Sie können den Zugriff auf das Portal mit Lightweight Directory Access Protocol (LDAP) sichern. Wenn Sie LDAP verwenden, werden Anmeldenamen über den LDAP-Server Ihrer Organisation verwaltet.
Um LDAP zu verwenden, können Sie die Authentifizierung auf Portal-Ebene oder Webebene mit ArcGIS Web Adaptor (Java Platform) einrichten, die für einen Java-Anwendungsserver bereitgestellt wird. ArcGIS Web Adaptor (IIS) kann nicht zur Authentifizierung auf Webebene mit LDAP herangezogen werden. Installieren und konfigurieren Sie ggf. ArcGIS Web Adaptor (Java Platform) mit Ihrem Portal.
Konfigurieren von LDAP im Portal
Portal for ArcGIS erzwingt HTTPS standardmäßig für die gesamte Kommunikation. Wenn Sie diese Option zuvor geändert haben, um die Kommunikation über HTTP und HTTPS zu ermöglichen, müssen Sie das Portal neu konfigurieren, um ausschließlich HTTPS für die Kommunikation zu verwenden, indem Sie die folgenden Schritte ausführen.
Konfigurieren des Portals für die Verwendung von HTTPS für die gesamte Kommunikation
- Melden Sie sich als Administrator Ihrer Organisation bei der Portal-Website an. Die URL hat das Format https://webadaptorhost.domain.com/webadaptorname/home.
- Klicken Sie auf Organisation und auf die Registerkarte Einstellungen und dann links auf der Seite auf Sicherheit.
- Aktivieren Sie die Option Zugriff auf das Portal nur über HTTPS erlauben.
Aktualisieren des Identitätsspeichers des Portals
Aktualisieren Sie anschließend den Identitätsspeicher Ihres Portals, um LDAP-Benutzer und -Gruppen zu verwenden.
- Melden Sie sich als Administrator Ihrer Organisation beim ArcGIS-Portalverzeichnis an. Die URL hat das Format https://webadaptorhost.domain.com/webadaptorname/portaladmin.
- Klicken Sie auf Security > Config > Update Identity Store.
- Fügen Sie die LDAP-Benutzerkonfigurationsinformationen Ihrer Organisation (im JSON-Format) in das Textfeld User store configuration (in JSON format) ein. Sie können das folgende Beispiel mit Benutzerinformationen aktualisieren, die sich speziell auf Ihre Organisation beziehen.
{ "type": "LDAP", "properties": { "userPassword": "secret", "isPasswordEncrypted": "false", "user": "uid=admin,ou=system", "userFullnameAttribute": "cn", "userGivenNameAttribute": "givenName", "userSurnameAttribute": "sn", "ldapURLForUsers": "ldaps://myLdapServer:10636/ou=users,ou=ags,dc=example,dc=com", "userEmailAttribute": "mail", "usernameAttribute": "uid", "caseSensitive": "false", "userSearchAttribute": "uid" } }In den meisten Fällen müssen Sie lediglich die Werte für die Parameter user, userPassword und ldapURLForUsers ändern. Die URL für Ihr LDAP erhalten Sie von Ihrem LDAP-Administrator.
Im vorstehenden Beispiel bezieht sich die LDAP-URL auf Benutzer in einer bestimmten Organisationseinheit (ou=users). Wenn Benutzer in mehreren Organisationseinheiten vorhanden sind, kann die LDAP-URL auf eine Organisationseinheit einer höheren Ebene oder bei Bedarf sogar auf die Stammebene verweisen. In diesem Fall sieht die URL stattdessen wie folgt aus:
"ldapURLForUsers": "ldaps://myLdapServer:10636/dc=example,dc=com",
Das für den Benutzerparameter zu verwendende Konto benötigt lediglich Berechtigungen zum Suchen der E-Mail-Adressen und Benutzernamen der Benutzer in Ihrer Organisation. Obwohl das Kennwort in Klartext eingegeben wird, wird es verschlüsselt, wenn Sie auf Update Configuration (unten) klicken.
Wenn für LDAP die Unterscheidung zwischen Groß- und Kleinschreibung konfiguriert wurde, legen Sie den Parameter caseSensitive auf true fest.
- Um im Portal Gruppen zu erstellen, für die die bestehenden LDAP-Gruppen in Ihrem Identitätsspeicher genutzt werden, fügen Sie die LDAP-Benutzerkonfigurationsinformationen Ihrer Organisation (im JSON-Format) in das Textfeld Group store configuration (in JSON format) ein. Sie können das folgende Beispiel mit Gruppeninformationen aktualisieren, die sich speziell auf Ihre Organisation beziehen. Wenn Sie nur integrierte Gruppen des Portals verwenden möchten, löschen Sie sämtliche Informationen im Textfeld und überspringen diesen Schritt.
{ "type": "LDAP", "properties": { "userPassword": "secret", "isPasswordEncrypted": "false", "user": "uid=admin,ou=system", "ldapURLForUsers": "ldaps://myLdapServer:10636/ou=users,ou=ags,dc=example,dc=com", "ldapURLForRoles": "ldaps://myLdapServer:10636/dc=example,dc=com", "usernameAttribute": "uid", "caseSensitive": "false", "userSearchAttribute": "uid", "memberAttributeInRoles": "member", "rolenameAttribute":"cn" } }In den meisten Fällen müssen Sie lediglich die Werte für die Parameter user, userPassword, ldapURLForUsers und ldapURLForUsers ändern. Die URL für Ihr LDAP erhalten Sie von Ihrem LDAP-Administrator.
Im vorstehenden Beispiel bezieht sich die LDAP-URL auf Benutzer in einer bestimmten Organisationseinheit (ou=users). Wenn Benutzer in mehreren Organisationseinheiten vorhanden sind, kann die LDAP-URL auf eine Organisationseinheit einer höheren Ebene oder bei Bedarf sogar auf die Stammebene verweisen. In diesem Fall sieht die URL stattdessen wie folgt aus:
"ldapURLForUsers": "ldaps://myLdapServer:10636/dc=example,dc=com",
Das für den Benutzerparameter verwendete Konto benötigt lediglich Berechtigungen zum Suchen der Namen von Gruppen in Ihrer Organisation. Obwohl das Kennwort in Klartext eingegeben wird, wird es verschlüsselt, wenn Sie auf Update Configuration (unten) klicken.
Wenn für LDAP die Unterscheidung zwischen Groß- und Kleinschreibung konfiguriert wurde, legen Sie den Parameter caseSensitive auf true fest.
- Klicken Sie auf Update Configuration, um Ihre Änderungen zu speichern.
- Wenn Sie ein Portal mit hoher Verfügbarkeit konfiguriert haben, starten Sie jeden Portal-Computer neu. Vollständige Anweisungen finden Sie unter Beenden und Starten des Portals.
Hinzufügen organisationsspezifischer Konten zum Portal
Organisationsspezifische Benutzer haben standardmäßig Zugriff auf die Portal-Website. Sie können jedoch nur Elemente anzeigen, die für alle Benutzer in der Organisation freigegeben wurden. Dies ist darauf zurückzuführen, dass die organisationsspezifischen Konten nicht zu dem Portal hinzugefügt und ihnen keine Zugriffsberechtigungen gewährt wurden.
Fügen Sie Konten zu Ihrem Portal hinzu, indem Sie die folgenden Methoden verwenden:
- Portal for ArcGIS-Website (nacheinander, mehrere gleichzeitig aus einer CSV-Datei oder über vorhandene Active Directory-Gruppen)
- Befehlszeilendienstprogramm
- Automatisch
Es wird empfohlen, mindestens ein organisationsspezifisches Konto als Administrator des Portals festzulegen. Dies kann beim Hinzufügen des Kontos durch Auswahl der Rolle Administrator erfolgen. Wenn Sie über ein alternatives Administratorkonto für das Portal verfügen, können Sie dem initialen Administratorkonto die Rolle „Benutzer“ zuweisen oder das Konto löschen. Weitere Informationen finden Sie unter Initiales Administratorkonto.
Nachdem die Konten hinzugefügt und die nachfolgenden Schritte ausgeführt wurden, können Benutzer sich bei der Organisation anmelden und auf Inhalte zugreifen.
Konfigurieren von ArcGIS Web Adaptor für die Verwendung der Authentifizierung auf Webebene
Nachdem Sie ArcGIS Web Adaptor (Java Platform) für Ihr Portal gemäß der entsprechenden Installationsanweisung installiert und konfiguriert haben, müssen Sie zwei primäre Tasks für den Java-Anwendungsserver konfigurieren:
- Integration in den LDAP-Identitätsspeicher. Dadurch kann der Java-Anwendungsserver Benutzer authentifizieren, die in diesem LDAP-Speicher verwaltet werden.
- Aktivieren Sie einen browserbasierten Authentifizierungsmechanismus, z. B. zur Authentifizierung basierend auf Formularen oder Dialogfeldern für die ArcGIS Web Adaptor-Anwendung im Portal.
Weitere Anweisungen erhalten Sie von Ihrem Systemadministrator, in der Produktdokumentation für Ihren Java-Anwendungsserver oder von Esri Professional Services.
Überprüfen des Zugriffs auf das Portal mittels LDAP
- Öffnen Sie die Portal-Website. Die URL hat das Format https://webadaptorhost.domain.com/webadaptorname/home.
- Überprüfen Sie, ob Sie aufgefordert werden, Ihre Anmeldeinformationen für das LDAP-Konto einzugeben. Wenn dieses Verhalten nicht auftritt, überprüfen Sie, ob das LDAP-Konto, mit dem Sie sich bei dem Computer angemeldet haben, zu dem Portal hinzugefügt wurde.
Verhindern der Erstellung eigener integrierter Konten durch Benutzer
Sie können verhindern, dass Benutzer eigene integrierte Konten erstellen, indem Sie die Möglichkeit der Erstellung neuer integrierter Konten durch Benutzer in den Organisationseinstellungen deaktivieren.