GIS 服务器使用的帐户

GIS 服务器在工作时,需要启动和停止进程、读取数据并将数据写入到文件系统中的相应位置以及在计算机之间进行通信。为了安全地执行这些任务,GIS 服务器使用三种操作系统帐户:ArcGIS 服务器对象管理器 (SOM) 帐户、ArcGIS 服务器对象容器 (SOC) 帐户和 ArcGIS Web 服务帐户。当您运行 ArcGIS Server 安装后配置时,系统会要求您提供这些帐户的名称。这些帐户可以具有任意名称,也可将其指定为您所在组织中的任何现有帐户。不过,需要特别注意的是:在决定使用域中的现有帐户或者允许安装后配置创建这些帐户之前,应首先了解这些帐户为何是必要的。

SOM 帐户

SOM 帐户可运行 ArcGIS 服务器对象管理器 (SOM) 服务。此进程用于管理容器计算机上的容器进程,以及 GIS 服务器的配置信息和日志文件。因此,SOM 帐户具有对服务器配置信息和日志文件存储位置 (<ArcGIS Server install location>\server folder) 的写入权限。它还具有在容器计算机上启动容器进程的权限。

在 Linux/Solaris 中,SOM 帐户和安装程序所有者为同一帐户。

SOC 帐户

容器进程实际上是用于托管 GIS 服务并执行各项工作。容器进程由服务器对象管理器 (SOM) 启动,但以 SOC 帐户的身份运行。因此,SOC 帐户必须具有对预先配置的所有 GIS 资源(地图、定位器、数据)的读取权限,而且特定于应用程序的服务需要利用这些 GIS 资源执行它们的工作。此外,SOC 帐户必须具有对 GIS 服务器的服务器目录的写入权限,以便容器进程中所运行的服务可以写入它们的输出。SOC 帐户的以下几方面内容对于管理您的站点而言至关重要,特别是在考虑到共享网络驱动器权限时。

SOC 帐户和安装程序所有者为同一帐户。GIS 服务器安装程序允许您指定安装程序所有者,也就是 SOM 和 SOC 帐户。

在 Windows 中:

对于 SOC 帐户来说,很重要的一点是,由于容器进程以该帐户身份运行,因此连接到 GIS 服务器的用户可以执行 SOC 帐户所能执行的任何操作。开发人员可以在服务器上自由创建对象,因此他们有权访问大量的功能,其中包括:可以对 SOC 帐户具有读取权限的数据执行读取操作。更为重要的是,开发人员可以对 SOC 帐户具有写入权限的文件进行编辑、删除以及其他操作。

将具有大量权限的域帐户用作 GIS 服务器的 SOC 帐户可能存在风险。SOC 帐户只需具有访问必要数据和执行服务运行任务所需的权限。ArcGIS Server 安装程序可以在每台容器计算机上创建具有以下最小权限的 SOC 帐户:

需要由 GIS 服务器管理员来授予该帐户访问必要数据的权限以及对服务器输出目录的写入权限。

GIS 服务器安装后配置允许您指定 SOM 和 SOC 帐户。

ArcGIS Web 服务帐户

ArcGIS Web 服务帐户用于处理 GIS 服务器上的 Web 服务请求。当用户进行 Internet 连接时,该帐户由 Web 服务器内部使用,用于同 GIS 服务器进行通信。

在 Linux/Solaris 中,安装程序会创建一个本地 GIS 服务器用户帐户“admin”。GIS 服务器会将该帐户用作 ArcGIS Web 服务帐户。默认密码为“admin”。可在管理器中更改密码。

在 Windows 中, SOM 和 SOC 帐户一样,您既可以指定一个现有帐户,也可以使用安装后配置为自己创建一个帐户。

当您在 Web 服务器计算机上运行 Web 服务安装后配置或者在 SOM 上运行 GIS 服务器安装后配置时,系统会要求您输入 ArcGIS Web 服务帐户。您应该在 SOM 和 Web 服务器上输入相同的帐户信息。安装后配置会将帐户添加到 SOM 上的 agsadmin 组中。

您可以使用本地帐户或域帐户作为 ArcGIS Web 服务帐户。只要您未授予域帐户 agsadmin 组权限之外的任何其他权限,使用域帐户作为 ArcGIS Web 服务帐户与使用域帐户作为 SOM 和 SOC 帐户所带来的安全性风险就会不同。

最佳做法


3/7/2012