Il metodo di autenticazione utilizzato dall'organizzazione e l'autorizzazione all'accesso dall'esterno del firewall contribuiscono all'implementazione di una distribuzione ad alta disponibilità ArcGIS Enterprise.
Per tutti gli scenari descritti in questo argomento vale quanto segue:
- I computer del portale (Portal1 e Portal2) memorizzano i contenuti nella stessa directory, che è stata collocata su un file server ad alta disponibilità.
- I computer GIS Server (HostingServer1 e HostingServer2) nel sito del server di hosting condividono le directory comuni del server e un archivio di configurazione, che sono stati collocati su un file server ad alta disponibilità.
- Un data store relazionale ad alta disponibilità è composto da un computer primario (DataStore1) e da un computer di riserva (DataStore2) registrate sul sito del server di hosting. ArcGIS Data Store ha un meccanismo di failover incorporato in base al quale il data store relazionale di standby diventa il data store primario in caso di guasto del computer primario. Il data store controlla la condizione dei computer ArcGIS Server per il sito con cui è registrato, quindi è possibile configurare il data store tramite l'URL di un computer ArcGIS Server.
- HTTPS e HTTP sono abilitati per Portal for ArcGIS e ArcGIS Server. Se HTTP è disabilitato per tutti i componenti, le porte HTTP (80, 6080 e 7080) possono essere rimosse dagli esempi. Gli URL amministrativi richiedono la comunicazione HTTPS.
- Per le architetture che prevedono bilanciatori di carico, sono stati configurati controlli di salute per determinare la disponibilità dei target back-end e bilanciare il traffico utilizzando un algoritmo round-robin. Nei diagrammi sono stati utilizzati gli host di esempio loadbalancer.example.com e internalloadbalancer.example.com, che possono essere sostituiti da un alias DNS assegnato a uno dei due componenti tramite server DNS interni o esterni.
Le differenze nella comunicazione client-portale e nei protocolli di autenticazione sono descritte nelle sezioni seguenti. Ulteriori informazioni sugli URL utilizzati in una distribuzione ad alta disponibilità sono disponibili in Alta disponibilità in ArcGIS Enterprise.
Gli utenti e i client integrati hanno accesso al portale attraverso le porte 80 e 443.
In questo scenario, l'autenticazione nel portale utilizza utenti incorporati e tutte le comunicazioni tra client (mostrare nella parte superiore del diagramma) e il portale avvengono all'interno del firewall.
Nell'esempio, i clienti accedono all'organizzazione attraverso il bilanciatore di carico tramite l'URL Organizzazione- in questo caso, https://loadbalancer.example.com/portal/home/- e la directory REST del sito ArcGIS Server è raggiungibile tramite https://loadbalancer.example.com/server/rest/services. Il portale altamente disponibile (due macchine Portal for ArcGIS, Portal1 e Portal2) comunica con il suo sito server di hosting altamente disponibile attraverso l'URL di amministrazione (https://loadbalancer.example.com/server/admin) definito durante la federazione. I computer del sito del server di hosting (HostingServer1 e HostingServer2) comunicano con il portale attraverso lo stesso endpoint dei client (https://loadbalancer.example.com/portal) utilizzando il privatePortalURL definito nelle proprietà di sistema del portale. Sia 'URL della directory amministratore ArcGIS Server e l'URL del portale privato passano attraverso il bilanciatore di carico (LoadBalancer) per tenere conto della ridondanza. Se un computer Portal for ArcGIS si guasta o è inaccessibile, il server di hosting può comunque comunicare con il computer rimanente, perché il bilanciatore di carico indirizza il traffico verso quel compuer. Allo stesso modo, se una delle macchine server di hosting si guasta o è inaccessibile, il bilanciatore di carico continuerà a dirigere il traffico dai computer Portal for ArcGIS al computer ArcGIS Server rimanente.
Utenti incorporati con accesso pubblico al portale
In questo scenario, l'autenticazione del portale utilizza utenti integrati e almeno alcuni client accederanno al portale dall'esterno del firewall. L'accesso amministrativo dall'esterno del firewall deve essere disabilitato.
I clienti accedono all'organizzazione e all''endpoint REST ArcGIS Server viene gestito dal bilanciatore di carico all'esterno del firewall (LoadBalancer), in genere attraverso un alias DNS assegnato al loadbalancer.example.com. Il portale comunica con il sito del server di hosting attraverso un secondo bilanciatore di carico (InternalLoadBalancer) all'interno del firewall (https://internalloadbalancer.example.com:6443/arcgis, le linee verdi nel diagramma). Il server di hosting comunica con il portale attraverso il privateportalURL, che passa anche attraverso InternalLoadBalancer. (https://internalloadbalancer.example.com:7443/arcgis, le linee arancioni del diagramma), quindi la comunicazione non deve passare attraverso il firewall. Se un computer del portale si guasta, il server di hosting può ancora comunicare con la macchina del portale rimanente, poiché il bilanciatore di carico interno invierà le richieste al compuer del portale rimanente. Allo stesso modo, se uno dei computer GIS Server si guasta, il bilanciatore di carico interno dirigerà il traffico dal portale al computer GIS Server rimanente.
L'accesso dai client esterni al firewall direttamente al sito GIS Server passerà anche attraverso il bilanciatore di carico (LoadBalancer) esterno al firewall (linea rossa nel diagramma).
Accesso dell'amministratore alla Administrator Directory ArcGIS Server e ArcGIS Server Manager è bloccato dall'impostazione di regole sul bilanciatore di carico (LoadBalancer) all'esterno del firewall (linea rossa nel diagramma).
Autenticazione IWA o LDAP con accesso client interno
In questo scenario, gli utenti del portale si autenticano utilizzando l'autenticazione integrata Windows Authentication (IWA) o Lightweight Directory Access Protocol (LDAP) e tutti i client che accedono al portale sono all'interno del firewall.
Quando non è richiesto l'accesso pubblico al portale, ma i client si autenticano con il portale utilizzando l'autenticazione IWA o LDAP, ogni compuer del portale ad alta disponibilità richiede un adattatore web (WebAdaptor1 e WebAdaptor2). Il bilanciatore di carico (LoadBalancer) invia il traffico agli adattatori web, che bilanciano le richieste tra le due macchine del portale (Portal1 e Portal2). Qualsiasi comunicazione dai computer ArcGIS Server ai computer Portal for ArcGIS deve bypassare la sfida di autenticazione al livello web attraverso l'adattatore web. Pertanto, il bilanciatore di carico è configurato per ascoltare sulle porte 7080 e 7443 e il traffico viene inviato direttamente al portale sulle porte 7080 o 7443 attraverso il privatePortalURL.
Poiché l'accesso pubblico al portale non è richiesto, il bilanciatore di carico può essere utilizzato sia per l'URL dei servizi che per l'URL di amministrazione del sito di hosting. Il privatePortalURL è https://internalloadbalancer.example.com:7443/arcgis e i computer del sito di hosting comunicano con i computer del portale attraverso questo URL (le linee arancioni nel diagramma). L'URL dell'organizzazione è https://loadbalancer.example.com/portal e gli URL dei servizi e dell'amministrazione del sito di hosting sono https://loadbalancer.example.com/server.
Autenticazione SAML e ADFS con accesso pubblico al portale
In questo scenario, gli utenti si autenticano utilizzando Security Assertion Markup Language (SAML) o Active Directory Federation Services (ADFS), ma alcuni client che accedono all'organizzazione si trovano al di fuori del firewall. In questo caso, è necessario disabilitare l'accesso amministrativo ai computer ArcGIS Server del sito del server di hosting per motivi di sicurezza. La sezione seguente descrive le due configurazioni per raggiungere questo obiettivo.
Nota:
Utilizzare un'autenticazione SAML o ADFS per il portale rende superflua la configurazione di adattatori Web con il portale. È possibile utilizzare ArcGIS Web Adaptor con il portale nei due scenari seguenti, ma non aggiunge alcun vantaggio funzionale alla configurazione.
Proteggere un portale accessibile pubblicamente utilizzando regole impostate nel servizio di bilanciamento del carico
In questo scenario, i client si collegano attraverso il bilanciatore di carico (LoadBalancer) all'esterno del firewall (linea rossa nel diagramma), che invia il traffico direttamente ai due computer del portale (Portal1 e Portal2) sulle porte 7443 e 7080 e ai due computer GIS Server (HostingServer1 e HostingServer2) sulle porte 6443 e 6080. Le regole del bilanciatore di carico bloccano l'accesso a ArcGIS Server Amministratore e ArcGIS Server URL del manager.
Il servizio di bilanciamento del carico esterno al firewall non può comunicare tramite le porte 6080, 6443, 7080 o 7443. Un altro bilanciatore di carico (InternalLoadBalancer) è configurato all'interno del firewall per consentire la comunicazione tra il portale e il server di hosting. Il portale comunicherà con il server di hosting utilizzando l'URL definito per l'URL di amministrazione durante la federazione (linee verdi nel diagramma) e il server di hosting comunicherà con il portale attraverso il privatePortalURL (linee arancioni nel diagramma), quindi la comunicazione non deve passare attraverso il firewall. Il bilanciatore di carico interno garantisce la ridondanza in caso di guasto di una dei computer GIS Server o dei computer del portale.
Il PrivatePortalURL in questo scenario è https://internalloadbalancer.example.com:7443/arcgis. L'URL di amministrazione del sito ArcGIS Server utilizzato durante la federazione è https://internalloadbalancer.example.com:6443/arcgis.
Proteggere un portale ad accesso pubblico utilizzando adattatori web sul sito GIS Server.
In questo scenario, i client si connettono attraverso il bilanciatore di carico (LoadBalancer) all'esterno del firewall (linea rossa nel diagramma), che invia il traffico direttamente ai due computer del portale (Portal1 e Portal2) sulle porte 7443 e 7080 e invia il traffico a due adattatori web (WebAdaptor1 e Webadaptor2) che sono configurati con le macchine ArcGIS Server (HostingServer1 e HostingServer2). Un altro bilanciatore di carico (InternalLoadBalancer) gestisce il traffico tra le macchine del portale e il sito del server di hosting e garantisce la ridondanza in caso di guasto di una dei computer GIS Server o dei computer del portale.
I clienti accedono al portale attraverso il bilanciatore di carico (LoadBalancer) https://loadbalancer.example.com/portal/home/, che invia il traffico ai due computer del portale sulle porte 7080 e 7443. Poiché il portale è configurato con l'autenticazione SAML o ADFS, il provider SAML o ADFS autentica gli utenti quando accedono al portale.
I client possono accedere al sito del server di hosting attraverso il bilanciatore di carico (LoadBalancer) all'esterno del firewall, che invia il traffico agli adattatori web GIS Server (WebAdaptor1 e WebAdaptor2). Gli adattatori web inoltrano il traffico ai computer GIS Server sulle porte 6080 e 6443.
I computer ArcGIS Server comunicano con il portale attraverso il privatePortalURL (https://internalloadbalancer.example.com:7443/arcgis, le linee arancioni nel diagramma), quindi la comunicazione non deve passare attraverso il firewall. Il sito del server di hosting viene federato al portale utilizzando https://loadbalancer.example.com/server per l'URL dei servizi. Questo traffico passa attraverso gli adattatori WebAdaptor1 e WebAdaptor2, configurati per bloccare l'accesso dell'amministratore a ArcGIS Server Manager e alla ArcGIS Server Directory amministratore. Un secondo bilanciatore di carico (InternalLoadBalancer) viene utilizzato per l'URL di amministrazione (https://internalloadbalancer.example.com:6443/arcgis, le linee verdi nel diagramma) definito durante la federazione per fornire ridondanza.