Включение SSL с помощью самоподписанного сертификата
В этом учебнике рассказывается, как включить SSL для ArcGIS Server с помощью самоподписанного сертификата. Для включения SSL с помощью самоподписанного сертификата выполните следующие шаги:
Создание нового самоподписанного сертификата
- Войдите в ArcGIS Server Administrator Directory: http://gisserver.domain.com:6080/arcgis/admin.
- Перейдите в меню machines > [имя компьютера] > sslcertificates.
- Щёлкните создать (generate)
- Введите значения параметров на этой странице.
Опция
Описание
Псевдоним
Уникальное название, которое позволяет легко идентифицировать сертификат.
Алгоритм ключа
Используйте RSA (по умолчанию) или DSA.
Размер ключа
Задает размер в битах для формирования криптографических ключей, которые используются для создания сертификата. Чем больше размер ключа, тем труднее взломать шифр, однако при этом возрастает время расшифровки данных. Для DSA размер ключа составляет от 512 до 1024. Для RSA рекомендуется использовать размер 2048 или больше.
Алгоритм подписи
Используйте алгоритм по умолчанию (SHA1withRSA). Если ваша организация имеет особые параметры безопасности, для DSA можно использовать один из следующих алгоритмов: SHA256withRSA, SHA384withRSA, SHA512withRSA, SHA1withDSA.
Обычное имя (Common Name)
В качестве обычного имени используйте имя домена сервера.
Если доступ к серверу будет осуществляться через Интернет по URL-адресу https://www.gisserver.com:6443/arcgis/, используйте www.gisserver.com в качестве обычного имени.
Если доступ к серверу будет осуществляться только по локальной сети по URL-адресу https://gisserver.domain.com:6443/arcgis, используйте gisserver в качестве обычного имени.
Организационное подразделение (Organizational Unit)
Имя подразделения организации, например, Отдел ГИС.
Организация
Имя организации, например, Esri.
Город (City or Locality)
Название города нахождения, например, Редландс.
Штат или область
Полное название штата или области, например, Калифорния.
Код страны
Код страны, например, US.
Срок действия (Validity)
Общее время в днях, в течение которого будет действителен этот сертификат, например, 365.
Альтернативное имя субъекта (Subject Alternative Name)
Альтернативное имя субъекта (SAN) – это дополнительный параметр, который задает альтернативные имена для общего имени (CN), указанного в сертификате SSL. Если SAN не задано, доступ к веб-сайту (без ошибок сертификата SSL) можно получить только по общему имени, указанному в URL-адресе. С помощью SAN сертификат SSL позволяет использовать различные URL-адреса для доступа к одному и тому же веб-сайту. Например, URL-адреса https://www.esri.com, https://esri и https://10.60.1.16 могут использоваться для доступа к одному и тому же сайту, если сертификат SSL создан с применением следующих значений параметра:
CN=www.esri.com
SAN=DNS:esri, IP:10.60.1.16
- Щелкните Создать (Generate), чтобы создать сертификат.
Настройка использования SSL-сертификата в ArcGIS Server
Чтобы указать SSL-сертификат, который будет использоваться в ArcGIS Server, выполните следующие действия.
- Войдите в ArcGIS Server Administrator Directory по адресу http://gisserver.domain.com:6080/arcgis/admin.
- Перейдите к компьютеры (machines) > [machine name].
- Выберите Редактировать (Edit).
- Введите имя SSL-сертификата, который будет использоваться, в поле SSL-сертификат веб-сервера (Web server SSL Certificate).
- Нажмите кнопку Сохранить изменения (Save Edits), чтобы применить изменения.
- На текущей странице проверьте значение свойства SSL-сертификат веб-сервера (Web server SSL Certificate), где для SSL должен быть указан нужный SSL-сертификат.
Настройка всех ГИС-серверов в развернутой системе
Если в развернутой системе ArcGIS Server имеется несколько компьютеров, необходимо создать новый самоподписанный сертификат для каждого ГИС-сервера, который используется в сайте, и настроить ГИС-сервер на использование этого сертификата.
Включение SSL для сайта
- Войдите в ArcGIS Server Administrator Directory по адресу http://gisserver.domain.com:6080/arcgis/admin.
- Перейдите в меню security > config > update.
- Для параметра Протокол (Protocol) выберите HTTP и HTTPS (HTTP and HTTPS) и щелкните Обновить (Update). Сайт ArcGIS Server будет перезапущен автоматически.
- После перезапуска сайта проверьте, что у вас имеется доступ к URL-адресу https://gisserver.domain.com:6443/arcgis/admin. Если вы не получаете ответа с этого URL-адреса, ArcGIS Server не может использовать указанный SSL-сертификат. Проверьте SSL-сертификат и настройте ArcGIS Server на использование нового или другого сертификата.
- Если доступ по URL-адресу https://gisserver.domain.com:6443/arcgis/admin имеется, перейдите к Безопасность (security) > Настройка (config) > Обновить (update).
- Для параметра Протокол (Protocol) выберите опцию Только HTTPS (HTTPS Only) и щелкните Обновить (Update).
Web Adaptor необходимо около одной минуты, чтобы распознать изменение протокола на сайте.
В предыдущих версиях требовалась перенастройка ArcGIS Web Adaptor после обновления протокола ArcGIS Server. В 10.2.2 это не требуется.
Доступ к сайту с помощью SSL
После настройки SSL ArcGIS for Server прослушивает порт 6443 на предмет HTTPS-запросов. Для безопасного доступа к ArcGIS for Server используйте следующие URL-адреса:
ArcGIS Server Manager | https://gisserver.domain.com:6443/arcgis/manager |
ArcGIS Server Services Directory | https://gisserver.domain.com:6443/arcgis/rest/services |
Если переименовать ArcGIS Server при включенном протоколе SSL, доступ к ArcGIS Server с использованием SSL сохранится, однако необходимо создать новый SSL-сертификат и настроить ArcGIS Server на его использование.
Импорт сертификата в хранилище сертификатов операционной системы
Чтобы сервисы ArcGIS, такие как PrintingTools, работали с ArcGIS Server с включенным SSL, сертификат должен быть установлен как доверенный:
- Войдите в ArcGIS Server Administrator Directory.
- Перейдите в machines > [имя_компьютера] > sslcertificates.
- Щелкните на SSL-сертификате, используемом ArcGIS Server, и выберите export. Сохраните файл на вашем компьютере.
- Откройте Менеджер сертификатов (Certificate Manager). Для этого нажмите кнопку Старт (Start) и введите в окне поиска certmgr.msc, после чего нажмите клавишу Enter.
- В окне Менеджер сертификатов (Certificate Manager) щелкните Доверенные корневые центры сертификации (Trusted Root Certificate Authorities) и выберите Сертификаты (Certificates).
- В верхнем меню щелкните Действие (Action) и выберите Все задачи (All Tasks) > Импортировать (Import).
- В диалоговом окне Мастер импорта сертификатов (Certificate Import Wizard) щелкните Далее (Next) и следуйте инструкциям мастера для импорта сертификата.
- Повторите вышеуказанные шаги для каждого ГИС-сервера вашего сайта.