Учетная запись ArcGIS Server

ArcGIS Server запускает и останавливает процессы, читает и записывает данные в папки файловой системы, а также взаимодействует с разными компьютерами. Для безопасного выполнения этих операций используется учетная запись операционной системы, которая указывается при установке ArcGIS Server. В документации она называется учетной записью ArcGIS Server.

Когда используется учетная запись ArcGIS Server

Учетная запись ArcGIS Server используется для следующих целей:

Запуск и остановка процессов, поддерживающих ArcGIS Server и сервисы.
Чтение ГИС-данных за сервисами, когда зарегистрированная база данных использует аутентификацию операционной системы.
Чтение и запись файлов в директориях ArcGIS Server. Например, при создании кэша карты учетная запись ArcGIS Server записывает листы кэша в директорию кэша сервера.
Чтение и запись файлов в хранилище конфигурации.
Чтение и запись файлов в папке установки ArcGIS Server и временная системная директория. Например, учетная запись записывает файлы журнала, которые можно использовать для диагностики сервера.
Чтение и запись сообщений журнала в папке журналов.

Примечание:

Учетная запись ArcGIS Server отличается от учетной записи основного администратора сайта, которая указывается при создании сайта ArcGIS Server. Для получения дополнительной информации смотрите раздел Защита вашего сайта ArcGIS Server.

Какую учетную запись назначить в качестве учетной записи ArcGIS Server

Учетная запись ArcGIS Server – та, которая использовалась при установке программного обеспечения. Во время установки эта учетная запись становится владельцем всех копируемых в процессе установки файлов. На сайте с несколькими компьютерами ArcGIS Server идентификатор пользователя (UID) для учетной записи ArcGIS Server должен быть одинаковым для всех компьютеров, чтобы они могли получить доступ к данным, хранилищу конфигурации и директориям сервера с одинаковыми правами доступа NFS.

По причинам безопасности корневую учетную запись нельзя использовать как учетную запись ArcGIS Server и запрещено применять для установки программного обеспечения.

Для учетной записи ArcGIS Server не требуется никаких специальных прав доступа в операционной системе, кроме прав доступа к файлам данных, хранилищу конфигурации и каталогам сервера. Учетная запись ArcGIS Server не обязательно должна иметь права администратора на данном компьютере.

Учетная запись ArcGIS Server по умолчанию имеет имя arcgis. Принятие этого значения по умолчанию достаточно для большинства непроизводственных развертываний; однако для производственных систем рекомендуется создать учетную запись домена или Active Directory перед установкой ArcGIS Server. Если ваша политика безопасности требует применения паролей со сроком действия, то вам необходимо будет запустить утилиту настройки учетной записи для обновления пароля с истекшим сроком действия.

Примечание:

В целях безопасности используйте учетную запись, которая не является участником группы Администраторы и обладает минимальными правами доступа.

Вы можете указать локальную или доменную учетную запись. Вы можете экспортировать файл конфигурации установки при установке ArcGIS Server на первой компьютере сайта и использовать этот файл конфигурации при установке ArcGIS Server на других компьютерах сайта. Таким образом, вы гарантируете, что учетная запись ArcGIS Server настроена одинаково на всех компьютерах вашего сайта.

Вы можете изменить учетную запись ArcGIS Server после установки с помощью утилиты Конфигурировать учетную запись.

Доменная учетная запись

Доменная учетная запись обеспечивает вам доступ к данным в удаленных системах. Доменная учетная запись предпочтительнее и с точки зрения безопасности, поскольку управление ею осуществляется централизованно.

При задании учетной записи домена используйте формат DOMAIN\username. Если не указан домен, мастер установки ArcGIS Server создает локальную учетную запись с указанным именем пользователя. Если указать несуществующую доменную учетную запись, программа установки сообщит об ошибке.

Если настройки входа запрещают вход с компьютера, на котором установлен ArcGIS Server, то во время установки появится сообщение об ошибке. Для учетной записи ArcGIS Data Pipelines Server настраивать параметр группового правила Локальный вход необязательно. Более подробно см. Дополнительные вопросы использования доменных учетных записей.

Локальная учётная запись

Если вы выбрали локальную учетную запись, она должна существовать на каждом компьютере сайта ArcGIS Server с одинаковым именем и паролем. Вы можете создать локальную учетную запись с одинаковым паролем на всех компьютерах перед установкой ArcGIS Server, либо разрешить мастеру установки ArcGIS Server создать локальную учетную запись, но при этом обязательно использовать одинаковые имя пользователя и пароль на всех компьютерах сайта.

Если в процессе установки вы создали новую локальную учетную запись, пароль необходимо задавать в соответствии с локальной политикой безопасности вашей ОС. Если пароль не соответствует минимальным требованиям ОС, в процессе установки появится сообщение об ошибке.

Чтобы узнать требования к паролям на локальном компьютере, откройте консоль Локальная политика безопасности. Обратитесь к документации Microsoft Windows для получения информации о том, как получить доступ к локальной политике безопасности.

Групповая управляемая учетная запись сервиса

Групповая управляемая учетная запись сервиса (gMSA) это специальная учетная запись домена Active Directory, которая обеспечивает автоматическое управление паролями. Учетная запись не может использоваться для интерактивных входов в систему и ограничена для использования только на предварительно определенной группе серверов.

Использование gMSA особенно удобно, когда служебная учетная запись управляет ПО на нескольких компьютерах, например, при использовании сайта ArcGIS Server на нескольких компьютерах. Поскольку gMSA работает на уровне домена, имеется возможность регулярной смены пароля служебной учетной записи на каждом компьютере без вмешательства вручную.

Утилита configureserviceaccount, описываемая ниже, может использоваться для настройки запуска сервиса ArcGIS Server под gMSA. Для параметра имени пользователя, групповая управляемая учетная запись сервиса может быть задана с и без символа $ в конце. Параметр пароля не требуется. Параметры readconfig и writeconfig с групповой управляемой учетной записью сервиса работают одинаково.

Пример команды для настройки gMSA в качестве учетной записи ArcGIS Server:

configureserviceaccount.bat --username mydomain\enterprise-gmsa$ --writeconfig c:\temp\domainaccountconfig.xml

Использование локальной системной учетной записи Windows (Local System) для запуска службы ArcGIS Server

Использовать локальную системную учетную запись Windows для запуска службы ArcGIS Server не рекомендуется по следующим причинам:

У учётной записи Windows LocalSystem очень много прав, это может плохо повлиять на безопасность. Подробные сведения см. в Учетная запись LocalSystem в Microsoft Development Center.
Учетная запись LocalSystem не предназначена для доступа к сетевым папкам. Для доступа к сервису и данным сайта под учетной записью LocalSystem вам надо хранить данные локально.
Вы не можете использовать LocalSystem в качестве учетной записи ArcGIS Server на сайте с несколькими машинами.

Права доступа для предоставления учетной записи ArcGIS Server

При установке ArcGIS Server учетной записи ArcGIS Server предоставляются права выполнения базовых функций, таких как запуск и остановка процессов сервера. Кроме того, учетная запись получает права чтения во всех папках каталога установки ArcGIS Server и полный доступ к следующим папкам:

<ArcGIS Server installation directory>\bin
<ArcGIS Server installation directory>\DatabaseSupport
<ArcGIS Server installation directory>\framework
<ArcGIS Server installation directory>\usr

Перед созданием сайта необходимо для учетной записи ArcGIS Server предоставить следующие права:

Полный доступ к местоположению, где создаются серверные директории. Помните, что необходимо предоставить учетной записи ArcGIS Server права для чтения и записи в любые новые серверные директории, которые созданы после настройки сайта.
Полный доступ к местоположению, где создается хранилище конфигурации.
Полный доступ к директории, где хранятся журналы ArcGIS Server, и право создания этой папки, если она еще не создана вручную. По умолчанию используется директория C:\arcgisserver\logs.
Права чтения директорий, содержащих файлы подключения к базе данных, которые вы зарегистрируете на сайте ArcGIS Server перед публикацией веб-сервисов. Если вы используете аутентификацию Windows, а не аутентификацию базы данных, то вам также потребуется выдать для учетной записи ArcGIS Server право записи.
Права доступа чтения для папок ГИС-данных, которые вы зарегистрируете на сайте ArcGIS Server перед публикацией веб-сервисов. Если разрешить процессу публикации копировать данные на сервер (см. раздел Автоматическое копирование данных на сервер при публикации), то данные размещаются в серверных директориях, для которых учетной записи ArcGIS Server уже были назначены права при создании сайта. Применять дополнительные права доступа к исходным серверным директориям необязательно.

При создании сайта учетная запись ArcGIS Server наделяется правами чтения и записи в каталоге журналов ArcGIS Server. Если вы создаете новую папку журналов, вам необходимо вручную предоставить учетной записи ArcGIS Server права чтения и записи в ней.

Учетной записи ArcGIS Server не нужно быть в группе Администраторов Windows на каком-то из компьютеров вашего сайта.

Указание локали учетной записи ArcGIS Server

Локаль учетной записи ArcGIS Server выбирается согласно локали учетной записи Windows, заданной в процессе установки. Если учетная запись не указана и используется учетная запись по умолчанию (arcgis), ее локаль определяется настройками ОС. Локаль имеет важное значение, поскольку все сообщения, генерируемые ArcGIS Server, например, журналы, отображаются на языке учетной записи ArcGIS Server. Чтобы сообщения отображались на другом языке или в другом формате, вам надо изменить язык отображения для учётной записи ArcGIS Server на каждой машине вашего сайта ArcGIS Server. См. документацию Microsoft по определённым инструкциям для используемой вами версии операционной системы.