Настройка SSL в ArcGIS for Server при доступе через ArcGIS Web Adaptor

Когда ArcGIS Web Adaptor настроен на перенаправление запросов на сайт ArcGIS Server, необходимо включить HTTPS на веб-сервере, где находится ArcGIS Web Adaptor, а также настроитть HTTPS на каждом компьютере с ГИС-сервером, который располагается на сайте ArcGIS Server. Чтобы начать, выполните следующие шаги.

1. Создайте новый самозаверяющийся сертификат.
2. Отправьте запрос в центр сертификации на подпись сертификата.
3. Настройка ArcGIS Server на использование нового сертификата.
4. Настройка всех ГИС-серверов в развернутой системе.
5. Настроить доступ только через HTTPS для вашего сайта.
6. Настройка HTTPS в ArcGIS Web Adaptor.
7. Доступ к сайту с помощью HTTPS.

Создание нового самозаверяющего сертификата

1. Войдите в ArcGIS Server Administrator Directory по адресу https://gisserver.domain.com:6443/arcgis/admin.
2. Перейдите в machines > [имя компьютера] > sslcertificates.
3. Щёлкните создать
4. Введите значения параметров на этой странице:

   Опция	Описание
   Псевдоним	Уникальное название, которое позволяет легко идентифицировать сертификат.
   Алгоритм ключа	Используйте RSA (по умолчанию) или DSA.
   Размер ключа	Задает размер в битах для формирования криптографических ключей, которые используются для создания сертификата. Чем больше размер ключа, тем труднее взломать шифр, однако при этом возрастает время расшифровки данных. Для DSA размер ключа составляет от 512 до 1024. Для RSA рекомендуется использовать размер 2048 или больше.
   Алгоритм подписи	Используйте алгоритм по умолчанию (SHA1withRSA). Если ваша организация имеет особые параметры безопасности, для DSA можно использовать один из следующих алгоритмов: SHA256withRSA, SHA384withRSA, SHA512withRSA, SHA1withDSA.
   Обычное имя	В качестве обычного имени используйте имя домена сервера. Если доступ к серверу будет осуществляться через Интернет по URL-адресу https://www.gisserver.com:6443/arcgis/, используйте www.gisserver.com в качестве обычного имени. Если доступ к серверу будет осуществляться только по локальной сети по URL-адресу https://gisserver.domain.com:6443/arcgis, используйте gisserver.domain.com в качестве обычного имени.
   Подразделение организации	Имя подразделения организации, например, Отдел ГИС.
   Организация	Имя организации, например, Esri.
   Город	Название города нахождения, например, Редландс.
   Штат или область	Полное название штата или области, например, Калифорния.
   Код страны	Код страны, например, US.
   Срок действия	Общее время в днях, в течение которого будет действителен этот сертификат, например, 365.
   Альтернативное имя субъекта	Альтернативное имя субъекта (SAN) – это дополнительный параметр, который задает альтернативные имена для общего имени (CN), указанного в сертификате SSL. В значении параметра SAN не может быть пробелов. Если SAN не задано, доступ к веб-сайту (без ошибок сертификата SSL) можно получить только по общему имени, указанному в URL-адресе. Если задан SAN и имеется DNS-имя, доступ к веб-сайту можно получить только по тому, что указано в SAN. При желании можно задать несколько DNS имен. Например, URL-адреса https://www.esri.com, https://esri и https://10.60.1.16 могут использоваться для доступа к одному и тому же сайту, если сертификат создан с применением следующего значения параметра SAN: DNS:www.esri.com,DNS:esri,IP:10.60.1.16

5. Щелкните Создать, чтобы сформировать сертификат.

Обращение в центр сертификации с запросом на подпись сертификата

Если ArcGIS Web Adaptor будет единственным шлюзом на ваш сайт, а политика IT-безопасности вашей организации разрешает использование самозаверяющихся сертификатов, вы можете пропустить этот раздел. Но если пользователи хотя бы иногда будут обходить ArcGIS Web Adaptor и подключаться непосредственно к ArcGIS Server, или если ваша политика IT-безопасности не разрешает использование самозаверяющихся сертификатов, рекомендуется направить запрос в центр сертификации (CA) для подписания вашего сертификата, для чего необходимо выполнить следующие шаги.

1. Откройте самозаверяющийся сертификат, созданный вами в предыдущем разделе, и щелкните generateCSR. Скопируйте содержимое в файл (обычно с расширением CSR).
2. Отправьте CSR-файл в выбранный центр сертификации. Вы можете получить сертификаты с кодировкой Distinguished Encoding Rules (DER) или Base64. Если CA запрашивает тип веб-сервера, для которого готовится сертификат, укажите Other\Unknown или Java Application Server. После проверки вашей личности вам будет отправлен файл *.crt или *.cer.
3. Сохраните подписанный сертификат, полученный из центра сертификации, на компьютере. Помимо подписанного сертификата центр сертификации также издает корневой сертификат. Сохраните корневой сертификат на компьютере.
4. Выполните вход в ArcGIS Server Administrator Directory: https://gisserver.domain.com:6443/arcgis/admin.
5. Выберите machines > [имя компьютера] > sslcertificates > importRootOrIntermediate, чтобы импортировать корневой сертификат центра сертификации. Если центр сертификации издал дополнительные промежуточные сертификаты, импортируйте их тоже.
6. Перейдите в меню machines > [имя компьютера] > sslcertificates.
7. Выберите имя самозаверяющегося сертификата, направленного в центр сертификации.
8. Щелкните importSignedCertificate и перейдите к местоположению, где находится сохраненный подписанный сертификат, полученный из центра сертификации.
9. Щелкните Подтвердить. Он заменит самозаверяющий сертификат, который вы создали ранее, на сертификат, подписанный центром сертификации.

Задание в ArcGIS Server использования данного сертификата

Чтобы указать сертификат, который должен использоваться в ArcGIS Server, выполните следующие действия:

1. Войдите в ArcGIS Server Administrator Directory по адресу https://gisserver.domain.com:6443/arcgis/admin.
2. Перейдите к компьютеры > [имя компьютера].
3. Выберите Редактировать.
4. Введите имя сертификата, который будет использоваться, в поле SSL-сертификат веб-сервера.
5. Нажмите кнопку Сохранить изменения, чтобы применить изменения. Сайт ArcGIS Server будет автоматически перезагружен.
6. После перезапуска сайта проверьте, что у вас имеется доступ к URL-адресу https://gisserver.domain.com:6443/arcgis/admin. Если вы не получаете ответа с этого URL-адреса, ArcGIS Server не может использовать указанный SSL-сертификат. Проверьте сертификат SSL и настройте ArcGIS Server на использование нового или другого сертификата.
7. На текущей странице проверьте значение свойства SSL-сертификат веб-сервера, где для HTTPS должен быть указан нужный SSL-сертификат.

Настройка всех ГИС-серверов в вашей боевой среде

Если в развертывании ArcGIS Server имеется несколько компьютеров, необходимо настроить каждый ГИС-сервер на работу с сертификатом. Повторите шаги предыдущего раздела, чтобы настроить сертификат на каждом из ваших ГИС-серверов.

Настроить доступ только через HTTPS для вашего сайта.

1. Войдите в ArcGIS Server Administrator Directory по адресу https://gisserver.domain.com:6443/arcgis/admin.
2. Перейдите в меню security > config > update.
3. Установите параметр Протокол, выбрав опцию Только HTTPS, затем щелкните Обновить. ArcGIS for Server будет перезапущен.
4. После перезапуска сервера проверьте, что ArcGIS Server доступен по URL-адресу HTTPS, например, https://gisserver.domain.com:6443/arcgis/rest/services.

Настройка HTTPS в ArcGIS Web Adaptor.

Включите HTTPS на веб-сервере, где установлен ArcGIS Web Adaptor. Полные инструкции можно найти в документации к вашему веб-серверу. Подробнее о HTTPS см. в разделе Включение HTTPS на веб-сервере.

Прежние версии:

В версиях 10.2.1 и ниже требовалась перенастройка ArcGIS Web Adaptor после обновления протокола связи ArcGIS Server. В 10.2.2 и более новых версиях этого больше не требуется.

Доступ к сайту с помощью HTTPS.

После настройки HTTPS вы можете безопасно производить доступ непосредственно на ArcGIS Server через HTTPS, используя порт 6443 или URL-адрес Web Adaptor. Если переименовать ArcGIS Server при включенном протоколе HTTPS, доступ к ArcGIS Server с использованием HTTPS сохранится, однако необходимо создать новый сертификат и настроить ArcGIS Server на его использование. URL-адреса имеют следующий формат:

ArcGIS Server Manager	Доступ к Manager через ГИС-сервер: https://gisserver.domain.com:6443/arcgis/manager. Доступ к Manager через ArcGIS Web Adaptor (только если включен административный доступ): https://webadaptor.domain.com/arcgis/manager.
ArcGIS Server Services Directory	Доступ к Services Directory через ГИС-сервер: https://gisserver.domain.com:6443/arcgis/rest/services. Доступ к Services Directory через ArcGIS Web Adaptor: https://webadaptor.domain.com/arcgis/rest/services.