Sie können das Updaterollup 3 für Active Directory Federation Services (AD FS) 2.0 und AD FS 3.0 im Microsoft Windows Server-Betriebssystem als Identity-Provider (IDP) für Enterprise-Anmeldenamen in Portal for ArcGIS konfigurieren. Die Konfiguration umfasst zwei Hauptschritte: die Registrierung des Enterprise-Identity-Providers bei Portal for ArcGIS und die Registrierung von Portal for ArcGIS beim Enterprise-Identity-Provider.
Erforderliche Informationen
Portal for ArcGIS erfordert das Empfangen bestimmter Attributinformationen vom Identity-Provider, wenn ein Benutzer sich mit Enterprise-Anmeldenamen anmeldet. Das Attribut NameID ist ein verbindliches Attribut, das von Ihrem Identity-Provider in der SAML-Antwort gesendet werden muss, damit der Verbund mit Portal for ArcGIS hergestellt werden kann. Da Portal for ArcGIS einen Named User anhand des Wertes NameID eindeutig identifiziert, empfiehlt sich die Verwendung eines konstanten Wertes zur eindeutigen Identifizierung des Benutzers. Wenn sich ein Benutzer des IDP anmeldet, erstellt Portal for ArcGIS im Benutzerspeicher einen neuen Benutzer mit dem Benutzernamen NameID. Die zulässigen Zeichen für den von NameID gesendeten Wert sind alphanumerisch, _ (Unterstrich), . (Punkt) und @ (at-Zeichen). Für alle anderen Zeichen werden Escapezeichen verwendet, damit der von Portal for ArcGIS erstellte Benutzername Unterstriche enthalten kann.
Portal for ArcGIS unterstützt die Übernahme der Attribute givenName und email address des Enterprise-Anmeldenamens aus dem Enterprise-Identity-Provider. Wenn sich ein Benutzer mit einem Enterprise-Anmeldenamen anmeldet und Portal for ArcGIS Attribute mit dem Namen givenname und email oder mail (in beliebiger Groß-/Kleinschreibung) empfängt, benutzt Portal for ArcGIS die vom Identity-Provider erhaltenen Werte als vollständigen Namen und als E-Mail-Adresse für das Benutzerkonto. Es wird empfohlen, dass Sie die email address des Enterprise-Identity-Providers übergeben, sodass der Benutzer Benachrichtigungen empfangen kann.
Registrieren von AD FS als Enterprise-Identity-Provider bei Portal for ArcGIS
- Überprüfen Sie, ob Sie als Administrator Ihrer Organisation angemeldet sind.
- Klicken Sie im oberen Bereich der Seite auf Organisation und dann auf die Registerkarte Einstellungen.
- Klicken Sie links auf der Seite auf Sicherheit.
- Wählen Sie im Abschnitt Enterprise-Anmeldenamen die Option Ein Identity-Provider aus, klicken Sie auf die Schaltfläche Enterprise-Anmeldenamen einrichten, und geben Sie in dem daraufhin angezeigten Fenster den Namen Ihrer Organisation ein (zum Beispiel City of Redlands). Wenn Benutzer auf die Portal-Website zugreifen, wird dieser Text als Teil der SAML-Anmeldeoption angezeigt (z. B. Mit City of Redlands-Konto).
Hinweis:
Sie können nur einen Enterprise-Identity-Provider (IDP) oder einen Verbund von IDPs, für Ihr Portal registrieren.
- Wählen Sie Automatisch oder Nach dem Hinzufügen der Konten zum Portal aus, um anzugeben, wie Benutzer der Organisation beitreten können. Durch Auswahl der ersten Option können Benutzer sich mit ihrem Enterprise-Anmeldenamen bei der Organisation anmelden, ohne dass ein Administrator eingreifen muss. Deren Konto wird bei der ersten Anmeldung automatisch bei der Organisation registriert. Die zweite Option erfordert, dass der Administrator die erforderlichen Konten mit einem Befehlszeilendienstprogramm oder Beispiel-Python-Skript beim Portal registrieren. Nachdem die Konten registriert wurden, können Benutzer sich bei der Organisation anmelden.
Tipp:
Es wird empfohlen, mindestens ein Enterprise-Konto als Administrator des Portals festzulegen und das initiale Administratorkonto herabzustufen oder zu löschen. Es wird empfohlen, die Schaltfläche Konto erstellen und die Anmeldeseite (signup.html) auf der Portal-Website zu deaktivieren, damit Benutzer keine eigenen Konten erstellen können. Vollständige Anweisungen finden Sie unter Konfigurieren eines SAML-kompatiblen Identity Providers mit dem Portal.
- Stellen Sie mithilfe einer der im Folgenden genannten Optionen Metadateninformationen für den Identity-Provider bereit:
- URL: Wenn Zugriff auf die URL der AD FS Verbundmetadaten besteht, wählen Sie diese Option aus, und geben Sie die URL ein (z. B. https://<adfs-server>/federationmetadata/2007-06/federationmetadata.xml).
Hinweis:
Wenn Ihr Enterprise-Identity-Provider ein selbstsigniertes Zertifikat beinhaltet, kann ein Fehler auftreten, wenn Sie versuchen, die HTTPS-URL der Metadaten anzugeben. Dieser Fehler tritt auf, da Portal for ArcGIS das selbstsignierte Zertifikat des Identity-Providers nicht überprüfen kann. Verwenden Sie alternativ HTTP in der URL, eine der Optionen unten, oder konfigurieren Sie Ihren Identity-Provider mit einem vertrauenswürdigen Zertifikat.
- Datei: Wählen Sie diese Option, wenn kein Zugriff auf die URL besteht. Laden Sie die Verbundmetadatendatei aus AD FS herunter, oder kopieren Sie sie, und laden Sie die Datei mit der Option Datei auf Portal for ArcGIS hoch.
- Parameter: Wählen Sie diese Option, wenn kein Zugriff auf die URL oder die Verbundmetadatendatei besteht. Geben Sie die Werte manuell ein, und stellen Sie die angeforderten Parameter bereit: die Anmelde-URL und das Zertifikat, codiert im Base64-Format. Wenden Sie sich an Ihren AD FS-Administrator, um diese Informationen zu erhalten.
- URL: Wenn Zugriff auf die URL der AD FS Verbundmetadaten besteht, wählen Sie diese Option aus, und geben Sie die URL ein (z. B. https://<adfs-server>/federationmetadata/2007-06/federationmetadata.xml).
- Konfigurieren Sie die erweiterten Einstellungen je nach Bedarf:
- Assertion verschlüsseln: Aktivieren Sie diese Option, um Antworten auf die SAML-Assertionen von AD FS zu verschlüsseln.
- Signierte Anforderung aktivieren: Aktivieren Sie diese Option, wenn Portal for ArcGIS die an AD FS gesendete SAML-Authentifizierungsanforderung signieren soll.
- Abmeldung an Identity-Provider propagieren: Wählen Sie diese Option, damit Portal for ArcGIS eine Abmelde-URL verwendet, um den Benutzer von AD FS abzumelden. Geben Sie die URL ein, die in der Einstellung Abmelde-URL verwendet werden soll. Wenn der Identity Provider eine Signierung der Abmelde-URL erfordert, muss die Option Signierte Anforderung aktivieren aktiviert sein.
Hinweis:
AD FS erfordert standardmäßig, dass Abmeldeanforderungen mit SHA-256 signiert werden, daher müssen Sie Signierte Anforderung aktivieren und Mit SHA256 anmelden aktiviert werden.
- Profile beim Anmelden aktualisieren: Wählen Sie diese Option aus, wenn Portal for ArcGIS die Attribute givenName und email address der Benutzer aktualisieren soll, falls diese sich seit der letzten Anmeldung geändert haben.
- SAML-basierte Gruppenmitgliedschaft aktivieren: Wählen Sie diese Option aus, damit Mitglieder der Organisation bestimmte SAML-basierte Enterprise-Gruppen während der Gruppenerstellung mit Portal for ArcGIS-Gruppen verknüpfen können.
- Abmelde-URL: Die URL des Identity Providers, die zum Abmelden des aktuell angemeldeten Benutzers verwendet werden soll.
- Entitäts-ID: Aktualisieren Sie diesen Wert, wenn für die eindeutige Identifizierung Ihres Portals bei AD FS eine neue Entitäts-ID verwendet werden soll.
Die Einstellungen Assertion verschlüsseln und Signierte Anforderung aktivieren verwenden das Zertifikat samlcert im Keystore des Portals. Um ein neues Zertifikat zu verwenden, löschen Sie das Zertifikat samlcert, erstellen Sie ein Zertifikat mit demselben Alias (samlcert), führen Sie die Schritte unter Importieren eines Zertifikats in das Portal aus, und starten Sie das Portal neu.
Registrieren von Portal for ArcGIS als vertrauenswürdiger Service-Provider bei AD FS
- Öffnen Sie die AD FS-Verwaltungskonsole.
- Wählen Sie Vertrauensstellungen der vertrauenden Seite > Vertrauensstellung der vertrauenden Seite hinzufügen.
- Klicken Sie im Assistenten zum Hinzufügen einer Vertrauensstellung der vertrauenden Seite auf die Schaltfläche Start.
- Wählen Sie für Datenquelle auswählen eine Option zum Abrufen von Daten zur vertrauenden Seite: Import über eine URL, Import aus einer Datei oder manuelle Eingabe. Die Optionen "URL" und "Datei" erfordern die Metadaten von Ihrer Organisation. Wenn Sie keinen Zugriff auf die Metadaten-URL oder -datei haben, können Sie die Informationen manuell eingeben. In einigen Fällen ist die manuelle Eingabe der Daten die beste Option.
- Importieren Sie Daten zu der vertrauenden Seite, die online oder in einem lokalen Netzwerk veröffentlicht wurde
Bei dieser Option werden die URL-Metadaten Ihrer Portal for ArcGIS-Organisation verwendet. Die URL lautet https://webadaptorhost.domain.com/webadaptorname/sharing/rest/portals/self/sp/metadata?token=<token>, beispielsweise https://samltest.domain.com/arcgis/sharing/rest/portals/self/sp/metadata?token=G6943LMReKj_kqdAVrAiPbpRloAfE1fqp0eVAJ-IChQcV-kv3gW-gBAzWztBEdFY. Sie können einen Token mit https://webadaptorhost.domain.com/webadaptorname/sharing/rest/generateToken generieren. Wenn Sie die URL auf der Seite Token erstellen eingeben, geben Sie den vollständig qualifizierten Domänennamen des AD FS-Servers in das Feld Webanwendungs-URL ein. Die Auswahl einer anderen Option wie IP-Adresse oder IP-Adresse des Ursprungs dieser Anforderung wird nicht unterstützt und kann dazu führen, dass ein ungültiger Token erstellt wird.
Hinweis:
Der arcgis-Teil in der Beispiel-URL oben ist der Standardname der Web Adaptor-Anwendung. Wenn Ihr Web Adaptor einen anderen Namen als arcgis hat, ersetzen Sie diesen Teil der URL durch den Namen Ihres Web Adaptors.
- Importieren von Daten zur vertrauenden Site aus einer Datei
Bei dieser Option wird die Datei "metadata.xml" Ihrer Portal for ArcGIS-Organisation verwendet. Es gibt zwei Möglichkeiten, eine Metadaten-XML-Datei abzurufen:
- Klicken Sie auf der Organisationsseite auf die Registerkarte Einstellungen und dann links auf der Seite auf Sicherheit. Klicken Sie auf die Schaltfläche Service-Provider abrufen. Dadurch erhalten Sie die Metadaten für Ihre Organisation, die Sie als XML-Datei auf dem Computer speichern können.
- Öffnen Sie die URL der Metadaten Ihrer Portal for ArcGIS-Organisation, und speichern Sie sie als XML-Datei auf dem Computer. Die URL lautet https://webadaptorhost.domain.com/webadaptorname/sharing/rest/portals/self/sp/metadata?token=<token>, beispielsweise https://samltest.domain.com/arcgis/sharing/rest/portals/self/sp/metadata?token=G6943LMReKj_kqdAVrAiPbpRloAfE1fqp0eVAJ-IChQcV-kv3gW-gBAzWztBEdFY. Sie können einen Token mit https://webadaptorhost.domain.com/webadaptorname/sharing/rest/generateToken generieren. Wenn Sie die URL auf der Seite
Token erstellen eingeben, geben Sie den vollständig qualifizierten Domänennamen des AD FS-Servers in das Feld Webanwendungs-URL ein. Die Auswahl einer anderen Option wie IP-Adresse oder IP-Adresse des Ursprungs dieser Anforderung wird nicht unterstützt und kann dazu führen, dass ein ungültiger Token erstellt wird.
Hinweis:
Der arcgis-Teil in den Beispiel-URLs oben ist der Standardname der Web Adaptor-Anwendung. Wenn Ihr Web Adaptor einen anderen Namen als arcgis hat, ersetzen Sie diesen Teil der URL durch den Namen Ihres Web Adaptors.
- Manuelles Eingeben von Daten zur vertrauenden Site
Mit dieser Option zeigt der Assistenten zum Hinzufügen einer Vertrauensstellung der vertrauenden Seite zusätzliche Fenster zur manuellen Eingabe der Daten an. Diese werden in den folgenden Schritten 6 bis 8 erläutert.
- Importieren Sie Daten zu der vertrauenden Seite, die online oder in einem lokalen Netzwerk veröffentlicht wurde
- Geben Sie für Anzeigename angeben den Anzeigenamen ein.
Der Anzeigename dient zur Identifizierung der vertrauenden Site in AD FS. Außerhalb davon hat er keine Bedeutung. Dieser sollte auf ArcGIS oder den Namen der Organisation in ArcGIS festgelegt werden, beispielsweise ArcGIS-SamlTest.
Tipp:
Wenn Sie die Datenquelle über eine URL oder aus einer Datei importieren möchten, fahren Sie mit Schritt 9 fort.
- (Nur manuelle Datenquelle) Wählen Sie für Profil auswählen das AD FS-Profil aus, das in Ihrer Umgebung anwendbar ist.
- (Nur manuelle Datenquelle) Aktivieren Sie für URL konfigurieren das Kontrollkästchen Unterstützung für das SAML 2.0 WebSSO-Protokoll aktivieren, und geben Sie die URL für den SAML 2.0 SSO-Dienst der vertrauenden Site ein.
Bei der URL der vertrauenden Site sollte es sich um die URL handeln, an die AD FS die SAML-Antwort sendet, nachdem der Benutzer authentifiziert wurde. Dies sollte eine HTTPS-URL sein: https://webadaptorhost.domain.com/webadaptorname/sharing/rest/oauth2/saml/signin.
Hinweis:
Der arcgis-Teil in der Beispiel-URL oben ist der Standardname der Web Adaptor-Anwendung. Wenn Ihr Web Adaptor einen anderen Namen als arcgis hat, ersetzen Sie diesen Teil der URL durch den Namen Ihres Web Adaptors.
- (Nur manuelle Datenquelle) Geben Sie für Kennungen konfigurieren die URL für die Vertrauenskennung der vertrauenden Site ein.
Diese sollte portal.domain.com.arcgis lauten.
- Wählen Sie für Ausstellungsautorisierungsregeln auswählen die Option Allen Benutzern erlauben, auf diese vertrauende Seite zuzugreifen.
- Überprüfen Sie unter Bereit zum Hinzufügen der Vertrauensstellung alle Einstellungen für die vertrauende Site. Die Metadaten-URL wird nur gefüllt, wenn Sie die Datenquelle über eine URL importieren.
Klicken Sie auf Next.
Tipp:
Wenn die Option Monitor relying party aktiviert ist, wird die Verbundmetadaten-URL regelmäßig von AD FS überprüft und mit dem aktuellen Status der Vertrauenskennung der vertrauenden Site verglichen. Die Überwachung kann jedoch nicht ausgeführt werden, wenn der Token in der Verbundmetadaten-URL abgelaufen ist. Fehler werden im AD FS-Ereignisprotokoll erfasst. Um diese Meldungen zu unterdrücken, wird empfohlen, die Überwachung zu deaktivieren oder den Token zu aktualisieren.
- Aktivieren Sie das Kontrollkästchen für Fertig stellen, damit das Dialogfeld Anspruchsregeln bearbeiten automatisch geöffnet wird, nachdem Sie auf die Schaltfläche Schließen geklickt haben.
- Um die Anspruchsregeln festzulegen, öffnen Sie den Assistenten Anspruchsregeln bearbeiten, und klicken Sie auf Regel hinzufügen.
- Wählen Sie für den Schritt Regelvorlage auswählen die Vorlage LDAP-Attribute als Ansprüche senden für die Anspruchsregel aus, die Sie erstellen möchten. Klicken Sie auf Next.
- Folgen Sie für den Schritt Anspruchsregel konfigurieren den nachstehenden Anweisungen, um die Anspruchsregeln zu bearbeiten.
- Geben Sie für Name der Anspruchsregel einen Namen für die Regel an, z. B. DefaultClaims.
- Wählen Sie Active Directory als Attributspeicher aus.
- Verwenden Sie unter Zuordnung von LDAP-Attributen zu ausgehenden Anspruchstypen die folgende Tabelle als Leitfaden, um festzulegen, wie die LDAP-Attribute den Typen des ausgehenden Anspruchs zugeordnet werden, die von der Regel ausgegeben werden.
LDAP-Attribut Typ des ausgehenden Anspruchs Das LDAP-Attribut, das die Benutzernamen enthält (z. B. SAM-Account-Name)
NameID Anzeigename (oder ein anderes Attribut aus der Liste)
Angegebener Name E-Mail-Adressen
E-Mail-Adresse Token-Groups - durch Domänennamen qualifiziert
Gruppe
Mit diesem Anspruch sendet AD FS nach der Benutzerauthentifizierung Attribute mit den Namen givenname und email an Portal for ArcGIS. Portal for ArcGIS verwendet dann die Werte in den Attributen givenname und email und trägt den vollständigen Namen und die E-Mail-Adresse des Benutzerkontos ein. Die Werte im Gruppenattribut werden verwendet, um die Gruppenmitgliedschaft des Benutzers zu aktualisieren.
Hinweis:
Wenn Sie bei der Registrierung von AD FS als Enterprise-IDP die Option SAML-basierte Gruppenmitgliedschaft aktivieren ausgewählt haben, wird die Mitgliedschaft jedes Benutzers anhand der Antwort auf die SAML-Assertion ermittelt, die Sie bei jeder erfolgreichen Anmeldung des Benutzers vom Identity-Provider erhalten. Weitere Informationen zum Verknüpfen von Enterprise-Gruppen finden Sie unter Erstellen von Gruppen.
- Klicken Sie auf Fertig stellen, um die Konfiguration des AD FS-Identity-Providers für die Einbeziehung von Portal for ArcGIS als vertrauende Seite abzuschließen.