Utiliser l'authentification Windows intégrée avec votre portail—ArcGIS Enterprise

Vous pouvez sécuriser l'accès à votre portail à l'aide de l'authentification Windows intégrée (IWA). Lorsque vous utilisez IWA, les identifiants sont gérés via le service Microsoft Windows Active Directory. Les utilisateurs ne se connectent pas au site Web du portail et ne s'en déconnectent pas. En revanche, lorsqu'ils ouvrent le site Web, ils sont connectés avec les comptes qu'ils utilisent pour ouvrir une session Windows.

Pour utiliser l'authentification Windows intégrée, vous devez utiliser ArcGIS Web Adaptor (IIS) déployé sur le serveur Web IIS de Microsoft. Vous ne pouvez pas utiliser ArcGIS Web Adaptor (Java Platform) pour effectuer l'authentification Windows intégrée. Si tel n'est pas encore le cas, installez et configurez ArcGIS Web Adaptor (IIS) avec votre portail.

Remarque :

Pour ajouter un site ArcGIS Server à votre portail et utiliser une authentification au niveau du web avec le site, vous devez désactiver l'authentification au niveau du web (Basic ou Digest) et activer l'accès anonyme sur ArcGIS Web Adaptor qui est configuré sur votre site avant de l'ajouter au portail. Même si elle ne semble pas intuitive, cette démarche est nécessaire pour que votre site puisse être fédéré librement avec le portail et puisse lire les utilisateurs et rôles du portail. Si votre site ArcGIS Server n'utilise pas encore l'authentification au niveau du web, aucune action n'est requise de votre part. Pour savoir comment ajouter un serveur sur votre portail, reportez-vous à la rubrique Fédérer un site ArcGIS Server avec votre portail.

Configurer votre portail pour l'utilisation de Windows Active Directory

Par défaut, Portal for ArcGIS applique le chiffrement HTTPS pour toutes les communications. Si vous avez déjà changé cette option de façon à autoriser à la fois la communication HTTP et HTTPS, vous devez reconfigurer le portail pour utiliser uniquement les communications HTTPS en procédant comme suit .

Configurer le portail de façon à utiliser le protocole HTTPS pour toutes les communications

Connectez-vous au site Web du portail en tant qu'administrateur de votre organisation. L’URL est au format https://webadaptorhost.domain.com/webadaptorname/home.
Cliquez sur Organization (Organisation), cliquez ensuite sur l’onglet Settings (Paramètres), puis sur Security (Sécurité) dans la partie gauche de la page.
Sélectionnez Autoriser l'accès au portail via HTTPS uniquement.
Cliquez sur Enregistrer pour appliquer les modifications.

Mettre à jour le magasin d'identifiants de votre portail

Ensuite, mettez à jour le magasin d’identités de votre portail pour qu’il utilise des utilisateurs et groupes Active Directory.

Connectez-vous au répertoire de Portal for ArcGIS en tant qu'administrateur de votre organisation. L’URL est au format https://webadaptorhost.domain.com/webadaptorname/portaladmin.
Cliquez sur Sécurité > Config > Mettre à jour le magasin d'identités.
Dans la zone de texte Configuration du magasin d'utilisateurs (au format JSON), collez les informations de configuration des utilisateurs Windows Active Directory de votre organisation (au format JSON). Vous pouvez également actualiser l'exemple suivant avec les informations d'utilisateur propres à votre organisation.
```
{
  "type": "WINDOWS",
  "properties": {
    "userPassword": "secret",
    "isPasswordEncrypted": "false",
    "user": "mydomain\\winaccount",
    "userFullnameAttribute": "cn",
    "userEmailAttribute": "mail",
    "caseSensitive": "false"
  }
}
```
Dans la plupart des cas, vous ne devez modifier que les valeurs des paramètres userPassword et user. Même si vous entrez le mot de passe en texte clair, il est chiffré lorsque vous cliquez sur Mettre à jour la configuration (ci-dessous). Le compte que vous spécifiez pour le paramètre user doit disposer d'autorisations uniquement pour consulter l'adresse électronique et le nom complet correspondant à des comptes Windows sur le réseau. Si cela est possible, indiquez un compte dont le mot de passe n'expire pas.
Dans les rares cas où votre instance Windows Active Directory est configurée pour respecter la casse, définissez le paramètre caseSensitive sur true.
Pour créer des groupes sur le portail qui exploitent les groupes d'entreprise existants de votre magasin d'identités, collez les informations de configuration du groupe Windows Active Directory de votre organisation (au format JSON) dans la zone de texte Configuration du magasin de groupes (au format JSON) comme indiqué ci-dessous. Vous pouvez également actualiser l'exemple suivant avec les informations de groupe propres à votre organisation. Si vous souhaitez uniquement utiliser des groupes intégrés du portail, supprimez les informations figurant dans la zone de texte et ignorez cette étape.
```
{
  "type": "WINDOWS",  "properties": {
    "isPasswordEncrypted": "false",    "userPassword": "secret",    "user": "mydomain\\winaccount"
  }
}
```
Dans la plupart des cas, vous ne devez modifier que les valeurs des paramètres userPassword et user. Même si vous entrez le mot de passe en texte clair, il est chiffré lorsque vous cliquez sur Mettre à jour la configuration (ci-dessous). Le compte que vous spécifiez pour le paramètre user doit disposer d'autorisations uniquement pour consulter les noms des groupes Windows sur le réseau. Si cela est possible, indiquez un compte dont le mot de passe n'expire pas.
Cliquez sur Mettre à jour la configuration pour enregistrer vos modifications.
Si vous avez configuré un portail hautement disponible, redémarrez chaque machine du portail. Pour obtenir des instructions complètes, reportez-vous à la rubrique Arrêt et démarrage du portail.

Vous pouvez également configurer les paramètres d'un magasin d'identités.

Vous pouvez modifier des paramètres de configuration d'un magasin d'identités à l'aide de l'API d'administration du répertoire Portal for ArcGIS. Ces paramètres permettent notamment permettent d'indiquer si des groupes sont actualisés automatiquement lorsqu'un utilisateur d'entreprise se connecte au portail, de définir l'intervalle d'actualisation des appartenances et de déterminer si plusieurs formats de noms d'utilisateurs doivent être recherchés. Reportez-vous à la rubrique Mettre à jour le magasin d'identités pour en savoir plus.

Ajouter des comptes d'entreprise à votre portail

Par défaut, les utilisateurs d'entreprise peuvent accéder au site Web du portail. Toutefois, ils peuvent uniquement afficher les éléments qui ont été partagés avec tout le monde dans l'organisation. En effet, les comptes d'entreprise n'ont pas été ajoutés dans le portail et ils ne disposent pas des privilèges d'accès.

Ajoutez des comptes sur votre portail en utilisant l'une des méthodes suivantes :

Site Web Portal for ArcGIS (un par un, par lots à partir d'un fichier CSV ou depuis des groupes d'entreprise existants)
script Python
Utilitaire de ligne de commande
Automatiquement

Nous vous recommandons de désigner au moins un compte d'entreprise pour administrer votre portail. Pour ce faire, sélectionnez le rôle Administrateur lorsque vous ajoutez le compte. Lorsque vous disposez d'un autre compte d'administrateur sur le portail, vous pouvez attribuer le compte d'administrateur initial au rôle Utilisateur ou supprimer ce compte. Pour plus d'informations, reportez-vous à la rubrique A propos du compte d'administrateur initial.

Une fois les comptes ajoutés et les étapes ci-dessous terminées, les utilisateurs peuvent se connecter à l'organisation et accéder au contenu.

Configurer ArcGIS Web Adaptor pour l'utilisation d'IWA

Ouvrez le Gestionnaire des services Internet (IIS).
Dans le volet Connexions, recherchez et développez le site Web hébergeant ArcGIS Web Adaptor.
Cliquez sur le nom d'ArcGIS Web Adaptor. La valeur par défaut est arcgis.
Dans le volet Accueil, double-cliquez sur Authentification.
Sélectionnez Authentification anonyme, puis cliquez sur Désactiver.
Sélectionnez Authentification Windows, puis cliquez sur Activer.
Fermez le Gestionnaire des services Internet (IIS).

Vérifier que vous pouvez accéder au portail à l'aide d'IWA

Ouvrez le site Web du portail. L’URL est au format https://webadaptorhost.domain.com/webadaptorname/home.
Vérifiez si vous êtes invité à entrer les informations d'identification de votre compte d'entreprise ou connecté automatiquement à l'aide de votre compte d'entreprise. Si vous ne constatez pas ce comportement, vérifiez que le compte Windows que vous avez utilisé pour ouvrir une session sur la machine a été ajouté au portail.

Empêcher les utilisateurs de créer leurs propres comptes intégrés

Pour empêcher les utilisateurs de créer leurs propres comptes intégrés, désactivez le bouton Créer un compte et la page de connexion (signup.html) sur le site Web du portail. Cela permet à tous les membres de se connecter au portail avec leurs informations d'identification d'entreprise et d'empêcher la création de comptes de membre inutiles. Pour plus d'informations, reportez-vous à la rubrique Désactivation de la fonction de création des comptes de portail intégrés pour les utilisateurs.

Vous avez un commentaire à formuler concernant cette rubrique ?