Na sposób implementacji wdrożenia oprogramowania ArcGIS Enterprise o wysokiej dostępności wpływa metoda uwierzytelniania używana w instytucji oraz to, czy zezwolono na dostęp do portalu spoza zapory.
W przypadku wszystkich scenariuszy opisanych w tym temacie spełnione są następujące warunki:
- Komputery portalu (Portal1 i Portal2) przechowują zasoby w tym samym katalogu, który został umieszczony na wysoko dostępnym serwerze plików.
- Serwery GIS Server (HostingServer1 i HostingServer2) w witrynie serwera hostującego udostępniają wspólne katalogi serwera i magazyn konfiguracji, które umieszczono na wysoko dostępnym serwerze plików.
- Wysoko dostępny relacyjny magazyn danych składa się z jednego komputera podstawowego (DataStore1) i komputera zapasowego (DataStore2), które są zarejestrowane w witrynie serwera hostującego. Aplikacja ArcGIS Data Store ma wbudowany mechanizm przełączania awaryjnego, który sprawia, że zapasowy komputer relacyjnego magazynu danych staje się podstawowym komputerem magazynu danych w przypadku awarii komputera podstawowego. Magazyn danych sprawdza stan komputerów serwera ArcGIS Server w witrynie, w której jest zarejestrowany, dlatego można skonfigurować magazyn danych za pomocą adresu URL dowolnego komputera serwera ArcGIS Server.
- Zarówno w oprogramowaniu Portal for ArcGIS, jak i na serwerze ArcGIS Server włączone są protokoły HTTPS i HTTP. Jeśli protokół HTTP jest wyłączony dla wszystkich komponentów, porty HTTP (80, 6080 i 7080) można usunąć z przykładów. Administracyjne adresy URL wymagają komunikacji HTTPS.
- W architekturach obejmujących moduły równoważenia obciążenia skonfigurowano kontrole stanu określające dostępność elementów docelowych zaplecza i równoważące ruch przez zastosowanie algorytmu działania okrężnego (ang. round-robin). Na diagramach używane są przykładowe hosty loadbalancer.example.com i internalloadbalancer.example.com, można je jednak zastąpić aliasem DNS przypisanym do każdego komponentu przez wewnętrzne lub zewnętrzne serwery DNS.
W poniższych sekcjach opisane są różnice w komunikacji klient- portal oraz protokoły uwierzytelniania. Więcej informacji na temat adresów URL używanych we wdrożeniu o wysokiej dostępności zawiera sekcja Wdrożenie ArcGIS Enterprise o wysokiej dostępności .
Użytkownicy wbudowani oraz aplikacje klienckie mają dostęp do portalu przez porty 80 i 443
W tym scenariuszu uwierzytelnianie portalu korzysta z użytkowników wbudowanych i cała komunikacja między aplikacjami klienckimi (przedstawiona u góry diagramu) a portalem odbywa się wewnątrz zapory.
W tym przykładzie aplikacje klienckie mają dostęp do instytucji za pośrednictwem modułu równoważenia obciążenia przez adres URL instytucji — w tym przypadku https://loadbalancer.example.com/portal/home/ — a katalog REST witryny serwera ArcGIS Server jest dostępny pod adresem https://loadbalancer.example.com/server/rest/services. Portal o wysokiej dostępności (dwa komputery oprogramowania Portal for ArcGIS — Portal1 i Portal2) komunikuje się z witryną serwera hostującego o wysokiej dostępności za pośrednictwem adresu URL administrowania (https://loadbalancer.example.com/server/admin) zdefiniowanego podczas federowania. Komputery witryny serwera hostującego (HostingServer1 i HostingServer2) komunikują się z portalem za pośrednictwem tego samego punktu końcowego jako aplikacje klienckie (https://loadbalancer.example.com/portal) przy użyciu prywatnego adresu URL portalu (privatePortalURL) zdefiniowanego we właściwościach systemowych portalu. Zarówno adres URL aplikacji ArcGIS Server Administrator Directory, jak i prywatny adres URL portalu (privatePortalURL) przechodzą przez moduł równoważenia obciążenia (LoadBalancer), aby zapewnić nadmiarowość. Jeśli jeden z komputerów oprogramowania Portal for ArcGIS ulegnie awarii lub będzie niedostępny, serwer hostujący nadal może komunikować się z pozostałym komputerem, ponieważ moduł równoważenia obciążenia przekieruje do niego ruch. Podobnie będzie w sytuacji, gdy jeden z komputerów serwera hostującego ulegnie awarii lub będzie niedostępny. Wtedy moduł równoważenia obciążenia będzie dalej kierować ruch z komputerów oprogramowania Portal for ArcGIS do pozostałego komputera serwera ArcGIS Server.
Użytkownicy wbudowani z dostępem publicznym do portalu
W tym scenariuszu uwierzytelnianie portalu korzysta z użytkowników wbudowanych i co najmniej kilka aplikacji klienckich będzie mieć dostęp do portalu spoza zapory. Dostęp administracyjny spoza zapory należy wyłączyć.
Aplikacje klienckie uzyskują dostęp do instytucji oraz punktu końcowego REST serwera ArcGIS Server za pośrednictwem modułu równoważenia obciążenia poza zaporą (LoadBalancer), zwykle przez alias DNS przypisany do adresu loadbalancer.example.com. Portal komunikuje się z witryną serwera hostującego za pośrednictwem drugiego modułu równoważenia obciążenia (InternalLoadBalancer) w obrębie zapory (https://internalloadbalancer.example.com:6443/arcgis — zielone linie na diagramie). Serwer hostujący komunikuje się z portalem przez prywatny adres URL portalu (privatePortalURL), który również przechodzi przez moduł InternalLoadBalancer (https://internalloadbalancer.example.com:7443/arcgis — pomarańczowe linie na diagramie), dlatego komunikacja nie musi przechodzić przez zaporę. Jeśli jeden z komputerów portalu ulegnie awarii, serwer hostujący może nadal komunikować się z pozostałym komputerem portalu, ponieważ wewnętrzny moduł równoważenia obciążenia będzie wysyłać żądania do pozostałego komputera portalu. Podobnie, jeśli jeden z komputerów serwera GIS Server ulegnie awarii, wewnętrzny moduł równoważenia obciążenia będzie kierować ruch z portalu do pozostałego komputera serwera GIS Server.
Dostęp z poziomu aplikacji klienckich znajdujących się poza zaporą bezpośrednio do witryny GIS Server będzie również kierowany przez moduł równoważenia obciążenia (LoadBalancer) znajdujący się poza zaporą (czerwona linia na diagramie).
Dostęp administratora do aplikacji ArcGIS Server Administrator Directory i aplikacji ArcGIS Server Manager jest zablokowany przez skonfigurowanie reguł w module równoważenia obciążenia (LoadBalancer) znajdującym się poza zaporą (czerwona linia na diagramie).
Uwierzytelnianie IWA lub LDAP z wewnętrznym dostępem aplikacji klienckiej
W tym scenariuszu użytkownicy portalu uwierzytelniają się za pomocą zintegrowanego uwierzytelniania systemu Windows (IWA) lub protokołu Lightweight Directory Access Protocol (LDAP) i wszystkie aplikacje klienckie uzyskujące dostęp do portalu znajdują się w obrębie zapory.
Gdy dostęp publiczny do portalu nie jest wymagany, ale aplikacje klienckie będą uwierzytelniać się w portalu z użyciem uwierzytelniania IWA lub LDAP, każdy komputer w wysoko dostępnym portalu wymaga adaptera internetowego (WebAdaptor1 i WebAdaptor2). Moduł równoważenia obciążenia (LoadBalancer) wysyła ruch do adapterów internetowych, które następnie równoważą żądania między dwoma komputerami portalu (Portal1 i Portal2). Komunikacja z komputerów serwera hostującego ArcGIS Server do komputerów oprogramowania Portal for ArcGIS musi pomijać żądanie uwierzytelniania w warstwie sieci przez adapter internetowy. Dlatego moduł równoważenia obciążenia jest skonfigurowany do nasłuchiwania na portach 7080 i 7443, a ten ruch jest wysyłany bezpośrednio do portalu na porty 7080 lub 7443 poprzez prywatny adres URL portalu (privatePortalURL).
Ponieważ dostęp publiczny do portalu nie jest wymagany, modułu równoważenia obciążenia można użyć zarówno na potrzeby adresu URL usług, jak i adresu URL administrowania w witrynie hostującej. Prywatny adres URL portalu (privatePortalURL) to https://internalloadbalancer.example.com:7443/arcgis, a komputery witryny hostującej komunikują się z komputerami portalu przez ten adres URL (pomarańczowe linie na diagramie). Adres URL instytucji to https://loadbalancer.example.com/portal, a adresem URL zarówno usług, jak i administrowania w witrynie hostującej jest https://loadbalancer.example.com/server.
Uwierzytelnianie SAML lub ADFS dostępem publicznym do portalu
W tym scenariuszu użytkownicy uwierzytelniają się za pomocą uwierzytelniania protokołu SAML (Security Assertion Markup Language) lub usług federacyjnych Active Directory (ADFS), ale część aplikacji klienckich uzyskujących dostęp do instytucji znajduje się poza zaporą. W tym przypadku trzeba ze względów bezpieczeństwa wyłączyć dostęp administracyjny do komputerów ArcGIS Server serwera hostującego. Poniższa sekcja zawiera opis dwóch konfiguracji pozwalających osiągnąć ten cel.
Notatka:
Korzystanie z uwierzytelniania SAML lub ADFS dla portalu powoduje, że konfiguracja adapterów internetowych w portalu jest zbędna. Wprawdzie można użyć w portalu aplikacji ArcGIS Web Adaptor w poniższych dwóch scenariuszach, jednak nie wnosi to do konfiguracji żadnych dodatkowych funkcjonalności.
Zabezpieczanie publicznie dostępnego portalu za pomocą reguł ustawionych w module równoważenia obciążenia
W tym scenariuszu aplikacje klienckie łączą się poprzez moduł równoważenia obciążenia (LoadBalancer) znajdujący się poza zaporą (czerwona linia na diagramie), który wysyła ruch bezpośrednio do dwóch komputerów portalu (Portal1 i Portal2) na portach 7443 i 7080 oraz dwóch komputerów serwera GIS Server (HostingServer1 i HostingServer2) na portach 6443 i 6080. Reguły w module równoważenia obciążenia blokują dostęp do adresów URL aplikacji ArcGIS Server Administrator i ArcGIS Server Manager.
Moduł równoważenia obciążenia znajdujący się poza zaporą nie może komunikować się poprzez porty 6080, 6443, 7080 lub 7443. W obrębie zapory skonfigurowany jest inny moduł równoważenia obciążenia (InternalLoadBalancer), aby umożliwić komunikację między portalem a serwerem hostującym. Portal będzie komunikował się z serwerem hostującym, korzystając z adresu URL zdefiniowanego jako adres URL administrowania podczas federowania (zielone linie na diagramie), a serwer hostujący będzie komunikował się z portalem poprzez prywatny adres URL portalu (privatePortalURL — pomarańczowe linie na diagramie), dlatego komunikacja nie musi przechodzić przez zaporę. Wewnętrzny moduł równoważenia obciążenia zapewnia nadmiarowość w sytuacji, gdy jeden z komputerów serwera GIS Server lub komputerów portalu ulegnie awarii.
Prywatnym adresem URL portalu (PrivatePortalURL) w tym scenariuszu jest https://internalloadbalancer.example.com:7443/arcgis. Adresem URL administrowania witryny serwera ArcGIS Server używanym podczas federowania jest https://internalloadbalancer.example.com:6443/arcgis.
Zabezpieczanie publicznie dostępnego portalu za pomocą adapterów internetowych w witrynie GIS Server
W tym scenariuszu aplikacje klienckie łączą się przez moduł równoważenia obciążenia (LoadBalancer) znajdujący się poza zaporą (czerwona linia na diagramie), który wysyła ruch bezpośrednio do dwóch komputerów portalu (Portal1 i Portal2) na portach 7443 i 7080 i wysyła ruch do dwóch adapterów internetowych (WebAdaptor1 i WebAdaptor2), które są skonfigurowane na dwóch komputerach serwera ArcGIS Server (HostingServer1 i HostingServer2). Inny moduł równoważenia obciążenia (InternalLoadBalancer) zarządza ruchem między komputerami portalu a witryną serwera hostującego i zapewnia nadmiarowość w sytuacji, gdy jeden z komputerów serwera GIS Server lub jeden z komputerów portalu ulegnie awarii.
Aplikacje klienckie uzyskują dostęp do portalu przez moduł równoważenia obciążenia (LoadBalancer) https://loadbalancer.example.com/portal/home/, który wysyła ruch do dwóch komputerów portalu przez porty 7080 i 7443. Ponieważ portal jest skonfigurowany z uwierzytelnianiem SAML lub ADFS, dostawca SAML lub ADFS uwierzytelnia użytkowników w momencie, gdy uzyskują oni dostęp do portalu.
Aplikacje klienckie mogą uzyskać dostęp do witryny serwera hostującego przez moduł równoważenia obciążenia (LoadBalancer) znajdujący się poza zaporą, który wysyła ruch do adapterów internetowych serwera GIS Server (WebAdaptor1 i WebAdaptor2). Adaptery internetowe przekazują ruch do komputerów serwera GIS Server przez porty 6080 i 6443.
Komputery serwera ArcGIS Server komunikują się z portalem przez prywatny adres URL portalu (privatePortalURL — https://internalloadbalancer.example.com:7443/arcgis — pomarańczowe linie na diagramie), dlatego komunikacja nie musi przechodzić przez zaporę. Witryna serwera hostującego jest sfederowana z portalem przy użyciu adresu URL https://loadbalancer.example.com/server jako adresu URL usług. Ten ruch przechodzi przez adaptery internetowe WebAdaptor1 i WebAdaptor2, które są skonfigurowane do blokowania dostępu administratora do aplikacji ArcGIS Server Manager oraz ArcGIS Server Administrator Directory. Drugi moduł równoważenia obciążenia (InternalLoadBalancer) jest używany na potrzeby adresu URL administrowania (https://internalloadbalancer.example.com:6443/arcgis — zielone linie na diagramie) zdefiniowanego podczas federowania w celu zapewnienia nadmiarowości.