Skip To Content

Настройка SAML-совместимого провайдера идентификации для работы с порталом

Язык Security Assertion Markup Language (SAML) является открытым стандартом безопасного обмена данными аутентификации и авторизации между корпоративным провайдером идентификации и провайдером сервиса (в данном случае, Portal for ArcGIS). Этот подход называется также SAML Web Single Sign On (Технологией единого веб-входа SAML).

Портал совместим с SAML 2.0 и работает с провайдерами идентификации, поддерживающими стандарт SAML 2 Web Single Sign On. Преимущество настройки SAML состоит в том, что вам не нужно создавать для пользователей дополнительные учетные записи для доступа к ArcGIS Enterprise; они могут использовать уже настроенную в корпоративном хранилище учетную запись. Данный процесс называют в документации настройкой корпоративных учетных записей.

Вы также можете ввести в портал метаданные, относящиеся к корпоративным группам в вашем хранилище идентификаций. Это позволит создавать группы на портале, которые используют существующие корпоративные группы из хранилища идентификаций.

Когда участники входят на портал, доступ к ресурсам, элементам и данным обеспечивается правилами, заданными в корпоративной группе. Если вы не предоставите необходимых метаданных о корпоративных группах, вы все равно сможете создавать группы. Однако правила участия будут определяться ArcGIS Enterprise, а не вашим хранилищем идентификаций.

Примечание:

В 10.6.1 вы также можете настроить интеграцию основанных на SAML провайдеров идентификации на своем портале.

Сопоставление имен пользователей ArcGIS Online в портале ArcGIS Enterprise

Если в вашей организации ArcGIS Online и на портале используется тот же провайдер аутентификации SAML, то корпоративные имена пользователей можно настраивать, чтобы они совпадали. У всех корпоративных имен пользователей в организации ArcGIS Online есть короткие имена, присоединенные в конце. Такие же корпоративные имена пользователей можно использовать на портале, задав свойство defaultIDPUsernameSuffix портала ArcGIS Enterprise в настройках безопасности и указав его в соответствии с коротким именем организации. Это необходимо, если включено отслеживание правок для сервиса объектов, редактируемого корпоративными пользователями ArcGIS Online и портала.

Вход с использованием SAML

Portal for ArcGIS поддерживает корпоративные учетные записи, инициированные провайдером сервиса (SP) и провайдером идентификаций (IDP). Процедуры входа с их использованием отличаются.

Учетные записи, инициированные провайдером сервиса

При использовании учетных записей провайдера сервиса пользователи получают доступ к порталу напрямую, и у них есть возможность входа с использованием встроенных учетных записей (управляемых порталом) или учетных записей, которые хранятся в провайдере идентификации с поддержкой SAML. Если участники выбирают опцию использования провайдера сервиса, они перенаправляются на веб-страницу (менеджер корпоративной аутентификации), на которой им предлагается ввести корпоративное имя пользователя и пароль. После проверки учетной записи пользователя провайдер корпоративной аутентификации передает в Portal for ArcGIS проверенные данные входящего пользователя, и пользователь снова перенаправляется на веб-сайт портала организации.

Если участник выбирает опцию использования встроенной учетной записи, то открывается страница входа на веб-сайт портала ArcGIS Enterprise организации. Пользователь может ввести свое встроенное имя пользователя и пароль для доступа к веб-сайту. Встроенную учетную запись можно использовать в качестве отказоустойчивой, если ваш провайдер идентификации, совместимый с SAML, недоступен при условии, что опция входа с использованием учетной записи ArcGIS не была отключена.

Учетные записи, инициированные провайдером аутентификации

С учетными записями, полученными от провайдера идентификации, пользователи сразу производят доступ к менеджеру корпоративной аутентификации и производят вход с использованием их учетных записей. Когда пользователь сообщает сведения о своей учетной записи, провайдер идентификаций посылает SAML-ответ непосредственно в Portal for ArcGIS. Пользователь входит и перенаправляется на веб-сайт портала своей организации, где он может сразу получить доступ к ресурсам без необходимости выполнения повторного входа в организацию.

Опция входа с помощью встроенных учетных записей из менеджера корпоративной аутентификации будет недоступна. Чтобы войти в организацию с использованием встроенных учетных записей, участники должны произвести доступ к веб-сайту портала напрямую.

Примечание:

Если аутентификации SAML перестали работать из-за вашего провайдера аутентификации SAML, и опция встроенных учетных записей неактивна, вы не сможете получить доступ к вашему порталу ArcGIS Enterprise, пока не сделаете активной эту опцию. Для инструкций, как это сделать, см. этот вопрос в разделе Общие проблемы и их решения.

Провайдеры аутентификации SAML

Portal for ArcGIS поддерживает все провайдеры идентификации SAML В следующих руководствах показано, как настроить несколько часто используемых SAML-совместимых провайдеров идентификации на работу с Portal for ArcGIS:

Процесс получения необходимых метаданных от провайдера идентификации, перечисленных выше, описан в каждой ссылке. Процесс настройки провайдера аутентификации с Portal for ArcGIS описан ниже. Перед продолжением рекомендуется связаться с администратором вашего корпоративного провайдера идентификации для получения параметров, необходимых для настройки. Например, если организация использует Microsoft Active Directory, следует связаться с его администратором, чтобы выполнить настройку и активацию SAML на стороне провайдера корпоративной идентификации и получить параметры, необходимые для настройки на стороне портала.

Необходимая информация

Portal for ArcGIS должен получить определенную атрибутивную информацию от IDP, когда пользователь входит с использованием учетной записи SAML. Атрибут NameID является обязательным и должен отправляться IDP в ответе SAML для интеграции с Portal for ArcGIS. Поскольку Portal for ArcGIS использует значение NameID для уникальной идентификации именованного пользователя, рекомендуется выбрать постоянное значение, уникально определяющее пользователя. Когда пользователь из IDP осуществляет вход, Portal for ArcGIS создаёт в хранилище пользователей нового пользователя с именем NameID. Допустимыми символами значения, которое посылается атрибутом NameID, являются буквы, цифры и _ (нижнее подчеркивание). (точка) и @ (собачка). Другие символы будут заменены нижним подчёркиванием в имени пользователя, созданном Portal for ArcGIS.

Portal for ArcGIS поддерживает получение email-адреса пользователя, участия в группах, заданного имени и фамилии от провайдера идентификации SAML.

Настройка SAML-совместимого провайдера идентификации для работы с порталом

Портал можно настроить так, чтобы пользователи выполняли вход, используя то же имя и пароль, которые используются для входа в локальные системы. Перед настройкой Корпоративных учетных записей вам необходимо настроить тип пользователя по умолчанию для своей организации.

  1. Войдите на веб-сайт портала в качестве администратора вашей организации и щелкните Организация > Настройки > Безопасность.
  2. В разделе Учетные записи секции Корпоративная щелкните кнопку Задать корпоративную учетную запись и выберите опцию Один провайдер идентификации. На странице Задать свойства введите имя своей организации (например, City of Redlands). При входе пользователей на веб-сайт портала данный текст отображается внутри строки входа SAML (например, Использование учетной записи City of Redlands).
  3. Укажите, могут ли пользователи вступать в организацию Автоматически или По приглашению администратора. Выбор первой опции позволяет пользователям входить в организацию с указанием корпоративной учетной записи без вмешательства администратора. Их учетные записи автоматически регистрируются в организации при первом входе. Во втором случае пользователям потребуется регистрация соответствующих учетных записей в организации, выполняемая администратором посредством специальной утилиты командной строки или скрипта Python. После регистрации учетных записей пользователи смогут входить в организацию.
    Подсказка:

    Рекомендуется назначить хотя бы одну корпоративную учетную запись в качестве администратора портала и отключить или удалить учетную запись основного администратора. Также рекомендуется отключить кнопку Создать учетную запись на веб-сайте портала, чтобы пользователи не могли создавать собственные учетные записи. Инструкции см. в статье Отключение первичной учетной записи администратора сайта.

  4. Передайте необходимые метаданные о SAML-совместимом провайдере корпоративной аутентификации. Сделайте это, указав источник, из которого портал сможет получить метаданные о провайдере корпоративной аутентификации. Для доступа к инструкции о получении метаданных от сертифицированных провайдеров перейдите к разделу Провайдеры аутентификации SAML выше. Имеется три возможных источника этих метаданных:
    • URL-адрес – введите URL-адрес, который возвращает метаданные о провайдере аутентификации.
      Примечание:

      Если ваш провайдер идентификации имеет самозаверенный сертификат, возникнет ошибка при попытке указать URL по протоколу HTTPS для метаданных. Ошибка возникнет из-за того, что Portal for ArcGIS не сможет проверить самозаверенный сертификат провайдера идентификации. Либо используйте в URL протокол HTTP, как указано ниже, либо настройте провайдер идентификации на работу с доверенным сертификатом.

    • Файл – загрузите файл, который содержит метаданные о провайдере аутентификации.
    • Параметры, указанные здесь – введите метаданные провайдера корпоративной аутентификации, предоставив следующие параметры:
      • URL учетной записи (Перенаправление) – введите URL провайдера аутентификации (поддерживающий привязку перенаправления HTTP), который должен использоваться в Portal for ArcGIS для входа участника.
      • URL учетной записи (POST) – введите URL-адрес провайдера аутентификации (поддерживающий привязку HTTP POST), который должен использоваться в Portal for ArcGIS для входа участника.
      • Сертификат – укажите сертификат корпоративного провайдера идентификации в формате BASE 64. Это сертификат, который позволяет Portal for ArcGIS проверять цифровые подписи в ответах SAML, направляемых в него провайдером корпоративной аутентификации.
    Примечание:

    Свяжитесь с администратором провайдера идентификации, если вам требуется помощь при определении источника метаданных.

  5. Для завершения процесса настройки и установки доверенной связи с провайдером идентификации необходимо зарегистрировать метаданные провайдера сервиса портала в корпоративном провайдере идентификации. Существует два способа получить метаданные от вашего портала.
    • В разделе Безопасность вкладки Настройки вашей организации щелкните кнопку Загрузить метаданные провайдера сервиса, чтобы загрузить файл метаданных для вашей организации.
    • Перейдите по URL-ссылке метаданных и сохраните его как файл XML на вашем компьютере. URL-адрес – это https://webadaptorhost.domain.com/webadaptorname/sharing/rest/portals/self/sp/metadata?token=<token>, например, https://samltest.domain.com/arcgis/sharing/rest/portals/self/sp/metadata?token=G6943LMReKj_kqdAVrAiPbpRloAfE1fqp0eVAJ-IChQcV-kv3gW-gBAzWztBEdFY. Вы можете создать токен с помощью https://webadaptorhost.domain.com/webadaptorname/sharing/rest/generateToken. При указании URL на странице Создать токен укажите полное доменное имя сервера провайдера идентификации в поле Webapp URL. Выбор любой другой опции, как то IP-адрес или IP-адрес происхождения запроса, не поддерживается и может привести к генерации неверного токена.

    Для доступа к инструкции о регистрации метаданных сервиса провайдера портала в сертифицированных провайдерах перейдите к разделу Провайдеры аутентификации SAML выше.

  6. Доступна расширенная настройка дополнительных опций:
    • Шифровать утверждения – выберите эту опцию, чтобы показать провайдеру аутентификации SAML, что Portal for ArcGIS поддерживает шифрованные ответы утверждений SAML. Если эта опция выбрана, то провайдер аутентификации будет шифровать раздел утверждений ответов SAML. Весь трафик SAML шифруется в обе стороны с Portal for ArcGIS путем использования HTTPS, эта опция добавляет дополнительный уровень шифрования.
    • Включить подписанный запрос – выберите эту опцию, чтобы Portal for ArcGIS подписал запрос аутентификации SAML, направленный провайдеру аутентификации. Подпись исходного запроса аутентификации, отправленного Portal for ArcGIS, позволяет провайдеру аутентификации проверять, все ли запросы аутентификации исходят от доверенного провайдера сервисов.
    • Произвести выход в провайдер аутентификации – выберите эту опцию, чтобы в Portal for ArcGIS использовался URL-адрес выхода для выхода пользователя из провайдера аутентификации. Введите используемый URL в поле URL-адрес выхода. Если провайдеру аутентификации для выполнения входа требуется URL-адрес выхода, необходимо отметить опцию Включить подписанный запрос. Если отключить эту опцию и щелкнуть Выйти в Portal for ArcGIS, то произойдет выход пользователя из Portal for ArcGIS, но не из провайдера аутентификации. Если кэш веб-браузера пользователя не очищен, попытка немедленно выполнить вход обратно в Portal for ArcGIS, используя опцию корпоративной учетной записи, приведет к немедленному входу без необходимости предоставления учетных данных для провайдера аутентификации SAML. Это уязвимость в системе безопасности, которая может быть использована при работе на компьютере, доступным неавторизованным пользователям или широкой публике.
    • Обновить профиль для входа – выберите эту опцию для обновления в Portal for ArcGIS пользовательских атрибутов givenName и email address, если они с момента их последнего входа изменились. Эта опция выбрана по умолчанию.
    • Включить SAML на основе участия в группе – выберите эту опцию, чтобы администраторы портала могли подключаться к группам в вашем провайдере аутентификации SAML, которые созданы на вашем портале ArcGIS Enterprise. При выборе этой опции Portal for ArcGIS будет читать ответ утверждения SAML, чтобы определить, к каким группам принадлежит участник. Вы можете затем указать одну или несколько групп организации, предоставленную вашим провайдером идентификации на вопрос Кто может присоединиться к это группе?, когда вы создаёте новую группу на вашем портале. Эта функция не выбрана по умолчанию.
    • URL-адрес выхода – введите URL-адрес провайдера аутентификации, используемого при выходе работающего в данный момент пользователя. Если это свойство указано в файле метаданных провайдера аутентификации, то оно будет установлено автоматически.
    • ID объекта – обновите это значение, чтобы для уникальной идентификации вашей организации Portal for ArcGIS провайдер аутентификации SAML использовал новый ID объекта.

Назначение корпоративной учетной записи прав администратора

Процесс определения для корпоративной учетной записи прав администратора портала зависит от того, смогут ли ваши пользователи зарегистрироваться в организации Автоматически или По приглашению администратора.

Автоматическое присоединение к организации

Если вы выбрали опцию Автоматического добавления пользователей в организацию, то откройте главную страницу веб-сайта портала; при этом вы должны войти из-под корпоративной учетной записи, которую вы хотите использовать в качестве администратора портала.

Когда учетная запись впервые добавляется на портал автоматически, ей назначается роль по умолчанию, настроенная для новых участников. Только Администратор организации может изменить роль учетной записи; следовательно, вы должны войти на портал, используя первичную учетную запись администратора и назначить корпоративной учетной записи роль администратора.

  1. Откройте веб-сайт портала и щелкните на опции входа с использованием провайдера идентификации SAML и введите учетные данные корпоративной учетной записи, которую вы хотите использовать в качестве администратора. Если эта учетная запись принадлежит кому-то другому, попросите этого пользователя подключиться к порталу, чтобы эта учетная запись была зарегистрирована на портале.
  2. Убедитесь, что учетная запись была добавлена в портале, и щелкните Выйти. Очистите кэш и cookies вашего браузера.
  3. Не выходя из браузера, откройте веб-сайт портала , щелкните на опции входа с использованием встроенной учетной записи портала и укажите имя пользователя и пароль первичной учетной записи администратора, которая была создана вами при настройке Portal for ArcGIS.
  4. Найдите корпоративную учетную запись, которую вы будете использовать для администрирования вашего портала, и измените ее роль на Администратор. Щелкните Выйти.

Выбранная вами корпоративная учетная запись будет теперь иметь права администратора портала.

Добавление корпоративных учетных записей на портал вручную

Если вы выбрали опцию, которая позволит пользователям стать членами организации По приглашению администратора, то вам будет нужно зарегистрировать соответствующие учетные записи в организации с помощью утилиты командной строки или скрипта Python. Убедитесь в том, что для корпоративной учетной записи, которая будет использоваться для администрирования портала, была выбрана роль Администратор.

Отмена прав или удаление первичной учетной записи администратора

Теперь, когда у вас появилась дополнительная учетная запись администратора портала, вы можете назначить начальной учетной записи администратора другую роль или удалить ее. Более подробно см. в разделе О учетной записи главного администратора.

Запрет создания собственных учетных записей для пользователей

Запретите создание собственных учетных записей пользователями, отключив эту возможность в настройках организации.

Отключение входа под учетными записями ArcGIS

Чтобы запретить пользователям вход на портал под учетными записями ArcGIS, выключите кнопку Использование учетной записи ArcGIS, находящуюся на странице входа. Для этого выполните следующие шаги:

  1. Войдите на веб-сайт портала в качестве администратора вашей организации и щелкните Организация > Настройки > Безопасность.
  2. В разделе Учетные записи, под пунктом Опции входа, отключите переключатель Учетные записи <Имя организации>.

На странице входа появится кнопка для входа на портал под учетной записью провайдера аутентификации, а кнопка для входа Под учетной записью ArcGIS станет недоступной. Вы можете повторно активировать учетные записи участников, включив Учетные записи <Имя организации> под пунктом Учетные записи > Опции входа.

Изменение провайдера корпоративной аутентификации SAML

Если настроен корпоративный провайдер идентификации, вы можете обновить его настройки, щелкнув кнопку Дополнительные опции рядом с текущим зарегистрированным провайдером и выбрав Редактировать. Обновите настройки в окне Редактировать корпоративную учетную запись. Эти кнопки станут активны только после настройки SAML-совместимого провайдера аутентификации.

Чтобы удалить текущего зарегистрированного провайдера идентификации, щелкните кнопку Дополнительные опции рядом с провайдером и выберите Удалить. После удаления провайдера аутентификации можно произвести настройку нового провайдера, если это необходимо.