Jeśli planujesz sfederować witrynę serwera ArcGIS Server z portalem ArcGIS Enterprise, pamiętaj, że sposób administrowania witryną serwera ArcGIS Server zmieni się po sfederowaniu. Kluczowe różnice w administrowaniu serwera sfederowanego są wymienione poniżej.
Różnice w zakresie zabezpieczeń
Po sfederowaniu witryny serwera ArcGIS Server z portalem dostęp do serwera jest kontrolowany przez magazyn zabezpieczeń portalu. Ma to także wpływ na sposób uzyskiwania dostępu do serwera sfederowanego i administrowania nim.
Użytkownicy, role i uprawnienia
Sfederowanie powoduje unieważnienie wszystkich użytkowników, ról i uprawnień skonfigurowanych wcześniej w usługach ArcGIS Server. Dostęp do usług jest wówczas określany w oparciu o członków portalu, grupy oraz uprawnienia udostępniania.
Podobnie jak ArcGIS Server portal oferuje następujące poziomy uprawnień: Użytkownik, Publikujący oraz Administrator. Portal udostępnia także rolę Przeglądający o ograniczonym zestawie uprawnień. Portal dodatkowo zawiera rolę niestandardową, która jest traktowana przez serwer sfederowany jako rola użytkownika. Należy skonfigurować i sprawdzić te uprawnienia w swoim portalu przed udostępnieniem serwera sfederowanego użytkownikom końcowym.
Podczas federowania elementy są automatycznie tworzone w portalu dla wszystkich istniejących usług internetowych serwera ArcGIS Server. Te elementy stanowią własność administratora przeprowadzającego federację. Po federacji własność może zostać przypisana do obecnych członków portalu według potrzeb. Wszelkie elementy albo usługi dodane do portalu po federacji są własnością członka, który je utworzył.
Po federacji zostaje wyeliminowana możliwość identyfikacji dostępu. Na przykład każdy członek wbudowanej roli publikującego może publikować na dowolnym serwerze sfederowanym. Jednak można zmienić ustawienia bezpieczeństwa serwera sfederowanego, aby ograniczyć dostęp administratora i publikującego. Aby uzyskać więcej szczegółów, zobacz Szczegółowa kontrola dostępu do serwera sfederowanego.
Rola Przeglądający
Członkowie, którym przypisano tę rolę, mogą łączyć się z serwerem ArcGIS Server i korzystać z jego usług. Po połączeniu przeglądającego z serwerem sfederowanym wszelkie usługi udostępniane przeglądającemu albo grupie, której członkiem jest przeglądający, mogą być wyświetlane i używane. Przeglądający mają dostęp do niestandardowego widoku witryny internetowej portalu i mogą używać map, aplikacji, warstw oraz narzędzi instytucji, a także dołączać do należących do niej grup. Przeglądający nie mają uprawnień do tworzenia i udostępniania elementów, ani do bycia ich właścicielami.
Rola użytkownika
Członkowie, którym przypisano tę rolę, mogą łączyć się z serwerem ArcGIS Server i korzystać z jego usług. Po połączeniu użytkownika z serwerem sfederowanym, wszelkie usługi udostępniane użytkownikowi albo grupie, której członkiem jest użytkownik mogą być wyświetlane i używane. Użytkownicy mają dostęp do niestandardowego widoku witryny portalu i mogą używać map, aplikacji, warstw oraz narzędzi instytucji, a także dołączać do należących do niej grup. Użytkownicy mają również możliwość tworzenia map i aplikacji, dodawania elementów, udostępniania zasobów oraz formowania grup.
Rola publikującego
Publikujący mogą tylko usuwać lub modyfikować usługi, które utworzyli w portalu. Nie mogą zmieniać ani usuwać usług opublikowanych przez inne osoby. Publikujący mają jednak uprawnienia użytkownika i mogą korzystać ze wszystkich warstw, które udostępniają im inni publikujący.
Każdy, kto posiada uprawnienia publikującego może publikować na dowolnym serwerze sfederowanym. Usługi publikowane na serwerze sfederowanym są dodawane automatycznie do portalu jako elementy. Usługi hostowane publikowane bezpośrednio w portalu pojawiają się jako elementy w portalu i jako usługi na serwerze hostującym.
Rola administratora
Administratorzy posiadają uprawnienia użytkownika i osoby publikującej oraz mają dostęp do wszystkich usług hostowanych przez serwer sfederowany. Administratorzy mają również uprawnienia zarządzania portalem i wszystkimi jego członkami. Portal musi mieć co najmniej jednego administratora. Nie ma jednak żadnych limitów odnośnie tego ile osób może administrować w ramach jednej instytucji. Na przykład, jeżeli portal ma pięciu członków, każdy z nich może być administratorem.
Rola niestandardowa
Rola niestandardowa obejmuje określony zestaw uprawnień zdefiniowany przez administratora. Na przykład członkowie z rolą niestandardową mogą tworzyć zasoby, ale nie mogą tworzyć grup. Mogą oni publikować obiekty, ale nie kafle. Aby członkowie mogli publikować usługi w sfederowanej witrynie serwera ArcGIS Server, tej roli należy przypisać ogólne uprawnienie do publikowania warstw opartych na serwerze.
Jeśli rola niestandardowa została utworzona z dowolnymi uprawnieniami administracyjnymi, serwer ArcGIS Server przyznaje członkom o tej roli ograniczony dostęp administracyjny. Dotyczy to także uprawnień do publikowania usług dowolnego typu bezpośrednio na serwerze ArcGIS Server i możliwości przeglądania wszystkich usług oraz uzyskiwania do nich dostępu. Przed utworzeniem dla dowolnego członka roli niestandardowej z uprawnieniami administracyjnymi należy rozważyć zagrożenia związane z bezpieczeństwem.
Szczegółowa kontrola dostępu do serwera sfederowanego.
Możesz tak zaktualizować serwer sfederowany, aby ograniczyć dostęp do publikowania i administrowania. Po aktualizacji wszyscy administratorzy portalu będą posiadać uprawnienia administracyjne ma serwerze. Członkowie portalu z uprawnieniami osoby publikującej nie otrzymają domyślnego dostępu do publikowania na serwerze. Zamiast tego dostęp do publikowania na serwerze jest kontrolowany przez grupę o nazwie [federated server name]_Publikujący lub element [federated server name]_Publikujący.
Notatka:
Nie można zmienić domyślnych nazw grupy i elementu.
Aby uzyskać uprawnienia publikowania na serwerze, członek portalu musi albo być członkiem grupy [federated server name]_Publikujący albo członkiem grupy, w której został udostępniony element [federated server name]_Publikujący. Podobnie dodatkowy dostęp administratora do serwera jest kontrolowany przez grupę o nazwie [federated server name]_Administratorzy lub element [federated server name]_Administratorzy. Członek portalu musi być albo członkiem tej grupy lub członkiem grupy, w której został udostępniony element, aby uzyskać dostęp administracyjny do serwera.
Szczegółowa kontrola dostępu jest konfigurowana przez ArcGIS Portal Directory. Po sfederowaniu serwera z portalem wykonuj etapy wymienione poniżej, aby zaktualizować serwer i umożliwić tę kontrolę.
- Zaloguj się do ArcGIS Portal Directory jako członek portalu z uprawnieniami administratora.
Adres URL Portal Directory ma format https://portal.domain.com/arcgis/portaladmin.
- Przejdź do sekcji Serwery > sfederowane i kliknij serwer, który chcesz edytować.
- Kliknij przycisk Update (Aktualizuj).
- W rozwijanym menu Rola serwera wybierz Serwer sfederowany z ograniczoną możliwością publikowania.
- Kliknij polecenie Aktualizuj serwer.
Możesz teraz zobaczyć grupy [nazwa serwera sfederowanego]_Administratorzy i [nazwa serwera sfederowanego]_Publikujący oraz odpowiednie elementy na stronie Moje zasoby. Będą one własnością członka portalu, który dokonał aktualizacji serwera.
Łączenie się z aplikacją Server Manager
Połączenie z aplikacją ArcGIS Server Manager można nawiązać tylko za pomocą konta z rolą administratora lub publikującego. Nie możesz zalogować się do aplikacji Server Manager przy użyciu konta przypisanego do roli przeglądającego lub użytkownika albo roli niestandardowej. Nie możesz się również zalogować, używając głównego konta administratora serwera. Podczas nawiązywania połączenia należy skorzystać z adresu URL protokołu HTTPS i zawierającego w pełni kwalifikowaną nazwę domeny serwera:
- W przypadku nawiązywania bezpośredniego połączenia z serwerem ArcGIS Server adres URL ma format https://gisserver.domain.com:6443/arcgis/manager. Jeżeli witryna zawiera wiele komputerów, będzie to adres URL urządzenia określonego dla opcji Adres URL administratora przy integrowaniu swojej witryny.
- Jeśli łączysz się za pomocą aplikacji ArcGIS Web Adaptor, musisz upewnić się, że dostęp administracyjny jest włączony w aplikacji ArcGIS Web Adaptor. Adres URL używany do nawiązania połączenia ma format https://webadaptorhost.domain.com/webadaptorname/manager.
Jeżeli portal został skonfigurowany tak, aby korzystać z wbudowanego magazynu tożsamości bądź z protokołu LDAP (ang. Lightweight Directory Access Protocol), konieczne jest podanie nazwy użytkownika i hasła powiązanych z kontem portalu.
Modyfikowanie skrótu aplikacji Server Manager na pulpicie
ArcGIS Server instaluje na pulpicie skrót do aplikacji ArcGIS Server Manager. Domyślny skrót URL ma format http://localhost:6080/arcgis/manager, który jest prawidłową ścieżką, o ile serwer nie został sfederowany z portalem ArcGIS Enterprise. Jak podano w powyższej sekcji, sfederowany serwer jest dostępny pod adresem URL o formacie https://gisserver.domain.com:6443/arcgis/manager, co oznacza, że domyślny skrót URL powoduje wyświetlenie komunikatu o błędzie Invalid redirect_uri. Postępuj zgodnie z tymi etapami, aby zaktualizować ścieżkę skrótu dla sfederowanego serwera:
- Znajdź plik skrótu w folderze <ArcGIS Server installation directory>/Support/Shortcuts.
- Otwórz plik skrótu aplikacji ArcGIS Server Manager w edytorze tekstu.
Plik powinien mieć następującą postać, chociaż w Twojej przeglądarce internetowej może wyglądać nieco inaczej:
[Desktop Entry] Comment=ArcGIS Server Manager Encoding=UTF-8 Exec=firefox localhost:6080/arcgis/manager Icon=web-browser Name=ArcGIS Server Manager Terminal=false Type=Application Keywords=arcgis;esri;
- Zmodyfikuj adres URL w wierszu Exec zgodnie z formatem https://gisserver.domain.com:6443/arcgis/manager.
- Zapisz wprowadzone zmiany i zakończ działanie programu.
Element skrótu będzie teraz otwierał aplikację ArcGIS Server Manager przy użyciu zaktualizowanego adresu URL.
Łączenie się z serwerem w aplikacji ArcGIS Pro
Podczas łączenia się z portalem w aplikacji ArcGIS Pro można wybrać serwer sfederowany w trakcie publikowania. Zapoznaj się z tematami Zarządzanie połączeniami z portalem w aplikacji ArcGIS Pro i Wprowadzenie do udostępniania warstw internetowych w systemie pomocy aplikacji ArcGIS Pro.
Łączenie się z aplikacjami ArcGIS Server Administrator Directory i Services Directory
Podczas łączenia się z aplikacją ArcGIS Server Administrator Directory konieczne może być podanie tokena portalu. Strona logowania zawiera instrukcje dotyczące uzyskania tego tokena. Więcej informacji można znaleźć w części Uzyskiwanie dostępu do katalogu Administrator Directory z poziomu serwera sfederowanego. Ewentualnie możesz się zalogować, używając konta głównego administratora serwera, jeżeli łączysz się bezpośrednio przez port 6080 lub 6443.
Podczas łączenia się z aplikacją ArcGIS Server Services Directory nie trzeba podawać tokena. Zaloguj się przy użyciu poświadczeń administratora portalu. Logowanie nie będzie możliwe przy użyciu konta głównego administratora witryny.
Zachowanie serwera hostującego portalu
Podczas wyznaczenia sfederowanej witryny serwera ArcGIS GIS Server, która ma działać jako serwer hostujący portalu, udostępniasz publikującym możliwość tworzenia zapisywanych w pamięci podręcznej kafli mapy, usług obiektowych i usług sceny (warstw kafelkowych, warstw obiektowych i warstw sceny). Nie muszą oni posiadać na swoich komputerach żadnych produktów ArcGIS. Mogą po prostu publikować usługi, wczytując plik shape lub .csv w witrynie portalu, jednak publikowanie za pomocą aplikacji ArcGIS Pro jest nadal możliwe.
Usługi opublikowane bezpośrednio w portalu są usługami hostowanymi i są umieszczone w folderze serwera ArcGIS Server o nazwie Hostowane na serwerze hostującym. W ten sposób można śledzić, które usługi są usługami hostowanymi, a które nie.
Usunięcie elementu warstwy hostowanej w portalu powoduje usunięcie usługi z serwera hostującego. Podobnie, jeśli zostanie usunięty element odnoszący się do usługi na serwerze sfederowanym, usunięcie elementu z portalu spowoduje usunięcie usługi. Dotyczy to zarówno usług publikowanych na serwerze sfederowanym, jak i usług hostowanych publikowanych bezpośrednio w portalu.
W poniższej tabeli przedstawiono obsługiwane hostowane usługi i ich typy elementów:
| Typ usługi serwera ArcGIS Server | Typ elementu portalu |
|---|---|
Usługa mapy kafelkowej | |
Usługa mapy kafelkowej z usługą obiektową | |
Usługa obiektowa | |
Usługa rastrowa* | |
Usługa scen | |
Usługa WFS | |
Usługa kafli wektorowych | |
Usługa wykresu wiedzy** | Wykres wiedzy |
*Usługa rastrowa, do której odnosi się hostowana warstwa zobrazowań, działa na serwerze analiz rastrowych portalu lub serwerze hostującym zobrazowania, a nie na serwerze hostującym portalu.
**Usługa wykresu wiedzy, do której odnosi się hostowany wykres wiedzy, działa na serwerze wiedzy portalu, a nie na serwerze hostującym portalu.
Gdy wyświetlasz i edytujesz właściwości usługi hostowanej w aplikacji Server Manager, dostępny jest tylko podzestaw funkcji lub operacji serwera ArcGIS Server. Na przykład niektóre usługi nie będą wyświetlać informacji o instancjach w galerii usług ani na karcie Dostępność instancji w aplikacji Server Manager.
Serwer hostujący powinien dysponować przestrzenią magazynową, procesorem i pamięcią odpowiednimi do obsługi hostowanych usług. Należy poinstruować publikujących o tym, jak usługi wpływają na zasoby na serwerze hostującym, a także monitorować pomiary na komputerach serwera hostującego, aby uniknąć przekraczania pojemności.
Uwagi dotyczące warstw kafli i zadań w pamięci podręcznej
Warstwy kafli mają szczególne wymagania ze względu na moc obliczeniową używaną na jedno duże zadanie realizowane w pamięci podręcznej lub wiele zadań jednocześnie. Publikując warstwę kafli w dużej skali dla bardzo dużego obszaru, nieprzeszkolony publikujący portalu może przesłać na serwer bardzo duże zadanie przetwarzane w pamięci podręcznej, które zarezerwuje zasoby portalu na długi czas.
Istnieje możliwość złagodzenia skutków wykonywania zadań w pamięci podręcznej poprzez uruchomienie usługi CachingTools w oddzielnym klastrze ArcGIS Server z poziomu innych usług. W przypadku gdy jest to niemożliwe, można zmniejszyć liczbę instancji usługi CachingTools, które mogą być uruchomione w tym samym czasie, tym samym pozostawiając cykle procesora dostępne dla innych usług.
Można także ograniczyć liczbę zadań wykonywanych w pamięci podręcznej, które mogą być uruchomione w tym samym czasie, zmniejszając maksymalną liczbę instancji dozwolonych dla usługi CachingControllers. Domyślnie jednocześnie uruchomione mogą być trzy zadania.
Dodatkowe informacje na temat rozdzielania zasobów serwera do realizacji zadań w pamięci podręcznej można znaleźć w temacie Alokacja zasobów serwera w pamięci podręcznej.
Anulowanie sfederowania serwera z portalem
Uwaga:
Istnieje możliwość anulowania sfederowania witryny ArcGIS Server z portalem, aby serwer i portal działały niezależnie od siebie. Jednak anulowanie sfederowania witryny ArcGIS Server ma kilka ważnych konsekwencji i nie powinno się wykonywać tej czynności w ramach rutynowego rozwiązywania problemów. Czynności tej nie da się łatwo cofnąć i może mieć ona nieodwracalne skutki. Usunięcie serwera hostującego z portalu ArcGIS Enterprise powoduje, że istniejące hostowane warstwy internetowe stają się bezużyteczne. Dodanie serwera hostującego z powrotem nie spowoduje, że usługi hostowane staną się znowu użyteczne. Sfederowanie możesz anulować tylko wtedy, gdy w pełni rozumiesz konsekwencje tej czynności.
Tylko witryny, które pełnią ograniczoną liczbę ról, mogą działać jako autonomiczne witryny ArcGIS Server. Na przykład witryny ArcGIS GeoAnalytics Server i witryny ArcGIS Knowledge Server nie mogą działać jako witryny autonomiczne, a wyłączenie ich sfederowania sprawia, że stają się bezużyteczne.
Anulowanie sfederowania wymaga wykonania następujących czynności:
- Usuń usługi.
Jeśli usługi znajdują się na serwerze hostującym, należy je usunąć. Jeśli usługi znajdują się na serwerze sfederowanym, który może działać jako autonomiczna witryna ArcGIS Server, można pominąć ten etap.
- Jeśli serwer sfederowany, który ma zostać usunięty, nie jest serwerem hostującym, a usługi, które zostały opublikowane na tym serwerze sfederowanym, nie są już potrzebne, można zalogować się do aplikacji ArcGIS Server Manager jako administrator i usunąć te usługi.
- Jeśli ten serwer sfederowany jest serwerem hostującym, należy zalogować się do witryny internetowej portalu i usunąć hostowane warstwy internetowe, które zostały opublikowane w portalu.
- Usuń ArcGIS Server ze swojego portalu, co spowoduje przywrócenie ustawień domyślnych magazynu zabezpieczeń serwera ArcGIS Server oraz usunięcie wszystkich elementów portalu wczytanych z serwera w momencie jego sfederowania.
- Skonfiguruj zabezpieczenia ArcGIS Server, aby korzystać z pożądanych magazynów użytkowników i ról.