フェデレーションサーバーの管理—Portal for ArcGIS

ArcGIS Server サイトを Portal for ArcGIS とフェデレートすることを予定している場合、フェデレート後に ArcGIS Server サイトの管理方法が変わることに注意してください。フェデレーションサーバーの管理方法の主な違いを次に示します。

セキュリティの違い

ArcGIS Server サイトをポータルとフェデレートしたら、サーバーへのすべてのアクセスは、ポータルのセキュリティストアによって制御されます。これに伴って、フェデレーションサーバーへのアクセス方法とフェデレーションサーバーの管理方法も変わります。

ユーザー、ロール、権限

フェデレートすると、ArcGIS Server サービスで以前に構成したすべてのユーザー、ロール、および権限は利用できなくなります。代わりに、サービスへのアクセスは、ポータルメンバー、ロール、および共有権限によって決定されるようになります。

ArcGIS Server と同様に、Portal for ArcGIS はユーザー、公開者、管理者レベルの権限を提供します。ポータルは、制限された権限のセットを持つビューアーロールも提供します。また、ポータルには、フェデレーションサーバーでユーザーロールと見なされるカスタムロールも含まれています。フェデレーションサーバーをエンドユーザーに公開する前に、これらの権限をポータルに設定して確認する必要があります。

フェデレーション時に、既存のすべての ArcGIS Server Web サービスのアイテムが、ポータル内に自動的に作成されます。これらのアイテムの所有者は、フェデレーションを実行した管理者になります。フェデレーションの実行後、必要に応じて、所有権を既存のポータルメンバーに再度割り当てることができます。これで、フェデレーションの実行後にポータルに追加されたアイテムやサービスはすべて、これらのアイテムやサービスを作成したメンバーが確実に所有することになります。

フェデレーションの実行後は、サーバーへのアクセスを個別に実行することができなくなります。たとえば、公開者権限を持つすべてのユーザーは、任意のフェデレーションサーバーで公開できます。ただし、フェデレーションサーバーのセキュリティ構成を更新して、管理アクセスおよび公開者アクセスを制限することができます。詳細については、下の「フェデレーションサーバーの詳細なアクセス制御」をご参照ください。

ビューアーロール

このロールを割り当てられたメンバーは、ArcGIS Server サービスに接続し、それらを利用できます。フェデレーションサーバーにビューアーとして接続すると、ビューアーまたはビューアーがメンバーになっているグループで共有されている任意のサービスを表示したり、使用することができます。ビューアーは、ポータル Web サイトのカスタマイズされたビューを表示したり、組織サイトのマップ、アプリ、レイヤー、ツールを使用したり、組織が所有するグループに加入することができます。ビューアーロールには、アイテムを作成、共有、または所有する権限がありません。

ユーザーロール

このロールを割り当てられたメンバーは、ArcGIS Server サービスに接続し、それらを利用できます。ユーザーとしてフェデレーションサーバーに接続した場合は、そのユーザーまたはそのユーザーが所属しているグループと共有しているサービスをすべて表示して使用できます。ユーザーロールは、ポータル Web サイトのカスタマイズされたビューを表示したり、組織サイトのマップ、アプリ、レイヤー、ツールを使用したり、組織が所有するグループに加入することができます。また、ユーザーはマップとアプリケーションの作成、アイテムの追加、コンテンツの共有、およびグループの共有も実行できます。

公開者ロール

公開者ロールでは、自身がポータルで作成したサービスのみを操作することができます。公開者ロールでは、他の公開者のサービスを変更したり削除したりすることはできません。たとえば、公開者が ArcMap でフェデレーションサーバーに接続した場合、その公開者が公開したサービスのみが表示されます。公開者ロールには、ユーザー権限を含まれており、マップ内のレイヤー上で解析を実行することもできます。

公開者権限のあるユーザーは、任意のフェデレーションサーバーに公開することができます。フェデレーションサーバーに公開されたサービスは、自動的にアイテムとしてポータルに追加されます。ポータルに直接公開されたホストサービスは、ポータルでアイテムとして表示され、ホスティングサーバーでサービスとして表示されます。

管理者ロール

管理者には、ユーザー権限と公開者権限だけでなく、フェデレーションサーバーでホストされているすべてのサービスに対する権限もあります。管理者ロールは、ポータルおよびポータルのすべてのメンバーを管理する権限も持っています。1 つのポータルには少なくとも 1 人の管理者が必要です。ただし、組織を管理できる管理者の数に制限はありません。たとえば、ポータルに 5 人のメンバーが存在する場合に、5 人のメンバー全員を管理者にすることもできます。

カスタムロール

カスタムロールには、管理者が特別に定義した一連の権限が含まれています。たとえば、カスタムロールが割り当てられたメンバーが、コンテンツは作成できるけれどもグループは作成できない、といったこともありえます。あるいは、フィーチャは公開できるけれども、タイルは公開できない、ということも考えられます。リリース 10.5.1 以前には、(フィーチャ、タイル、シーンなどの) 公開権限があるカスタムロールが、他のタイプの ArcGIS Server サービスを作成することも可能でした。リリース 10.6 以降にはサーバーベースのレイヤーの公開権限があります。これは、ArcGIS Serverに対して直接、サービスを公開するために必要です。

何らかの管理権限を持つカスタムロールを作成すると、ArcGIS Serverは当該ロールのメンバーに対して、管理者としての完全なアクセス権限を付与します。このメンバーは、あらゆるタイプのサービスを ArcGIS Server に直接公開するほか、すべてのサービスを表示、アクセスすることができます。メンバーに管理者としての権限を付与するカスタムロールを作成する場合、セキュリティ上の危険がないか、あらかじめ検討してください。

フェデレーションサーバーの詳細なアクセス制御

フェデレーションサーバーを更新して、公開アクセスおよび管理アクセスを制限できます。更新しても、すべてのポータル管理者は、サーバーに対する管理権限を引き続き持っています。デフォルトでは、公開者権限を持つポータルメンバー自身に対しては、サーバーに対する公開アクセス権限は付与されません。代わりに、サーバーへの公開者アクセスは、[フェデレーションサーバー名]_Publishers という名前のグループまたは [フェデレーションサーバー名]_Publishers という名前のアイテムによって制御されます。サーバーに対する公開者権限を取得するには、ポータルメンバーは、[フェデレーションサーバー名]_Publishers グループのメンバーであるか、[フェデレーションサーバー名]_Publishers アイテムが共有されているグループのメンバーである必要があります。同様に、サーバーへの追加管理アクセスは、[フェデレーションサーバー名]_Administrators という名前のグループまたは [フェデレーションサーバー名]_Administrators という名前のアイテムによって制御されます。サーバーに対する管理アクセス権限を取得するには、ポータルメンバーは、このグループのメンバーであるか、このアイテムが共有されているグループのメンバーである必要があります。

詳細なアクセス制御は、ArcGIS Portal Directory で構成されます。サーバーをポータルとフェデレートしたら、以下の手順に従ってサーバーを更新し、この制御を有効にします。

管理権限を持つポータルメンバーで ArcGIS Portal Directory にログインします。ArcGIS Portal Directory の URL の形式は、https://portal.domain.com/arcgis/portaladmin です。
[Federation] > [Servers] の順に移動し、編集するサーバーをクリックします。
[Update] をクリックします。
[Server role] ドロップダウンメニューで、[Federated Server With Restricted Publishing] を選択します。
[Update Server] をクリックします。
これで、[フェデレーションサーバー名]_Administrators グループと [フェデレーションサーバー名]_Publishers グループ、および対応するアイテムが、[マイコンテンツ] ページに表示されます。これらは、サーバーを更新したポータルメンバーに所有されます。

ArcGIS Server Manager への接続

使用している Portal for ArcGIS のアカウントが管理者ロールまたは公開者ロールに割り当てられている場合にのみ、ArcGIS Server Manager に接続できます。ビューアーロールまたはユーザーロールに割り当てられたアカウントを使用して ArcGIS Server Manager にログインすることはできません。サイトのプライマリサイト管理者のアカウントを使用してログインすることもできません。接続する場合、サーバーの完全修飾ドメイン名を含み、HTTPS を使用している URL を使用する必要があります。

ArcGIS Server に直接接続する場合、URL の形式は https://gisserver.domain.com:6443/arcgis/manager です。サイトに複数の GIS サーバーが含まれている場合、この URL が、サイトをフェデレートしたときに管理 URL として指定したコンピューターの URL になります。
ArcGIS Web Adaptor を介して接続する場合は、ArcGIS Web Adaptor に対する管理アクセス権限が有効化されていることを確認する必要があります。接続に使用する URL の形式は、https://webadaptorhost.domain.com/webadaptorname/manager です。

Portal for ArcGIS が組み込みのアイデンティティストアまたは LDAP (Lightweight Directory Access Protocol) を使用して構成されている場合、Portal for ArcGIS のアカウントのユーザー名とパスワードを入力する必要があります。

Manager のデスクトップショートカットの変更

ArcGIS Server は、ArcGIS Server Manager のデスクトップショートカットを提供します。デフォルトのショートカット URL の形式は「http://localhost:6080/arcgis/manager」です。これは、サーバーが ArcGIS Enterprise ポータルとフェデレートされていない限り有効なパスです。上記のセクションで説明したように、フェデレーションサーバーにアクセスするには、URL 形式「https://gisserver.domain.com:6443/arcgis/manager」を使用します。すなわち、デフォルトのショートカット URL を使用すると、Invalid redirect_uri というエラーメッセージが表示されます。フェデレーションサーバーのショートカットパスを更新するには、次の手順を実行します。

<ArcGIS Server installation directory>/Support/Shortcuts フォルダーのショートカットファイルを見つけます。
任意の編集プログラムで [ArcGIS Server Manager] のショートカットファイルを開きます。指定されたインターネットブラウザーが異なる場合でも、次のように読み取られます。
```
[Desktop Entry]
Comment=ArcGIS Server Manager
Encoding=UTF-8
Exec=firefox localhost:6080/arcgis/manager
Icon=web-browser
Name=ArcGIS Server Manager
Terminal=false
Type=Application
Keywords=arcgis;esri;
```
Exec 行の URL を https://gisserver.domain.com:6443/arcgis/manager　形式に変更します。
変更内容を保存して、プログラムを終了します。

これで、ショートカットアイテムにより、更新された URL から ArcGIS Server Manager が開くようになります。

ArcGIS Desktopでのサーバーへの接続

ArcGIS Desktop で任意の Portal for ArcGIS のアカウントを使用して、ArcGIS Server に接続できます。たとえば、ビューアーロール、ユーザーロール、公開者ロール、または管理者ロールに割り当てられているアカウントを使用します。ArcGIS Server サイトからプライマリサイト管理者のアカウントを使用して、ArcGIS Server に接続することもできます。

注意:

ArcGIS Server からできるのは、ArcGIS Pro サイトへのユーザー接続を作成することのみです。そのため、公開者アカウントまたは管理者アカウントを提供する場合でも、ArcGIS Server で ArcGIS Pro サイトに公開したり管理することはできません。ArcGIS Desktop クライアントから公開者接続または管理者接続を作成するには、ArcMap を使用します。

[ArcGIS Server の追加] ウィザードを使用してサーバーに接続するときに [サーバー URL] を指定する場合、サーバーの完全修飾ドメイン名を含み、HTTPS を使用する URL を指定する必要があります。

ArcGIS Server に直接接続する場合、URL の形式は https://gisserver.domain.com:6443/arcgis です。
ArcGIS Web Adaptor を介して公開者または管理者で接続する場合は、ArcGIS Web Adaptor に対する管理者アクセス権限が有効化されていることを確認する必要があります。接続に使用する URL の形式は、https://webadaptorhost.domain.com/webadaptorname/manager です。

Portal for ArcGIS が組み込みのアイデンティティストアまたは LDAP (Lightweight Directory Access Protocol) を使用して構成されている場合、Portal for ArcGIS のアカウントのユーザー名とパスワードを入力する必要があります。プライマリサイト管理者のアカウントを使用して ArcGIS Server サイトに接続する場合は、そのアカウントの認証情報を入力します。

ArcGIS Server Administrator Directory および ArcGIS Server Services Directory への接続

ArcGIS Server Administrator Directory に接続する際、場合によってはポータルトークンを入力する必要があります。ログインページに、このトークンを取得する方法の手順が表示されます。詳細については、「フェデレーションサーバー上での ArcGIS Server Administrator Directory へのアクセス」をご参照ください。また、ポート 6080 または 6443 を介して直接接続している場合は、サーバーのプライマリサイト管理者アカウントを使用してログインすることもできます。

ArcGIS Server Services Directory に接続する場合、トークンを入力する必要はありません。ポータルの認証情報を使用してログインします。プライマリサイト管理者アカウントを使用してログインすることはできません。

Portal for ArcGIS のホスティングサーバーの振舞い

フェデレーションサーバーを Portal for ArcGIS のホスティングサーバーとしても動作するように指定すると、Portal for ArcGIS に強力なバックエンドサーバーを提供したことになります。少なくとも公開者権限を持つ Portal for ArcGIS ユーザーは誰でも、キャッシュマップ、フィーチャサービス、およびシーンサービス (タイルレイヤー、フィーチャレイヤー、およびシーンレイヤー) を公開できます。これらのユーザーは、自分のコンピューターに ArcGIS 製品がなくても、シェープファイルまたは CSV ファイルをポータル Web サイトからアップロードするだけでサービスを公開できます。ただし、ArcMap を使用した公開も、引き続き可能です。

Portal for ArcGIS ユーザーが直接 Portal for ArcGIS に公開するすべてのサービスはホストサービスであり、「Hosted」という名前の ArcGIS Server フォルダーに配置されます。これにより、ホストされたサービスとホストされていないサービスを識別することができます。Portal for ArcGIS からホストされたサービスを削除した場合、そのサービスはフェデレーションサーバーからも削除されます。これは、フェデレーションサーバーに公開されたサーバーについてはあてはまりません。フェデレーションサーバーに公開されたポータルからサービスを削除しても、サービスはサーバーから削除されません。

Hosted フォルダー内に一覧表示されるサービスタイプは、他のサーバーフォルダー内のサービスタイプとは異なります。これは、Portal for ArcGIS に表示されるアイテムタイプと一致させるためです。次の表に、サポートされているすべてのホストサービスとその更新されたアイテムタイプを示します。


ArcGIS Server サービスタイプ	ホストされているフォルダー/Portal for ArcGIS アイテムタイプ
キャッシュマップサービス	タイルレイヤー
キャッシュマップサービスとフィーチャサービス	タイルレイヤーとフィーチャレイヤー
フィーチャサービス	フィーチャレイヤー
イメージサービス*	イメージレイヤー
シーンサービス	シーンレイヤー
WFS サービス	WFS レイヤー

*ホストイメージレイヤーの下にあるイメージサービスは、ポータルのホスティングサーバーではなく、ポータルのラスター解析サービスで実行されます。

ArcGIS Server Manager または ArcMap でホストサービスのプロパティを表示および編集する場合は、想定される ArcGIS Server 機能または操作のサブセットだけを使用できます。たとえば、一部のサービスでは、ArcGIS Server Manager のサービスギャラリーまたはサービスの [プール] タブにインスタンス情報が表示されません。

ArcMap の [カタログ] ウィンドウを使用してホストされたサービスを管理する場合は、[ArcGIS Server] の接続ノードの代わりに [マイホストサービス] ノードを使用して操作を実行します。これにより、ポータルを使用して使用可能な機能だけを表示できます。

ホスティングサーバーは、ホストするサービスを処理するのに十分な格納領域、CPU、およびメモリを搭載している必要があります。公開者に十分なトレーニングを施すとともに、サーバーの能力を超えないようにメトリクスを監視する必要があります。

タイルレイヤーとキャッシュジョブに関する注意事項

タイルレイヤーは、1 つの大きなキャッシュジョブや多くの同時ジョブによって多くの処理キャパシティーを消費する可能性があるため、注意する必要があります。広大な範囲を扱う大縮尺のタイルレイヤーを公開すると、1 人のトレーニングを受けていない Portal for ArcGIS の公開者が非常に大規模なキャッシュジョブをサーバーに送信し、長時間にわたって Portal for ArcGIS のリソースを消費してしまう可能性があります。

このキャッシュジョブの影響は、他のサービスとは別の ArcGIS Server クラスターで CachingTools サービスを実行することで軽減できる可能性があります。これができない場合は、一度に実行できる CachingTools サービスのインスタンス数を減らして、他のサービスが使用できる CPU サイクルを確保することができます。

また、CachingControllers サービスが使用できる最大インスタンス数を減らすことで、一度に実行できるキャッシュジョブの数を制限することもできます。デフォルトでは、同時に実行できるジョブの数は 3 つです。

サーバーリソースをキャッシュジョブに割り当てる方法の詳細については、「サーバーリソースのキャッシュへの割り当て」をご参照ください。

ポータルからのフェデレーションサーバーの解除

サーバーをポータルからフェデレーション解除することが可能であり、これにより、各サーバーを他のサーバーと独立して引き続き運用できます。

注意:

サーバーサイトをフェデレーション解除するといくつか重大な影響があるので、日常的なトラブルシューティングの一環として実施するべきではありません。取り消して元の状態に戻すのも困難です。ホスティングサーバーを ArcGIS Enterprise ポータルから削除すると、既存のホスト Web レイヤーは使用不可能になります。ホスティングサーバーを再び追加しても、ホストサービスは使用可能な状態に戻りません。どのような影響があるか完全に把握していない限り、サイトをフェデレーション解除するのは避けてください。

フェデレーション解除には、次の手順が必要です。

削除するフェデレーションサーバーがホスティングサーバーでなく、このフェデレーションサーバーで公開されたサービスが不要になった場合、ArcGIS Server Manager にログインしてそれらのサービスを削除できます。それらのサービスを今後も使用する場合は、このステップをスキップしてください。
このフェデレーションサーバーがホスティングサーバーである場合、ポータル Web サイトにサインインし、ポータルで公開されたホスト Web レイヤーを削除します。
このフェデレーションサーバーがホスティングサーバーでもあり、そのホスティングサーバーで実行されているどのサービスも不要になった場合、ホスティングサーバーを無効化し、ポータルユーザーがそのホスティングサーバーで公開できないようにします。
Portal for ArcGIS から ArcGIS Server サイトを削除します。これにより、ArcGIS Server のセキュリティストアがデフォルト設定に戻り、ArcGIS Server がフェデレートされていたときにサーバーから取得されたポータルアイテムがすべて削除されます。
目的のユーザーとロールストアを使用できるように、ArcGIS Server のセキュリティを構成します。

このトピックへのフィードバック

セキュリティの違い

ユーザー、ロール、権限

ビューアー ロール

ユーザー ロール

公開者ロール

管理者ロール

カスタム ロール

フェデレーション サーバーの詳細なアクセス制御

ArcGIS Server Manager への接続

Manager のデスクトップ ショートカットの変更