Настройка SAML-совместимого провайдера идентификации для работы с порталом

Security Assertion Markup Language ( SAML ) - это открытый стандарт, который используется для безопасного обмена данными аутентификации и авторизации между провайдером идентификации организации и провайдером сервиса (в данном случае вашей организации ArcGIS Enterprise ). Этот подход известен как Единый веб-вход SAML .

Организация совместима с SAML 2.0 и работает с провайдерами идентификации, поддерживающими стандарт SAML 2 Web Single Sign On. Преимущество настройки SAML состоит в том, что вам не нужно создавать для пользователей дополнительные учетные записи для доступа к вашей организации; они могут использовать уже настроенную в хранилище учетную запись. Данный процесс называют в документации настройкой учетных записей организации.

Вы также можете ввести для портала метаданные, относящиеся к группам SAML в вашем хранилище идентификаций. Это позволит создавать группы на портале, которые используют существующие группы SAML из хранилища идентификаций.

Когда участники входят на портал, доступ к ресурсам, элементам и данным обеспечивается правилами, заданными в группе SAML . Если вы не предоставите необходимых метаданных о группах SAML , вы все равно сможете создавать группы. Однако правила участия контролируются порталом ArcGIS Enterprise , а не хранилищем идентификаций.

Сопоставление имен пользователей ArcGIS Online на портале ArcGIS Enterprise

Если в вашей организации ArcGIS Online и на портале используется тот же провайдер идентификации SAML , то имена пользователей организации можно настраивать, чтобы они совпадали. У всех имен пользователей организации в ArcGIS Online есть короткие имена организации, присоединенные в конце. Такие же имена пользователей организации можно использовать на портале, задав свойство defaultIDPUsernameSuffix портала в ArcGIS Enterprise и указав его в соответствии с коротким именем организации. Это необходимо, если включено отслеживание правок для сервиса объектов, редактируемого пользователями организации ArcGIS Online и портала.

Вход в SAML

ArcGIS Enterprise поддерживает учетные записи организации, инициированные провайдером сервиса (SP) и провайдером идентификаций (IDP). Процедуры входа с их использованием отличаются.

При использовании учетных записей провайдера сервиса пользователи получают доступ к порталу напрямую, и у них есть возможность входа с использованием встроенных учетных записей (управляемых порталом) или учетных записей, которые хранятся в провайдере идентификации с поддержкой SAML . Если пользователь выбирает опцию использования провайдера идентификаций SAML , он перенаправляется на веб-страницу (известную как диспетчер входа в систему), где ему предлагается указать свое имя пользователя SAML и пароль. После проверки учетных данных пользователя соответствующий SAML провайдер идентификации сообщает ArcGIS Enterprise о подтвержденной личности пользователя, который входит в систему, и пользователь перенаправляется обратно на веб-сайт портала.

Если участник выбирает опцию использования встроенной учетной записи, то открывается страница входа на веб-сайт портала ArcGIS Enterprise организации. Затем пользователь вводит свое встроенное имя пользователя и пароль для доступа к веб-сайту. Встроенную учетную запись можно использовать в качестве отказоустойчивой, если провайдер идентификации, совместимый с SAML , недоступен при условии, что опция входа с использованием учетной записи ArcGIS не была отключена.

С учетными записями, полученными от провайдера идентификации, пользователи сразу производят доступ к менеджеру корпоративной аутентификации и производят вход с использованием их учетных записей. Когда пользователь сообщает сведения о своей учетной записи, провайдер идентификаций посылает SAML-ответ непосредственно в ArcGIS Enterprise . Пользователь входит и перенаправляется на веб-сайт портала своей организации, где он может сразу получить доступ к ресурсам без необходимости выполнения повторного входа в организацию.

Опция входа с помощью встроенных учетных записей из менеджера аутентификации будет недоступна. Чтобы войти в организацию с использованием встроенных учетных записей, участники должны произвести доступ к веб-сайту портала напрямую.

Если аутентификации SAML перестали работать из-за вашего провайдера идентификации, и опция встроенных учетных записей неактивна, вы не сможете получить доступ к вашему порталу ArcGIS Enterprise , пока не сделаете активной эту опцию. См. этот вопрос в разделе Общие проблемы и решения для получения инструкций.

Провайдеры идентификации SAML

ArcGIS Enterprise поддерживает все SAML-совместимые провайдеры идентификации. В следующих руководствах описывается порядок настройки некоторых SAML-совместимых провайдеров идентификации с ArcGIS Enterprise :

Процесс получения необходимых метаданных от провайдера идентификации, перечисленных выше, описан в каждой ссылке. Процесс настройки провайдера идентификации с ArcGIS Enterprise описан ниже. Перед продолжением рекомендуется связаться с администратором вашего провайдера идентификации SAML для получения параметров, необходимых для настройки.

Необходимая информация

ArcGIS Enterprise должен получить определенную атрибутивную информацию от IDP, когда пользователь входит с использованием учетных записей SAML . Атрибут NameID является обязательным и должен отправляться IDP в ответ на запрос для интеграции работы с SAML . Так как ArcGIS Enterprise использует значение NameID для уникальной идентификации именованного пользователя, рекомендуется для идентификации пользователя использовать постоянное значение. Когда пользователь из IDP осуществляет вход, организация ArcGIS Enterprise создает в хранилище пользователей нового пользователя с именем NameID . Допустимыми символами значения, которое посылается атрибутом , NameID являются буквы, цифры, _ (нижнее подчеркивание), . (точка) и @ (знак "собачка"). Другие символы будут заменены нижним подчеркиванием в имени пользователя, созданном ArcGIS Enterprise .

ArcGIS Enterprise поддерживает получение email-адреса пользователя, информацию о его участии в группах, указанного имени и фамилии от поставщика удостоверений SAML .

Настройка SAML-совместимого провайдера идентификации для работы с порталом

Портал можно настроить так, чтобы пользователи выполняли вход, используя то же имя и пароль, которые используются для входа в локальные системы. Перед настройкой учетных записей организации вам необходимо настроить тип пользователя по умолчанию для своей организации.

1. Войдите на веб-сайт портала в качестве администратора вашей организации и щелкните Организация > Настройки > Безопасность .
2. В разделе Учетные записи щелкните кнопку Новая учетная запись SAML и выберите опцию Один провайдер аутентификаций . На странице Задать свойства введите имя своей организации (например, City of Redlands ).

При входе пользователей на веб-сайт портала данный текст отображается внутри строки входа SAML (например, Использование учетной записи City of Redlands).

Рекомендуется назначить хотя бы одну учетную запись SAML в качестве администратора портала и отключить или удалить первичную учетную запись администратора. Также рекомендуется отключить кнопку Создать учетную запись на веб-сайте портала, чтобы пользователи не могли создавать собственные учетные записи. Инструкции см. в разделе ниже Назначение учетной записи для конкретной организации администратором.

URL-адрес – введите URL-адрес, который возвращает метаданные о провайдере идентификации.

Если ваш провайдер идентификации включает самозаверенный сертификат, вы можете столкнуться с ошибкой при указании URL-адреса HTTPS для метаданных. Ошибка возникнет из-за того, что ArcGIS Enterprise не сможет проверить самозаверенный сертификат провайдера идентификации. Либо используйте в URL протокол HTTP, как указано ниже, либо настройте провайдер идентификации на работу с доверенным сертификатом.

• URL учетной записи (Перенаправление) – Введите URL провайдера идентификации (поддерживающее привязку перенаправления HTTP), который будет использоваться в ArcGIS Enterprise для входа участника.
• URL учетной записи (POST) – введите адрес URL провайдера идентификации (поддерживающий привязку HTTP POST), который будет использоваться в ArcGIS Enterprise для входа участника.
• Сертификат – укажите сертификат корпоративного провайдера идентификации в формате BASE 64. Это сертификат, который включает ArcGIS Enterprise для проверки цифровых подписей в ответах SAML, направляемых в ArcGIS Online провайдером идентификации.

Свяжитесь с администратором провайдера идентификации, если вам требуется помощь при определении источника метаданных.

• В разделе Безопасность вкладки Настройки вашей организации щелкните кнопку Загрузить метаданные провайдера сервиса , чтобы загрузить файл метаданных для вашей организации.
• Откройте URL-адрес метаданных и сохраните его как файл .xml на своем компьютере. URL-адрес – это https://webadaptorhost.domain.com/webadaptorname/sharing/rest/portals/self/sp/metadata?token=<token> , например, https://samltest.domain.com/arcgis/sharing/rest/portals/self/sp/metadata?token=G6943LMReKj_kqdAVrAiPbpRloAfE1fqp0eVAJ-IChQcV-kv3gW-gBAzWztBEdFY . Вы можете создать токен с помощью https://webadaptorhost.domain.com/webadaptorname/sharing/rest/generateToken . При указании URL на странице Создать токен укажите полное доменное имя сервера провайдера идентификации в текстовом окне URL веб-приложения . Никакой другой вариант, такой как IP-адрес или IP-адрес происхождения запроса , не поддерживается и может генерировать недопустимый токен.

Для доступа к инструкции о регистрации метаданных сервиса провайдера портала в сертифицированных провайдерах перейдите к разделу Провайдеры идентификации SAML выше.

• Шифровать утверждения – показывает провайдеру идентификации SAML, что ArcGIS Enterprise поддерживаются шифрованные ответы утверждений SAML. Если эта опция выбрана, то провайдер идентификации будет шифровать раздел утверждений ответов SAML. Весь трафик SAML шифруется в обе стороны по отношению к ArcGIS Enterprise при использовании HTTPS, эта опция добавляет дополнительный уровень шифрования.
• Включить подписанный запрос – ArcGIS Enterprise подписывает запрос аутентификации SAML, направленный провайдеру идентификации. Подпись исходного запроса аутентификации, отправленного ArcGIS Enterprise , позволяет провайдеру идентификации проверять, что все запросы аутентификации исходят от доверенного провайдера сервисов.

Включите этот параметр, чтобы обеспечить целостность запросов SAML. Вы можете включить эту опцию в любое время в расширенных настройках, даже если вы пропустили ее при первоначальной настройке портала.

При создании новой группы на портале ArcGIS Enterprise введенное вами имя группы должно соответствовать точному значению внешней группы SAML , которое возвращается в значении атрибута утверждения SAML . Если вы не уверены в корректности значения, обратитесь к администратору, который настроил систему SAML вашей организации.

Назначение учетной записи организации прав администратора

Процесс определения для учетной записи организации прав администратора портала зависит от того, смогут ли ваши пользователи зарегистрироваться в организации Автоматически или По приглашению администратора.

Если вы выбрали опцию Автоматического добавления пользователей в организацию, то откройте главную страницу веб-сайта портала; при этом вы должны войти под учетной записью организации, которую вы хотите использовать в качестве администратора портала.

Когда учетная запись впервые добавляется на портал автоматически, ей назначается роль по умолчанию, настроенная для новых участников. Только Администратор организации может изменить роль учетной записи; вы должны войти на портал, используя первичную учетную запись администратора и назначить учетной записи конкретной организации роль администратора.

1. Откройте веб-сайт портала и щелкните на опции входа с использованием провайдера идентификации SAML и введите учетные данные учетной записи SAML, которую вы хотите использовать в качестве администратора. Если эта учетная запись принадлежит кому-то другому, попросите этого пользователя подключиться к порталу, чтобы эта учетная запись была зарегистрирована на портале.
2. Убедитесь, что учетная запись была добавлена в портале, и щелкните Выйти . Очистите кэш и cookies вашего браузера.
3. Не выходя из браузера, откройте веб-сайт портала, щелкните на опции входа с использованием встроенной учетной записи портала и укажите имя пользователя и пароль первичной учетной записи администратора, которая была создана вами при установке ArcGIS Enterprise .
4. Найдите учетную запись SAML, которую вы хотите использовать для администрирования портала, и измените ее роль на Администратор . Щелкните Выйти .

Выбранная вами учетная запись SAML будет теперь иметь права администратора портала.

Если вы выбрали вариант По приглашению администратора , чтобы разрешить пользователям присоединяться к организации только по приглашению, вы должны зарегистрировать необходимые учетные записи в организации с помощью утилиты командной строки. Выберите роль Администратор для учетной записи SAML, которая будет использоваться для администрирования портала.

Теперь, когда у вас появилась дополнительная учетная запись администратора портала, вы можете назначить начальной учетной записи администратора другую роль или удалить ее. Более подробно см. в разделе О учетной записи главного администратора.

Запретите создание собственных учетных записей пользователями, отключив эту возможность в настройках организации.

Чтобы запретить пользователям входить на портал с использованием учетной записи ArcGIS, выключите кнопку переключателя Учетная запись ArcGIS на странице входа.

1. Войдите на веб-сайт портала в качестве администратора вашей организации и щелкните Организация > Настройки > Безопасность .
2. В разделе Учетные записи выключите кнопку переключателя Учетная запись ArcGIS .

На странице входа отображается кнопка для входа на портал с использованием учетной записи провайдера идентификации, а кнопка Учетной записи ArcGIS недоступна. Чтобы повторно включить вход для участников с учетными записями ArcGIS, включите кнопку переключателя Учетная запись ArcGIS в разделе Учетные записи .

Изменение или удаление SAML IDP

Если провайдер идентификации SAML настроен, вы можете обновить его настройки, нажав кнопку Редактировать рядом с текущим зарегистрированным провайдером идентификации SAML . Обновите настройки в окне Редактировать учетную запись SAML .

Чтобы удалить текущий зарегистрированный IDP, щелкните кнопку Редактировать рядом с IDP и затем Удалить учетную запись в окне Редактировать учетную запись SAML . После удаления IDP можно настроить новый IDP или объединение нескольких IDP, если необходимо.

Рекомендации по SAML -безопасности

Чтобы включить учетные записи на базе SAML , вы можете настроить ArcGIS Enterprise в качестве SP для вашего SAML IDP. Чтобы обеспечить надежную безопасность, рассмотрите передовые методы, описанные ниже.

Подписи используются для обеспечения целостности сообщений SAML и защиты от атак типа человек посередине (MITM). Цифровая подпись запроса SAML также гарантирует, что запрос отправляется доверенным SP, что позволяет IDP лучше справляться с атаками типа «отказ в обслуживании» (DOS). Включите опцию Включить подписанный запрос в расширенных настройках при настройке учетных записей SAML .

Включение подписанных запросов требует обновления IDP всякий раз, когда сертификат подписи, используемый SP, обновляется или заменяется.

Настройте IDP SAML для подписания ответа SAML , чтобы избежать изменения ответа подтверждения SAML при передаче.

Включение подписанных запросов требует, чтобы SP ( ArcGIS Enterprise ) обновлялся всякий раз, когда сертификат подписи, используемый IDP, обновляется или заменяется.

Любой обмен данными между SP, IDP и браузером пользователя, который отправляется по внутренней сети или через Интернет в незашифрованном формате, может быть перехвачен злоумышленниками. Если ваш SAML IDP поддерживает HTTPS, рекомендуется использовать конечную точку HTTPS для обеспечения конфиденциальности данных, передаваемых во время входа в систему SAML .

Использование HTTPS для сообщения SAML защищает сообщения SAML , которые отправляются между SP и IDP. Однако вошедшие в систему пользователи могут декодировать и просматривать сообщения SAML через веб-браузер. Включение шифрования ответа на утверждение не позволяет пользователям просматривать конфиденциальную или конфиденциальную информацию, передаваемую между IDP и SP.

Включение зашифрованных утверждений требует обновления IDP при каждом обновлении или замене сертификата шифрования, используемого SP ( ArcGIS Enterprise ).

Используйте сертификаты с надежными криптографическими ключами для цифровой подписи или шифрования сообщений SAML и обновляйте или заменяйте сертификаты каждые три-пять лет.