用于确定如何在 ArcGIS Enterprise 部署中配置安全性的主要因素应为您门户的用户源，或者也可以是门户的群组源。此用户和群组源被称作标识存储。通过标识存储管理组织内部或外部的用户和群组。
理解标识存储
门户的标识存储定义了门户帐户凭据的存储位置、身份验证的方式以及管理群组成员资格的方式。ArcGIS Enterprise 门户支持两种类型的标识存储：内置标识存储和企业标识存储。
内置标识存储
ArcGIS Enterprise 门户可以配置为允许成员在门户中轻松创建帐户和群组。启用时，您可使用门户网站登录页面上的创建帐户链接向门户添加内置帐户，并开始向组织贡献内容或者访问由其他成员创建的资源。您还可以单击门户网站主页上的群组选项卡，然后通过创建群组来管理项目。使用这种方法在门户中创建帐户和群组时，您利用的是内置标识存储，这将执行身份验证并存储门户帐户用户名称、密码、角色以及群组成员资格。
必须使用内置标识存储创建门户的初始管理员帐户，但之后可以切换到企业标识存储。内置标识存储对于门户的启动和运行以及开发与测试都是非常有用的。但生产环境通常利用企业标识存储。
企业标识存储
ArcGIS Enterprise 门户的设计旨在使您能够通过使用企业帐户和群组来控制对于 ArcGIS 组织的访问。例如，可通过使用来自轻量级目录访问协议 (LDAP) 服务器、活动目录服务器以及支持安全声明标记语言 2.0 (SAML) Web 单点登录的身份提供者的凭据来控制对门户的访问。本文档中将此过程描述为设置企业登录帐户。
此方法的优势在于无需在门户内创建其他帐户。成员使用已在企业标识存储中设置的登录帐户。帐户凭据的管理完全在门户的外部完成。这将启用单点登录体验，因此用户无需重新输入其凭据。
同样，还可以在使用标识存储中的现有企业组的门户中创建群组。此外，还可以从您组织内的企业群组中批量添加企业帐户。成员登录门户后，访问内容、项目和数据由企业群组中定义的成员规则控制。群组成员资格的管理完全在门户的外部完成。
例如，建议对您的门户禁用匿名访问，将您的门户与组织内所需的企业组相连，然后在这些群组的基础上添加企业帐户。通过这样的方式，您可以根据组织内的特定企业群组来限制对门户的访问。
如果组织希望设置关于密码有效期和复杂性的策略、使用现有企业群组控制对数据的访问或者希望通过集成的 Windows 身份验证 (IWA) 或公钥基础设施 (PKI) 来利用身份验证，请使用企业标识存储。可以在 Web 层（使用 Web 层的身份验证）、门户层（使用门户层的身份验证）执行身份验证，或者通过外部身份提供者执行身份验证（使用 SAML）。
ArcGIS Enterprise 使用 Active Directory 标识存储，支持来自具有单个森林的多个域的身份验证，但是不提供跨森林的身份验证。要支持来自多个森林的企业用户，需要标识提供者的 SAML。
支持多个标识存储
通过使用 SAML 2.0，您可以使用多个标识存储来访问您的门户。用户可使用内置帐户和在配置为相互信任的多个 SAML 兼容身份提供者中管理的帐户进行登录。这是一种管理组织内外用户的有效方式。有关完整详细信息，请参阅在门户中配置 SAML 兼容身份提供者。
使用门户的标识存储配置内置用户和群组
使用内置用户和群组时，无需任何门户配置步骤；在安装软件后，门户可立即用于内置用户和群组。有关使用企业用户的详细信息，请参阅以下部分及其相关链接。
配置企业登录帐户
可通过门户配置以下企业级身份提供者。可以在 Web 层（使用 ArcGIS Web Adaptor）或在门户层执行身份验证。
Web 层身份验证
如果您的门户运行于 Windows 服务器中并已配置 Windows 活动目录，则可以使用集成的 Windows 身份验证连接至您的门户。这将为通过 Web 层身份验证的门户用户开启自动或单点登录体验。要使用 Windows 身份验证，您的 Web Adaptor 必须部署到 Microsoft 的 IIS web 服务器。
如果您拥有 LDAP 目录，则可将其与 ArcGIS Enterprise 门户一同使用。有关详细信息，请参阅配合使用门户、LDAP 和 Web 层身份验证。如果要使用 LDAP，请将 Web Adaptor 部署到 Java 应用程序服务器，例如 Apache Tomcat、IBM WebSphere 或 Oracle WebLogic。
如果贵组织拥有 PKI，通过 HTTPS 可使用证书对门户通信进行身份验证。对用户进行身份验证时，可以选择使用 Windows 活动目录或轻量级目录访问协议 (LDAP)。要使用 Windows 身份验证，您的 Web Adaptor 必须部署到 Microsoft 的 IIS Web 服务器。要使用 LDAP，Web Adaptor 必须部署到 Java 应用程序服务器，例如 Apache Tomcat、IBM WebSphere 或 Oracle WebLogic。 使用 PKI 时无法启用对门户的匿名访问。
门户层身份验证
如果想要允许使用企业和内置标识存储而不使用 SAML 来访问您的门户，则可以使用门户层身份验证。完成方式为使用活动目录或 LDAP 标识存储配置门户，然后启用对 IIS 或者您 Java 应用程序服务器的匿名访问。 当访问您门户的登录页面时，用户能够使用企业凭据或者内置凭据进行登录。企业用户在每次登录至门户时均需要输入其帐户凭据；自动或单点登录将不可用。这种身份验证也允许匿名用户访问地图或者其它与所有人共享的门户资源。
使用门户层身份验证时，您企业的成员将使用以下语法登录：
- 如果通过活动目录使用门户，则语法为 domain\username 或 username@domain。无论成员以何种方式登录，门户网站上的用户名始终显示为 username@domain。
- 如果通过 LDAP 使用门户，则语法始终为 username。门户网站也以此格式显示帐户。
使用 SAML 配置企业登录帐户
ArcGIS Enterprise 门户支持所有 SAML 兼容身份提供者。下列教程演示了通过门户配置某些常见 SAML 兼容身份提供者的方法。有关详细信息，请参阅在门户中配置 SAML 兼容身份提供者。
帐户锁定策略
软件系统经常强制执行帐户锁定策略，以避免多次自动尝试猜测用户密码。如果用户在一定时间间隔内登录失败达到一定次数，那么该用户可能被拒绝在指定时间段内再次尝试登录。这些策略权衡了有时用户会忘记其用户名和密码，因而无法成功登录这一事实。
Portal for ArcGIS 强制的锁定策略取决于您所使用的标识存储类型：
内置标识存储
内置标识存储会将连续五次登录失败的用户锁定。锁定持续 15 分钟。此策略适用于标识存储中的所有帐户，包括初始管理员帐户。此策略无法修改或替换。
企业标识存储
使用企业级标识存储时，将从该存储继承帐户锁定策略。您也许能够针对该存储修改帐户锁定策略。要了解如何更改帐户锁定策略，请参阅特定于存储类型的文档。
监控失败的登录尝试
可通过在门户目录中查看门户日志来监控失败的登录尝试。每次失败登录都将显示一条警报级别的消息，提示用户由于无效的用户名或密码组合而导致登录失败。如果用户超过了登录尝试的最大次数，则将记录一条严重级别的消息，提示帐户已被锁定。监控门户日志以便获得关于失败登录尝试的信息可以帮助您了解系统中是否存在潜在的密码攻击。
有关详细信息，请参阅使用门户日志。