Sécurisation de services Web avec l'authentification Windows intégrée—Administration d'ArcGIS Server (Windows)

Ce didacticiel vous explique comment sécuriser des services Web ArcGIS à l'aide de l'authentification Windows intégrée. Pour ce faire, les utilisateurs et rôles doivent être gérés dans un serveur Microsoft Windows Active Directory. Cette approche peut s'avérer utile si vous souhaitez que les utilisateurs SIG tirent parti des comptes de domaine Windows dont ils disposent déjà sur votre réseau.

Remarque :

Si votre site ArcGIS Server est fédéré avec un portail, vous devez sécuriser l'accès via le portail au lieu de suivre les étapes indiquées dans cette rubrique. Reportez-vous à la rubrique Utiliser l'authentification Windows intégrée avec votre portail pour en savoir plus.

Pour utiliser l'authentification Windows intégrée, vous devez utiliser ArcGIS Web Adaptor (IIS) déployé sur le serveur Web IIS de Microsoft. Vous ne pouvez pas utiliser ArcGIS Web Adaptor (Java Platform) pour effectuer l'authentification Windows intégrée.

Si vos paramètres de connexion interdisent l'accès à la machine où est hébergé Active Directory, une erreur se produira lors de la configuration de la sécurité. Il n'est pas nécessaire d'accorder à l'utilisateur des paramètres de la stratégie de groupe Ouvrir une session localement. Pour plus d'informations, reportez-vous à la rubrique Considérations avancées lors de l'utilisation de comptes de domaine.

Pour sécuriser des services Web ArcGIS à l'aide de l'authentification Windows intégrée, procédez comme suit :

Configurez ArcGIS Web Adaptor (IIS) de manière à utiliser l'authentification Windows.

L'authentification Windows intégrée nécessite une authentification au niveau du Web, qui doit se faire à l'aide d'ArcGIS Web Adaptor (IIS).L'adaptateur web utilise IIS pour authentifier l'utilisateur et fournir à l'adaptateur web le nom du compte de l'utilisateur. Une fois qu'il dispose du nom du compte, il le transmet à ArcGIS Server.

Installez ArcGIS Web Adaptor (IIS) en suivant les instructions de la rubrique Installation d'ArcGIS Web Adaptor (IIS).
Configurez l'adaptateur web en suivant les instructions de la rubrique Configuration d'ArcGIS Web Adaptor après l'installation.
Remarque :
Lorsque vous configurez l'adaptateur web, vous devez activer l'administration via l'adaptateur web. Cela permet aux utilisateurs dans Windows Active Directory de publier des services depuis ArcGIS Desktop. Lorsque les utilisateurs se connectent au serveur avec ces rôles dans ArcGIS Desktop, ils doivent spécifier l'URL de l'adaptateur Web.
Définissez la méthode d'authentification de l'adaptateur web à l'aide du Gestionnaire des services Internet (IIS).
1. Pour ouvrir le Gestionnaire des services Internet (IIS), cliquez sur Démarrer > Panneau de configuration > Outils d'administration > Gestionnaire des services Internet (IIS).
2. Sous Sites, développez l'arborescence de gauche du Gestionnaire des services Internet (IIS). Développez Site Web par défaut pour rechercher l'application ArcGIS Web Adaptor (IIS). Par défaut, ArcGIS Web Adaptor (IIS) se nomme arcgis.
3. Modifiez la propriété d'authentification de l'adaptateur web. Désélectionnez l'authentification Anonyme et sélectionnez Authentification Windows.
4. Fermez le Gestionnaire des services Internet.

Configurez la sécurité ArcGIS Server pour qu'elle utilise des utilisateurs et des rôles Windows Active Directory.

Pour prendre en charge l'authentification Windows intégrée, configurez ArcGIS Serverpour qu'il récupère les utilisateurs et les rôles d'un serveur Windows Active Directory.

Ouvrez le gestionnaire et connectez-vous en tant qu'administrateur de site principal. Vous devez utiliser le compte d'administrateur de site principal. Si vous avez besoin d'aide pour cette étape, reportez-vous à la rubrique Connexion au gestionnaire.
Cliquez surSécurité > Paramètres.
Cliquez sur le bouton Modifier en regard de Paramètres de configuration.
Sur la page Gestion des utilisateurs et des rôles, sélectionnez l'option Utilisateurs et rôles d'un systèmes d'entreprise existant (LDAP ou Domaine Windows), puis cliquez sur Suivant.
Sur la page Type de magasin d'entreprise, sélectionnez l'option Domaine Windows, puis cliquez sur Suivant.
Sur la page Informations d'identification Windows, fournissez les informations d'identification d'un compte qui est autorisé à définir les utilisateurs de groupes qu'il contient. Cliquez sur Suivant. Cliquez sur Suivant.
Remarque :
Nous vous conseillons de spécifier un compte dont le mot de passe n'expire pas. Si ce n'est pas possible, vous devrez répéter les étapes de cette section chaque fois que le mot de passe permettant d'accéder au compte est modifié.
Sur la page Niveau d'authentification, choisissez Niveau du Web.
Passez en revue le récapitulatif des éléments que vous avez sélectionnés. Cliquez sur Terminer pour appliquer la configuration de sécurité et l'enregistrer.

Examiner les utilisateurs et les rôles

Après avoir configuré un domaine Windows Active Directory en tant que magasin de rôles et d'utilisateurs, passez ces derniers en revue afin de vous assurer qu'ils ont été récupérés correctement. Pour ajouter, modifier ou supprimer des utilisateurs et des rôles, vous devez utiliser les outils disponibles sur le serveur Active Directory.

Dans le gestionnaire, cliquez sur Sécurité > Utilisateurs.
Vérifiez que les utilisateurs ont été récupérés comme prévu du serveur de domaine Windows. Si Active Directory contient plusieurs domaines, les utilisateurs du domaine auquel appartient la machine du serveur SIG sont affichés. Pour afficher les utilisateurs d'autres domaines, indiquez la chaîne de recherche [nom de domaine]\ dans le champ Rechercher un utilisateur, puis cliquez sur le bouton Rechercher .
Cliquez sur Rôles pour passer en revue les rôles récupérés du serveur de domaine Windows. Si Active Directory contient plusieurs domaines, les rôles du domaine auquel appartient la machine du serveur SIG sont affichés. Pour afficher les rôles d'autres domaines, indiquez la chaîne de recherche [nom de domaine]\ dans le champ Rechercher un rôle, puis cliquez sur le bouton Rechercher .
Vérifiez que les rôles ont été récupérés comme prévu.

Remarque :

Dans les versions 10.3.1 et ultérieures, certaines propriétés d'ArcGIS Web Adaptor (IIS) permettent de configurer les options relatives à l'authentification Active Directory. Reportez-vous à la rubrique Configurer les options du cache mémoire ArcGIS Web Adaptor dans l'aide Web Adaptor (IIS) pour en savoir plus.

Mise en cache des utilisateurs et des rôles

A compter de la version ArcGIS 10.5, les utilisateurs et les rôles depuis votre répertoire actif seront mis en cache sur le serveur après une demande pour les utilisateurs ou les rôles. Cela optimise la performance de vos services sécurisés. Par défaut, les utilisateurs et les rôles seront mis en cache pendant 30 minutes. Vous pouvez modifier cette période en définissant la propriété minutesToCacheUserRoles sur une autre valeur dans le répertoire administrateur d'ArcGIS Server sous les propriétés du système. Vous pouvez également désactiver la mise en cache en définissant la propriété sur zéro.

Configurez les privilèges d'administrateur et d'éditeur des utilisateurs Active Directory

ArcGIS Server autorise par défaut uniquement un accès d'administrateur principal du site au serveur. Si vous comptez utiliser des utilisateurs Active Directory pour administrer ArcGIS Serverou publier des services, vous devez procéder comme suit.

Dans ArcGIS Server Manager, cliquez sur l'onglet Sécurité et ouvrez la page Utilisateurs.
A l'aide de l'outil Rechercher un utilisateur, localisez l'utilisateur auquel vous souhaitez attribuer des privilèges d'administrateur ou d'éditeur. Passez en revue les rôles dont fait partie cet utilisateur et choisissez celui auquel vous voulez attribuer des privilèges d'administrateur ou d'éditeur.
Ouvrez la page Rôles et utilisez l'outil Rechercher un rôle pour localiser le rôle choisi à l'étape précédente.
Cliquez sur le bouton Modifier en regard du rôle.
Pour le paramètre Type de rôle, choisissez Editeur ou Administrateur.
Cliquez sur Enregistrer pour appliquer les modifications.

Définir des autorisations pour les services Web ArcGIS

Dès que vous avez configuré vos paramètres de sécurité et défini des utilisateurs et des rôles, vous pouvez définir des autorisations pour les services afin de contrôler les utilisateurs autorisés à y accéder.

ArcGIS Server contrôle l'accès aux services Web SIG hébergés sur votre serveur à l'aide d'un modèle de contrôle d'accès basé sur les rôles. Dans ce modèle, l'autorisation d'accès à un service sécurisé est contrôlée en attribuant des rôles à ce service. Pour exploiter un service sécurisé, un utilisateur doit être membre d'un rôle auquel ont été affectées des autorisations d'accès.

Les autorisations peuvent être affectées à un service Web individuel ou au dossier parent contenant un groupe de services. Si vous attribuez des autorisations à un dossier, elles sont également transmises à tout service qu'il contient. Par exemple, si vous accordez à un rôle l'accès au dossier site (racine), les utilisateurs appartenant à ce rôle se voient accorder l'accès à tous les services hébergés sur ce site. Pour remplacer automatiquement les autorisations héritées par un service de son dossier parent, vous pouvez mettre à jour le service et supprimer explicitement ces autorisations.

Pour définir les autorisations d'un service, reportez-vous à la rubrique Mise à jour des autorisations dans le gestionnaire.

Remarque :

Lorsque vous parcourez ArcGIS Server à l'aide de l'authentification Windows intégrée, le lien Se déconnecter n'est plus visible. Cela est dû au fait que l'utilisateur qui exécute le navigateur Web est automatiquement connecté par le système d'exploitation. Pour utiliser le navigateur sous le nom d'un autre utilisateur, utilisez l'option de commande Exécuter en tant que. Pour ce faire, recherchez le raccourci du programme dans le menu Démarrer, maintenez la touche Maj enfoncée, cliquez sur le programme avec le bouton droit de la souris et sélectionnez Exécuter en tant qu'utilisateur différent.

Tester l'accès aux services sécurisés

Pour tester votre configuration, identifiez un compte d'utilisateur de domaine Windows ayant accès au dossier racine (site) où sont hébergés vos services. Connectez-vous à Windows à l'aide de ce compte, ouvrez un navigateur web et accédez à votre WSDL ArcGIS Server :

http://webadaptorhost.domain.com/webadaptorname/services?wsdl

Vous pouvez également afficher le répertoire des services pour vérifier que vous pouvez accéder aux services sécurisés.

http://webadaptorhost.domain.com/webadaptorname/rest/services

Remarque :

Lorsque vous parcourez le répertoire des services via l'authentification Windows intégrée, le lien Se déconnecter n'est plus visible. Cela est dû au fait que l'utilisateur qui exécute le navigateur Web est automatiquement connecté par le système d'exploitation. Pour utiliser le navigateur sous le nom d'un autre utilisateur, utilisez l'option de commande Exécuter en tant que. Pour ce faire, recherchez le raccourci du programme dans le menu Démarrer, maintenez la touche Maj enfoncée, cliquez sur le programme avec le bouton droit de la souris et sélectionnez Exécuter en tant qu'utilisateur différent.

Pour déterminer les utilisateurs du domaine Windows qui ont accès au dossier racine, procédez comme suit :

Connectez-vous au gestionnaire et cliquez sur Services.
Cliquez sur le bouton Verrouiller en regard du dossier site (racine) et identifiez les rôles qui ont été autorisés à accéder à ce dossier. Si aucun rôle ne dispose actuellement d'une autorisation d'accès, veuillez en accorder une à au moins un rôle en cliquant sur Ajouter un rôle .
Cliquez sur Sécurité > Rôles, puis sur le bouton Modifier correspondant au rôle qui a accès au dossier racine.
Consultez la liste des utilisateurs qui sont membres de ce rôle.

Vous avez un commentaire à formuler concernant cette rubrique ?