El factor principal que se debe usar para determinar cómo configurar la seguridad en la implementación de ArcGIS Enterprise es el origen de los usuarios y, opcionalmente, los grupos del portal. Este origen de los usuarios y los grupos se denomina almacén de identidades. Los usuarios y los grupos de dentro o fuera de la organización se administran a través del almacén de identidades.
- Descripción de los almacenes de identidades
- Configurar usuarios integrados con el almacén de identidades del portal
- Configurar inicios de sesión específicos de la organización con SAML
Descripción de los almacenes de identidades
El almacén de identidades del portal define dónde se almacenan las credenciales de las cuentas del portal, cómo se produce la autenticación y cómo se administra la pertenencia a grupos. El portal de ArcGIS Enterprise admite dos tipos de almacenes de identidades: integrados y específicos de la organización.
Almacén de identidades integrado
Cuando se crean cuentas y grupos integrados en el portal, se utiliza el almacén de identidades integrado, que realiza la autenticación y almacena los nombres, las contraseñas y los roles de los usuarios de las cuentas del portal, así como la pertenencia a grupos. Debe usar el almacén de identidades integrado para crear la cuenta de administrador inicial del portal, pero podrá cambiar más adelante a un almacén de identidades específico de la organización. El almacén de identidades integrado resulta útil para poner en marcha el portal y también para el desarrollo y las pruebas. Sin embargo, los entornos de producción utilizan normalmente almacenes de identidad específicos de la organización.
Almacén de identidades específico de la organización
El portal de ArcGIS Enterprise se ha diseñado de modo que se puedan usar las cuentas y los grupos específicos de la organización para controlar el acceso a la organización de ArcGIS. Este proceso se describe en la documentación como configuración de inicios de sesión específicos de la organización.
La ventaja de esta estrategia es que no necesita crear cuentas adicionales en el portal. Los miembros utilizan el inicio de sesión que ya se ha definido en el almacén de identidades específico de la organización. La administración de las credenciales de la cuenta, incluidas las políticas de complejidad y caducidad de las contraseñas, es totalmente externa al portal. La autenticación se puede gestionar en el nivel del portal, usando la autenticación de nivel de portal, o a través de un proveedor de identidad externo, utilizando SAML.
Del mismo modo, puede crear grupos en el portal que enlacen a grupos corporativos existentes en su almacén de identidades. Permite que la administración de la pertenencia a grupos sea totalmente externa al portal. Cuando los miembros inician sesión en el portal, el acceso al contenido, los elementos y los datos se controlan por medio de las reglas de pertenencia definidas en el grupo corporativo. Asimismo, pueden agregarse cuentas específicas de la organización de forma masiva desde los grupos corporativos de su organización.
Por ejemplo, una práctica recomendada es deshabilitar el acceso anónimo a su portal, conectar su portal a los grupos corporativos deseados de su organización y agregar las cuentas específicas de la organización en función de esos grupos. De esta manera, restringe el acceso al portal en función de grupos corporativos específicos de su organización.
Compatibilidad con varios almacenes de identidades
Con SAML 2.0, puede permitir el acceso al portal usando varios almacenes de identidades. Los usuarios pueden iniciar sesión con cuentas integradas y cuentas administradas en varios proveedores de identidades compatibles con SAML configurados para confiar los unos en los otros. Esta es una buena forma de administrar usuarios que pueden residir dentro o fuera de la organización. Para obtener información detallada, consulte Configurar un proveedor de identidad compatible con SAML con el portal.
Configurar usuarios y grupos integrados con el almacén de identidades del portal
No se necesitan pasos para configurar el portal al utilizar usuarios y grupos integrados. El portal está listo para ellos en cuanto se instala el software. Si trabaja con usuarios específicos de la organización, consulte las siguientes secciones y los vínculos relacionados para obtener más información.
Configurar inicios de sesión específicos de organización
Los siguientes proveedores de identidades específicos de la organización se pueden configurar con el portal.
Autenticación en el nivel del portal
Si desea permitir el acceso a su portal con los almacenes de identidades específicos de la organización e integrados sin usar SAML, puede utilizar la autenticación de nivel del portal. Esto es posible si se configura el portal con su almacén de identidades de Active Directory o LDAP. Cuando un usuario accede a la página de inicio de sesión del portal, podrá iniciar sesión usando credenciales específicas de la organización o credenciales integradas. Los usuarios específicos de la organización tendrán que introducir las credenciales de su cuenta cada vez que inicien sesión en el portal. El inicio de sesión automático o único no está disponible.
Al usar la autenticación de nivel de portal, los miembros iniciarán sesión con la siguiente sintaxis:
- En caso de utilizar el portal con su Active Directory, la sintaxis puede ser domain\username o username@domain. Independientemente de cómo inicie sesión el miembro, el nombre de usuario siempre se muestra como username@domain en el sitio web del portal.
- Si utiliza el portal con LDAP, el administrador puede definir la sintaxis. Asimismo, en el sitio web del portal se muestra la cuenta en este formato.
Configurar inicios de sesión específicos de organización con SAML
El portal de ArcGIS Enterprise admite todos los proveedores de identidad compatibles con SAML. Los siguientes tutoriales muestran cómo configurar algunos proveedores de identidad comunes compatibles con SAML en el portal. Para obtener más información, consulte Configurar un proveedor de identidad compatible con SAML en su portal.
Política de bloqueo de cuentas
A menudo los sistemas de software aplican una política de bloqueo de cuentas como protección frente a intentos masivos de adivinar automáticamente la contraseña de un usuario. Si un usuario intenta iniciar sesión sin éxito varias veces en un intervalo de tiempo específico, se le puede impedir que siga intentándolo durante un periodo de tiempo designado. Estas políticas se deben sopesar frente a la realidad de que, a veces, los usuarios olvidan su nombre de usuario y su contraseña y no logran iniciar sesión correctamente.
La política de bloqueo obligatorio del portal depende del tipo de almacén de identidades que se utilice:
Almacén de identidades integrado
El almacén de identidades integrado bloquea a un usuario tras cinco intentos no válidos consecutivos. El bloqueo dura 15 minutos. Esta política se aplica a todas las cuentas del almacén de identidades, incluida la cuenta de administrador inicial. Esta política no se puede modificar ni sustituir.
Almacén de identidades específico de la organización
Cuando se usa un almacén de identidades específico de la organización, la política de bloqueo de la cuenta se hereda del almacén. En algunos casos, se puede cambiar la política de bloqueo de las cuentas para el almacén. Consulte la documentación específica del tipo de almacén para ver cómo se cambia la política de bloqueos de las cuentas.
Monitorizar los intentos fallidos de inicio de sesión
Puede monitorizar los intentos fallidos de inicio de sesión mostrando los registros de la organización en ArcGIS Enterprise Manager. Todos los intentos fallidos dan como resultado un mensaje a nivel de advertencia indicando que el usuario no ha podido iniciar sesión debido a una combinación incorrecta de nombre de usuario y contraseña. Si el usuario supera el número máximo de intentos de inicio de sesión, se registra un mensaje de nivel grave que indica que la cuenta se ha bloqueado. Realizar un seguimiento de los registros para localizar los intentos fallidos de inicio de sesión ayuda a entender si se está realizando un posible ataque para determinar contraseñas en el sistema.
Para obtener más información, consulte Trabajar con registros del sistema.