Puede proteger el acceso al portal mediante el Protocolo de acceso al directorio ligero (LDAP). Cuando se usa LDAP, los inicios de sesión se administran mediante el servidor LDAP de la organización.
Para utilizar LDAP, puede configurar la autenticación en el nivel del portal o la autenticación en el nivel Web mediante el ArcGIS Web Adaptor (Java Platform) implementado en un servidor de aplicaciones Java. No puede utilizar ArcGIS Web Adaptor (IIS) para realizar la autenticación en el nivel web con LDAP. Si no lo ha hecho todavía, instale y configure ArcGIS Web Adaptor (Java Platform) con su portal.
Nota:
Si va a agregar un sitio de ArcGIS Server a su portal y desea utilizar la autenticación de nivel web con el sitio, deberá deshabilitar la autenticación de nivel web (básica o digest) y habilitar el acceso anónimo en ArcGIS Web Adaptor configurado con su sitio antes de agregarlo al portal. Aunque pueda parecer poco intuitivo, esto es necesario para que el sitio quede libre para federarlo con el portal y pueda leer los usuarios y los roles del portal. Si el sitio de ArcGIS Server no usa aún autenticación de niveles web, no debe hacer nada. Para obtener instrucciones sobre cómo agregar un servidor al portal, consulte Federar un sitio de ArcGIS Server con su portal.
Configurar el portal con LDAP
En primer lugar, configure el portal para utilizar HTTPS para todas las comunicaciones. A continuación, actualice el almacén de identidades del portal para utilizar usuarios y grupos de LDAP.
Configure el portal para utilizar HTTPS para todas las comunicaciones.
- Inicie sesión en el sitio web del portal como administrador de la organización. La dirección URL tiene el formato https://webadaptorhost.domain.com/webadaptorname/home.
- En la página Organización, haga clic en Editar ajustes > Seguridad.
- Active Permitir acceso al portal solo a través de HTTPS.
- Haga clic en Guardar para aplicar los cambios.
Actualizar el almacén de identidades del portal
- Inicie sesión en ArcGIS Portal Directory como administrador de su organización. La dirección URL tiene el formato https://webadaptorhost.domain.com/webadaptorname/portaladmin.
- Haga clic en Seguridad > Config > Actualizar almacén de identidad.
- En el cuadro de texto Configuración de almacén de usuario (en formato JSON), pegue la información de configuración de usuario de LDAP de su organización (en formato JSON). Como opción, puede actualizar la siguiente muestra con información de usuario específica de su organización.
{ "type": "LDAP", "properties": { "userPassword": "secret", "isPasswordEncrypted": "false", "user": "uid=admin,ou=system", "userFullnameAttribute": "cn", "ldapURLForUsers": "ldaps://bar2:10636/ou=users,ou=ags,dc=example,dc=com", "userEmailAttribute": "mail", "usernameAttribute": "uid", "caseSensitive": "false", "userSearchAttribute": "uid" } }En la mayoría de los casos, solo deberá modificar valores para los parámetros user, userPassword y ldapURLForUsers. Su administrador de LDAP deberá proporcionar la URL a LDAP.
En el ejemplo anterior, la dirección URL de LDAP hace referencia a los usuarios dentro de un OU específico (ou=usuarios). Si hay usuarios en varios OU, la dirección URL de LDAP puede apuntar a un nivel de OU más alto o incluso al nivel de raíz si es necesario. En ese caso, la dirección URL tendría el siguiente aspecto:
"ldapURLForUsers": "ldaps://bar2:10636/dc=example,dc=com",
La cuenta que utilice para el parámetro de usuario solo necesita permisos para consultar la dirección de correo electrónico y los nombres de usuario de los usuarios de la organización. Aunque escriba la contraseña con texto no cifrado, esta se cifrará cuando haga clic en Actualizar configuración (más abajo).
Si su LDAP está configurado para distinguir mayúsculas y minúsculas, defina el parámetro caseSensitive en verdadero.
- Si desea crear grupos en el portal que utilicen los grupos corporativos existentes en el almacén de identidades, pegue la información de configuración del grupo LDAP de su organización (en formato JSON) en el cuadro de texto Configuración de almacén de grupo (en formato JSON) como se muestra a continuación. Como opción, puede actualizar la siguiente muestra con información de grupo específica de su organización. Si solo desea usar grupos integrados del portal, elimine la información del cuadro de texto y omita este paso.
{ "type": "LDAP", "properties": { "userPassword": "secret", "isPasswordEncrypted": "false", "user": "uid=admin,ou=system", "ldapURLForUsers": "ldaps://bar2:10636/ou=users,ou=ags,dc=example,dc=com", "ldapURLForRoles": "ldaps://bar2:10636/dc=example,dc=com", "usernameAttribute": "uid", "caseSensitive": "false", "userSearchAttribute": "uid", "memberAttributeInRoles": "member", "rolenameAttribute":"cn" } }En la mayoría de los casos, solo deberá modificar valores para los parámetros user, userPassword, ldapURLForUsers y ldapURLForUsers. Su administrador de LDAP deberá proporcionar la URL a LDAP.
En el ejemplo anterior, la dirección URL de LDAP hace referencia a los usuarios dentro de un OU específico (ou=usuarios). Si hay usuarios en varios OU, la dirección URL de LDAP puede apuntar a un nivel de OU más alto o incluso al nivel de raíz si es necesario. En ese caso, la dirección URL tendría el siguiente aspecto:
"ldapURLForUsers": "ldaps://bar2:10636/dc=example,dc=com",
La cuenta que utilice para el parámetro user necesita permisos para consultar los nombres de los grupos de su organización. Aunque escriba la contraseña con texto no cifrado, esta se cifrará cuando haga clic en Actualizar configuración (más abajo).
Si su LDAP está configurado para distinguir mayúsculas y minúsculas, defina el parámetro caseSensitive en verdadero.
- Haga clic en Actualizar configuración para guardar los cambios.
- Si ha configurado un portal de alta disponibilidad, reinicie cada equipo del portal. Consulte Detener e iniciar el portal para obtener instrucciones completas.
Agregar cuentas corporativas a su portal
De forma predeterminada, los usuarios corporativos pueden acceder al sitio web del portal. Sin embargo, solo pueden ver elementos que hayan sido compartidos con todos los usuarios de la organización. Esto se debe a que las cuentas corporativas no se han agregado al portal y no se les ha concedido privilegios de acceso.
Agregue cuentas a su portal por medio de uno de los siguientes métodos:
- Sitio web de Portal for ArcGIS (de uno en uno o de forma masiva desde un archivo CSV o desde grupos corporativos existentes)
- secuencia de comandos de Python
- Utilidad de línea de comandos
- Automáticamente
Se recomienda que designe al menos una cuenta corporativa como administrador de su portal. Para ello, elija el rol de Administrador al agregar la cuenta. Cuando tenga una cuenta de administrador del portal alternativa, puede asignar la cuenta de administrador inicial al rol Usuario o eliminar la cuenta. Consulte Acerca de la cuenta de administrador inicial para obtener más información.
Una vez que las cuentas se hayan agregado y haya completado los pasos siguientes, los usuarios podrán iniciar sesión en la organización y acceder al contenido.
Configurar ArcGIS Web Adaptor para utilizar la autenticación de nivel web.
Una vez que haya instalado y configurado ArcGIS Web Adaptor (Java Platform) con el portal, configure un dominio LDAP en su servidor de aplicaciones Java y especifique el método de autenticación de nivel web para ArcGIS Web Adaptor. Para obtener instrucciones, consulte al administrador del sistema, la documentación del producto de su servidor de aplicaciones Java o Servicios Profesionales de Esri.
Verificar que se puede acceder al portal usando LDAP
- Abra el sitio web del portal. La dirección URL tiene el formato https://webadaptorhost.domain.com/webadaptorname/home.
- Verifique que se le hayan solicitado las credenciales cuenta corporativa. Si no observa este comportamiento, verifique que la cuenta corporativa que utilizó para iniciar sesión en el equipo se agregó al portal.
Impedir que los usuarios creen sus propias cuentas integradas
Para evitar que las personas creen sus propias cuentas integradas, deshabilite el botón Crear una cuenta y la página de registro (signup.html) en el sitio web del portal para que los usuarios no puedan crear sus propias cuentas. Esto significa que todos los miembros inician sesión en el portal con sus credenciales corporativas y no pueden crearse cuentas de miembros innecesarias. Consulte Deshabilitar la capacidad de los usuarios de crear cuentas de portal integradas para obtener instrucciones completas.