Magasin d'identifiants intégré

Portal for ArcGIS est préconfiguré afin de faciliter la création des comptes et de groupes sur votre portail. Vous pouvez utiliser le lien Créer un compte sur la page d'accueil du site Web du portail pour ajouter un compte intégré à votre portail et commencer à ajouter du contenu dans l'organisation ou accéder aux ressources créées par d'autres membres. Vous pouvez également cliquer sur l'onglet Groupes de la page d'accueil du site Web du portail et créer un groupe destiné à gérer des éléments. Lorsque vous créez des comptes et des groupes sur votre portail de cette manière, vous exploitez le magasin d'identifiants intégré qui procède à l'authentification et stocke les noms d'utilisateur des comptes du portail, les mots de passe, les rôles et l'appartenance aux groupes.

Vous devez utiliser le magasin d'identifiants intégré pour créer le compte d'administrateur initial de votre portail, mais vous pouvez ensuite utiliser un magasin d'identifiants d'entreprise. Le magasin d'identifiants intégré est utile pour mettre portail en service, ainsi qu'à des fins de développement et de test. Cependant, les environnements de production utilisent généralement un magasin d'identifiants d'entreprise.

Magasin d'identifiants d'entreprise

Portal for ArcGIS est conçu pour vous permettre d'utiliser des groupes et des comptes d'entreprise afin de contrôler l'accès à votre organisation ArcGIS. Par exemple, vous pouvez contrôler l'accès accéder au portail en utilisant des informations d'identification provenant de votre serveur Lightweight Directory Access Protocol (LDAP), d'un serveur Active Directory et de fournisseurs d'identités qui prennent en charge l'authentification unique Web SAML 2.0 (Security Assertion Markup Language). Ce processus est décrit dans la documentation sous forme de configuration d'identifiants de connexion d'entreprise.

L'avantage de cette approche est que vous ne devez pas créer de comptes supplémentaires sur le portail. Les membres utilisent l'identifiant déjà configuré dans le magasin d'identifiants de l'entreprise. Les informations d'identification de compte sont entièrement gérées en dehors de Portal for ArcGIS. Cela permet aux utilisateurs de s'authentifier une seule fois en leur évitant d'avoir à saisir de nouveau leurs informations d'identification.

De la même façon, vous pouvez également créer des groupes sur le portail qui tirent parti des groupes d'entreprise de votre magasin d'identifiants. De plus, plusieurs comptes d'entreprise peuvent être ajoutés à la fois à partir de groupes d'entreprise de votre organisation. Lorsque les membres se connectent au portail, l'accès au contenu, aux éléments et aux données est déterminé par les règles d'appartenance définies dans le groupe d'entreprise. L'appartenance aux groupes est entièrement gérée en dehors de Portal for ArcGIS.

Par exemple, il est recommandé de désactiver l'accès anonyme à votre portail, de connecter votre portail aux groupes d'entreprise souhaités dans votre organisation et d'ajouter les comptes d'entreprise en fonction de ces groupes. Ainsi, vous limitez l'accès au portail en fonction de groupes d'entreprise spécifiques au sein de votre organisation.

Utilisez un magasin d'identifiants d'entreprise si votre organisation souhaite définir des stratégies pour l'expiration et la complexité des mots de passe, pour contrôler l'accès aux données à l'aide de groupes d'entreprise existants ou utiliser l'authentification via l'authentification Windows intégrée (IWA) ou l'infrastructure à clé publique (PKI). Vous pouvez gérer l'authentification au niveau du Web (utilisation de l'authentification au niveau du Web), au niveau du portail (utilisation de l'authentification au niveau du portail) ou via un fournisseur d'identifiants externe (utilisation de SAML).

Prise en charge de plusieurs magasins d'identifiants

Avec SAML 2.0, vous pouvez autoriser l'accès à votre portail à l'aide de plusieurs magasins d'identifiants. Les utilisateurs peuvent se connecter avec des comptes intégrés et des comptes gérés par plusieurs fournisseurs d'identités compatibles avec SAML configurés pour se faire confiance. Cette méthode est conseillée pour gérer les utilisateurs qui peuvent se trouver au sein ou en dehors de votre organisation. Pour obtenir des instructions complètes, reportez-vous à la rubrique Configuration d'un fournisseur d'identités compatible avec SAML avec votre portail.

Authentification au niveau du Web

Si votre portail s'exécute sur un serveur Windows et que vous avez configuré Windows Active Directory, vous pouvez utiliser l'authentification Windows intégrée pour vous connecter à votre portail. Cela permet aux utilisateurs du portail de se connecter automatiquement ou une seule fois via l'authentification au niveau du Web. Pour pouvoir utiliser l'authentification Windows, vous devez avoir déployé l'adaptateur Web sur le serveur Web IIS de Microsoft.

Si vous possédez un répertoire LDAP, vous pouvez l'utiliser avec Portal for ArcGIS. Pour plus d'informations, reportez-vous à la rubrique Utilisation de votre portail avec LDAP et l'authentification au niveau du Web. Si vous souhaitez faire appel à LDAP, déployez votre adaptateur Web sur un serveur d'applications Java tel qu'Apache Tomcat, IBM WebSphere ou Oracle WebLogic.

Si votre organisation possède une PKI, vous pouvez faire appel aux certificats pour authentifier les communications avec votre portail à l'aide du protocole Secure Socket Layer (SSL). Pour authentifier les utilisateurs, vous pouvez utiliser Windows Active Directory ou le protocole LDAP (Lightweight Directory Access Protocol). Pour pouvoir utiliser l'authentification Windows, vous devez avoir déployé l'adaptateur Web sur le serveur Web IIS de Microsoft. Pour utiliser LDAP, vous devez déployer votre adaptateur Web sur un serveur d'applications Java tel qu'Apache Tomcat, IBM WebSphere ou Oracle WebLogic. Il est impossible d'activer l'accès anonyme à votre portail si vous utilisez PKI. .

Authentification au niveau du portail

Si vous voulez autoriser l'accès à votre portail avec à la fois des magasins d'identifiants d'entreprise et intégrés sans utiliser SAML, vous pouvez utiliser l'authentification au niveau du portail. Pour ce faire, configurez le portail avec votre magasin d'identités Active Directory ou LDAP, puis activez l'accès anonyme dans IIS ou votre serveur d'applications Java. Lorsqu'un utilisateur accède à la page de connexion au portail, il est en mesure de se connecter avec les informations d'identification d'entreprise ou intégrées. Les utilisateurs d'entreprise devront indiquer leurs informations d'identification de compte chaque fois qu'ils se connectent au portail. Aucune connexion unique ou automatique n'est possible. Ce type d'authentification permet également aux utilisateurs anonymes d'accéder aux cartes ou aux autres ressources du portail qui sont partagées avec tout le monde.

Lorsque vous utilisez l'authentification au niveau du portail, les membres de votre entreprise se connectent avec la syntaxe suivante :

• Si vous utilisez le portail avec votre déploiement d'Active Directory, la syntaxe peut être domain\username ou username@domain. Quelle que soit la façon dont le membre se connecte, le nom d'utilisateur apparaît toujours ainsi, username@domain, sur le site Web du portail.
• Si vous utilisez le portail avec LDAP, la syntaxe est toujours username. Le site Web du portail affiche également le compte sous ce format.

Magasin d'identifiants intégré

Le magasin d'identifiants intégré verrouille l'accès d'un utilisateur s'il essaie de se connecter plus de dix fois, sans y parvenir. Le verrouillage dure dix minutes. Cette stratégie s'applique à tous les comptes du magasin d'identifiants, y compris le compte d'administrateur initial. Elle ne peut pas être modifiée ni remplacée.

Magasin d'identifiants d'entreprise

Lorsque vous utilisez un magasin d'identifiants d'entreprise, la stratégie de verrouillage des comptes appliquée est celle du magasin. Vous pourrez sans doute modifier la stratégie de verrouillage de compte du magasin. Consultez la documentation propre au type de magasin pour savoir comment modifier la stratégie de verrouillage de compte.