統合 Windows 認証 (IWA) を使用して、組織サイトへのアクセスのセキュリティを保護できます。 IWA を使用する場合、Microsoft Windows Active Directory を通じてログインが管理されます。 ユーザーは、組織サイトのサイン インとサイン アウトを行わず、Web サイトを開くときに、Windows へのサイン インと同じアカウントを使用してサイン インします。
統合 Windows 認証を使用するには、Microsoft の IIS Web サーバーに配置された ArcGIS Web Adaptor (IIS) を使用する必要があります。 ArcGIS Web Adaptor (Java Platform) を統合 Windows 認証の実行に使用することはできません。 まだ行っていない場合は、ArcGIS Web Adaptor (IIS) を組織サイトにインストールして構成します。
Windows Active Directory を使用するように組織サイトを構成する
デフォルトでは、ArcGIS Enterprise はすべての通信に HTTPS を適用します。 以前にこのオプションを HTTP と HTTPS の両方の通信を許可するように変更した場合は、以下の手順に従って、HTTPS のみの通信を使用するようにポータルを再構成する必要があります。
注意:
ArcGIS Enterprise は、Active Directory アイデンティティ ストアを使用して、単一のフォレストでの複数のドメインからの認証をサポートしますが、フォレスト間の認証を提供しません。 複数のフォレストからの組織固有のユーザーをサポートするには、SAML ID プロバイダーが必要です。
すべての通信に HTTPS を使用するように組織サイトを構成します。
HTTPS を使用するように組織サイトを構成するには、次の手順を実行します。
- 管理者として組織の Web サイトにサイン インします。
URL の形式は https://organization.example.com/<context>/home です。
- [組織] → [設定] タブの順にクリックして、ページの左側にある [セキュリティ] をクリックします。
- [HTTPS のみを使用したポータルへのアクセスを許可] を有効にします。
Active Directory のユーザーとグループを使用してアイデンティティ ストアを構成する
次に、Windows Active Directory のユーザーとグループを使用するように、組織のアイデンティティ ストアを更新します。
- 組織の管理者として ArcGIS Enterprise Manager にサイン インします。
URL の形式は https://organization.example.com/<context>/manager です。
- [セキュリティ]、[アイデンティティ ストア] の順にクリックします。
[ユーザー ストア] および [グループ ストア] の下のボタンを使用すると、組織でのユーザーとグループの管理方法を選択できます。
- [ユーザー ストア] で [Windows] をクリックします。
Windows ユーザーの場合、組み込みグループ ストアまたは Windows グループ ストアを使用できます。 [ユーザー ストアとグループ ストアの構成] セクションの入力ボックスは、選択したグループ ストアのタイプに応じて異なります。
- [ユーザー ストアとグループ ストアの構成] セクションで、各設定に適切な情報を指定します。
各テキスト ボックスについて、以下で説明します。
- Username (Required)
- Password (Required)
- Are usernames case sensitive?- はい/いいえ。
- User first name attribute (Required)- ユーザーの氏名 (名) 用のディレクトリ サーバー属性。
- User last name attribute (Required)- ユーザーの氏名 (姓) 用のディレクトリ サーバー属性。
- User email attribute (Required)- ユーザーの電子メール アドレス用のディレクトリ サーバー属性。
- Domain controller (Required)
- Domain controller mapping
- アイデンティティ ストアを構成するための情報の入力が完了したら、[保存] をクリックします。
追加のアイデンティティ ストア パラメーターを構成する
必要に応じて、ArcGIS Enterprise の管理 API を使用して、追加のアイデンティティ ストア構成パラメーターを変更できます。 これらのパラメーターには、組織固有のユーザーが組織サイトにサイン インしたときにグループを自動的に更新するかどうかの制限、メンバーシップ更新間隔の設定、複数のユーザー名フォーマットのチェックを行うかどうかの定義が含まれます。 詳細については、「アイデンティティ ストアの更新」をご参照ください。
組織固有のアカウントの追加
デフォルトでは、組織固有のユーザーは ArcGIS Enterprise 組織にアクセスできます。 ただし、エンタープライズ ユーザーは、組織内の全員で共有しているアイテムしか表示できません。 これは、組織固有のアカウントが追加されておらず、またアクセス権限も付与されていないからです。
次のいずれかの方法を使用して、アカウントを組織に追加します。
少なくとも 1 つの組織固有のアカウントをポータルの管理者として指定することをお勧めします。 これを行うには、アカウントを追加する際に [管理者] ロールを選択します。 代わりのポータル管理者アカウントをお持ちの場合は、初期管理者アカウントにユーザー ロールを割り当てたり、このアカウントを削除したりすることができます。 詳細については、「初期管理者アカウントについて」をご参照ください。
アカウントを追加して、次の手順をすべて実行したら、組織にサイン インし、コンテンツにアクセスできるようになります。
IWA を使用するように ArcGIS Web Adaptor を構成する
IWA を使用するように ArcGIS Web Adaptor を構成するには、次の手順を実行します。
- Internet Information Server (IIS) Manager を開きます。
- [接続] パネルで、ArcGIS Web Adaptor をホストしている Web サイトを特定して展開します。
- ArcGIS Web Adaptor の名前をクリックします。
デフォルトは、arcgis です。
- [ホーム] パネルで [認証] をダブルクリックします。
- [匿名認証] を選択して [無効] をクリックします。
- [Windows 認証] を選択して [有効] をクリックします。
- Internet Information Server (IIS) Manager を閉じます。
IWA を使用したポータルへのアクセスを確認する
IWA を使用してポータルにアクセスできることを確認するには、次の手順を実行します。
- ArcGIS Enterprise ポータルを開きます。
URL の形式は https://organization.example.com/<context>/home です。
- 組織固有のアカウントの認証情報の入力を求められるか、組織固有のアカウントを使用して自動的にサイン インできることを確認します。 この動作を判断できない場合は、コンピューターへのサイン インに使用した Windows アカウントがポータルに追加されていることを確認します。
ユーザーが独自の組み込みアカウントを作成できないようにする
ユーザーが独自の組み込みアカウントを作成できないようにするには、組織の設定でユーザーが新しい組み込みカウントを作成する機能を無効にします。