Die Implementierung einer ArcGIS Enterprise-Bereitstellung mit hoher Verfügbarkeit ist zum einen von der in der Organisation verwendeten Authentifizierungsmethode und zum anderen davon abhängig, ob ein Zugriff auf das Portal von außerhalb Ihrer Firewall zugelassen ist.
Die folgenden Punkte gelten für alle in diesem Thema beschriebenen Szenarien:
- Auf den Portal-Computern (Portal1 und Portal2) werden Inhalte im selben Verzeichnis gespeichert, das auf einem Dateiserver mit hoher Verfügbarkeit eingerichtet wurde.
- Die GIS Server-Computer (HostingServer1 und HostingServer2) in der Hosting-Server-Site verwenden Serververzeichnisse und einen Konfigurationsspeicher, die sich auf einem Dateiserver mit hoher Verfügbarkeit befinden.
- Ein Data Store vom Typ "relational" mit hoher Verfügbarkeit besteht aus einem primären Computer (DataStore1) und einem Standby-Computer (DataStore2), die bei der Hosting-Server-Site registriert sind. ArcGIS Data Store verfügt über einen integrierten Failover-Mechanismus, wobei der Standby-Data-Store vom Typ "relational" die Rolle des primären Data-Store-Computers übernimmt, wenn der primäre Computer ausfällt. Der Data Store überprüft die Bedingungen der ArcGIS Server-Computer für die Site, bei der er registriert ist, sodass Sie den Data Store über die URL beider ArcGIS Server-Computer konfigurieren können.
- Sowohl für Portal for ArcGIS als auch für ArcGIS Server ist HTTPS und HTTP aktiviert. Wenn HTTP für alle Komponenten deaktiviert wird, können die HTTP-Ports (80, 6080 und 7080) aus den Beispielen entfernt werden. Für administrative URLs ist die Kommunikation über HTTPS erforderlich.
- Für Architekturen mit Load Balancern, wurden Integritätsprüfungen konfiguriert, um mit einem Roundrobin-Algorithmus die Verfügbarkeit der Back-End-Ziele zu bestimmen und den Datenverkehr auszugleichen. Während in den Diagrammen die Beispiel-Hosts loadbalancer.example.com und internalloadbalancer.example.com verwendet werden, können diese durch einen DNS-Alias ersetzt werden, der einer der beiden Komponenten über interne oder externe DNS-Server zugewiesen wird.
Unterschiede bezüglich der Client-Portal-Kommunikation und Authentifizierungsprotokollen werden in den folgenden Abschnitten beschrieben. Weitere Informationen zu den in einer Bereitstellung mit hoher Verfügbarkeit verwendeten URLs finden Sie unter Hohe Verfügbarkeit in ArcGIS Enterprise.
Integrierte Benutzer und Clients haben über die Ports 80 und 443 Zugriff auf das Portal.
In diesem Szenario erfolgt die Portalauthentifizierung über integrierte Benutzer, und jegliche Kommunikation zwischen Clients (oben im Diagramm zu sehen) und dem Portal findet innerhalb der Firewall statt.
Im Beispiel haben Clients über den Load Balancer und die Organisations-URL (in diesem Fall https://loadbalancer.example.com/portal/home/) Zugriff auf die Organisation. Auf das REST-Verzeichnis der ArcGIS Server-Site kann über https://loadbalancer.example.com/server/rest/services zugegriffen werden. Das Portal mit hoher Verfügbarkeit (zwei Portal for ArcGIS-Computer, Portal1 und Portal2) kommuniziert mit seiner Hosting-Server-Site mit hoher Verfügbarkeit über die Verwaltungs-URL (https://loadbalancer.example.com/server/admin), die beim Einrichten des Verbunds definiert wurde. Die Computer der Hosting-Server-Site (HostingServer1 und HostingServer2) kommunizieren als Clients über denselben Endpunkt mit dem Portal (https://loadbalancer.example.com/portal), wobei die privatePortalURL verwendet wird, die in den Systemeigenschaften des Portals festgelegt wurde. Sowohl die URL des ArcGIS Server-Administratorverzeichnisses als auch die privatePortalURL laufen über den Load Balancer (LoadBalancer), um Redundanz zu gewährleisten. Sollte einer der Portal for ArcGIS-Computer in irgendeiner Weise ausfallen, kann der Hosting-Server weiterhin mit dem verbleibenden Computer kommunizieren, da der Load Balancer den Datenverkehr auf den anderen Computer lenkt. Sollte analog dazu einer der Hosting-Server-Computer in irgendeiner Weise ausfallen, lenkt der Load Balancer den Datenverkehr weiterhin von Portal for ArcGIS-Computern auf den verbliebenen ArcGIS Server-Computer lenken.
Integrierte Benutzer mit öffentlichem Zugriff auf das Portal
In diesem Szenario verwendet die Portal-Authentifizierung integrierte Benutzer, und zumindest einige Clients greifen von außerhalb der Firewall auf das Portal zu. Der administrative Zugriff von außerhalb der Firewall sollte deaktiviert werden.
Clients greifen auf die Organisation und den REST-Endpunkt von ArcGIS Server über den Load Balancer außerhalb der Firewall (LoadBalancer), in der Regel über einen loadbalancer.example.com zugewiesenen DNS-Alias, zu. Das Portal kommuniziert mit der Hosting-Server-Site über einen zweiten Load Balancer (InternalLoadBalancer) innerhalb der Firewall (https://internalloadbalancer.example.com:6443/arcgis, die grünen Linien im Diagramm). Der Hosting-Server kommuniziert mit dem Portal über die privateportalURL, die auch über InternalLoadBalancer erreicht wird (https://internalloadbalancer.example.com:7443/arcgis, die orangefarbenen Linien im Diagramm), sodass die Kommunikation die Firewall nicht passieren muss. Sollte einer der Portal-Computer ausfallen, kann der Hosting-Server weiterhin mit dem verbliebenen Portal-Computer kommunizieren, da der interne Load Balancer Anforderungen an den verbliebenen Portal-Computer sendet. Sollte analog dazu einer der GIS Server-Computer ausfallen, lenkt der interne Load Balancer den Datenverkehr vom Portal an den verbliebenen GIS Server-Computer.
Wird von außerhalb der Firewall befindlichen Clients direkt auf die GIS Server-Site zugegriffen, werden die Daten ebenfalls durch den Load Balancer (LoadBalancer) außerhalb der Firewall (rote Linie im Diagramm) geleitet.
Der Administratorzugriff auf das ArcGIS Server-Administratorverzeichnis sowie auf ArcGIS Server Manager wird mithilfe von Regeln des Load Balancers (LoadBalancer) außerhalb der Firewall (rote Linie im Diagramm) blockiert.
IWA- oder LDAP-Authentifizierung bei internem Client-Zugriff
In diesem Szenario erfolgt die Authentifizierung von Portal-Benutzern mithilfe der integrierten Windows-Authentifizierung (IWA) oder der Lightweight Directory Access Protocol-Authentifizierung (LDAP), und alle Clients, die auf das Portal zugreifen, befinden sich innerhalb der Firewall.
Wenn kein öffentlicher Zugriff auf das Portal erforderlich ist, Clients sich aber mittels IWA- oder LDAP-Authentifizierung beim Portal authentifizieren, ist für jeden Computer innerhalb des Portals mit hoher Verfügbarkeit ein Web Adaptor (WebAdaptor1 und WebAdaptor2) erforderlich. Der Load Balancer (LoadBalancer) sendet den Datenverkehr an die Web Adaptors, die anschließend die Anforderungen zwischen den beiden Portal-Computern (Portal1 und Portal2) ausgleichen. Jede Kommunikation von den ArcGIS Server-Computern zu den Portal for ArcGIS-Computern muss die Authentifizierung auf Webebene über den Web Adaptor umgehen. Daher ist der Load Balancer so konfiguriert, dass er die Ports 7080 und 7443 überwacht und der Datenverkehr über die privatePortalURL direkt zum Portal an die Ports 7080 oder 7443 gesendet wird.
Da kein öffentlicher Zugriff auf das Portal erforderlich ist, kann der Load Balancer sowohl für die Services-URL als auch die Verwaltungs-URL der Hosting-Site verwendet werden. Bei der privatePortalURL handelt es sich um https://internalloadbalancer.example.com:7443/arcgis, und die Computer der Hosting-Site kommunizieren mit den Portal-Computern über diese URL (die orangefarbenen Linien im Diagramm). Die Organisations-URL lautet https://loadbalancer.example.com/portal, und sowohl die Services- als auch die Verwaltungs-URL der Hosting-Site lautet https://loadbalancer.example.com/server.
SAML- oder ADFS-Authentifizierung mit öffentlichem Zugriff auf das Portal
In diesem Szenario authentifizieren sich die Benutzer mittels Security Assertion Markup Language (SAML) oder Active Directory Federation Services (ADFS), aber einige der Clients, die auf die Organisation zugreifen, befinden sich außerhalb der Firewall. In diesem Fall müssen Sie den administrativen Zugriff auf die ArcGIS Server-Computer der Hosting-Server-Site aus Sicherheitsgründen deaktivieren. Im Abschnitt unten werden die beiden Konfigurationen beschrieben, die hierfür geeignet sind.
Hinweis:
Wenn Sie die SAML- oder ADFS-Authentifizierung verwenden, ist das Konfigurieren der Web Adaptor für das Portal unnötig. Sie können ArcGIS Web Adaptor in den folgenden zwei Szenarien zwar mit dem Portal verwenden, aber dies bietet keine funktionellen Vorteile für die Konfiguration.
Sichern eines öffentlich zugänglichen Portals mithilfe von Regeln des Load Balancers
In diesem Szenario verbinden sich Clients mit dem Load Balancer (LoadBalancer) außerhalb der Firewall (rote Linie im Diagramm), der den Datenverkehr direkt an die beiden Portal-Computer (Portal1 und Portal2) über die Ports 7443 und 7080 und die beiden GIS Server-Computer (HostingServer1 und HostingServer2) über die Ports 6443 und 6080 sendet. Der Zugriff auf die ArcGIS Server-Administrator- und die ArcGIS Server Manager-URL wird von Regeln des Load Balancers blockiert.
Der Load Balancer außerhalb der Firewall kann nicht über die Ports 6080, 6443, 7080 oder 7443 kommunizieren. Ein weiterer Load Balancer (InternalLoadBalancer) ist innerhalb der Firewall konfiguriert, um die Kommunikation zwischen dem Portal und dem Hosting-Server zu ermöglichen. Das Portal kommuniziert mit dem Hosting-Server über die URL, die beim Einrichten des Verbunds für die Verwaltungs-URL definiert wurde (grüne Linien im Diagramm), und der Hosting-Server kommuniziert mit dem Portal über die privatePortalURL (orangefarbene Linien im Diagramm), sodass die Kommunikation die Firewall nicht passieren muss. Der interne Load Balancer stellt die Redundanz sicher, wenn einer der GIS Server-Computer oder Portal-Computer ausfällt.
Die privatePortalURL in diesem Szenario lautet https://internalloadbalancer.example.com:7443/arcgis. Die beim Einrichten des Verbunds verwendete Verwaltungs-URL der ArcGIS Server-Site lautet https://internalloadbalancer.example.com:6443/arcgis.
Sichern eines öffentlich zugänglichen Portals mithilfe von Web Adaptors auf der GIS Server-Site
In diesem Szenario verbinden sich Clients mit dem Load Balancer (LoadBalancer) außerhalb der Firewall (rote Linie im Diagramm), der den Datenverkehr direkt an die beiden Portal-Computer (Portal1 und Portal2) über die Ports 7443 und 7080 und an die beiden Web Adaptor (WebAdaptor1 und Webadaptor2) sendet, die mit den ArcGIS Server-Computern (HostingServer1 und HostingServer2) konfiguriert sind. Ein weiterer Load Balancer (InternalLoadBalancer) verwaltet den Datenverkehr zwischen den Portal-Computern und der Hosting-Server -Site des Portals und stellt die Redundanz sicher, wenn einer der GIS Server- oder Portal-Computer ausfällt.
Clients greifen auf das Portal über den Load Balancer (LoadBalancer) https://loadbalancer.example.com/portal/home/ zu, der den Datenverkehr über die Ports 7080 und 7443 an die beiden Portal-Computer sendet. Da das Portal mit der SAML- oder ADFS-Authentifizierung konfiguriert ist, authentifiziert der SAML- oder ADFS-Provider Benutzer, wenn sie auf das Portal zugreifen.
Clients können auf die Hosting-Server-Site über den Load Balancer (LoadBalancer) außerhalb der Firewall zugreifen, der den Datenverkehr an die Web Adaptor (WebAdaptor1 und WebAdaptor2) von GIS Server sendet. Der Datenverkehr wird über die Web Adaptors an die GIS Server-Computer über die Ports 6080 und 6443 geleitet.
Die ArcGIS Server-Computer kommunizieren mit dem Portal über die privatePortalURL (https://internalloadbalancer.example.com:7443/arcgis, die orangefarbenen Linien im Diagramm), sodass die Kommunikation die Firewall nicht passieren muss. Die Hosting-Server-Site ist mit dem Portal verbunden, wobei https://loadbalancer.example.com/server für die Services-URL verwendet wird. Dieser Datenverkehr erfolgt über die Web Adaptor WebAdaptor1 und WebAdaptor2, die zum Sperren des Administratorzugriffs auf ArcGIS Server Manager und das ArcGIS Server-Administratorverzeichnis konfiguriert sind. Ein zweiter Load Balancer (InternalLoadBalancer) wird für die Verwaltungs-URL (https://internalloadbalancer.example.com:6443/arcgis, die grünen Linien im Diagramm) verwendet, die beim Einrichten des Verbunds definiert wurde, um Redundanz herzustellen.