Almacén de identidades integrado

Portal for ArcGIS se ha preconfigurado de modo que se pueden crear cuentas y grupos fácilmente en el portal. Puede usar el vínculo Crear una cuenta de la página de inicio del sitio web del portal para agregar una cuenta integrada en el portal y empezar a proporcionar contenido a la organización o a acceder a los recursos creados por otros miembros. También puede hacer clic en la pestaña Grupos de la página de inicio del sitio Web del portal y crear un grupo para administrar elementos. Cuando se crean cuentas y grupos en el portal de esta forma, se utiliza el almacén de identidades integrado, que realiza la autenticación y almacena los nombres, las contraseñas y los roles de los usuarios de las cuentas del portal, así como la pertenencia a grupos.

Debe usar el almacén de identidades integrado para crear la cuenta de administrador inicial del portal, pero podrá cambiar más adelante a un almacén de identidades corporativo. El almacén de identidades integrado resulta útil para poner en marcha el portal y también para el desarrollo y las pruebas. Sin embargo, los entornos de producción utilizan normalmente almacenes de identidad corporativos.

Almacén de identidades corporativo

Portal for ArcGIS se ha diseñado de modo que se puedan usar las cuentas y los grupos corporativos para controlar el acceso a la organización de ArcGIS. Por ejemplo, puede controlar el acceso al portal usando las credenciales del servidor Lightweight Directory Access Protocol (LDAP) y los proveedores de identidades que admiten el inicio de sesión único en web de Security Assertion Markup Language (SAML) 2.0. Este proceso se describe en la documentación como configuración de inicios de sesión corporativos.

La ventaja de esta estrategia es que no necesita crear cuentas adicionales en el portal. Los miembros utilizan el inicio de sesión que ya se ha definido en el almacén de identidades corporativo. La administración de credenciales de la cuenta es totalmente externo a Portal for ArcGIS. De este modo, los usuarios solo tienen que iniciar sesión una vez y no se ven obligados a volver a introducir sus credenciales.

Del mismo modo, puede crear grupos en el portal aprovechando los grupos corporativos existentes en su almacén de identidades. Asimismo, pueden agregarse cuentas corporativas de forma masiva desde los grupos corporativos de su organización. Cuando los miembros inician sesión en el portal, el acceso al contenido, los elementos y los datos se controlan por medio de las reglas de pertenencia definidas en el grupo corporativo. La administración de la pertenencia a grupos es totalmente externa a Portal for ArcGIS.

Por ejemplo, una práctica recomendada es deshabilitar el acceso anónimo a su portal, conectar su portal a los grupos corporativos deseados de su organización y agregar las cuentas corporativas en función de esos grupos. De esta manera, restringe el acceso al portal en función de grupos corporativos específicos de su organización.

Utilice un almacén de identidades corporativo si la organización desea definir directivas sobre la caducidad y la complejidad de las contraseñas, controlar el acceso usando los grupos corporativos existentes o utilizar la autenticación de tipo LDAP o de infraestructura de clave pública (PKI). La autenticación se puede gestionar en el nivel Web (usando la autenticación a nivel Web), en el nivel del portal (usando la autenticación de nivel del portal) o a través de un proveedor externo de identidades (con SAML).

Compatibilidad con varios almacenes de identidades

Con SAML 2.0, puede permitir el acceso al portal usando varios almacenes de identidades. Los usuarios pueden iniciar sesión con cuentas integradas y cuentas administradas en varios proveedores de identidades compatibles con SAML configurados para confiar los unos en los otros. Esta es una buena forma de administrar usuarios que pueden residir dentro o fuera de la organización. Para obtener información detallada, consulte Configurar un proveedor de identidad compatible con SAML con el portal.

Autenticación en nivel web

Si tiene un directorio LDAP, puede usarlo con Portal for ArcGIS. Consulte Usar el portal con LDAP y con autenticación de niveles web para obtener más información. Si desea utilizar usuarios LDAP, implemente Web Adaptor en un servidor de aplicaciones Java como Apache Tomcat, IBM WebSphere u Oracle WebLogic.

Si la organización tiene una PKI, puede usar certificados para autenticar la comunicación con el portal a través del protocolo Secure Socket Layer (SSL). No es posible habilitar el acceso anónimo en el portal con PKI. Consulte Usar LDAP y PKI para proteger el acceso al portal para obtener más información.

Autenticación en el nivel del portal

Si desea permitir el acceso a su portal con los almacenes de identidades corporativos e integrados sin usar SAML, puede utilizar la autenticación de nivel del portal. Esto es posible si se configura el portal con su almacén de identidades de LDAP, habilitando a continuación el acceso anónimo en su servidor de aplicaciones Java. Cuando un usuario accede a la página de inicio de sesión del portal, podrá iniciar sesión usando credenciales corporativas o credenciales integradas. Los usuarios corporativos tendrán que introducir las credenciales de su cuenta cada vez que inicien sesión en el portal. El inicio de sesión automático o único no estará disponible. Este tipo de autenticación también permite a los usuarios anónimos acceder a mapas u otros recursos del portal que se comparten con todo el mundo.

Al usar la autenticación de nivel del portal, los miembros de su empresa iniciarán sesión con la siguiente sintaxis:

• En caso de utilizar el portal con su Active Directory, la sintaxis puede ser domain\username o username@domain. Independientemente de cómo inicia sesión el miembro, el nombre de usuario siempre se muestra como username@domain en el sitio Web del portal.
• En caso de utilizar el portal con LDAP, la sintaxis siempre es username. Asimismo, en el sitio Web del portal se muestra la cuenta en este formato.

Almacén de identidades integrado

El almacén de identidades integrado bloquea a un usuario tras diez intentos no válidos consecutivos. El bloqueo dura diez minutos. Esta política se aplica a todas las cuentas del almacén de identidades, incluida la cuenta de administrador inicial. Esta política no se puede modificar ni sustituir.

Almacén de identidades corporativo

Cuando se usa un almacén de identidades corporativo, la política de bloqueo de la cuenta se hereda del almacén. En algunos casos, se puede cambiar la política de bloqueo de las cuentas para el almacén. Consulte la documentación específica del tipo de almacén para ver cómo se cambia la política de bloqueos de las cuentas.