Способ реализации отказоустойчивой ArcGIS Enterprise зависит от используемого метода аутентификации на портале и от того, разрешен ли общий доступ на портал извне брандмауэра.
Для всех описанных в этом разделе сценариев справедливо следующее:
- Компьютеры портала (на диаграммах отмечены, как p1 и p2) сохраняют содержимое в ту же директорию, которая была размещена на сервере с высокой доступностью.
- На компьютерах с GIS Server (s1 и s2) хост-сервера открыт общий доступ к директориям сервера и хранилищу конфигураций, размещенным на файловом сервере высокой доступности.
- Хранилище реляционных данных высокой доступности, состоящее из основного (ds1) и запасного (ds2) компьютеров, зарегистрировано на хост-сервере. У ArcGIS Data Store есть встроенный механизм отказоустойчивости, при котором запасное хранилище реляционных данных становится основным компьютером хранилище при возникновении проблем с основным компьютером. Хранилище данных проверяет состояние компьютеров GIS Server сайта, которые на нем зарегистрированы, поэтому вы можете настроить хранилище через URL любого компьютера GIS Server.
Различия в коммуникации клиент/портал и протоколах аутентификации описываются в следующих разделах.
У встроенных пользователей и клиентов есть доступ к порталу через порты 80 и 443
В данном сценарии аутентификация на портале использует встроенных пользователей, а вся коммуникация между клиентами (показанная в верхней части диаграммы) и порталом происходит внутри брандмауэра.
В приведенном выше примере клиенты работают с веб-сайтом портала через балансировщик загрузки с URL https://<lb>.<domain>.com/<context>/home/, и директория REST ArcGIS Server может быть доступна через https://<lb>.<domain>.com/<context>/rest. Портал высокой доступности (два компьютера Portal for ArcGIS, p1 и p2) взаимодействуют с хост-сервером - сайтом высокой доступностиGIS Server через URL ArcGIS Server Administrator Directory (https://<lb>.<domain>.com/<context>/admin). Компьютеры сайта хост-сервера (s1 и s2) взаимодействуют с порталом через защищенный URL портала (https://<lb>.<domain>.com/<context>). И ArcGIS Server Administrator Directory URL, и защищенный URL портала идут через балансировщик нагрузки (lb) для учета избыточности. Если на одном компьютере Portal for ArcGIS происходит сбой или он становится недоступным, хост-сервер продолжает взаимодействовать с оставшимся компьютером портала, поскольку балансировщик нагрузки передаёт трафик на этот компьютер. Аналогично, если на одном компьютере хост-сервера происходит сбой или он становится недоступным, балансировщик нагрузки передаёт трафик с портала на другой компьютер GIS Server .
Встроенные пользователи с публичным доступом к порталу
В этом сценарии при аутентификации на портале используются встроенные пользователи, и некоторые из клиентов будут работать с порталом через брандмауэр. Административный доступ снаружи брандмауэра необходимо отключить.
Клиенты работают с веб-сайтом портала и точкой доступа REST ArcGIS Server через балансировщик нагрузки из-за брандмауэра (lb). Портал работает с хост-сервером через ArcGIS Server Administrator Directory URL, идущий через второй балансировщик нагрузки (lb2) снаружи брандмауэра (https://<lb2>.<domain>.com:6443/arcgis, линии зелёного цвета на рисунке). Портал работает с хост-сервером через публичный URL портала, идущий через второй балансировщик нагрузки lb2 (https://<lb2>.<domain>.com:7443/arcgis - показан желтыми линиями на диаграмме), чтобы коммуникация не осуществлялась через брандмауэр. Если один из компьютеров выходит из строя, хост-сервер продолжает взаимодействовать с оставшимся компьютером портала, поскольку lb2 будет посылать запросы на него. Аналогично, если один из компьютеров GIS Server выходит из строя, lb2 переадресует трафик с портала на другой компьютер GIS Server.
Доступ клиентами, находящимися вне брандмауэра, напрямую к сайту GIS Server будет также осуществляться через балансировщик нагрузки снаружи брандмауэра (lb).
Доступ администратора к ArcGIS Server Administrator Directory и ArcGIS Server Manager блокируется установкой правил балансировщика нагрузки снаружи брандмауэра (lb).
Аутентификация IWA или LDAP для внутреннего доступа клиентов
В этом сценарии пользователи портала применяют встроенную проверку подлинности Windows (IWA) или облегченный протокол доступа к каталогам (LDAP), а все клиенты, работающие с порталом, находятся внутри брандмауэра.
Если публичный доступ к порталу не нужен, но клиенты аутентифицируются на портале с использованием IWA или LDAP, для каждого компьютера портала высокой доступности требуется web adaptor (wa1 и wa2). Балансировщик нагрузки (lb) посылает трафик на web adaptor, балансирующий запросы между двумя компьютерами портала (p1 и p2). Вся коммуникация между хост-сервером и порталом должна пройти аутентификацию на веб-уровне через web adaptor. Поэтому балансировщик нагрузки настроен на прослушивание портов 7080 и 7443, и трафик направляется напрямую на порт 7080 или 7443 через защищенный URL портала.
Поскольку публичный доступ к порталу не нужен, балансировщик нагрузки может использоваться как для публичных, так и для внутренних URL. Защищенный URL портала - https://<lb>.<domain>.com:7443/arcgis. Все остальные URL - https://<lb>.<domain>.com/<context>.
Аутентификация SAML или ADFS с публичным доступом к порталу
В данном сценарии пользователи портала выполняют аутентификацию с помощью языка разметки декларации безопасности (SAML) или служб федерации Active Directory (ADFS), но некоторые клиенты, работающие с порталом, находятся снаружи брандмауэра. В этом случае вам нужно отключить доступ администратора к компьютерам GIS Server хост-сервера для защиты сервисов. В следующем разделе описываются две конфигурации, позволяющие это сделать.
Примечание:
Использование аутентификации SAML или ADFS для вашего портала делает ненужным настройку сетевых адаптеров на портале. Хотя вы можете использовать ArcGIS Web Adaptor на своём портале в следующих двух сценариях, он не добавляет никаких преимуществ функциональных возможностей в данную конфигурацию.
Защита публичного портала с помощью правил балансировщика нагрузки
В данном сценарии клиенты подключаются через балансировщик нагрузки (lb) за брандмауэром (красная линия на диаграмме), посылающий трафик напрямую на два компьютера портала (p1 и p2) через порты 7443 и 7080 и на два компьютера GIS Server (s1 и s2) через порты 6443 и 6080. Правила балансировщика нагрузки блокирует доступ к URL ArcGIS Server Administrator Directory и директории ArcGIS Portal.
Балансировщик нагрузки за брандмауэром не может работать через порты 6080, 6443, 7080 и 7443. Поэтому другой балансировщик нагрузки (lb2) настраивается перед брандмауэром для обработки коммуникации между порталом и хост-сервером. Портал будет коммуницировать с хост-сервером посредством URL, заданного в качестве Administration URL во время интеграции (зеленые линии на диаграмме), и хост-сервер будет коммуницировать с порталом через публичный URL портала, (желтые линии на диаграмме), поэтому коммуникация не осуществляется через брандмауэр. Lb2 обеспечивает дополнительную защиту на случай, если один из компьютеров GIS Server или один из компьютеров портала выходит из строя.
Защищенный URL портала в этом сценарии - https://<lb2>.<domain>.com:7443/arcgis. ArcGIS Server Administrator Directory URL - https://<lb2>.<domain>.com:6443/arcgis/admin.
Защитите портал с публичным доступом с помощью web adaptor на сайте GIS Server
В этом сценарии клиенты подключаются через балансировщик нагрузки (lb1), расположенный за брандмауэром (красная линия на диаграмме) и посылающий трафик напрямую на два компьютера портала (p1 и p2) через порты 7443 и 7080 и на два веб-адаптера (wa1, wa2), настроенных на компьютерах GIS Server (s1 и s2). Второй балансировщик нагрузки (lb2) обрабатывает трафик между порталом и хост-сервером портала и обеспечивает защиту на случай, если один из компьютеров GIS Server или один из компьютеров портала выйдет из строя.
Клиенты работают с порталом через балансировщик нагрузки (lb1) https://<lb1>.<domain>.com/<context>/home/, посылающий трафик на два компьютера портала через порты 7080 и 7443. Поскольку для портала настроена аутентификация SAML или ADFS, провайдер SAML или ADFS аутентифицирует пользователей при осуществлении ими доступа к порталу.
Клиенты могут подключаться к сайту GIS Server через балансировщик нагрузки снаружи брандмауэра (lb1), посылающий трафик на web adaptor GIS Server (wa1 и wa2). Web adaptors пересылают трафик на компьютеры GIS Server через порты 6080 и 6443.
Сайт GIS Server работает с порталом через публичный URL портала (https://<lb2>.<domain>.com:7443/arcgis - показан желтыми линиями на диаграмме), чтобы коммуникация не осуществлялась через брандмауэр. Сайт GIS Server интегрирован с порталом, использующим lb для URL сервисов. Этот трафик проходит через web adaptor wa1 и wa2, настроенные блокировать доступ администратора к ArcGIS Server Manager и ArcGIS Server Administrator Directory. Второй балансировщик нагрузки (lb2) используется для доступа к ArcGIS Server Administrator Directory ( https://<lb2>.<domain>.com:6443/arcgis) к учётной записи (зелёные линии на изображении).