Настройка SAML-совместимого провайдера идентификации для работы с порталом

Язык Security Assertion Markup Language (SAML) является открытым стандартом безопасного обмена данными аутентификации и авторизации между корпоративным провайдером идентификации и провайдером сервиса (в данном случае, Portal for ArcGIS). Этот подход называется также SAML Web Single Sign On (Технологией единого веб-входа SAML). Портал совместим с SAML 2.0 и работает с провайдерами идентификации, поддерживающими стандарт SAML 2 Web Single Sign On. Преимущество настройки SAML состоит в том, что вам не нужно создавать для пользователей дополнительные учетные записи для доступа к Portal for ArcGIS; они могут использовать уже настроенную в корпоративном хранилище учетную запись. Данный процесс называют в документации настройкой корпоративных учетных записей.

Вы также можете ввести в портал метаданные, относящиеся к корпоративным группам в вашем хранилище идентификаций. Это позволит создавать группы на портале, которые используют существующие корпоративные группы из хранилища идентификаций. Когда участники входят на портал, доступ к ресурсам, элементам и данным обеспечивается правилами, заданными в корпоративной группе. Если вы не предоставите необходимых метаданных о корпоративных группах, вы все равно сможете создавать группы. Однако правила участия будут определяться Portal for ArcGIS, а не вашим хранилищем идентификаций.

Соответствие имен пользователей ArcGIS Online в Portal for ArcGIS

Если в вашей организации ArcGIS Online и на портале используется тот же провайдер аутентификации SAML, то корпоративные имена пользователей можно настраивать, чтобы они совпадали. У всех корпоративных имен пользователей в организации ArcGIS Online есть короткие имена, присоединенные в конце. Такие же корпоративные имена пользователей можно использовать на портале, задав свойство defaultIDPUsernameSuffix настроек безопасности портала и задав его в соответствии с коротким именем организации. Это необходимо, если включено отслеживание правок для сервиса объектов, редактируемого корпоративными пользователями ArcGIS Online и портала.

Вход с использованием SAML

Portal for ArcGIS поддерживает корпоративные учетные записи, инициированные провайдером сервиса (SP) и провайдером идентификаций (IDP). Процедуры входа с их использованием отличаются.

Учетные записи, полученные от провайдера сервиса

При использовании учетных записей провайдера сервиса пользователи получают доступ к порталу напрямую, и у них есть возможность входа с использованием встроенных учетных записей (управляемых порталом) или учетных записей, которые хранятся в провайдере идентификации с поддержкой SAML. Если участники выбирают опцию использования провайдера сервиса, они перенаправляются на веб-страницу (менеджер корпоративной аутентификации), на которой им предлагается ввести корпоративное имя пользователя и пароль. После проверки учетной записи пользователя провайдер корпоративной аутентификации передает в Portal for ArcGIS проверенные данные входящего пользователя, и пользователь снова перенаправляется на веб-сайт портала организации.

Если участник выбирает опцию использования встроенной учетной записи, то открывается страница входа на веб-сайт портала организации. Пользователь может ввести свое встроенное имя пользователя и пароль для доступа к веб-сайту. Эта опция не может быть отключена. Опция входа с помощью встроенной учетной записи может быть использована в случае, когда провайдер идентификации с поддержкой SAML будет недоступен.

Учетные записи, полученные от провайдера аутентификации

С учетными записями, полученными от провайдера идентификации, пользователи сразу производят доступ к менеджеру корпоративной аутентификации и производят вход с использованием их учетных записей. Когда пользователь сообщает сведения о своей учетной записи, провайдер идентификаций посылает SAML-ответ непосредственно в Portal for ArcGIS. Пользователь входит и перенаправляется на веб-сайт портала своей организации, где он может сразу получить доступ к ресурсам без необходимости выполнения повторного входа в организацию.

Опция входа с помощью встроенных учетных записей из менеджера корпоративной аутентификации будет недоступна. Чтобы войти в организацию с использованием встроенных учетных записей, участники должны произвести доступ к веб-сайту портала напрямую.

Провайдеры аутентификации SAML

В следующих руководствах описывается применение нескольких SAML-совместимых провайдеров идентификации с Portal for ArcGIS:

• Active Directory Federation Services (AD FS) версии 2.0 и выше
• NetIQ Access Manager версии 3.2 и выше
• OpenAM версии 10.1.0 и выше
• Shibboleth версии 2.3.8 и выше
• SimpleSAMLphp версии 1.10 и выше

Процесс получения необходимых метаданных от провайдера идентификации, перечисленных выше, описан в каждой ссылке. Процесс настройки провайдера аутентификации с Portal for ArcGIS описан ниже. Перед продолжением рекомендуется связаться с администратором вашего корпоративного провайдера идентификации для получения параметров, необходимых для настройки. Например, если организация использует Microsoft Active Directory, следует связаться с его администратором, чтобы выполнить настройку и активацию SAML на стороне провайдера корпоративной идентификации и получить параметры, необходимые для настройки на стороне портала.

Поддержка нескольких провайдеров идентификации SAML

Вы можете контролировать доступ к вашему порталу с использованием сразу нескольких хранилищ идентификации с помощью SAML. Это может быть удобно для управления доступом пользователей, сведения о которых могут храниться как в вашей организации, так и за ее пределами.

Это можно осуществить при организации доверенной связи между хранилищами идентификации, которые вы хотите сделать доступными для портала. За это отвечает администратор по безопасности; настройка доверенной связи не производится в Portal for ArcGIS. Как только доверенная связь будет установлена, вам будет нужно произвести настройку только одного из доверенных хранилищ идентификации для работы с порталом (как описано ниже). Когда пользователи получают доступ к веб-сайту портала или сайту провайдера идентификации, им будет доступна опция входа с использованием корпоративной учетной записи, управление которым осуществляется любым из доверенных провайдеров идентификации.

Необходимая информация

Portal for ArcGIS должен получить определенную атрибутивную информацию от провайдера аутентификации, когда пользователь входит с использованием корпоративной учетной записи. NameID это обязательный атрибут, который должен отправляться провайдером аутентификации в SAML-ответе для интеграции с Portal for ArcGIS. Если входит пользователь IDP, Portal for ArcGIS создает в хранилище пользователей нового пользователя с именем NameID. Допустимыми символами значения, которое посылается атрибутом NameID, являются буквы, цифры и _ (нижнее подчеркивание). (точка) и @ (собачка). Другие символы будут заменены нижним подчеркиванием в имени пользователя, созданном Portal for ArcGIS.

Portal for ArcGIS поддерживает входящий поток атрибутов givenName и email address корпоративной учетной записи от провайдера аутентификации. Когда пользователь осуществляет вход с использованием корпоративной учетной записи и Portal for ArcGIS получает атрибуты с именами givenname и email или mail (в любом случае), Portal for ArcGIS заполняет полное имя и адрес электронной почты для учетной записи пользователя значениями, полученными от провайдера идентификации. Рекомендуем указывать email address от провайдера идентификации, чтобы пользователь мог получать уведомления.

Настройка SAML-совместимого провайдера идентификации для работы с порталом

1. Войдите на веб-сайт портала в качестве администратора вашей организации и щелкните Моя организация > Изменить настройки > Безопасность.
2. В разделе Корпоративные учетные записи щелкните кнопку Установить провайдера идентификации и введите в открывшемся окне имя вашей организации (к примеру, City of Redlands). При входе пользователей на веб-сайт портала данный текст отображается внутри строки входа SAML (например, Использование учетной записи City of Redlands).
3. Укажите, смогут ли пользователи вступать в организацию Автоматически или После добавления учетных записей в портал. Выбор первой опции позволяет пользователям входить в организацию с указанием корпоративной учетной записи без вмешательства администратора. Их учетные записи автоматически регистрируются в организации при первом входе. Во втором случае пользователям потребуется регистрация соответствующих учетных записей в организации, выполняемая администратором посредством специальной утилиты командной строки или скрипта Python. После регистрации учетных записей пользователи смогут входить в организацию.

   Подсказка:

   Рекомендуется назначить хотя бы одну корпоративную учетную запись в качестве администратора портала и отключить или удалить учетную запись основного администратора. Также рекомендуется отключить кнопку Создать учетную запись и страницу настройки учетной записи (signup.html) на веб-сайте портала, чтобы пользователи не могли создавать собственные учетные записи. Инструкции см. в статье Отключение первичной учетной записи администратора сайта.

4. Передайте необходимые метаданные о SAML-совместимом провайдере корпоративной аутентификации. Сделайте это, указав источник, из которого портал сможет получить метаданные о провайдере корпоративной аутентификации. Для доступа к инструкции о получении метаданных от сертифицированных провайдеров перейдите к разделу Провайдеры аутентификации SAML выше. Имеется три возможных источника этих метаданных:
   • URL-адрес – введите URL-адрес, который возвращает метаданные о провайдере аутентификации.

     Примечание:

     Если ваш провайдер идентификации имеет самозаверенный сертификат, возникнет ошибка при попытке указать URL по протоколу HTTPS для метаданных. Ошибка возникнет из-за того, что Portal for ArcGIS не сможет проверить самозаверенный сертификат провайдера идентификации. Либо используйте в URL протокол HTTP, как указано ниже, либо настройте провайдер идентификации на работу с доверенным сертификатом.

   • Файл – загрузите файл, который содержит метаданные о провайдере аутентификации.
   • Параметры, указанные здесь – введите метаданные провайдера корпоративной аутентификации, предоставив следующие параметры:
     • URL учетной записи (Перенаправление) – введите URL провайдера аутентификации (поддерживающий привязку перенаправления HTTP), который должен использоваться в Portal for ArcGIS для входа участника.
     • URL учетной записи (POST) – введите URL-адрес провайдера аутентификации (поддерживающий привязку HTTP POST), который должен использоваться в Portal for ArcGIS для входа участника.
     • Сертификат – укажите сертификат корпоративного провайдера аутентификации. Это сертификат, который позволяет Portal for ArcGIS проверять цифровые подписи в ответах SAML, направляемых в него провайдером корпоративной аутентификации.

   Примечание:

   Свяжитесь с администратором провайдера идентификации, если вам требуется помощь при определении источника метаданных.

5. Для завершения процесса настройки и установки доверенной связи с провайдером идентификации необходимо зарегистрировать метаданные провайдера сервиса портала в корпоративном провайдере идентификации. Существует два способа получить метаданные от вашего портала.
   • В разделе Безопасность страницы Редактировать настройки вашей организации щелкните кнопку Получить провайдер сервиса. Это предоставит вам метаданные для вашей организации, которые вы можете сохранить в виде файла XML на вашем компьютере.
   • Перейдите по URL-ссылке метаданных и сохраните его как файл XML на вашем компьютере. URL-адрес – это https://webadaptorhost.domain.com/webadaptorname/sharing/rest/portals/self/sp/metadata?token=<token>, например, https://samltest.domain.com/arcgis/sharing/rest/portals/self/sp/metadata?token=G6943LMReKj_kqdAVrAiPbpRloAfE1fqp0eVAJ-IChQcV-kv3gW-gBAzWztBEdFY. Вы можете создать токен с помощью https://webadaptorhost.domain.com/webadaptorname/sharing/rest/generateToken. При указании URL на странице Создать токен укажите полное доменное имя сервера провайдера идентификации в поле Webapp URL. Выбор любой другой опции, как то IP-адрес или IP-адрес происхождения запроса, не поддерживается и может привести к генерации неверного токена.

   Для доступа к инструкции о регистрации метаданных сервиса провайдера портала в сертифицированных провайдерах перейдите к разделу Провайдеры аутентификации SAML выше.

6. Доступна расширенная настройка дополнительных опций:
   • Шифровать утверждения – выберите эту опцию, чтобы показать провайдеру аутентификации SAML, что Portal for ArcGIS поддерживает шифрованные ответы утверждений SAML. Если эта опция включена, то провайдер аутентификации будет шифровать раздел утверждений ответов SAML. Даже учитывая то, что трафик SAML шифруется в обе стороны с Portal for ArcGIS путем использования HTTPS, эта опция добавляет дополнительный уровень шифрования.
   • Включить подписанный запрос – выберите эту опцию, чтобы Portal for ArcGIS подписал запрос аутентификации SAML, направленный провайдеру аутентификации. Подпись исходного запроса аутентификации, отправленного Portal for ArcGIS, позволяет провайдеру аутентификации проверять, все ли запросы аутентификации исходят от доверенного провайдера сервисов.
   • Произвести выход в провайдер аутентификации – выберите эту опцию, чтобы в Portal for ArcGIS использовался URL-адрес выхода для выхода пользователя из провайдера аутентификации. Введите URL для использования в настройках URL-адрес выхода. Если провайдер аутентификации потребует подписать URL-адрес выхода, то в этом случает опция Включить подписанный запрос также должна быть отмечена. Если отключить эту опцию и щелкнуть Выйти в Portal for ArcGIS, то произойдет выход пользователя из Portal for ArcGIS, но не из провайдера аутентификации. Если кэш веб-браузера пользователя не очищен, попытка немедленно выполнить вход обратно в Portal for ArcGIS, используя опцию корпоративной учетной записи, приведет к немедленному входу без необходимости предоставления учетных данных для провайдера аутентификации SAML. Это уязвимость в системе безопасности, которая может быть использована при пользовании компьютером, доступным неавторизованным пользователям или широкой публике.
   • URL-адрес выхода – введите URL-адрес провайдера аутентификации, используемого при выходе работающего в данный момент пользователя. Если это свойство указано в файле метаданных провайдера аутентификации, то оно будет установлено автоматически.
   • ID объекта – обновите это значение, чтобы для уникальной идентификации вашей организации Portal for ArcGIS провайдер аутентификации SAML использовал новый ID объекта.
7. Вы также можете ввести в портал метаданные, относящиеся к корпоративным группам в вашем хранилище идентификаций:
   1. Войдите в ArcGIS Portal Directory в качестве администратора вашей организации. URL-адрес имеет вид https://webadaptorhost.domain.com/webadaptorname/portaladmin.
   2. Щелкните Безопасность > Конфигурация > Обновить хранилище аутентификаций.
   3. Поместите информацию о конфигурации группы в формате JSON в текстовое поле Хранилище конфигурации группы (в формате JSON).

      • Если в качестве хранилища идентификации используется Windows Active Directory, скопируйте следующий текст и измените его, указав нужные параметры вашего сайта:

        {
          "type": "WINDOWS",
          "properties": {
            "isPasswordEncrypted": "false",
            "userPassword": "secret",
            "user": "mydomain\\winaccount"
          }
        }

        В большинстве случаев вам будет необходимо изменить только значения для параметров user и userPassword. Несмотря на то, что вы вводите пароль в виде текста, он будет зашифрован при сохранении в директорию конфигурации портала и при просмотре. Для учетной записи, которую вы используете для параметров user, необходимы права доступа только для просмотра имен групп Windows в сети. Если возможно, используйте учетную запись с паролем, срок действия которого не истекает.

      • Если в качестве хранилища идентификации используется LDAP, скопируйте следующий текст и измените его, указав нужные параметры вашего сайта:

        {
          "type": "LDAP",  "properties": {
            "userPassword": "secret",    "isPasswordEncrypted": "false",    "user": "uid=admin,ou=system",    "ldapURLForUsers": "ldaps://bar2:10636/ou=users,ou=ags,dc=example,dc=com",    "ldapURLForRoles": "ldaps://bar2:10636/dc=example,dc=com",    "usernameAttribute": "cn",    "caseSensitive": "false",    "userSearchAttribute": "cn",    "memberAttributeInRoles": "member",    "rolenameAttribute":"cn"
          }
        }

        В большинстве случаев вам будет необходимо изменить только значения для параметров user, userPassword, ldapURLForUsers и ldapURLForRoles. URL для вашего LDAP должен предоставляться администратором LDAP.

        В приведенном выше примере URL-адрес LDAP относится к пользователям в определенном OU (ou=пользователи). Когда пользователи существуют в нескольких OU, URL-адрес LDAP может указывать на более высокий уровень OU или даже, при необходимости, на корневой уровень. В этом случае URL-адрес будет выглядеть несколько иначе:

        "ldapURLForUsers": "ldaps://bar2:10636/dc=example,dc=com",

        Учетной записи, которую вы используете для параметров пользователя, необходимо иметь права доступа для просмотра названий групп в вашей организации. Несмотря на то, что вы вводите пароль в виде текста, он будет зашифрован при сохранении в директорию конфигурации портала и при просмотре.

        Если ваш LDAP не чувствителен к регистру, установите для параметра caseSensitive значение false.
   4. После того как вы закончили вводить JSON для пользовательской конфигурации хранилища, щелкните Обновить конфигурацию для сохранения изменений и повторного запуска портала.

Назначение корпоративной учетной записи прав администратора

Процесс определения для корпоративной учетной записи прав администратора портала зависит от того, смогут ли ваши пользователи зарегистрироваться в организации Автоматически или После того, как вы добавите их учетные записи в портал.

Автоматическое присоединение к организации

Если вы выбрали опцию Автоматического добавления пользователей в организацию, то откройте главную страницу веб-сайта портала; при этом вы должны войти из-под корпоративной учетной записи, которую вы хотите использовать в качестве администратора портала.

При первом добавлении учетной записи в портал автоматически ей назначается роль Пользователь. Только Администратор организации может изменить роль учетной записи; следовательно, вы должны войти на портал, используя первичную учетную запись администратора и назначить корпоративной учетной записи роль администратора.

1. Откройте веб-сайт портала и щелкните на опции входа с использованием провайдера идентификации SAML и введите учетные данные корпоративной учетной записи, которую вы хотите использовать в качестве администратора. Если эта учетная запись принадлежит кому-то другому, попросите этого пользователя подключиться к порталу, чтобы эта учетная запись была зарегистрирована на портале.
2. Убедитесь, что учетная запись была добавлена в портале, и щелкните Выйти. Очистите кэш и cookies вашего браузера.
3. Не выходя из браузера, откройте веб-сайт портала , щелкните на опции входа с использованием встроенной учетной записи портала и укажите имя пользователя и пароль первичной учетной записи администратора, которая была создана вами при настройке Portal for ArcGIS.
4. Найдите корпоративную учетную запись, которую вы будете использовать для администрирования вашего портала, и измените ее роль на Администратор. Щелкните Выйти.

Выбранная вами корпоративная учетная запись будет теперь иметь права администратора портала.

Добавление корпоративных учетных записей на портал вручную

Если вы выбрали опцию, которая позволит пользователям стать членами организации После добавления в портал учетных записей, то вам будет нужно зарегистрировать соответствующие учетные записи в организации с помощью утилиты командной строки или скрипта Python. Убедитесь в том, что для корпоративной учетной записи, которая будет использоваться для администрирования портала, была выбрана роль Администратор.

Отмена прав или удаление первичной учетной записи администратора

Теперь, когда у вас появилась дополнительная учетная запись администратора портала, вы можете назначить начальной учетной записи администратора роль Пользователя или удалить ее. Более подробно см. в разделе О учетной записи главного администратора.

Запрет создания собственных учетных записей для пользователей

После настройки безопасного доступа к порталу, рекомендуется отключить кнопку Создать учетную запись и страницу настройки учетной записи (signup.html) на веб-сайте портала, чтобы пользователи не могли создавать собственные учетные записи. Это означает, что все участники портала используют корпоративные учетные записи: создать дополнительные встроенные учетные записи будет нельзя. Подробные инструкции см. в разделе Отключение пользователям возможности создавать встроенные учетные записи портала.

Отключение входа под учетными записями ArcGIS

Чтобы запретить пользователям вход на портал под учетными записями ArcGIS, выключите кнопку Использование учетной записи ArcGIS, находящуюся на странице входа. Для этого выполните следующие шаги:

1. Войдите на веб-сайт портала в качестве администратора вашей организации и щелкните Моя организация > Изменить настройки > Безопасность.
2. В разделе Опции входа выберите радио-кнопку для Только их учетная запись SAML IDP, при этом IDP будет разным в зависимости от настроек, выполненных для портала.
3. Щёлкните Сохранить.

На странице входа появится кнопка для входа на портал под учетной записью провайдера аутентификации, а кнопка для входа Под учетной записью ArcGIS станет недоступной. Учетные записи участников могут быть заменены на учетные записи ArcGIS; для этого в Опциях входа следует выбрать Только их учетная запись SAML IDP или Учетная запись Portal for ArcGIS, при этом IDP и имя портала будут отличаться в зависимости от настроек.

Изменение провайдера корпоративной аутентификации SAML

Вы можете удалить зарегистрированного провайдера аутентификации с помощью кнопки Удалить провайдера аутентификации. Эта кнопка станет активной только после настройки SAML-совместимого провайдера аутентификации. После удаления провайдера аутентификации можно произвести настройку нового провайдера, если это необходимо.