Управляйте доступом к вашей организации
Одним из ключевых аспектов планирования развертывания ArcGIS Enterprise является определение того, как управлять учётными записями, которые будут получать доступ к вашей организации, и какие права доступа будут предоставлены этим учётным записям. Определение, как управлять учетными записями, влияет на выбор хранилища аутентификаций. Для получения дополнительной информации о моделях аутентификации и провайдерах хранилищ аутентификации обращайтесь в Центр архитектуры.
Примечание:
Каждому участнику ArcGIS Enterprise и ArcGIS Online требуется своя собственная лицензия. Тем не менее, оба продукта поддерживают учетные записи для конкретной организации с помощью SAML и OpenID Connect, что позволяет упростить аутентификацию между системами. Это означает, что можно использовать одно и то же имя пользователя и пароль для обеих организаций, однако вы не сможете войти в ArcGIS Enterprise и ожидать увидеть те же ресурсы, которые увидели бы, войдя в свою учетную запись ArcGIS Online. Это отдельные организации, каждая со своими собственными хранилищами аутентификаций и набором связанных с ними ресурсов.
Описание хранилищ аутентификаций
Хранилище аутентификаций организации определяет, где будут храниться учетные данные пользователей, как будет производиться аутентификация и как будет происходить управление участниками групп. Организация ArcGIS Enterprise поддерживает два типа хранилищ аутентификаций: встроенное и корпоративное.
Встроенное хранилище аутентификаций
ArcGIS Enterprise можно настроить так, чтобы участники могли создавать аккаунты и группы в вашей организации. Вы можете использовать ссылку Создать учетную запись на странице Войти для добавления встроенной учетной записи и начала работы с ресурсами организации или доступа к ресурсам других пользователей. Когда вы таким способом создаете учетные записи и группы, вы используете встроенное хранилище аутентификаций, которое выполняет аутентификацию и сохраняет имена пользователей учетных записей, пароли, роли и принадлежность участников к группам.
Для создания первичной учетной записи администратора организации вы должны использовать встроенное хранилище аутентификаций, но позднее вы сможете переключиться на корпоративное хранилище аутентификаций. Встроенное хранилище аутентификаций полезно для начального развертывания, а также для разработки и тестирования. Однако в производственных средах обычно используется корпоративное хранилище аутентификаций.
Примечание:
Если вам нужно вернуться из корпоративного хранилища аутентификаций ко встроенному хранилищу аутентификаций, вы можете сделать это, удалив информацию в текстовых полях Конфигурация хранилища пользователей и Конфигурация хранилища групп на странице Обновить хранилище аутентификаций в каталоге администраторов. Для получения дополнительной информации, обратитесь к документации по ArcGIS REST API.
Корпоративное хранилище аутентификаций
ArcGIS Enterprise устроен так, что вы можете использовать корпоративные учетные записи и группы для управления доступом в организацию ArcGIS. Например, можно управлять доступом в организацию, используя учетные данные с сервера Lightweight Directory Access Protocol (LDAP) и провайдеров аутентификации Security Assertion Markup Language (SAML) 2.0 Web Browser Single Sign On. Данный процесс называют в документации настройкой учетных записей организации.
ArcGIS Enterprise устроен так, что вы можете использовать корпоративные учетные записи и группы для управления доступом в организацию ArcGIS. Например, можно управлять доступом, используя учетные данные с сервера Lightweight Directory Access Protocol (LDAP), сервера Windows Active Directory и провайдеров аутентификации Security Assertion Markup Language (SAML) 2.0 Web Browser Single Sign On. Данный процесс называют в документации настройкой учетных записей организации.
Преимущество такого подхода заключается в том, что вам не требуется создавать дополнительные учетные записи организации. Участники используют логин, который уже настроен в корпоративном хранилище аутентификаций. Управление учетными данными, включая политики сложности и срока действия пароля, осуществляется за пределами организации. Это обеспечивает единый вход, чтобы пользователям не приходилось заново вводить свои учетные данные.
Аналогично, вы можете создавать группы, использующие существующие группы Windows Active Directory, LDAP или SAML в вашем хранилище аутентификаций. Также корпоративные учетные записи можно добавлять пакетно, из групп Active Directory, LDAP или SAML вашей организации. Когда участники входят в организацию, доступ к ресурсам, элементам и данным обеспечивается правилами, заданными в группе Active Directory, LDAP или SAML. Управление принадлежностью участников к группам осуществляется полностью вне организации.
Например, рекомендуется отключить анонимный доступ к организации, подключить к требуемым группам Active Directory, LDAP или SAML в вашей организации, а затем добавить учетные записи конкретной организации на базе этих групп. Таким образом вы запрещаете доступ к организации определенным группам Active Directory, LDAP или SAML из вашей организации.
Используйте корпоративное хранилище идентификаций, если вашей организации необходимо задать политику истечения срока действия и сложность паролей, контролировать доступ с помощью существующих групп LDAP или SAML либо применять проверку подлинности через LDAP или аутентификацию на основе инфраструктуры открытых ключей (PKI) с использованием клиентских сертификатов. Аутентификация может выполняться на веб-уровне (использование аутентификации веб-уровня), на уровне портала (использование аутентификации уровня портала), или через внешний провайдер аутентификаций (использование SAML).
Используйте корпоративное хранилище аутентификаций, если вашей организации необходимо задать политику истечения срока действия и сложность паролей, контролировать доступ с использованием существующих групп Active Directory, LDAP или SAML либо применять проверку подлинности через Integrated Windows Authentication (IWA) или аутентификацию на основе инфраструктуры открытых ключей (PKI) с использованием клиентских сертификатов. Аутентификация может выполняться на веб-уровне (использование аутентификации веб-уровня), на уровне портала (использование аутентификации уровня портала), или через внешний провайдер аутентификаций (использование SAML).
При помощи хранилища идентификаций Active Directory ArcGIS Enterprise поддерживает аутентификацию из нескольких доменов в одном лесу, но не предоставляет аутентификацию между несколькими лесами. Для поддержки корпоративных пользователей из нескольких лесов требуется провайдер аутентификации SAML.
Поддержка нескольких хранилищ аутентификаций
С помощью SAML 2.0 вы можете предоставлять доступ к своей организации для нескольких хранилищ аутентификации. Пользователи смогут выполнять вход как под встроенными учетными записями, так и под учетными записями, которые управляются в нескольких SAML-совместимых провайдерах аутентификации, имеющих конфигурацию взаимного доверия. Это может быть удобно для управления доступом пользователей, сведения о которых могут храниться как в вашей организации, так и за ее пределами. Подобнее см. в разделе Настройка SAML-совместимого провайдера аутентификации для работы.
Узнайте все о правах доступа
После того, как вы определитесь со способом управления учетными данными в ArcGIS Enterprise, вам следует решить, какими правами доступа наделять пользователей. Права доступа определяются тем, является ли пользователь, получающий доступ к вашей организации, участником организации ArcGIS.
Пользователи, получающие доступ к организации без учётной записи, могут только выполнять поиск и использовать общедоступные элементы. Например, если на веб-сайт внедрена общедоступная веб-карта, пользователи, которые ее просматривают, получают доступ к элементу организации, несмотря на то, что у них нет учетной записи. Вы сами должны принять решение о включении данного типа доступа. Вы всегда можете закрыть доступ для людей, которые еще не принадлежат к организации. Чтобы узнать, как это выполнить, см. Отключение анонимного доступа.
Пользователи могут получить расширенные права доступа к организации, если они участники вашей организации ArcGIS. Участники организации перечислены на странице Организации. Участники организации объединяются по типам пользователей, которые соответствуют различным ролям с разными правами доступа. Более подробно см. Типы пользователей, роли и права доступа.
При добавлении нового участника ему по умолчанию назначается роль пользователя. Однако администратор портала может изменить роль в любое время.
Управление корпоративной учетной записью ArcGIS
Корпоративная учетная запись ArcGIS – это пользовательская учетная запись, которая была добавлена в организацию. Таких пользователей обычно называют участниками организации.
Администратору важно полностью контролировать не только права доступа каждого участника ArcGIS организации, но и то, кому разрешается быть участником.
Максимальное количество участников организации определяется лицензионным файлом. В любой момент можно сравнить общее число участников, которым назначен тип пользователя, и оставшееся количество доступных лицензий типов пользователей на вкладках Обзор или Лицензии на странице Организация. Во вкладке Обзор можно просмотреть количество назначенных и доступных лицензий в разделе Участники. Во вкладке Лицензии можно просмотреть назначенные и доступные лицензии для каждого типа пользователей со вкладки Типы пользователей.
Управление учетными записями при использовании встроенного хранилища
При использовании встроенного хранилища вы можете настроить ArcGIS Enterprise так, чтобы отображалась ссылка, по которой любой пользователь может присоединиться к организации. Это упрощает присоединение пользователей, но не может регламентировать, кто может присоединяться, любой, у кого есть доступ к странице входа, может создать учётную запись. Если вам необходим больший контроль, то вы можете отключить самостоятельную авторизацию и предоставить поименный список учетных записей в пакетном режиме. Подробнее о пакетном создании учетных записей участников см. Добавление участников. Так же в любое время можно удалить участников или изменить их права доступа.
Управление учетными записями при использовании корпоративного хранилища аутентификаций
ArcGIS Enterprise не позволит удалять, редактировать и создавать учетные записи в хранилище идентификаций, но вы можете зарегистрировать существующие корпоративные учетные записи. По этой причине страница авторизации не будет доступна, когда вы настраиваете работу с корпоративным хранилищем аутентификаций.
Как администратор, вы обычно выбираете учетные данные организации, которые вы желаете добавить в организацию, и добавляете их пакетно. Подробнее о пакетном создании корпоративных учетных записей ArcGIS см. Добавление участников. Так же в любое время можно удалить участников или изменить их права доступа.
Или вы можете автоматически добавлять любые корпоративные учетные записи, которые подключаются к вашей организации или её элементам. Подробнее см. в Автоматическая регистрация корпоративных учетных записей.
Важно понимать, что при настройке корпоративного хранилища учётных данных, анонимный доступ в организацию ArcGIS отключается, то есть любой пользователь, обращающийся к ней, должен сначала авторизоваться в вашем хранилище организации. После авторизации права пользователя будут определяться в соответствии с правами корпоративной учетной записи ArcGIS.
Примечание:
По умолчанию, в организации автоматическое создание учетных записей отключено. Чтобы включить автоматическую регистрацию учетных записей, см. раздел Настройка автоматической регистрации учетных записей организации.
Правила блокировки учетной записи
В программных системах часто устанавливаются правила блокировки учетной записи для защиты от массированных автоматизированных попыток взлома пароля пользователя. Если пользователь производит определенное число неудачных попыток входа в систему в течение определенного периода времени, ему может быть отказано в дальнейших попытках входа на определенный срок. При составлении этих правил учитывается та ситуация, что пользователи иногда могут действительно забыть их имена и пароли и безуспешно пытаться войти в систему.
Политика принудительной блокировки зависит от используемого типа хранилища аутентификаций:
Встроенное хранилище аутентификаций
Встроенное хранилище аутентификаций блокирует пользователя, если он последовательно совершил пять неудачных попыток входа. Блокировка длится 15 минут. Эти правила применяются ко всем учетным записям в хранилище аутентификаций, включая первичную учетную запись администратора. Вы можете настроить количество разрешенных неудачных попыток входа и продолжительность блокировки в соответствии с потребностями вашей организации. Инструкции см. в разделе Настройка параметров безопасности.
Корпоративное хранилище аутентификаций
При использовании корпоративного хранилища аутентификаций применяются правила блокировки учетной записи, установленные для этого хранилища. Вы можете изменять правила блокировки учетной записи, установленные для хранилища. По вопросу изменения правил блокировки учетной записи обратитесь к документации на соответствующий тип хранилища.