Sichern von lokalen Verbindungen mit Services

Unter Windows gilt: Lokale Verbindungen mit einem GIS-Server – und den Services, die darauf ausgeführt werden – werden vom Betriebssystem des SOM-Computers (Server Object Manager) verwaltet. Auf ähnliche Weise, wie das Betriebssystem es Ihnen ermöglicht, Dateien auf dem eigenen Computer zu erstellen und zu löschen, Sie jedoch daran hindert, dasselbe auf dem Computer des Kollegen zu tun, gewährt das Betriebssystem auf dem SOM einigen Benutzern Zugriff auf die Services, die auf den Servercomputern ausgeführt werden, und verweigert anderen Benutzern den Zugriff. Wenn Sie sich am eigenen Computer anmelden, identifizieren der Benutzername und das Kennwort, die Sie eingeben, Sie als im Netzwerk zulässigen Benutzer. Auf der Grundlage des Betriebssystemkontos wird Ihnen erlaubt, einen bestimmten Satz von Aktionen auszuführen – einer dieser Aktion könnte sein, auf einen GIS-Server zuzugreifen.

Unter Linux und Solaris gilt: Lokale Verbindungen mit einem GIS-Server werden vom SOM (Server Object Manager) verwaltet. Zum Lieferumfang von ArcGIS Java Server für die Linux und Solaris gehört der Verzeichnisserver Sun One Directory Server, der mit dem SOM zusammen installiert wird. Der GIS-Server-SOM verwaltet mithilfe dieses Verzeichnisservers ein Repository derjenigen Benutzer und Gruppen, die den GIS-Server über eine lokale Verbindung verwenden und verwalten können.

Bevor Sie mit dem GIS-Server zu arbeiten beginnen können, müssen Sie festlegen, wer darauf zugreifen kann. Sobald Sie dies getan haben, Sie sind in der Lage, eine Verbindung mit dem GIS-Server herzustellen und ihm Services hinzuzufügen.

Identifizieren, wer lokale Verbindungen mit dem Server herstellen kann

Wem sollen Sie lokalen Zugriff auf den GIS-Server gewähren? Die Antwort auf diese Frage hängt davon ab, welche Art von Services auf dem Server ausgeführt werden und wie diese Services genutzt werden sollen. In einigen Fällen sollten die Services, die auf dem Server eingerichtet werden, für jeden verfügbar gemacht werden. In anderen Fällen sollten Sie den Zugriff beschränken, da ein Service vertrauliche Informationen enthält, die nur für bestimmte Personen einsehbar sein sollten.

Als Administrator des GIS-Servers gewähren Sie Personen lokalen Zugriff auf den GIS-Server, indem Sie – unter Windows – deren Betriebssystemkonto der Liste der Benutzer hinzufügen, die Zugriff auf den Server haben sollen, in Linux/Solaris fügen Sie es dagegen der lokalen Benutzerliste in Manager hinzu. In Wirklichkeit gibt es zwei Listen: eine Liste der Benutzer, die die Services nutzen können, die auf dem Server ausgeführt werden, und einer Liste der Benutzer, die den Server selbst verwalten (also Server-Services hinzufügen, löschen und ändern) können. Weil unter Windows das Betriebssystem letztlich den Zugriff auf den Server steuert, verwenden Sie zwei Betriebssystembenutzergruppen – ArcGIS Server-Benutzer und ArcGIS Server-Administratoren –, um die beiden Benutzerlisten zu verwalten. Eine Benutzergruppe definiert einfach den Satz von Benutzern, der Zugriff auf eine bestimmte Ressource – hier einen GIS-Server – hat. Unter Linux/Solaris werden diese Gruppeninformationen auch durch ArcGIS Server Manager verwaltet, deshalb können Sie beim Hinzufügen eines neuen lokalen Benutzers die Gruppe zuweisen oder die Gruppe ändern.

Im Allgemeinen hängt die Liste der Konten, die Sie den ArcGIS Server-Benutzer- und -Administratorgruppen hinzufügen, davon ab, welche Clients erwartungsgemäß eine Verbindung mit dem Server herstellen. Wenn eine Verbindung mit einem GIS-Server unter Windows hergestellt wird, gilt: jedes Betriebssystemkonto, unter dem ArcGIS Desktop ausgeführt wird, muss der Gruppe der ArcGIS Server-Benutzer hinzugefügt werden, wenn dieser Client Zugriff auf den GIS-Server haben soll. Darüber hinaus kann jede Webanwendung, die Sie erstellen, über ein bestimmtes Betriebssystemkonto eine Verbindung mit dem GIS-Server herstellen. Jedes Konto, das die Webanwendungen verwendet, sollte ebenfalls der Gruppe der ArcGIS Server-Benutzer hinzugefügt werden.

Sie müssen das SOM-Konto und das SOC-Konto, die unter Linux/Solaris mit dem Installationsbesitzer identisch sind, der Administrator- oder Benutzergruppe hinzufügen. Diese Konten werden vom Betriebssystem nur verwendet, um Prozesse auf dem GIS-Server zu starten und zu beenden. Für eine verteilte Konfiguration unter Linux/Solaris oder die Ausführung von Skripts zum Generieren/Aktualisieren eines Caches auf einem Computer mit Linux/Solaris, müssen Sie dieses Benutzerkonto den lokalen GIS-Konten in Manager hinzufügen.

Steuern des Zugriffs auf einen GIS-Server

Wenn Sie ArcGIS Server installieren, werden während der Installation die Gruppen für die ArcGIS Server-Benutzer (agsusers) und Administratoren (agsadmin) automatisch erstellt. Diese werden als lokale Betriebssystemgruppen unter Windows auf dem SOM-Computer und auf jedem Container-Computer erstellt. Unter Linux/Solaris wird diese Gruppe in Manager verwaltet, der nur auf dem SOM-Computer vorhanden ist. Das ArcGIS Server-Installationsprogramm fügt diesen Gruppen nicht automatisch Benutzer hinzu mit Ausnahme des Benutzers "admin" in der Gruppe agsadmin unter Linux/Solaris. Daher müssen Sie diesen Gruppen Benutzer hinzufügen, je nachdem, welche Art des Zugriffs die einzelnen Benutzer haben sollen. Natürlich müssen Sie als Erstes ihr eigenes Konto der Gruppe agsadmin hinzufügen, oder Sie verwenden einfach admin.

Unter Windows:

Unter Linux/Solaris:

Wenn Anwendungen lokale Verbindungen mit dem GIS-Server herstellen, werden sie anhand der Gruppen agsusers und agsadmin auf dem GIS-Server authentifiziert.

Wenn ArcGIS Server unter Windows ausgeführt wird, gilt: wie Sie die Benutzerkonten diesen Gruppen hinzufügen, hängt davon ab, wie die Organisation Benutzer im Allgemeinen verwaltet. Wenn die Organisation bereits eine Reihe von Benutzergruppen eingerichtet hat, können Sie bestimmte Gruppen als Mitglieder den Gruppen agsadmin und agsusers hinzuzufügen. Sie können den Arbeitsaufwand minimieren, der erforderlich ist, um den Zugriff auf den GIS-Server zu ändern, indem Sie Benutzer auf der Grundlage anderer Gruppen zuweisen. Wenn beispielsweise ein neuer Mitarbeiter eingestellt und einer vorhandenen Gruppe der Organisation hinzugefügt wird, wird ihm automatisch Zugriff auf den GIS-Server gewährt, wenn der Mitarbeiter Mitglied einer Gruppe ist, die Mitglied der ArcGIS Server-Benutzergruppe ist. Sie können den Gruppen agsadmin oder agsusers stattdessen auch einzelne Benutzer hinzufügen.

Berechtigungen von Benutzern und Administratoren

Mitglieder der Gruppe der ArcGIS Server-Benutzer (agsusers) verfügen über Standardzugriffsrechte auf den GIS-Server. Benutzer auf Services zugreifen und sie anzeigen; sie können jedoch keine Verwaltungs-Tasks ausführen, z. B. Services hinzufügen, entfernen oder ändern. Sie können auch keine Eigenschaften des Servers selbst ändern, z. B. Computer hinzufügen oder entfernen.

Mitglieder der Gruppe der ArcGIS Server-Administratoren (agsadmin) werden Zugriffs- und Administratorberechtigungen für den GIS-Server gewährt. Wenn Sie als Mitglied der Administratorgruppe eine Verbindung herstellen, können Sie folgende Aktionen ausführen:

• Hinzufügen oder Entfernen von Containercomputern.
• Hinzufügen, Entfernen oder Ändern von Serververzeichnissen.
• Hinzufügen, Entfernen oder Ändern von Services.
• Starten, Beenden oder Anhalten von Services.
• Anzeigen von Statistikdaten.

Herstellen einer lokalen Verbindung mit dem Server von ArcGIS Desktop

Eine Desktop-Client-Anwendung für ArcGIS Server wird unter dem Benutzerkonto ausgeführt, das die Anwendung gestartet hat. Wenn Sie zum Beispiel an einem Desktopcomputer als Domänenbenutzer ANDY in der Domäne AVWORLD angemeldet sind und eine Anwendung wie ArcCatalog ausführen, hat die Anwendung die Identität AVWORLD\ANDY. Wenn Sie in dieser ArcCatalog-Sitzung eine lokale ArcGIS Server-Verbindung herstellen, stellen Sie eine Verbindung als AVWORLD\ANDY her. Sofern AVWORLD\ANDY Mitglied der Gruppe agsusers auf dem SOM ist, kann eine Verbindung hergestellt werden. Um eine Verbindung mit einem GIS-Server unter Linux/Solaris herzustellen, wird die Domäne (hier AVWORLD) ignoriert. Sofern ANDY Mitglied der Benutzergruppe (agsusers) auf dem GIS-Server ist, kann eine Verbindung hergestellt werden. Wenn AVWORLD\ANDY Mitglied der Gruppe agsadmin ist, haben Sie über diese Verbindung Administratorberechtigungen auf dem Server.

In der Regel wird empfohlen, für die täglichen Tasks ein Konto mit eingeschränkteren Berechtigungen zu verwenden und nur auf das Administratorkonto zurückzugreifen, wenn Sie Verwaltungs-Tasks auf dem Server ausführen müssen. Unter Windows können Sie den Befehl runas verwenden, um unter Verwendung eines anderen Betriebssystemkontos als dem, unter dem Sie aktuell angemeldet sind, eine Verbindung mit ArcCatalog herzustellen. Sie können den Befehl runas über die Befehlszeile ausführen. In einigen Betriebssystemversionen ist er auch als Menüoption im Kontextmenü der ausführbaren Datei von ArcCatalog verfügbar, die sich im Ordner bin des Installationsverzeichnisses befindet. Geben Sie an der Befehlszeile z. B. Folgendes ein:

runas /user:username "C:\Programme\ArcGIS\bin\ArcCatalog.exe"

Stattdessen können Sie auch zur Datei ArcCatalog.exe im Ordner bin wechseln oder die betreffende Verknüpfung suchen, mit der rechten Maustaste auf die ausführbare Datei klicken und dann auf Ausführen als klicken. Weitere Informationen zur Verwendung des Befehls "runas" finden Sie in der Windows-Dokumentation.

Herstellen einer lokalen Verbindung mit dem Server von einer Webanwendung

Wenn Sie Webanwendungen, die auf lokale Services zugreifen, mithilfe von Web Application Developer Framework (ADF) erstellen, müssen Sie einen Benutzernamen und ein Kennwort angeben. Die Anmeldeinformationen, die Sie verwenden, müssen auf jedem lokalen Server, mit dem die Anwendung eine Verbindung herstellt, einem Mitglied der Gruppe agsadmin oder der Gruppe agsusers gehören. Wenn Endbenutzer auf die Anwendung zugreifen, müssen sie weder einen Benutzernamen noch ein Kennwort eingeben, um auf den Service zuzugreifen. Stattdessen werden die verschlüsselten Anmeldeinformationen verwendet, die in der Datei faces-config.xml der Anwendung gespeichert werden.

Einschränken des Zugriffs auf bestimmte Services

Den Zugriff nur auf einige Services, nicht aber auf andere Services auf dem gleichen GIS-Server einzuschränken ist nur bei Internetverbindungen möglich. Nähere Informationen dazu, wie sich dies implementieren lässt, finden Sie im Abschnitt Sichern von Internetverbindungen und Webanwendungen.