Cuentas utilizadas por el servidor SIG
A medida que su servidor SIG trabaja, debe iniciar y detener procesos, leer y escribir datos en ubicaciones en el sistema de archivos y establecer comunicaciones entre equipos. Para hacer estas cosas de forma segura, el servidor SIG utiliza tres cuentas de sistema operativo: la cuenta del Administrador de objetos del servidor (SOM) ArcGIS Server, la cuenta del Contenedor de objetos del servidor (SOC) ArcGIS Server, y la cuenta de Servicios Web de ArcGIS. Debe introducir los nombres de estas cuentas cuando ejecuta las postinstalaciones de ArcGIS Server. Estas cuentas pueden tener cualquier nombre y pueden estar asignadas a cualquier cuenta que ya exista en la organización. Sin embargo, es importante entender por qué estas cuentas son necesarias antes de decidir si se usarán las cuentas en el dominio o si desea que la postinstalación cree estas cuentas por usted.
La cuenta SOM
La cuenta SOM ejecuta el servicio de del Administrador de objetos de servidor. Este proceso administra los procesos de contenedor en los equipos contenedores y administra los archivos de registro y la información de configuración del servidor SIG. Por consiguiente, la cuenta SOM tiene privilegios de escritura en las ubicaciones donde se almacenan los archivos de registro y la información de configuración del servidor (<ubicación de instalación de ArcGIS Server>\carpeta de servidor). También tiene privilegios para iniciar los procesos de contenedor en los equipos contenedores.
En Linux/Solaris, la cuenta SOM y la cuenta propietaria de la instalación son la misma cuenta.
La cuenta SOC
Los procesos de contenedor almacenan los servicios y hacen el trabajo. El administrador de objetos de servidor inicia los procesos de contenedor; sin embargo, estos procesos se ejecutan como la cuenta SOC. Por lo tanto, la cuenta SOC debe tener acceso de lectura a los recursos de SIG (mapas, localizadores, datos) que los servicios preconfigurados y específicos de la aplicación necesitan para funcionar. Además, la cuenta SOC debe tener acceso de escritura a los directorios de servidor del servidor SIG para que los servicios que se ejecutan en los procesos de contenedor puedan escribir la salida. Estos aspectos de la cuenta SOC son importantes para administrar el sitio, especialmente cuando se tienen en cuenta los privilegios en las unidades de red compartidas.
- En Linux/Solaris:
La cuenta SOC y la cuenta propietaria de la instalación son la misma cuenta. La instalación del servidor SIG permite especificar la cuenta propietaria de la instalación, que también es la cuenta SOM y la cuenta SOC.
En Windows:
Un aspecto importante de la cuenta SOC es que, debido a que los procesos de contenedor se ejecutan como esa cuenta, un usuario que se conecta a un servidor SIG puede hacer todo lo que la cuenta SOC puede hacer. Puesto que los desarrolladores son libres de crear sus propios objetos en el servidor, tienen acceso a una amplia gama de funcionalidades, incluida la capacidad de leer datos en los que la cuenta SOC tiene privilegios de lectura. Y lo que es más importante, pueden editar, eliminar y modificar archivos en los que la cuenta SOC tiene privilegios de escritura.
Puede ser peligroso utilizar una cuenta de dominio con demasiados privilegios como la cuenta SOC para el servidor SIG. La cuenta SOC sólo debe tener privilegios suficientes para acceder a los datos necesarios y para realizar la tarea de ejecutar servicios. La instalación de ArcGIS Server puede crear las cuentas SOC con los privilegios mínimos que se describen a continuación en cada equipo contenedor:
- Capacidad de iniciar y activar los procesos de contenedor
- Acceso de escritura al directorio temporal del sistema
Depende del administrador del servidor SIG otorgar a esta cuenta el acceso a cualquier dato necesario y acceso de escritura a los directorios de salida del servidor.
 |
La Postinstalación del servidor SIG permite especificar las cuentas SOM y SOC.
La cuenta de servicios Web de ArcGIS
La cuenta de servicios Web de ArcGIS se utiliza para procesar las solicitudes de servicios Web en el servidor SIG. El servidor Web utiliza esta cuenta internamente para comunicarse con el servidor SIG cuando un usuario realiza una conexión de Internet.
En Linux/Solaris, la instalación crea una cuenta de usuario servidor SIG local "admin". El servidor SIG utiliza esta cuenta como la cuenta de servicios Web de ArcGIS. La contraseña predeterminada es "admin". Puede cambiar la contraseña en el Administrador.
En Windows, con las cuentas SOM y SOC, puede especificar una cuenta existente o dejar que la postinstalación cree la cuenta por usted.
Deberá introducir la cuenta de servicios Web de ArcGIS cuando ejecute la Postinstalación de servicios Web en el equipo servidor Web y cuando ejecute la Postinstalación del servidor SIG en el SOM. Debe introducir la misma información de cuenta en el SOM que la que introduce en el servidor Web. La postinstalación agregará la cuenta al grupo agsadmin en el SOM.
Puede utilizar una cuenta local o de dominio para la cuenta de servicios Web de ArcGIS. Si utiliza una cuenta de dominio para la cuenta de servicios Web de ArcGIS no correrá el mismo riesgo de seguridad que si utiliza las cuentas SOM y SOC, siempre y cuando no otorgue otro privilegio a la cuenta de dominio que no sea la inclusión en el grupo agsadmin.
Mejores prácticas
- En Windows, el servidor SIG utiliza internamente cuentas que se mencionan arriba y por eso, estas cuentas sólo necesitan algunos permisos en el equipo. Lo más probable es que encuentre estas cuentas cuando esté instalando ArcGIS Server en otros equipos o cuando esté otorgando al servidor SIG los permisos para acceder a los datos. En muchos casos, basta usar los nombres predeterminados de las cuentas sugeridos en la postinstalación (ArcGISSOM, ArcGISSOC y ArcGISWebServices) y dejar que la postinstalación cree las cuentas por usted. Si deja que la postinstalación cree las cuentas, se otorgarán los mínimos permisos necesarios.
- Por razones de seguridad, ESRI recomiendo que las cuentas SOM y SOC sean locales en lugar de especificar cuentas de dominio. Esto garantiza que un usuario malicioso no pueda usar las cuentas para adquirir privilegios administrativos en otros equipos de su red. En Linux/Solaris, también limita la posibilidad de que el servidor no funcione correctamente debido a ciertas políticas de cuenta de la red. Cuando decide dejar que la instalación en Linux/Solaris o la postinstalación en Windows cree las cuentas por usted, se crean cuentas locales.
- Si los datos residen en un equipo que no contiene componentes de ArcGIS Server, debe usar las herramientas del sistema operativo para crear la cuenta SOC en el equipo. La cuenta SOC debe tener el mismo nombre de usuario y contraseña (y el mismo Id. de usuario en Linux/Solaris) que tiene en todos los otros equipos del sistema. Después de eso, puede otorgar a la cuenta el acceso a los datos.