Sie können den Zugriff auf die Organisation mit Lightweight Directory Access Protocol (LDAP) sichern. Wenn Sie LDAP verwenden, werden Anmeldenamen über den LDAP-Server Ihrer Organisation verwaltet.
Um LDAP zu verwenden, können Sie die Authentifizierung auf Portal-Ebene oder Webebene mit ArcGIS Web Adaptor (Java Platform) einrichten, die für einen Java-Anwendungsserver bereitgestellt wird. ArcGIS Web Adaptor (IIS) kann nicht zur Authentifizierung auf Webebene mit LDAP herangezogen werden. Installieren und konfigurieren Sie ggf. ArcGIS Web Adaptor (Java Platform) mit Ihrem Portal.
Konfigurieren von LDAP im Portal
Portal for ArcGIS erzwingt HTTPS standardmäßig für die gesamte Kommunikation. Wenn Sie diese Option zuvor geändert haben, um die Kommunikation über HTTP und HTTPS zu ermöglichen, müssen Sie das Portal neu konfigurieren, um ausschließlich HTTPS für die Kommunikation zu verwenden, indem Sie die folgenden Schritte ausführen.
Konfigurieren der Organisation für die Verwendung von HTTPS für die gesamte Kommunikation
Führen Sie die folgenden Schritte aus, um die Organisation für die Verwendung von HTTPS zu konfigurieren:
- Melden Sie sich als Administrator bei der Website der Organisation an.
Die URL hat das Format https://webadaptorhost.domain.com/webadaptorname/home.
- Klicken Sie auf Organisation und auf die Registerkarte Einstellungen und dann links auf der Seite auf Sicherheit.
- Aktivieren Sie die Option Zugriff auf das Portal nur über HTTPS erlauben.
Aktualisieren des Identitätsspeichers des Portals
Aktualisieren Sie anschließend den Identitätsspeicher Ihres Portals, um LDAP-Benutzer und -Gruppen zu verwenden.
- Melden Sie sich als Administrator Ihrer Organisation beim Portal-Administratorverzeichnis an. Die URL hat das Format https://webadaptorhost.domain.com/webadaptorname/portaladmin.
- Klicken Sie auf Security > Config > Update Identity Store.
- Fügen Sie die LDAP-Benutzerkonfigurationsinformationen Ihrer Organisation (im JSON-Format) in das Textfeld User store configuration (in JSON format) ein. Sie können das folgende Beispiel mit Benutzerinformationen aktualisieren, die sich speziell auf Ihre Organisation beziehen.
{ "type": "LDAP", "properties": { "userPassword": "secret", "isPasswordEncrypted": "false", "user": "uid=admin,ou=system", "userFullnameAttribute": "cn", "userGivenNameAttribute": "givenName", "userSurnameAttribute": "sn", "ldapURLForUsers": "ldaps://myLdapServer:10636/ou=users,ou=ags,dc=example,dc=com", "userEmailAttribute": "mail", "usernameAttribute": "uid", "caseSensitive": "false", "userSearchAttribute": "uid" } }In den meisten Fällen müssen Sie lediglich die Werte für die Parameter user, userPassword und ldapURLForUsers ändern. Die URL für Ihr LDAP erhalten Sie von Ihrem LDAP-Administrator.
Im vorstehenden Beispiel bezieht sich die LDAP-URL auf Benutzer in einer bestimmten Organisationseinheit (ou=users). Wenn Benutzer in mehreren Organisationseinheiten vorhanden sind, kann die LDAP-URL auf eine Organisationseinheit einer höheren Ebene oder bei Bedarf sogar auf die Stammebene verweisen. In diesem Fall sieht die URL wie folgt aus:
"ldapURLForUsers": "ldaps://myLdapServer:10636/dc=example,dc=com",
Das Konto, das Sie für den Benutzerparameter verwenden, benötigt Berechtigungen zur Suche nach E-Mail-Adressen und Benutzernamen von Benutzern in der Organisation. Obwohl das Kennwort in Klartext eingegeben wird, wird es verschlüsselt, wenn Sie auf Update Configuration (unten) klicken.
Wenn für LDAP die Unterscheidung zwischen Groß- und Kleinschreibung konfiguriert wurde, legen Sie den Parameter caseSensitive auf true fest.
- Um im Portal Gruppen zu erstellen, für die die bestehenden LDAP-Gruppen in Ihrem Identitätsspeicher genutzt werden, fügen Sie die LDAP-Benutzerkonfigurationsinformationen Ihrer Organisation (im JSON-Format) in das Textfeld Group store configuration (in JSON format) ein. Sie können das folgende Beispiel mit Gruppeninformationen aktualisieren, die sich speziell auf Ihre Organisation beziehen. Wenn Sie nur integrierte Gruppen des Portals verwenden möchten, löschen Sie sämtliche Informationen im Textfeld und überspringen diesen Schritt.
{ "type": "LDAP", "properties": { "userPassword": "secret", "isPasswordEncrypted": "false", "user": "uid=admin,ou=system", "ldapURLForUsers": "ldaps://myLdapServer:10636/ou=users,ou=ags,dc=example,dc=com", "ldapURLForRoles": "ldaps://myLdapServer:10636/dc=example,dc=com", "usernameAttribute": "uid", "caseSensitive": "false", "userSearchAttribute": "uid", "memberAttributeInRoles": "member", "rolenameAttribute":"cn" } }In den meisten Fällen müssen Sie lediglich die Werte für die Parameter user, userPassword, ldapURLForUsers und ldapURLForUsers ändern. Die URL für Ihr LDAP erhalten Sie von Ihrem LDAP-Administrator.
Im vorstehenden Beispiel bezieht sich die LDAP-URL auf Benutzer in einer bestimmten Organisationseinheit (ou=users). Wenn Benutzer in mehreren Organisationseinheiten vorhanden sind, kann die LDAP-URL auf eine Organisationseinheit einer höheren Ebene oder bei Bedarf sogar auf die Stammebene verweisen. In diesem Fall sieht die URL wie folgt aus:
"ldapURLForUsers": "ldaps://myLdapServer:10636/dc=example,dc=com",
Das für den Benutzerparameter verwendete Konto benötigt lediglich Berechtigungen zum Suchen der Namen von Gruppen in Ihrer Organisation. Obwohl das Kennwort in Klartext eingegeben wird, wird es verschlüsselt, wenn Sie auf Update Configuration (unten) klicken.
Wenn für LDAP die Unterscheidung zwischen Groß- und Kleinschreibung konfiguriert wurde, legen Sie den Parameter caseSensitive auf true fest.
- Klicken Sie auf Update Configuration, um Ihre Änderungen zu speichern.
- Wenn Sie ein Portal mit hoher Verfügbarkeit konfiguriert haben, starten Sie jeden Portal-Computer neu. Vollständige Anweisungen finden Sie unter Beenden und Starten des Portals.
Hinzufügen organisationsspezifischer Konten
Organisationsspezifische Benutzer haben standardmäßig Zugriff auf die ArcGIS Enterprise-Organisation. Sie können jedoch nur Elemente anzeigen, die für alle Benutzer in der Organisation freigegeben wurden. Dies ist darauf zurückzuführen, dass die organisationsspezifischen Konten nicht hinzugefügt und ihnen keine Zugriffsberechtigungen gewährt wurden.
Fügen Sie Konten zur Organisation hinzu, indem Sie die folgenden Methoden verwenden:
- Einzeln oder batchweise (nacheinander, mehrere gleichzeitig aus einer .csv-Datei oder über vorhandene Active Directory-Gruppen)
- Befehlszeilendienstprogramm
- Automatisch
Es wird empfohlen, mindestens ein organisationsspezifisches Konto als Administrator des Portals festzulegen. Dies kann beim Hinzufügen des Kontos durch Auswahl der Rolle Administrator erfolgen. Wenn Sie über ein alternatives Administratorkonto für das Portal verfügen, können Sie dem initialen Administratorkonto die Rolle „Benutzer“ zuweisen oder das Konto löschen. Weitere Informationen finden Sie unter Initiales Administratorkonto.
Nachdem die Konten hinzugefügt wurden und Sie die unten genannten Schritte durchgeführt haben, können Benutzer sich bei der Organisation anmelden und auf Inhalte zugreifen.
Konfigurieren von ArcGIS Web Adaptor für die Verwendung der Authentifizierung auf Webebene
Nachdem Sie ArcGIS Web Adaptor (Java Platform) für Ihre Organisation gemäß der entsprechenden Installationsanweisung installiert und konfiguriert haben, müssen Sie zwei primäre Tasks für den Java-Anwendungsserver konfigurieren:
- Integration in den LDAP-Identitätsspeicher. Dadurch kann der Java-Anwendungsserver Benutzer authentifizieren, die in diesem LDAP-Speicher verwaltet werden.
- Aktivieren Sie einen browserbasierten Authentifizierungsmechanismus, z. B. zur Authentifizierung basierend auf Formularen oder Dialogfeldern für die ArcGIS Web Adaptor-Anwendung in der Organisation.
Weitere Anweisungen erhalten Sie von Ihrem Systemadministrator, in der Produktdokumentation für Ihren Java-Anwendungsserver oder von Esri Professional Services.
Überprüfen des Zugriffs auf das Portal mittels LDAP
- Öffnen Sie das Portal.
Die URL hat das Format https://webadaptorhost.domain.com/webadaptorname/home.
- Überprüfen Sie, ob Sie aufgefordert werden, Ihre Anmeldeinformationen für das LDAP-Konto einzugeben. Wenn dieses Verhalten nicht auftritt, überprüfen Sie, ob das LDAP-Konto, mit dem Sie sich bei dem Computer angemeldet haben, zu dem Portal hinzugefügt wurde.
Verhindern der Erstellung eigener integrierter Konten durch Benutzer
Sie können verhindern, dass Benutzer eigene integrierte Konten erstellen, indem Sie die Möglichkeit der Erstellung integrierter Konten durch Benutzer in den Organisationseinstellungen deaktivieren.