Usare Windows Active Directory e PKI per proteggere l'accesso

Quando usi Windows Active Directory per autenticare gli utenti, puoi usare un'infrastruttura a chiave pubblica (PKI) per proteggere l'accesso alla tua organizzazione.

Per utilizzare l’autenticazione integrata di Windows e PKI è necessario usare ArcGIS Web Adaptor (IIS) installato nel server web IIS di Microsoft. Non è possibile usare ArcGIS Web Adaptor (Java Platform) per eseguire l'autenticazione integrata di Windows. Se non l'hai già fatto, installa e configura ArcGIS Web Adaptor (IIS) con il tuo portale.

Configurare il portale con Windows Active Directory

Innanzitutto, configurare il portale per utilizzare SSL per tutte le comunicazioni. Quindi aggiornare l'archivio identità del portale per utilizzare gli utenti e i gruppi Windows Active Directory.

Configurare l'organizzazione per utilizzare HTTPS per tutte le comunicazioni

Completare i seguenti passi per configurare l'organizzazione per utilizzare HTTPS:

1. Accedi al sito web dell'organizzazione come amministratore.

   L'URL è nel formato https://webadaptorhost.domain.com/webadaptorname/home.

2. Accedere a Organizzazione, fare clic sulla scheda Impostazioni e, successivamente, fare clic su Sicurezza sul lato sinistro della pagina.
3. Abilitare Consenti accesso al portale dell'organizzazione solo tramite HTTPS.

Aggiornare l'archivio identità del portale

Quindi, aggiornare l'archivio identità del portale per utilizzare gli utenti e i gruppi Active Directory.

1. Accedere alla directory di Portal Administrator come amministratore dell'organizzazione.

   Il formato dell'URL è https://webadaptorhost.domain.com/webadaptorname/portaladmin.

2. Fare clic su Sicurezza > Configurazione > Aggiorna archivio identità.
3. Nella casella di testo Configurazione archivio utenti (in formato JSON), incollare le informazioni di configurazione Active Directory Windowsdell'organizzazione (in formato JSON).

   In alternativa, è possibile aggiornare il seguente esempio con le informazioni utente specifiche per l'organizzazione:

   {
     "type": "WINDOWS",
     "properties": {
       "userPassword": "secret",
       "isPasswordEncrypted": "false",
       "user": "mydomain\\winaccount",
       "userFullnameAttribute": "cn",
       "userEmailAttribute": "mail",
       "userGivenNameAttribute": "givenName",
       "userSurnameAttribute": "sn",
       "caseSensitive": "false"
     }
   }

   Nella maggior parte dei casi sarà necessario solo modificare i valori per i parametri userPassword e user. Anche se la password viene digitata in testo non crittografato, verrà crittografata quando si fa clic su Aggiorna configurazione (sotto). L'account specificato per il parametro utente deve disporre solo delle autorizzazioni per cercare l'indirizzo di posta elettronica e il nome completo degli account Windows in rete. Se possibile, specificare un account la cui password non scade.

   Nel raro caso in cui Windows Active Directory è configurato in modo da fare distinzione tra maiuscole e minuscole, impostare il parametro caseSensitive su true.

4. Per creare gruppi nel portale che utilizzino i gruppi di Active Directory esistenti nel proprio archivio di identità, incollare le informazioni di configurazione del gruppo di Windows Active Directory dell'organizzazione (in formato JSON) nella casella di testo della Configurazione dell'archivio di gruppo (in formato JSON), come mostrato di seguito. Per utilizzare solo gruppi predefiniti il servizio del portale, eliminare eventuali informazioni nella casella di testo e saltare questo passaggio.

   In alternativa, è possibile aggiornare il seguente esempio con le informazioni gruppo specifiche per l'organizzazione.

   {
     "type": "WINDOWS",
     "properties": {
       "isPasswordEncrypted": "false",
       "userPassword": "secret",
       "user": "mydomain\\winaccount"
     }
   }

   Nella maggior parte dei casi sarà necessario solo modificare i valori per i parametri userPassword e user. Anche se la password viene digitata in testo non crittografato, verrà crittografata quando si fa clic su Aggiorna configurazione (sotto). L'account specificato per il parametro utente deve disporre solo delle autorizzazioni per cercare i nomi dei gruppi Windows in rete. Se possibile, specificare un account la cui password non scade.

5. Fare clic su Aggiorna configurazione per salvare le modifiche.
6. In caso di configurazione del portale per la disponibilità elevata, riavviare ogni computer del portale. Per istruzioni complete, consultare Arrestare ed avviare il portale.

Aggiungere account specifici dell'organizzazione

Per impostazione predefinita, gli utenti specifici dell'organizzazione possono accedere all'organizzazione ArcGIS Enterprise. Tuttavia, possono solo visualizzare gli elementi che sono stati condivisi con tutti gli utenti dell'organizzazione. Questo perché gli account specifici dell'organizzazione non sono stati aggiunti e non sono stati concessi i privilegi di accesso.

Aggiungi dei conti alla tua organizzazione usando uno dei seguenti metodi:

• Individualmente o in blocco (uno alla volta, in blocco da un file .csv, o da gruppi Active Directory esistenti)
• Utilità da riga di comando
• Automaticamente

Si consiglia di designare almeno un account specifico dell'organizzazione come amministratore del portale. A questo scopo, scegliere il ruolo Amministratore durante l'aggiunta dell'account. Quando si dispone di un account alternativo per l'amministratore del portale, è possibile assegnare il ruolo Utente all'account iniziale dell'amministratore o eliminare tale account. Per ulteriori informazioni, vedere Informazioni sull'account amministratore iniziale.

Dopo aver aggiunto gli account e aver completato i passaggi sottostanti, gli utenti potranno accedere all'organizzazione e ai relativi contenuti.

Installare e abilitare l'autenticazione con mapping dei certificati client di Active Directory

Il mapping dei certificati client di Active Directory non è disponibile nell'installazione predefinita di IIS. È necessario installare e abilitare la feature.

Installazione con Windows Server 2016

Completare i passaggi seguenti per installare l'autenticazione con mapping dei certificati client con Windows Server 2016:

1. Aprire Strumenti di amministrazione e fare clic su Server Manager.
2. Nel riquadro della gerarchia di Server Manager espandere Ruolo e fare clic su Server Web (IIS).
3. Espandere i ruoli Server Web e Sicurezza.
4. Nella sezione del ruolo Sicurezza, selezionare Autenticazione mapping certificati client e fare clic su Avanti.
5. Fare clic su Avanti nella scheda Seleziona feature, quindi fare clic su Installa.

Installare con Windows Server 2019 o 2022

Completare i passaggi seguenti per installare l'autenticazione con mappatura dei certificati client con Windows Server 2019 o 2022:

1. Aprire Strumenti di amministrazione e fare clic su Server Manager.
2. Nella Dashboard del Server Manager, fare clic su Aggiungi ruoli e feature.
3. Accettare le impostazioni predefinite e fare clic su Avanti nelle pagine Prima di iniziare, Tipo di installazione e Selezione server.
4. Nella pagina Ruoli server, abilitare Server Web (IIS) e fare clic su Avanti.
5. Nella pagina Feature, fare clic su Avanti.
6. Nella pagina Ruolo server Web (IIS), fare clic su Avanti.
7. Nella pagina Servizi di ruolo, espandere la sezione Sicurezza.
8. Nella sezione Sicurezza, selezionare Autenticazione mappatura dei certificati client IIS e fare clic su Avanti.
9. Nella pagina Conferma, fare clic su Installa.

Abilitare l'autenticazione con mapping dei certificati client di Active Directory

Dopo aver installato la mappatura dei certificati client di Active Directory, completare i seguenti passaggi per abilitare la funzione:

1. Avviare Internet Information Server (IIS) Manager.
2. Nel nodo Connessioni fare clic sul nome del server Web.
3. Nella finestra Funzionalità fare doppio clic su Autenticazione.
4. Verificare che l'opzione Autenticazione certificato client AD sia visualizzata. Se la funzionalità non viene visualizzata o non è disponibile, potrebbe essere necessario riavviare il server Web per completarne l'installazione.
5. Fare doppio clic su Autenticazione certificato client AD e scegliere Abilita nella finestra Azioni.

Compare un messaggio in cui si informa che per utilizzare l'autenticazione certificato client di Active Directory è necessario abilitare SSL. Questa operazione verrà eseguita nella sezione successiva.

Configurare ArcGIS Web Adaptor per richiedere SSL e certificati client.

Completare i passaggi seguenti per configurare ArcGIS Web Adaptor per richiedere SSL e certificati client:

1. Avviare Gestione Internet Information Services (IIS).
2. Espandere il nodo Connessioni e selezionare il sito di ArcGIS Web Adaptor in uso.
3. Nella finestra Funzionalità fare doppio clic su Autenticazione.
4. Disabilitare tutti i moduli utilizzati per l'autenticazione.
5. Selezionare di nuovo l'istanza di ArcGIS Web Adaptor in uso dall'elenco Connessioni.
6. Fare doppio clic Impostazioni SSL.
7. Abilitare l'opzione Richiedi SSL e scegliere Richiedi in Certificati client.
8. Fare clic su Applica per salvare le modifiche.

Nota:

Per far funzionare l'autenticazione certificato client (PKI) su Microsoft Windows Server 2022, TLS 1.3 deve essere disabilitato nelle associazioni di siti HTTPS.

Verificare di poter accedere al portale tramite Windows Active Directory e PKI

Completare i passaggi seguenti per verificare di poter accedere al portale tramite Windows Active Directory e PKI:

1. Aprire il portale.

   Il formato dell'URL è:https://organization.example.com/<context>/home.

2. Verificare che vengano richieste le credenziali di protezione e che sia possibile accedere al sito Web.

Impedire agli utenti di creare i propri account predefiniti

È possibile impedire agli utenti di creare i propri account predefiniti disabilitando la possibilità per gli utenti di creare nuovi account predefiniti nelle impostazioni dell'organizzazione.