ArcGIS for Server (Windows) - Sécurisation de services Web avec l'authentification Windows intégrée

Ce didacticiel vous explique comment sécuriser des services Web ArcGIS à l'aide de l'authentification Windows intégrée. Pour utiliser ce type d'authentification, il faut que les utilisateurs et les rôles soient gérés dans un serveur Microsoft Windows Active Directory. Cette approche peut s'avérer utile si vous souhaitez que les utilisateurs SIG tirent parti des comptes dont ils disposent déjà sur votre réseau.

Vous pouvez utiliser l'authentification Windows intégrée lorsque des utilisateurs sont titulaires de comptes de domaine et accèdent aux services sur un réseau local.

Si vos paramètres de connexion interdisent l'accès à la machine où est hébergé Active Directory, une erreur se produira lors de la configuration de la sécurité. Il n'est pas nécessaire d'accorder à l'utilisateur des paramètres de la stratégie de groupe Ouvrir une session localement. Pour plus d'informations, reportez-vous à la rubrique Considérations avancées lors de l'utilisation de comptes de domaine.

Remarque :

L'authentification Windows intégrée n'est pas prise en charge sur Internet et nécessite l'installation et la configuration d'ArcGIS Web Adaptor (IIS). L'adaptateur Web procède à l'authentification, tandis qu'ArcGIS Server autorise l'accès aux services Web.

Pour sécuriser des services Web ArcGIS à l'aide de l'authentification Windows intégrée, procédez comme suit :

Configuration d'ArcGIS Web Adaptor (IIS) de manière à utiliser l'authentification Windows

Après avoir configuré vos services de manière à utiliser les utilisateurs et les rôles dans un serveur Windows Active Directory, vous devez installer et configurer ArcGIS Web Adaptor (IIS), puis configurer IIS pour utiliser la méthode d'authentification Windows.

Etapes :

Installez l'adaptateur Web en suivant les instructions de la rubrique Installation d'ArcGIS Web Adaptor (IIS).
Configurez l'adaptateur Web en suivant les instructions de la rubrique Configuration d'ArcGIS Web Adaptor après l'installation.
Définissez la méthode d'authentification de l'adaptateur Web à l'aide du Gestionnaire des services Internet (IIS).
1. Pour ouvrir le Gestionnaire des services Internet (IIS), cliquez sur Démarrer > Panneau de configuration > Outils d'administration > Gestionnaire des services Internet (IIS).
2. Développez l'arborescence de gauche du Gestionnaire des services Internet (IIS), sous Sites. Développez Site Web par défaut pour rechercher l'application ArcGIS Web Adaptor (IIS). Par défaut, ArcGIS Web Adaptor (IIS) s'appelle arcgis.
3. Modifiez la propriété par défaut de l'adaptateur Web. Désélectionnez l'authentification Anonyme et sélectionnez Authentification Windows.
4. Fermez le Gestionnaire des services Internet.

Configuration de la sécurité d'ArcGIS Server de manière à utiliser des utilisateurs et des rôles Windows Active Directory

Pour prendre en charge l'authentification Windows intégrée, configurez ArcGIS Server pour qu'il récupère les utilisateurs et les rôles d'un serveur Windows Active Directory :

Etapes :

Ouvrez le gestionnaire et connectez-vous en tant qu'administrateur de site principal ou en tant qu'utilisateur doté d'un accès administratif. Si vous avez besoin d'aide pour cette étape, reportez-vous à la rubrique Connexion au gestionnaire.
Cliquez sur Sécurité > Paramètres.
Cliquez sur le bouton Modifier près de l'option Paramètres de configuration.
Sur la page Gestion des utilisateurs et des rôles, sélectionnez l'option Utilisateurs et rôles d'un systèmes d'entreprise existant (LDAP ou Domaine Windows), puis cliquez sur Suivant.
Sur la page Type de magasin d'entreprise, sélectionnez l'option Domaine Windows, puis cliquez sur Suivant.
Sur la page Informations d'identification Windows, saisissez les informations d'identification d'un compte qui est autorisé à définir les utilisateurs de groupes qu'il contient. Cliquez sur Suivant.
Remarque :
Nous vous conseillons de spécifier un compte dont le mot de passe n'expire pas. Si ce n'est pas possible, vous devrez répéter les étapes de cette section chaque fois que le mot de passe permettant d'accéder au compte est modifié.
Sur la page Niveau d'authentification, choisissez Niveau du Web.
Passez en revue le récapitulatif des éléments que vous avez sélectionnés. Cliquez sur Terminer pour appliquer la configuration de sécurité et l'enregistrer.

Analyse des utilisateurs et des rôles

Après avoir configuré un domaine Windows Active Directory en tant que magasin de rôles et d'utilisateurs, passez ces derniers en revue afin de vous assurer qu'ils ont été récupérés correctement. Pour ajouter, modifier ou supprimer des utilisateurs et des rôles, vous devez utiliser les outils disponibles sur le serveur Active Directory.

Etapes :

Dans le Gestionnaire, cliquez sur Sécurité > Utilisateurs.
Vérifiez que les utilisateurs ont été récupérés comme prévu du serveur de domaine Windows. Si Active Directory contient plusieurs domaines, les utilisateurs du domaine auquel appartient la machine du serveur SIG sont affichés. Pour afficher les utilisateurs d'autres domaines, entrez la chaîne de recherche [nom de domaine]\ dans le champ Rechercher un utilisateur, puis cliquez sur Rechercher .
Cliquez sur Rôles pour passer en revue les rôles récupérés du serveur de domaine Windows. Si Active Directory contient plusieurs domaines, les rôles du domaine auquel appartient la machine du serveur SIG sont affichés. Pour afficher les rôles d'autres domaines, entrez la chaîne de recherche [nom de domaine]\ dans le champ Rechercher un rôle, puis cliquez sur Rechercher .
Vérifiez que les rôles ont été récupérés comme prévu.

Configurez les privilèges d'administrateur et d'éditeur des utilisateurs Active Directory

ArcGIS for Server autorise par défaut uniquement un accès d'administrateur principal du site au serveur. Si vous comptez utiliser des utilisateurs Active Directory pour administrer ArcGIS Server ou publier des services, vous devez procéder comme suit.

Etapes :

Dans le gestionnaire ArcGIS Server, cliquez sur l'onglet Sécurité et ouvrez la page Utilisateurs.
A l'aide de l'outil Rechercher un utilisateur, localisez l'utilisateur auquel vous souhaitez attribuer des privilèges d'administrateur ou d'éditeur. Passez en revue les rôles dont fait partie cet utilisateur et choisissez celui auquel vous voulez attribuer des privilèges d'administrateur ou d'éditeur.
Ouvrez la page Rôles et utilisez l'outil Rechercher un rôle pour localiser le rôle choisi à l'étape précédente.
Cliquez sur le bouton Mise à jour près du rôle.
Pour le paramètre Type de rôle, choisissez Editeur ou Administrateur.
Cliquez sur Enregistrer pour appliquer les modifications.

Définition d'autorisations pour les services Web ArcGIS

Dès que vous avez configuré vos paramètres de sécurité et défini des utilisateurs et des rôles, vous pouvez définir des autorisations pour les services afin de contrôler les utilisateurs autorisés à y accéder.

ArcGIS Server contrôle l'accès aux services Web SIG hébergés sur votre serveur à l'aide d'un modèle de contrôle d'accès basé sur les rôles. Dans ce modèle, l'autorisation d'accès à un service sécurisé est contrôlée en attribuant des rôles à ce service. Pour exploiter un service sécurisé, un utilisateur doit être membre d'un rôle auquel ont été affectées des autorisations d'accès.

Les autorisations peuvent être affectées à un service Web individuel ou au dossier parent contenant un groupe de services. Si vous attribuez des autorisations à un dossier, elles sont également transmises à tout service qu'il contient. Par exemple, si vous accordez à un rôle l'accès au dossier site (racine), les utilisateurs appartenant à ce rôle se voient accorder l'accès à tous les services hébergés sur ce site. Pour remplacer automatiquement les autorisations héritées par un service de son dossier parent, vous pouvez mettre à jour le service et supprimer explicitement ces autorisations.

Pour définir les autorisations d'un service, reportez-vous à la rubrique Mise à jour des autorisations dans le gestionnaire.

Remarque :

Lorsque vous parcourez le gestionnaire ArcGIS Server à l'aide de l'authentification Windows intégrée, le lien Se déconnecter n'est plus visible. Cela est dû au fait que l'utilisateur qui exécute le navigateur Web est automatiquement connecté par le système d'exploitation. Pour utiliser le navigateur sous le nom d'un autre utilisateur, utilisez l'option de commande Exécuter en tant que. Pour ce faire, localisez le raccourci au programme dans le menu Démarrer, maintenez la touche Maj enfoncée, cliquez sur le programme avec le bouton droit de la souris et sélectionnez Exécuter en tant qu'utilisateur différent.

Test de l'accès aux services sécurisés

Pour tester votre configuration, identifiez un compte d'utilisateur de domaine Windows ayant accès au dossier racine (site) où sont hébergés vos services. Connectez-vous à Windows à l'aide de ce compte, ouvrez un navigateur Web et accédez à votre WSDL ArcGIS Server :

http://webadaptor.domain.com/arcgis/services?wsdl

Vous pouvez également afficher le répertoire des services pour vérifier que vous pouvez accéder aux services sécurisés.

http://webadaptor.domain.com/arcgis/rest/services

Remarque :

Lorsque vous parcourez le répertoire des services via l'authentification Windows intégrée, le lien Se déconnecter n'est plus visible. Cela est dû au fait que l'utilisateur qui exécute le navigateur Web est automatiquement connecté par le système d'exploitation. Pour utiliser le navigateur sous le nom d'un autre utilisateur, utilisez l'option de commande Exécuter en tant que. Pour ce faire, localisez le raccourci au programme dans le menu Démarrer, maintenez la touche Maj enfoncée, cliquez sur le programme avec le bouton droit de la souris et sélectionnez Exécuter en tant qu'utilisateur différent.

Pour déterminer les utilisateurs du domaine Windows qui ont accès au dossier racine, procédez comme suit :

Etapes :

Connectez-vous au gestionnaire et cliquez sur Services.
Cliquez sur le bouton Verrouiller près du dossier site (racine) et identifiez les rôles qui ont été autorisés à accéder à ce dossier. Si aucun rôle ne dispose actuellement d'une autorisation d'accès, veuillez en accorder une à au moins un rôle en cliquant sur Ajouter un rôle .
Cliquez sur Sécurité > Rôles, puis sur le bouton Mise à jour correspondant au rôle ayant accès au dossier racine.
Consultez la liste des utilisateurs qui sont membres de ce rôle.

5/10/2014