SASL 認証—Portal for ArcGIS | ArcGIS Enterprise のドキュメント

SASL (Simple Authentication and Security Layer) は、インターネットプロトコルにおける認証とデータセキュリティを実現するフレームワークです。 10.9 時点で、ArcGIS Enterprise は GSS/Kerberos v5 SASL メカニズムを使用して Windows Active Directory や他の LDAP プロバイダーで認証する手段として SASL の使用をサポートしています。

使用例

組織のドメインコントローラーが LDAP サーバーを使用した認証で署名を要求するように構成されている場合、通常 SASL GSS 認証が使用されます。この要件は、暗号化なしでポート 389 または 3268 を介して LDAP サーバーに接続する場合にのみ適用されます。 LDAPS がすべてのドメインコントローラーで完全にサポートされている場合、この署名の要件は不要です。

LDAP サーバーの署名要件で使用するドメインコントローラー設定

要件

ArcGIS Enterprise で SASL 認証を構成するには、いくつかの要件を満たす必要があります。

Kerberos 構成ファイル

Kerberos ドメインコントローラーに関する情報を Portal for ArcGIS に提供するには、Kerberos 構成ファイルが必要です。この情報は、テキストファイル (例: krb5.conf) に保存する必要があります。テキストファイルのコピーは、Portal for ArcGIS サービスアカウントがアクセスできる場所に格納する必要があります。この例としては、ポータルのインストールフォルダーやポータルのコンテンツディレクトリなどがあります。ポータルのコンテンツディレクトリのデフォルトの場所は、c:\arcgisportal です。

この構成ファイルは Kerberos の標準であり、デフォルト構成の設定や、各 Kerberos レルムの 1 つ以上の Kerberos ドメインコントローラーに関する情報が含まれている必要があります。次に構成ファイルの例を示します。

[libdefaults]
    dns_lookup_realm = false
    ticket_lifetime = 24h
    renew_lifetime = 7d
    forwardable = true
    rdns = false
    default_ccache_name = KEYRING:persistent:%{uid}
    dns_lookup_kdc = true
    default_realm = EXAMPLE.COM
    default_checksum = rsa-md5

[realms]

EXAMPLE.COM = {
    kdc = domaincontroller.example.com
    admin_server = domaincontroller.example.com
}

[domain_realm]
    example.com = EXAMPLE.COM
    .example.com = EXAMPLE.COM

Windows および LDAP アイデンティティストアタイプでサポートされている新しいユーザーおよびグループストアプロパティ

"saslAuthenticationScheme" - LDAP を使用してドメインコントローラーに接続する際に Portal for ArcGIS が使用する SASL 認証スキームを定義します。 10.9 でサポートされている SASL 認証スキームは、GSSAPI のみです。例: "saslAuthenticationScheme": "GSSAPI"
"krb5ConfigFilePath" - 上記の Kerberos 構成テキストファイルへのパスを定義します。これは、Portal for ArcGIS サービスアカウントの読み取りアクセス権限がある場所を指定する必要があります。
例: "krb5ConfigFilePath": "c:\\arcgisportal\\krb5.conf"

Portal for ArcGIS アイデンティティストアの構成

SASL GSS 認証メカニズムは、Windows または LDAP アイデンティティストア・タイプのいずれかで使用でき、ポータル層と Web 層の両方の認証で動作します。これには、Active Directory または LDAP グループのメンバーシップの管理と更新も含まれます。

Windows ユーザーおよびグループ

Portal for ArcGIS を構成して Windows ユーザーおよびグループを SASL 認証で使用する場合、"saslAuthenticationScheme" および "krb5ConfigFilePath" プロパティが必要です。 "user" プロパティは username@realm 形式で指定する必要があります。レルムは krb5.conf ファイル内では常に大文字になりますが、json 文字列内で大文字にする必要はありません。 "domainControllerAddress" も必要で、使用する 1 つ以上の Kerberos ドメインコントローラーの完全修飾ドメイン名 (FQDN) を含める必要があります。 IP アドレスは SASL 認証ではサポートされていません。 Active Directory または LDAP ユーザーおよびグループが複数のドメインに属している場合、"domainControllerMapping" プロパティを使用してドメイン名をドメインコントローラーのホスト名にリンクさせる必要があります。以下に、単一ドメインのみを含むユーザーストアおよびグループストアの両方の構成例を示します。

ユーザーストア構成の例

{
  "type": "WINDOWS",
  "properties": {
    "saslAuthenticationScheme": "GSSAPI",
    "krb5ConfigFilePath": "C:\\arcgisportal\\krb5.conf",
    "user": "entuser@example.com",
    "userPassword": "encrypted_password",
    "isPasswordEncrypted": "true",
    "caseSensitive": "false",
    "userGivenNameAttribute": "givenName",
    "userSurnameAttribute": "sn",
    "userEmailAttribute": "mail",
    "domainControllerAddress": "domaincontroller.example.com"
  }
}

グループストア構成の例

{
  "type": "WINDOWS",
  "properties": {
    "saslAuthenticationScheme": "GSSAPI",
    "krb5ConfigFilePath": "C:\\arcgisportal\\krb5.conf",
    "user": "entuser@example.com",
    "userPassword": "encrypted_password",
    "isPasswordEncrypted": "true",
    "domainControllerAddress": " domaincontroller.example.com"
  }
}

その他の考慮事項

LDAP ユーザーのポータル層認証でポータルにサインインする場合、ユーザー名は username@realm 形式 (例: testuser@example.com) である必要があります。

Windows ユーザーにポータル層認証を使用する場合、形式は以前のリリースと同じ domain\username または username@domain です。

Kerberos ドメインコントローラー設定

Java の制限事項により、LDAP サーバーチャネルバインディングトークン要件のドメインコントローラー設定を [常に] に設定できません。詳細については、「JVM バグ 8245527」をご参照ください。 [サポートされている場合] または [なし] のいずれかに設定する必要があります。

このトピックへのフィードバック

使用例

要件

Kerberos 構成ファイル

Windows および LDAP アイデンティティ ストア タイプでサポートされている新しいユーザーおよびグループ ストア プロパティ

Portal for ArcGIS アイデンティティ ストアの構成

Windows ユーザーおよびグループ

ユーザー ストア構成の例

グループ ストア構成の例