Il metodo di autenticazione utilizzato con il portale e l'eventuale accesso pubblico consentito dall'esterno del firewall influenzano la modalità di implementazione di un ArcGIS Enterprise a disponibilità elevata.
Le seguenti affermazioni sono vere per tutti gli scenari descritti in questo argomento:
- I computer del portale (p1 e p2 nei diagrammi) memorizzano contenuti nella stessa directory, che è stata collocata su un file server a disponibilità elevata.
- I computer GIS Server (s1 e s2) nel server di hosting condividono directory server e un archivio di configurazione, che sono stati collocati su un file server a disponibilità elevata.
- Un data store relazionale a disponibilità elevata composto da un computer principale (ds1) e un computer standby (ds2) è registrato nel server di hosting. ArcGIS Data Store dispone di un meccanismo di failover incorporato in base al quale il data store relazionale diventa il computer data store principale in caso di malfunzionamento del computer principale. Il data store verifica la condizione dei computer GIS Server per il sito con il quale è registrato, in modo da poter configurare il data store tramite uno dei due URL del computer GIS Server.
Differenze nella comunicazione client/portale e protocolli di autenticazione sono descritti nelle seguenti sezioni.
Utenti, client incorporati dispongono dell'accesso al portale tramite le porte 80 e 443.
In questo scenario, l'autenticazione nel portale utilizza utenti incorporati e tutte le comunicazioni tra client (mostrare nella parte superiore del diagramma) e il portale avvengono all'interno del firewall.
Nell'esempio precedente, i client accedono al sito Web del portale tramite il servizio di bilanciamento del carico con l'URL https://<lb>.<domain>.com/<context>/home/ e la directory REST ArcGIS Server può essere raggiunta tramite https://<lb>.<domain>.com/<context>/rest. Il portale a disponibilità elevata (due computer Portal for ArcGIS, p1 e p2) comunica con il relativo server di hosting, un sito GIS Server a disponibilità elevata, tramite l'URL directory amministratore ArcGIS Server (https://<lb>.<domain>.com/<context>/admin). I computer nel sito del server di hosting (s1 e s2) comunicano con il portale tramite l'URL del portale privato (https://<lb>.<domain>.com/<context>). L'URL di ArcGIS Server Administrator Directory e l'URL del portale privato passano entrambi attraverso il servizio di bilanciamento del carico (lb) per tenere conto della ridondanza. Se un computer Portal for ArcGIS non risponde o non è accessibile, il server di hosting può ancora comunicare con il computer del portale rimanente, poiché il servizio di bilanciamento del carico indirizzerà il traffico verso il computer rimanente. Analogamente, se uno dei computer del server di hosting non risponde o non è accessibile, il servizio di bilanciamento del carico indirizzerà il traffico dal portale al computer GIS Server rimanente.
Utenti incorporati con accesso pubblico al portale
In questo scenario, l'autenticazione nel portale utilizza utenti incorporati e almeno alcuni client possono accedere al portale attraverso il firewall. L'accesso amministrativo dall'esterno del firewall deve essere disabilitato.
I client accedono al sito Web del portale e all'endpoint REST di ArcGIS Server tramite il servizio di bilanciamento del carico esterno al firewall (lb). Il portale comunica con il server di hosting tramite l'URL di ArcGIS Server Administrator Directory, che attraversa un secondo servizio di bilanciamento del carico (lb2) interno al firewall (https://<lb2>.<domain>.com:6443/arcgis, le linee verdi nel diagramma). Il server di hosting comunica con il portale tramite l'URL del portale privato, che passa tramite lb2 (https://<lb2>.<domain>.com:7443/arcgis, le linee gialle nel diagramma) in modo che la comunicazione non passi attraverso il firewall. In caso di malfunzionamento di un computer del portale, il server di hosting può ancora comunicare con il computer del portale rimanente, poiché lb2 invia richieste al computer del portale rimanente. Analogamente, in caso di malfunzionamento di uno dei computer GIS Server, lb2 indirizzerà il traffico dal portale al computer GIS Server rimanente.
Anche l'accesso da client esterni al firewall direttamente a GIS Server passa attraverso il servizio di bilanciamento del carico esterno al firewall (lb).
L'accesso amministratore ad ArcGIS Server Administrator Directory e ArcGIS Server Manager viene bloccato impostando regole sul servizio di bilanciamento del carico esterno al firewall (lb).
Autenticazione IWA o LDAP con accesso client interno
In questo scenario, gli utenti del portale autenticati utilizzando IWA (Integrated Windows Authentication) o LDAP (Lightweight Directory Access Protocol) e tutti i client che accedono al portale si trovano all'interno del firewall.
Quando non è richiesto l'accesso pubblico al portale ma i client vengono autenticati con il portale utilizzando l'autenticazione IWA o LDAP, ogni computer nel portale a disponibilità elevata richiede un adattatore Web (wa1 e wa2). Il servizio di bilanciamento del carico (lb) invia traffico agli adattatori Web, che quindi bilanciano le richieste tra i due computer del portale (p1 e p2). Le eventuali comunicazioni dal server di hosting al portale devono ignorare il challenge di autenticazione in corrispondenza del livello Web tramite l'adattatore Web. Di conseguenza, il servizio di bilanciamento del carico è configurato per rimanere in ascolto sulle porte 7080 e 7443 e tale traffico viene inviato direttamente al portale sulle porte 7080 o 7443 tramite l'URL del portale privato.
Poiché non è richiesto accesso pubblico al portale, il servizio di bilanciamento del carico può essere utilizzato per entrambi gli URL pubblici nonché gli URL amministratore, interni. L'URL del portale privato è https://<lb>.<domain>.com:7443/arcgis. Tutti gli altri URL sono https://<lb>.<domain>.com/<context>.
Autenticazione SAML e ADFS con accesso pubblico al portale
In questo scenario, gli utenti del portale vengono autenticati utilizzando SAML (Security Assertion Markup Language) o ADFS (Active Directory Federation Services), ma alcuni client che accedono al portale sono esterni al firewall. In questo caso, è necessario disabilitare l'accesso amministratore ai computer GIS Server del server di hosting per proteggere i servizi. La seguente sezione descrive le due configurazioni necessarie a tal fine.
Nota:
Utilizzare un'autenticazione SAML o ADFS per il portale rende superflua la configurazione di adattatori Web con il portale. È possibile usare ArcGIS Web Adaptor con il portale nei seguenti due scenari, ma ciò non aggiunge alcun vantaggio funzionale alla configurazione.
Proteggere un portale accessibile pubblicamente utilizzando regole impostate nel servizio di bilanciamento del carico
In questa situazione, i client effettuano la connessione tramite un servizio di bilanciamento del carico (lb) esternamente al firewall (la linea rossa nel diagramma), che invia il traffico direttamente verso i due computer del portale (p1 e p2) sulle porte 7443 e 7080 e i due computer GIS Server (s1 e s2) sulle porte 6443 e 6080. Le regole all'interno del servizio di bilanciamento del carico bloccano l'accesso alla directory del portale ArcGIS e all'URL directory amministratore ArcGIS Server.
Il servizio di bilanciamento del carico esterno al firewall non può comunicare tramite le porte 6080, 6443, 7080 o 7443. Quindi viene configurato un altro servizio di bilanciamento del carico (lb2) internamente al firewall per gestire le comunicazioni tra il portale e il server di hosting. Il portale comunicherà con il server di hosting utilizzando l'URL definito per l'URL amministratore durante la federazione (le linee verdi nel diagramma) e il server di hosting comunicherà con il portale tramite l'URL del portale privato (le linee gialle nel diagramma) in modo che la comunicazione non debba passare attraverso il firewall. Lb2 assicura ridondanza se uno dei computer GIS Server o uno dei computer del portale presenta un errore.
L'URL del portale privato in questo scenario è https://<lb2>.<domain>.com:7443/arcgis. L'URL di ArcGIS Server Administrator Directory è https://<lb2>.<domain>.com:6443/arcgis/admin.
Proteggere un portale accessibile pubblicamente utilizzando adattatori Web sul sito di GIS Server
In questa situazione, i client effettuano la connessione tramite un servizio di bilanciamento del carico (lb1) esternamente al firewall (la linea rossa nel digramma), che invia il traffico direttamente ai due computer del portale (p1 e p2) sulle porte 7443 e 7080 e invia il traffico ai due adattatori Web (wa1, wa2) configurati con i computer (s1 e s2) GIS Server. Un altro servizio di bilanciamento del carico (lb2) gestisce il traffico tra il portale e il server di hosting del portale e assicura la ridondanza se uno dei computer GIS Server o uno dei computer del portale presentano errori.
I client accedono al portale tramite il servizio di bilanciamento del carico (lb1) https://<lb1>.<domain>.com/<context>/home/, che invia il traffico ai due computer del portale sulle porte 7080 e 7443. Poiché il portale è configurato con l'autenticazione SAML o ADFS, il provider SAML o ADFS autentica gli utenti quando accedono al portale.
I client possono accedere al sito GIS Server tramite il servizio di bilanciamento del carico (lb1) esternamente al firewall, che invia il traffico agli adattatori Web (wa1 e wa2) GIS Server. Gli adattatori Web inoltrano il traffico ai computer GIS Server sulle porte 6080 e 6443.
Il sito GIS Server comunica con il portale tramite l'URL del portale privato (https://<lb2>.<domain>.com:7443/arcgis, le linee gialle nei diagramma), in modo che la comunicazione non passi attraverso il firewall. Il sito di GIS Server è federato nel portale utilizzando lb per l'URL dei servizi. Questo traffico passa attraverso gli adattatori Web (wa1 e wa2), che sono configurati per bloccare l'accesso dell'amministratore ad ArcGIS Server Manager e alla directory amministratore ArcGIS Server. Viene utilizzato un secondo servizio di bilanciamento del carico (lb2) per l'accesso alla directory amministratore ArcGIS Server ( https://<lb2>.<domain>.com:6443/arcgis) per assicurare la ridondanza (le linee verdi nel diagramma).