Sichern von Web-Services mit integrierter Windows-Authentifizierung

In diesem Thema

Konfigurieren des ArcGIS Web Adaptor (IIS) zur Verwendung der Windows-Authentifizierung
Konfigurieren der ArcGIS for Server-Sicherheit zur Verwendung von Windows Active Directory-Benutzern und -Rollen
Überprüfen von Benutzern und Rollen
Konfigurieren von Administrator- und Publisher-Berechtigungen für Active Directory-Benutzer
Festlegen von Berechtigungen für ArcGIS-Web-Services
Testen des Zugriffs auf gesicherte Services

In diesem Lernprogramm wird beschrieben, wie ArcGIS-Web-Services mithilfe integrierter Windows-Authentifizierung gesichert werden können. Dies erfordert, dass Benutzer und Rollen auf einem Microsoft Windows Active Directory-Server verwaltet werden. Diese Vorgehensweise empfiehlt sich, wenn GIS-Benutzer die bereits im Netzwerk für sie vorhandenen Windows-Domänenkonten nutzen können sollen.

Zur Verwendung der integrierten Windows-Authentifizierung müssen Sie ArcGIS Web Adaptor (IIS) verwenden, das für den Microsoft IIS-Webserver bereitgestellt wird. Mit ArcGIS Web Adaptor (Java Platform) kann keine integrierte Windows-Authentifizierung durchgeführt werden.

Wenn Sie keine Anmelderechte für den Computer haben, auf dem Active Directory gehostet wird, wird beim Konfigurieren der Sicherheit eine Fehlermeldung angezeigt. Es ist nicht notwendig, dem Benutzer die Gruppenrichtlinieneinstellungen Lokal anmelden zu erteilen. Weitere Informationen finden Sie unter Erweiterte Überlegungen bei der Verwendung von Domänenkonten.

Führen Sie die folgenden Schritte aus, um die ArcGIS-Web-Services mithilfe der integrierten Windows-Authentifizierung zu sichern:

Konfigurieren des ArcGIS Web Adaptor (IIS) zur Verwendung der Windows-Authentifizierung

Für die integrierte Windows-Authentifizierung ist die Authentifizierung auf Webebene erforderlich. Dies muss über ArcGIS Web Adaptor (IIS) erfolgen. Web Adaptor greift zur Authentifizierung eines Benutzers und zur Bereitstellung des Kontonamens eines Benutzers auf IIS zurück. Nachdem der Kontoname abgerufen wurde, wird er an ArcGIS for Server weitergegeben.

Installieren Sie Web Adaptor unter Berücksichtigung der Anweisungen unter Installieren von ArcGIS Web Adaptor (IIS).
Konfigurieren Sie Web Adaptor unter Berücksichtigung der Anweisungen unter Konfigurieren von ArcGIS Web Adaptor nach der Installation.
Hinweis:
Bei der Konfiguration von Web Adaptor müssen Sie die Administration über Web Adaptor aktivieren. Dadurch wird Benutzern in Windows Active Directory die Veröffentlichung von Services über ArcGIS for Desktop ermöglicht. Wenn die Benutzer in diesen Rollen eine Verbindung mit dem Server in ArcGIS for Desktop herstellen, müssen sie die Web Adaptor-URL angeben.
Legen Sie die Authentifizierungsmethode für Web Adaptor mit IIS-Manager fest.
1. Klicken Sie zum Öffnen des IIS-Managers auf Start > Systemsteuerung > Verwaltung > IIS-Manager (Internet Information Services).
2. Erweitern Sie die linke Struktur von IIS-Manager unter Sites. Erweitern Sie Standardwebsite, um die Anwendung ArcGIS Web Adaptor (IIS) zu suchen. Der Standardname von ArcGIS Web Adaptor (IIS) lautet arcgis.
3. Bearbeiten Sie die Authentifizierungseigenschaften für den Web Adaptor. Deaktivieren Sie die Authentifizierung Anonym, und wählen Sie die Windows-Authentifizierung aus.
4. Schließen Sie IIS-Manager.

Konfigurieren der ArcGIS for Server-Sicherheit zur Verwendung von Windows Active Directory-Benutzern und -Rollen

Konfigurieren Sie zur Unterstützung der integrierten Windows-Authentifizierung ArcGIS for Server zum Abrufen der Benutzer und Rollen von einem Windows Active Directory-Server.

Öffnen Sie Manager, und melden Sie sich als primärer Site-Administrator an. Sie müssen das primäre Site-Administratorkonto verwenden. Falls Sie Hilfe zu diesem Schritt benötigen, finden Sie weitere Informationen unter Anmelden bei Manager.
Klicken Sie auf Sicherheit > Einstellungen.
Klicken Sie neben Konfigurationseinstellungen auf die Schaltfläche Bearbeiten .
Wählen Sie auf der Seite Benutzer- und Rollenverwaltung die Option Benutzer und Rollen aus einem vorhandenen Enterprise-System (LDAP oder Windows-Domäne), und klicken Sie auf Weiter.
Wählen Sie auf der Seite Typ des Enterprise-Speichers die Option Windows-Domäne, und klicken Sie auf Weiter.
Geben Sie auf der Seite Anmeldedaten für Windows-Domäne die Anmeldeinformationen für ein Konto mit Berechtigungen für die Festlegung der Gruppen ein, in denen sich Benutzer befinden. Klicken Sie auf Weiter.
Hinweis:
Es wird empfohlen, ein Konto mit einem Kennwort anzugeben, das nicht abläuft. Wenn dies nicht möglich ist, müssen Sie die Schritte in diesem Abschnitt jedes Mal wiederholen, wenn das Kennwort des Kontos geändert wird.
Wählen Sie auf der Seite Authentifizierungsebene den Eintrag Webebene.
Überprüfen Sie die Zusammenfassung der gewählten Einstellungen. Klicken Sie auf Fertig stellen, um die Sicherheitskonfiguration zu übernehmen und zu speichern.

Überprüfen von Benutzern und Rollen

Nachdem Sie eine Windows Active Directory-Domäne als Benutzer- und Rollenspeicher konfiguriert haben, überprüfen Sie die Benutzer und Rollen, um sicherzustellen, dass sie richtig abgerufen wurden. Zum Hinzufügen, Bearbeiten und Löschen von Benutzern und Rollen müssen Sie die auf dem Active Directory-Server verfügbaren Werkzeuge verwenden.

Klicken Sie in Manager auf Sicherheit > Benutzer.
Überprüfen Sie, ob die Benutzer wie erwartet vom Windows-Domänenserver abgerufen wurden. Wenn Active Directory über mehrere Domänen verfügt, werden die Benutzer der Domäne angezeigt, zu der der GIS-Servercomputer gehört. Um Benutzer von anderen Domänen anzuzeigen, geben Sie die Suchzeichenfolge [Domänenname]\ in das Feld Benutzer suchen ein, und klicken Sie auf die Schaltfläche Suchen .
Klicken Sie auf Rollen, um zu überprüfen, ob die Rollen vom Windows-Domänenserver abgerufen wurden. Wenn Active Directory über mehrere Domänen verfügt, werden die Rollen der Domäne angezeigt, zu der der GIS-Servercomputer gehört. Um Rollen von anderen Domänen anzuzeigen, geben Sie die Suchzeichenfolge [Domänenname]\ in das Feld Rolle suchen ein, und klicken Sie auf Schaltfläche Suchen .
Überprüfen Sie, ob die Rollen wie erwartet vom Windows-Domänenserver abgerufen wurden.

Hinweis:

In 10.3.1 und höheren Versionen verfügt ArcGIS Web Adaptor (IIS) über Eigenschaften zum Konfigurieren von Optionen für die Active Directory-Authentifizierung. Nähere Informationen finden Sie in der Hilfe zu Web Adaptor (IIS) unter Konfigurieren von ArcGIS Web Adaptor-Speicher-Cache-Optionen.

Konfigurieren von Administrator- und Publisher-Berechtigungen für Active Directory-Benutzer

Standardmäßig erlaubt ArcGIS for Server lediglich dem primären Site-Administrator Zugriff auf den Server. Wenn Sie Active Directory-Benutzer zum Verwalten von ArcGIS-Server oder Veröffentlichen von Services verwenden, müssen Sie die folgenden Schritte ausführen.

Klicken Sie in ArcGIS Server Manager auf die Registerkarte Sicherheit, und öffnen Sie die Seite Benutzer.
Suchen Sie mithilfe des Werkzeugs Benutzer suchen den Benutzer, dem Sie Administrator- oder Publisher-Berechtigungen zuweisen möchten. Überprüfen Sie die Rollen, deren Mitglied dieser Benutzer ist, und wählen Sie die Rolle aus, der Administrator- oder Publisher-Berechtigungen zugewiesen werden sollen.
Öffnen Sie die Seite Rollen, und verwenden Sie das Werkzeug Rolle suchen, um die im vorherigen Schritt ausgewählte Rolle zu suchen.
Klicken Sie neben der Rolle auf die Schaltfläche Bearbeiten .
Wählen Sie für den Parameter Rollentyp entweder Publisher oder Administrator aus.
Klicken Sie auf Speichern, um die Änderungen zu speichern.

Festlegen von Berechtigungen für ArcGIS-Web-Services

Nachdem Sie die Sicherheitseinstellungen konfiguriert und die Benutzer und Rollen definiert haben, können Sie die Berechtigungen für den Zugriff auf Services festlegen.

ArcGIS for Server steuert den Zugriff auf die auf Ihrem Server gehosteten GIS-Web-Services mit einem rollenbasierten Zugriffssteuerungsmodell. In einem rollenbasierten Zugriffssteuerungsmodell wird die Berechtigung zum Zugreifen auf einen sicheren Service durch Zuweisen von Rollen zu diesem Service gesteuert. Um einen sicheren Service zu nutzen, muss ein Benutzer Mitglied einer Rolle sein, der Berechtigungen für den Zugriff zugewiesen wurden.

Berechtigungen können einem einzelnen Web-Service oder dem übergeordneten Ordner, der eine Gruppe von Services enthält, zugewiesen werden. Wenn Sie einem Ordner Berechtigungen zuweisen, erben alle enthaltenen Services die Berechtigungen des Ordners. Wenn Sie beispielsweise einer Rolle den Zugriff auf die Site (Stammordner) gewähren, können alle Benutzer, die dieser Rolle angehören, auf alle Services zugreifen, die auf dieser Site gehostet werden. Um Berechtigungen zu überschreiben, die ein Service automatisch von seinem übergeordneten Ordner erbt, können Sie den Service bearbeiten und die geerbten Berechtigungen explizit entfernen.

Informationen zum Festlegen von Berechtigungen für einen Service finden Sie unter Bearbeiten von Berechtigungen in Manager.

Hinweis:

Wenn ArcGIS Server Manager mit der integrierten Windows-Authentifizierung durchsucht wird, ist der Link Abmelden nicht mehr sichtbar. Das liegt daran, dass der Benutzer, der den Webbrowser ausführt, automatisch vom Betriebssystem angemeldet wird. Um den Browser als ein anderer Benutzer auszuführen, können Sie die Befehlsoption Ausführen als von Windows verwenden. Suchen Sie dazu die Programmverknüpfung im Startmenü, halten Sie die Umschalttaste gedrückt, klicken Sie mit der rechten Maustaste auf das Programm, und wählen Sie Als anderer Benutzer ausführen aus.

Testen des Zugriffs auf gesicherte Services

Suchen Sie zum Testen des Setups ein Windows-Domänen-Benutzerkonto mit Zugriff auf den Stammverzeichnisordner mit den Services. Melden Sie sich über dieses Benutzerkonto bei Windows an, öffnen Sie einen Webbrowser, und greifen Sie auf ArcGIS for Server WSDL zu:

http://webadaptor.domain.com/arcgis/services?wsdl

Entsprechend können Sie auch das Services Directory anzeigen, um auf die gesicherten Services zuzugreifen:

http://webadaptor.domain.com/arcgis/rest/services

Hinweis:

Wenn das Services Directory mit der integrierten Windows-Authentifizierung durchsucht wird, ist der Link Abmelden nicht mehr sichtbar. Das liegt daran, dass der Benutzer, der den Webbrowser ausführt, automatisch vom Betriebssystem angemeldet wird. Um den Browser als ein anderer Benutzer auszuführen, können Sie die Befehlsoption Ausführen als von Windows verwenden. Suchen Sie dazu die Programmverknüpfung im Startmenü, halten Sie die Umschalttaste gedrückt, klicken Sie mit der rechten Maustaste auf das Programm, und wählen Sie Als anderer Benutzer ausführen.

Führen Sie folgende Schritte aus, um zu ermitteln, welche Windows-Domänenbenutzer Zugriff auf den Stammverzeichnisordner haben:

Melden Sie sich bei Manager an, und klicken Sie auf Services.
Klicken Sie neben dem Stammverzeichnisordner auf die Schaltfläche Sperren, und identifizieren Sie die Rollen, die berechtigt sind, auf diesen Ordner zuzugreifen. Wenn zurzeit keine Rollen Zugriff haben, gewähren Sie mindestens einer Rolle den Zugriff, indem Sie auf Rolle hinzufügen klicken.
Klicken Sie auf Sicherheit > Rollen und für die Rolle mit dem Zugriff auf den Stammverzeichnisordner auf die Schaltfläche Bearbeiten .
Zeigen Sie die Liste der Benutzer an, die Mitglied dieser Rolle sind.

Feedback zu diesem Thema?