Skip to main content

ArcGIS Server 账户

ArcGIS Server 可启动和停止进程、读取数据并将数据写入到文件系统中的相应位置以及在计算机之间进行通信。 为了安全地执行这些任务，ArcGIS Server 将使用安装 ArcGIS Server 时所指定的操作系统账户。 这在整个文档中称为 ArcGIS Server 账户。

在使用 ArcGIS Server 账户时

ArcGIS Server 账户用于以下目的：

  • 启动和停止支持 ArcGIS Server 和服务的进程。

  • 如果注册数据库使用操作系统身份验证，请读取服务后的 GIS 数据。

  • 在 ArcGIS Server 目录中读取和写入文件。 例如，创建地图缓存时，ArcGIS Server 账户会将缓存切片写入服务器缓存目录中。

  • 读取和写入文件到配置存储。

  • 在 ArcGIS Server 安装位置和系统临时目录中读取和写入文件。 例如，该账户会写入可用于排除服务器故障的日志文件。

  • 读取日志消息并将日志消息写入日志目录中。

注:

ArcGIS Server 账户与创建 ArcGIS Server 站点时定义的主站点管理员不同。 有关详细信息，请参阅确保 ArcGIS Server 站点安全。

应将哪个账户指定为 ArcGIS Server 账户

ArcGIS Server 账户是您安装软件时使用的账户。 安装使该账户成为安装到系统中所有文件的所有者。 在具有多个 ArcGIS Server 计算机的站点中，ArcGIS Server 账户的用户 ID (UID) 在所有计算机上应完全相同，以便它们可以使用相同的 NFS 权限访问数据、配置存储和服务器目录。

出于安全方面的原因，根账户不可用作 ArcGIS Server 账户，也不可用于安装软件。

除对数据、配置存储和服务器目录的文件访问外，ArcGIS Server 账户在操作系统中不需要任何特殊权限。 ArcGIS Server 账户不必是计算机的管理员。

ArcGIS Server 账户的默认名称为 arcgis。 对于大多数非生产部署，接受此默认值便已足够；但是，对于生产系统，建议您在安装 ArcGIS Server 之前创建域账户或 Active Directory 账户。 如果组织的安全策略要求密码过期，则您必须运行配置服务账户实用程序来更新已过期的密码。

注:

出于安全原因，请使用非管理员群组成员且具有最低权限的账户。

可指定本地账户或域账户。 您可以在站点中的第一台计算机上安装 ArcGIS Server 时导出安装程序配置文件，并在站点中的其他计算机上安装 ArcGIS Server 时使用该配置文件。 由此可以保证站点中所有计算机上的 ArcGIS Server 账户配置均相同。

您可以在安装后，通过“配置服务账户”实用程序来更改 ArcGIS Server 账户。

域账户

使用域账户可以访问远程系统中的数据。 出于安全考虑，也最好使用域账户，因为域账户采用集中管理。

在指定域账户时使用格式 DOMAIN\username。 如果未指定域，则 ArcGIS Server 安装向导将使用您指定的用户名创建一个本地账户。 如果指定的域账户不存在，安装程序将返回错误。

如果登录设置拒绝您登录安装 ArcGIS Server 的计算机，在安装时会出现错误。 无需向 ArcGIS Server 账户授予本地登录群组策略设置。 有关详细信息，请参阅使用域账户时的高级注意事项。

本地账户

如果您选择了本地账户，则 ArcGIS Server 站点中的每台计算机都必须具有本地账户和密码，并且其完全相同。 安装 ArcGIS Server 之前，您可以在每台计算机上使用相同密码创建本地账户，或者可以允许 ArcGIS Server 安装向导创建本地账户；但需确保在站点中的每台计算机上使用相同的用户名和密码。

如果您在安装过程中创建了本地账户，则为该账户指定的密码必须符合您操作系统的本地安全策略。 如果密码不满足您操作系统的最小强度要求，则安装程序将返回错误。

要确定本地计算机上的密码要求，请打开本地安全策略控制台。 有关如何访问本地安全策略的信息，请参阅 Microsoft Windows 文档。

组托管服务账户

组托管服务账户 (gMSA) 是一个可提供自动密码管理的特殊 Active Directory 域账户。 该账户不能用于交互式登录，仅限用于预定义的服务器组。

当一个服务账户管理多台计算机上的软件（例如在多机 ArcGIS Server 站点中）时，使用 gMSA 尤其有用。 由于 gMSA 是在域级别运行的，它可以定期更改每台计算机上的服务账户密码，且无需手动步骤。

可以使用如下所述的 configureserviceaccount 实用程序来配置 ArcGIS Server 服务以在 gMSA 下运行。 对于用户名参数，可以指定组托管服务账户末尾是否有 $ 符号。 不需要密码参数。 readconfig 和 writeconfig 参数均使用群组托管服务账户达到相同效果。

将 gMSA 配置为 ArcGIS Server 账户的示例命令：

configureserviceaccount.bat --username mydomain\enterprise-gmsa$ --writeconfig c:\temp\domainaccountconfig.xml

使用 Windows 本地 Local System 账户运行 ArcGIS Server 服务

不建议使用 Windows 本地 LocalSystem 账户运行 ArcGIS Server 服务，原因如下：

  • Windows LocalSystem 账户需要高级权限，并且这具有安全隐患。 有关详细信息，请参阅 Microsoft 开发中心的 LocalSystem 账户。

  • LocalSystem 账户不用于访问网络位置。 要使用 LocalSystem 账户来访问您的服务和站点数据，您必须在本地存储数据。

  • 在具有多台计算机的站点中，不要使用 LocalSystem 作为 ArcGIS Server 账户。

授予 ArcGIS Server 账户的权限

ArcGIS Server 安装程序授予 ArcGIS Server 账户执行服务器启动和停止进程等基本功能的权限。 它还为账户授予对 ArcGIS Server 安装目录中所有文件夹的读取权限和对以下文件夹的完全控制权限：

  • <ArcGIS Server installation directory>\bin

  • <ArcGIS Server installation directory>\DatabaseSupport

  • <ArcGIS Server installation directory>\framework

  • <ArcGIS Server installation directory>\usr

在创建站点之前，必须向 ArcGIS Server 账户授予以下权限：

  • 对服务器目录创建位置的完全控制权限。 请注意，您必须授予 ArcGIS Server 账户对您在配置站点后所创建的任何新服务器目录的读写权限。

  • 对配置存储创建位置的完全控制权限。

  • 对将包含 ArcGIS Server 日志目录的完全控制权限和创建此文件夹的权限（如果尚未手动创建）。 默认情况下，此目录为 C:\arcgisserver\logs。

  • 对包含将在发布 Web 服务之前注册到 ArcGIS Server 站点的数据库连接文件的目录的读取权限。 如果使用的是 Windows 身份验证而非数据库身份验证，还必须授予 ArcGIS Server 账户写入权限。

  • 对将在发布 Web 服务之前注册到 ArcGIS Server 站点的 GIS 数据文件夹的读取权限。 如果允许发布进程将数据复制到服务器中（请参阅发布时自动将数据复制到服务器），则数据会放置在已对 ArcGIS Server 账户授予权限的服务器目录中。 不必再为原始服务器目录应用任何其他权限。

创建站点时，将授予 ArcGIS Server 账户对 ArcGIS Server 日志目录的读写权限。 如果创建新的日志位置，则必须为 ArcGIS Server 账户手动授予对此位置的读写权限。

ArcGIS Server 账户无需属于站点中任何计算机的 Windows 管理员群组。

指定 ArcGIS Server 账户的区域设置

将 ArcGIS Server 账户的区域设置设置为安装期间指定的 Windows 账户的区域设置。 如果未指定账户且使用默认账户 (arcgis)，则账户的区域设置由操作系统设置确定。 由于 ArcGIS Server 生成的所有消息（如日志）将显示在 ArcGIS Server 账户的区域设置中，因此区域设置尤为重要。 要以不同的语言或格式显示消息，请针对 ArcGIS Server 站点中的每台计算机，更改 ArcGIS Server 账户的显示语言。 有关您正在使用的操作系统版本的具体说明，请参阅 Microsoft 文档。