Настройка аутентификации портала

Основным фактором, который необходимо учитывать при настройке безопасности в организации ArcGIS Enterprise, является источник пользователей и, дополнительно, групп. Этот источник пользователей вместе с группами называется хранилищем аутентификаций. Управление пользователями и группами в вашей организации, а также сторонними пользователями осуществляется через хранилище аутентификаций.

Описание хранилищ аутентификаций

Хранилище аутентификаций организации определяет, где будут храниться учетные данные пользователей портала, как будет производиться аутентификация и как будет происходить управление участниками групп. Организация ArcGIS Enterprise поддерживает два типа хранилищ аутентификаций: встроенное и корпоративное (специфичное для организации).

Встроенное хранилище аутентификаций

ArcGIS Enterprise можно настроить так, чтобы участники могли создавать учетные записи и группы. Вы можете использовать ссылку Создать учетную запись на странице Войти для добавления встроенной учетной записи на ваш портал и начала работы с ресурсами организации или доступа к ресурсам других участников. Когда вы таким способом создаете учетные записи и группы, вы используете встроенное хранилище аутентификаций, которое выполняет аутентификацию и сохраняет имена учетных записей, пароли, роли и принадлежность участников к группам.

Для создания первичной учетной записи администратора организации вы должны использовать встроенное хранилище аутентификаций, но позднее вы сможете переключиться на корпоративное хранилище аутентификаций. Встроенное хранилище аутентификаций может оказаться особенно полезным, чтобы поднять и запустить организацию, а также для разработки и тестирования. Однако в производственных средах обычно используется корпоративное хранилище аутентификаций.

Примечание:

Если вам нужно вернуться из хранилища аутентификаций для конкретной организации ко встроенному хранилищу аутентификаций, можете сделать это, удалив информацию в текстовых полях Конфигурация хранилища пользователей и Конфигурация хранилища групп на странице Обновить хранилище аутентификаций в Portal Administrator Directory. Для получения дополнительной информации, обратитесь к документации по ArcGIS REST API.

Корпоративное хранилище аутентификаций

ArcGIS Enterprise устроен так, что вы можете использовать корпоративные (специфичные для организации) учетные записи и группы для управления доступом в организацию ArcGIS. Например, можно управлять доступом в организацию, используя учетные данные с сервера Lightweight Directory Access Protocol (LDAP) и провайдеров аутентификации Security Assertion Markup Language (SAML) 2.0 Web Browser Single Sign On. Данный процесс называют в документации настройкой учетных записей организации.

ArcGIS Enterprise устроен так, что вы можете использовать корпоративные учетные записи и группы для управления доступом в организацию ArcGIS. Например, вы можете управлять доступом в организацию, используя учетные данные с сервера Lightweight Directory Access Protocol (LDAP), сервера Windows Active Directory и провайдеров аутентификации Security Assertion Markup Language (SAML) 2.0 Web Browser Single Sign On. Данный процесс называют в документации настройкой учетных записей организации.

Преимущество такого подхода заключается в том, что вам не требуется создавать дополнительные учетные записи организации. Участники используют логин, который уже настроен в корпоративном хранилище аутентификаций. Управление учетными данными, включая политики сложности и срока действия пароля, осуществляется за пределами организации. Это обеспечивает единый вход, чтобы пользователям не приходилось заново вводить свои учетные данные.

Аналогично, вы можете создавать группы, использующие существующие группы Windows Active Directory, LDAP или SAML в вашем хранилище аутентификаций. Также корпоративные учетные записи можно добавлять пакетно, из групп Active Directory, LDAP или SAML вашей организации. Когда участники осуществляют вход, доступ к ресурсам, элементам и данным обеспечивается правилами, заданными в группе Active Directory, LDAP или SAML. Управление принадлежностью участников к группам осуществляется полностью вне организации.

Например, рекомендуется отключить анонимный доступ к организации, подключить к требуемым группам Active Directory, LDAP или SAML в вашей организации, а затем добавить учетные записи конкретной организации на базе этих групп. Таким образом вы запрещаете доступ определенным группам Active Directory, LDAP или SAML из вашей организации.

Используйте корпоративное хранилище идентификаций, если вашей организации необходимо задать политику истечения срока действия и сложность паролей, контролировать доступ с помощью существующих групп LDAP или SAML либо применять проверку подлинности через LDAP или аутентификацию на основе инфраструктуры открытых ключей (PKI) с использованием клиентских сертификатов. Аутентификация может выполняться на веб-уровне (использование аутентификации веб-уровня), на уровне портала (использование аутентификации уровня портала), или через внешний провайдер аутентификаций (использование SAML).

Используйте корпоративное хранилище аутентификаций, если вашей организации необходимо задать политику истечения срока действия и сложность паролей, контролировать доступ с использованием существующих групп Active Directory, LDAP или SAML либо применять проверку подлинности через Integrated Windows Authentication (IWA) или аутентификацию на основе инфраструктуры открытых ключей (PKI) с использованием клиентских сертификатов. Аутентификация может выполняться на веб-уровне (использование аутентификации веб-уровня), на уровне портала (использование аутентификации уровня портала), или через внешний провайдер аутентификаций (использование SAML).

При помощи хранилища идентификаций Active Directory ArcGIS Enterprise поддерживает аутентификацию из нескольких доменов в одном лесу, но не предоставляет аутентификацию между несколькими лесами. Для поддержки корпоративных пользователей из нескольких лесов требуется провайдер аутентификации SAML.

Поддержка нескольких хранилищ аутентификаций

С помощью SAML 2.0 вы можете предоставлять доступ к своей организации для нескольких хранилищ аутентификации. Пользователи смогут выполнять вход как под встроенными учетными записями, так и под учетными записями, которые управляются в нескольких SAML-совместимых провайдерах аутентификации, имеющих конфигурацию взаимного доверия. Это может быть удобно для управления доступом пользователей, сведения о которых могут храниться как в вашей организации, так и за ее пределами. Подробные сведения см. в разделе Настройка SAML-совместимого провайдера аутентификации для работы с порталом.

Настройка встроенных пользователей и групп с помощью хранилища аутентификаций портала

Настройка организации для работы со встроенными пользователями и группами не требуется; она готова к работе со встроенными пользователями и группами сразу после установки соответствующего ПО. Если вы собираетесь работать с корпоративными пользователями, дополнительно ознакомьтесь со следующими разделами.

Настройка учетных записей для конкретной организации

Могут быть настроены следующие провайдеры идентификации, специфичные для данной организации. Аутентификация может выполняться на веб-уровне (с помощью ArcGIS Web Adaptor) или на уровне портала.

Аутентификация на веб-уровне

Если организация работает на сервере Microsoft Windows и у вас имеется Windows Active Directory, то для подключения вы можете использовать Встроенную аутентификацию Windows. Это обеспечит автоматическую аутентификации или запуск системы единого входа для пользователей посредством аутентификации веб-уровня. Для использования аутентификации, встроенной в Windows, ArcGIS Web Adaptor должен быть развернут на веб-сервере Microsoft Internet Information Server (IIS).

Если у вас есть директория, использующая протокол LDAP (Lightweight Directory Access Protocol), вы можете использовать его с ArcGIS Enterprise. Подробнее см. в разделе Использование LDAP и аутентификации на веб-уровне. Для использования протокола LDAP необходимо развернуть ArcGIS Web Adaptor на сервере приложений Java, например, Apache Tomcat, IBM WebSphere или Oracle WebLogic.

Если в вашей организации используется аутентификация по клиентским сертификатам на основе инфраструктуры открытых ключей (PKI), можете использовать сертификаты для аутентификации подключений с помощью HTTPS. При использовании аутентификации сертификата клиента анонимный доступ невозможен. Подробнее см. в Использование LDAP и аутентификации сертификата клиента для безопасного доступа.

Если в вашей организации используется аутентификация по клиентским сертификатам на основе инфраструктуры открытых ключей (PKI), можете использовать сертификаты для аутентификации подключений с помощью HTTPS. При аутентификации пользователей вы можете использовать Windows Active Directory или LDAP. Для использования аутентификации, встроенной в Windows, ArcGIS Web Adaptor должен быть развернут на веб-сервере Microsoft IIS. Для использования протокола LDAP необходимо, чтобы ArcGIS Web Adaptor был развернут на сервере приложений Java, например – Apache Tomcat, IBM WebSphere или Oracle WebLogic. При использовании аутентификации сертификата клиента анонимный доступ невозможен.

Аутентификация на уровне портала

Чтобы разрешить доступ к организации, используя одновременно корпоративное и встроенное хранилище аутентификаций, без SAML, можно использовать аутентификацию на уровне портала. Это достигается за счёт настройки портала с вашим LDAP-хранилищем аутентификаций и включения анонимного доступа в вашем сервере приложений на Java. При входе на страницу авторизации пользователь сможет войти в систему, используя либо учетные данные, специфичные для организации, либо встроенные учетные данные. Пользователям, зарегистрированным в конкретной организации, потребуется вводить свои учетные данные каждый раз при входе в систему; автоматический вход или единый вход недоступны. При этом типе аутентификации также разрешается анонимный доступ к картам и другим ресурсам организации, к которым предоставлен доступ для всех.

Чтобы разрешить доступ к организации, используя одновременно корпоративное и встроенное хранилище аутентификаций, без SAML, можно использовать аутентификацию на уровне портала. Это достигается за счёт настройки портала с вашим хранилищем аутентификаций Active Directory или LDAP, а также предоставления анонимного доступа в Microsoft IIS или вашем сервере приложений на Java. При входе на страницу авторизации пользователь сможет войти в систему, используя либо корпоративные учетные данные (специфичные для организации), либо встроенные учетные данные. Пользователям, зарегистрированным в конкретной организации, потребуется вводить свои учетные данные каждый раз при входе в систему; автоматический вход или единый вход недоступны. При этом типе аутентификации также разрешается анонимный доступ к картам и другим ресурсам, к которым предоставлен доступ для всех.

При использовании аутентификации уровня портала участники организации будут заходить в систему, используя следующий синтаксис:

Если использовать Active Directory, синтаксис может быть domain\username или username@domain. Независимо от того, как входит участник, имя пользователя всегда отображается в организации как username@domain.
Если использовать LDAP, синтаксис всегда имеет вид username. Организация также отображает учетную запись в этом формате.

Настройка учетных записей для конкретной организации с использованием SAML

ArcGIS Enterprise поддерживает все SAML-совместимые провайдеры аутентификации. Более подробно см. в разделе Настройка SAML-совместимого провайдера идентификации.

Правила блокировки учетной записи

В программных системах часто устанавливаются правила блокировки учетной записи для защиты от массированных автоматизированных попыток взлома пароля пользователя. Если пользователь производит определенное число неудачных попыток входа в систему в течение определенного периода времени, ему может быть отказано в дальнейших попытках входа на определенный срок. При составлении этих правил учитывается та ситуация, что пользователи иногда могут действительно забыть их имена и пароли и безуспешно пытаться войти в систему.

Политика принудительной блокировки зависит от используемого типа хранилища аутентификаций:

Встроенное хранилище аутентификаций

Встроенное хранилище аутентификаций блокирует пользователя, если он последовательно совершил пять неудачных попыток входа. Блокировка длится 15 минут. Эти правила применяются ко всем учетным записям в хранилище аутентификаций, включая первичную учетную запись администратора. Вы можете настроить количество разрешенных неудачных попыток входа и продолжительность блокировки в соответствии с потребностями вашей организации. Инструкции см. в разделе Настройка параметров безопасности.

Корпоративное хранилище аутентификаций, специфичное для организации

При использовании корпоративного хранилища аутентификаций применяются правила блокировки учетной записи, установленные для этого хранилища. Вы можете изменять правила блокировки учетной записи, установленные для хранилища. По вопросу изменения правил блокировки учетной записи обратитесь к документации на соответствующий тип хранилища.

Отслеживание неудачных попыток входа в систему

Вы можете отслеживать неудачные попытки входа в систему, просматривая журналы организации в Portal Administrator Directory. Каждая неудачная попытка сопровождается сообщением-предупреждением о том, что пользователю не удалось войти в систему из-за неверной комбинации имени пользователя и пароля. Если пользователь превышает лимит неудачных попыток входа, выдается сообщение высокого уровня важности о том, что учетная запись заблокирована. Просмотр записей в журналах о неудачных попытках входа в систему может помочь понять, производится ли в действительности кибератака на вашу систему.

Более подробно см. Работа с журналами организации.