/arcgis/admin. Замените gisserver.example.com на полное доменное имя машины, на которой установлен ArcGIS Server.

2. Выберите ** machines > [имя компьютера]**.

3. Выберите Редактировать.

4. Введите имя подписанного сертификата в поле Web server SSL Certificate. Указанный псевдоним должен совпадать с псевдонимом сертификата, который в предыдущем подразделе был заменен на сертификат, подписанный центром сертификации.

5. Щелкните Сохранить изменения, чтобы применить изменения. Сайт ArcGIS Server будет автоматически перезагружен.

6. После перезапуска сайта убедитесь, что у вас есть доступ к URL-адресу https://gisserver.example.com:6443/arcgis/admin. Если ответа с этого URL-адреса нет, ArcGIS Server не может использовать указанный SSL-сертификат. Войдите в ArcGIS Server Administrator Directory по адресу http://gisserver.example.com:6080/arcgis/admin, проверьте SSL-сертификат и настройте ArcGIS Server на использование нового или другого сертификата.

7. На этой странице проверьте значение свойства Web server SSL Certificate, где для HTTPS должен быть указан необходимый SSL-сертификат.

Настройка всех ArcGIS Server в развернутой системе

Если развертывание ArcGIS Server было выполнено на нескольких машинах, необходимо получить и настроить CA-сертификат для каждой машины ArcGIS Server, работающей в системе. После импорта всех сертификатов перезапустите все компьютеры сайта ArcGIS Server.

Импорт корневого сертификата CA в хранилище сертификатов Windows

Если корневой сертификат центра сертификации отсутствует в хранилище сертификатов Windows, его необходимо импортировать.

1. Войдите на машину, на которой запущен ArcGIS Server.

2. Сохраните на компьютере подписанный сертификат, полученный из центра сертификации.

3. Откройте этот сертификат и щелкните вкладку Путь к сертификату. Если Статус сертификата: задан как Данный сертификат в порядке, то это значит, что корневой сертификат Центра сертификации имеется в хранилище Windows, и его не надо импортировать. Перейдите к шагу 12.

4. Сохраните на компьютере корневой сертификат, полученный из центра сертификации.

5. Откройте этот сертификат и щелкните вкладку Общие. Щелкните кнопку, чтобы Установить сертификат.

6. Когда Мастер импорта сертификата откроется с панелью Добро пожаловать, нажмите Далее.

7. На панели Хранилище сертификатов выберите опцию Поместить все сертификаты в следующее хранилище.

8. Щелкните кнопку Обзор. В диалоговом окне Выбрать хранилище сертификатов включите опцию Показать физические хранилища.

9. Раскройте папку Доверенные корневые центры сертификации, чтобы просмотреть ее содержание. Выберите Локальный компьютер в качестве используемого хранилища сертификата. Нажмите OK.

10. На панели Хранилище сертификата нажмите Далее.

11. Щелкните Готово.

12. Повторяйте шаги 1–11 для каждой машины ArcGIS Server.

13. Перезапустите ArcGIS Server на каждом компьютере.

Доступ к сайту

С включенным HTTPS по умолчанию ArcGIS Server прослушивает запросы по порту 6443. Используйте приведённые ниже URL для безопасного доступа к ArcGIS Server:

ArcGIS Server Manager	https://gisserver.example.com:6443/arcgis/manager
ArcGIS Server Services Directory	https://gisserver.example.com:6443/arcgis/rest/services

Примечание:

Если переименовать ArcGIS Server, вы сможете продолжать получать доступ к ArcGIS Server с помощью HTTPS; однако необходимо сгенерировать новый сертификат и настроить ArcGIS Server для его использования.