Настройка HTTPS с использованием самозаверенного сертификата

В этом разделе показано, как настроить HTTPS для ArcGIS Server с использованием самозаверенного сертификата. Для настройки HTTPS с помощью самозаверенного сертификата, выполните следующие шаги:

1. Создайте новый самозаверенный сертификат.
2. Настройте ArcGIS Server для использования данного сертификата.
3. Настройка всех ГИС-серверов в развернутой системе.
4. Настройка HTTPS для сайта.
5. Осуществите доступ к сайту при помощи HTTPS.
6. Импорт сертификата в хранилище сертификатов операционной системы.

Создание нового самозаверенного сертификата

1. Войдите в ArcGIS Server Administrator Directory по адресу https://gisserver.domain.com:6443/arcgis/admin.
2. Перейдите в machines > [имя компьютера] > sslcertificates.
3. Щёлкните создать
4. Введите значения параметров на этой странице:

   Опция	Описание
   Псевдоним	Уникальное название, которое позволяет легко идентифицировать сертификат.
   Алгоритм ключа	Используйте RSA (по умолчанию) или DSA.
   Размер ключа	Задает размер в битах для формирования криптографических ключей, которые используются для создания сертификата. Чем больше размер ключа, тем труднее взломать шифр, однако при этом возрастает время расшифровки данных. Для DSA размер ключа составляет от 512 до 1024. Для RSA рекомендуется использовать размер 2048 или больше.
   Алгоритм подписи	Используйте алгоритм по умолчанию (SHA256withRSA). Если ваша организация имеет особые параметры безопасности, для DSA можно использовать один из следующих алгоритмов: SHA384withRSA, SHA512withRSA, SHA1withRSA, SHA1withDSA.
   Обычное имя	Это поле является дополнительным и используется для обратной совместимости с устаревшими веб-браузерами и программным обеспечением. Рекомендуется использовать полное доменное имя для имени вашего сервера в качестве обычного имени. Если доступ к серверу будет осуществляться через Интернет по URL-адресу https://www.gisserver.com:6443/arcgis/, используйте www.gisserver.com в качестве обычного имени. Если доступ к серверу будет осуществляться только по локальной сети по URL-адресу https://gisserver.domain.com:6443/arcgis, используйте gisserver.domain.com в качестве обычного имени.
   Подразделение организации	Имя подразделения организации, например, Отдел ГИС.
   Организация	Имя организации, например, Esri.
   Город	Название города нахождения, например, Редландс.
   Штат или область	Полное название штата или области, например, Калифорния.
   Код страны	Код страны, например, US.
   Срок действия	Общее время в днях, в течение которого будет действителен этот сертификат, например, 365.
   Альтернативное имя субъекта	Альтернативное имя субъекта (SAN) используется для проверки того, что сертификат SSL, предоставляемый веб-сайтом, был выдан именно для этого веб-сайта. Если параметр слева не заполнен, по умолчанию используется полное доменное имя локального компьютера. Поле SAN поддерживает множественные значения; но оно должно содержать полное доменное имя веб-сайта. Значение параметра SAN не может содержать пробелов. Например, если ваш сервис в основном доступен через адрес URL https://www.esri.com, параметр SAN должен быть установлен на значение DNS:www.esri.com. Если ваш сервер будет доступен с помощью публичного интернета через адрес URL https://www.esri.com и внутри локальной сети вашей организации (LAN) через адрес URL https://gisserver.esri.com, параметр SAN должен быть установлен на значение DNS:www.esri.com,DNS:gisserver.esri.com. Использование групповых символов (*.esri.com)) в параметре SAN хоть и поддерживается, но не рекомендуется. Когда один и тот же сертификат используется для нескольких веб-сайтов или субдоменов, перечислите каждый веб-сайт или субдомен в параметре SAN, как показано в следующем примере: Пример: DNS:www.esri.com,DNS:esri.com,DNS:www.esri.ch,DNS:www.esri.rw,DNS:www.esri.de,DNS:maps.esri.com,DNS:support.esri.com,DNS:pro.arcgis.com.

5. Щелкните Создать, чтобы сформировать сертификат.

Задание в ArcGIS Server использования данного сертификата

Чтобы указать сертификат, который должен использоваться в ArcGIS Server, выполните следующие действия:

1. Войдите в ArcGIS Server Administrator Directory по адресу https://gisserver.domain.com:6443/arcgis/admin.
2. Перейдите к компьютеры > [имя компьютера].
3. Выберите Редактировать.
4. Введите имя сертификата, который будет использоваться, в поле SSL-сертификат веб-сервера.
5. Нажмите кнопку Сохранить изменения, чтобы применить изменения. Сайт ArcGIS Server будет автоматически перезагружен.
6. После перезапуска сайта проверьте, что у вас имеется доступ к URL-адресу https://gisserver.domain.com:6443/arcgis/admin. Если вы не получаете ответа с этого URL-адреса, ArcGIS Server не может использовать сертификат. Выполните вход в ArcGIS Server Administrator Directory по адресу http://gisserver.domain.com:6080/arcgis/admin, отметьте свой сертификат SSL и настройте ArcGIS Server на использование нового или другого сертификата.
7. На текущей странице проверьте значение свойства SSL-сертификат веб-сервера, где для HTTPS должен быть указан нужный сертификат.

Настройка всех ГИС-серверов в вашей боевой среде

Если в развернутой системе ArcGIS Server имеется несколько компьютеров, необходимо создать новый самозаверенный сертификат для каждого ГИС-сервера, который используется в сайте, и настроить ГИС-сервер на использование этого сертификата.

Настройка HTTPS для сайта

1. Проверьте, что вы можете получить доступ к URL-адресу https://gisserver.domain.com:6443/arcgis/admin. Если вы не получаете ответа с этого URL-адреса, ArcGIS Server не может использовать указанный сертификат. Проверьте сертификат и настройте ArcGIS Server на использование нового или другого сертификата.
2. Если доступ к URL-адресу https://gisserver.domain.com:6443/arcgis/admin имеется, перейдите к security > config > update.
3. Установите параметр Протокол, выбрав опцию Только HTTPS, затем щелкните Обновить.

Примечание:

ArcGIS Web Adaptor потребуется около одной минуты, чтобы распознать изменение протокола связи вашего сайта.

Прежние версии:

В версиях 10.2.1 и ниже требовалась перенастройка ArcGIS Web Adaptor после обновления протокола связи ArcGIS Server. В 10.2.2 и более новых версиях этого больше не требуется.

Доступ к сайту с помощью HTTPS.

После настройки HTTPS, ArcGIS Server прослушивает порт 6443 на наличие HTTPS-запросов. Для безопасного доступа к ArcGIS for Server используйте следующие URL-адреса:

ArcGIS Server Manager	https://gisserver.domain.com:6443/arcgis/manager
ArcGIS Server Services Directory	https://gisserver.domain.com:6443/arcgis/rest/services

Примечание:

Если переименовать ArcGIS Server при включенном протоколе HTTPS, доступ к ArcGIS Server с использованием HTTPS сохранится, однако необходимо создать новый сертификат и настроить ArcGIS Server на его использование.

Импорт сертификата в хранилище сертификатов операционной системы

Чтобы сервисы ArcGIS, такие как PrintingTools, работали с ArcGIS Server, использующим HTTPS, сертификат должен быть установлен как доверенный:

1. Войдите в ArcGIS Server Administrator Directory.
2. Перейдите в меню machines > [имя компьютера] > sslcertificates.
3. Щелкните на сертификате, используемом ArcGIS Server, и выберите export. Сохраните файл в той папке компьютера, где хранятся остальные корневые самозаверяющиеся сертификаты.
4. На компьютере с ArcGIS Server откройте в текстовом редакторе скрипт init_user_param.sh, перейдя в директорию <ArcGIS Server installation directory>/arcgis/server/usr.
5. Найдите строку export CA_ROOT_CERTIFICATE_DIR=<Location_to_CA_Root_Certificate> и укажите местоположение, где хранятся все корневые сертификаты центра сертификации. Имейте ввиду, что указанная директория должна быть доступна той учетной записи, которая использовалась для установки ArcGIS Server. Вам потребуется снять комментарии в этих строках, удалив знаки решетки (#).
6. Сохраните и закройте скрипт init_user_param.sh.
7. Перезапустите ArcGIS for Server. Вы можете сделать это, выполнив скрипт startserver.sh для каждого ГИС-сервера вашего сайта.
8. Повторите вышеуказанные шаги для каждого ГИС-сервера вашего сайта.