ArcGIS Server集成安全性

<p id="GUID-708ACC65-E978-4C5D-9100-BD167C666412">集成安全性是一种安全模型，模型中发出命令或请求的最终用户的身份可在系统的所有层级中使用，以使每个层级都能够以最终用户的身份强制执行访问控制。</p>
<p id="GUID-7F0DD14B-2972-4CDD-8DA5-26487CE6F824">在 ArcGIS Server 10 版本中，集成安全性可用于 Web 应用程序，该应用程序通过 Internet 连接使用 ArcGIS Web 服务。ArcGIS Server 通过 ArcGIS Web 服务处理程序 (WSH) 将 Web 用户的身份从 Web 应用程序自动传输到 ArcGIS SOM 和 SOC 进程。</p>
<p id="GUID-9318E23A-7CDA-4F1F-AD84-9803FFCD2EB4">如果 ArcGIS Web 服务使用的是 Oracle 数据库中的数据，那么 Web 用户的身份还可被传递到数据库。此功能目前不适用于其他数据库系统。</p>
<div id="GUID-8B94C7B8-C749-45B5-9814-E51FAD8AF3AD" class="section1" purpose="section1">
<h2>集成安全性配置 </h2>
<p id="GUID-81906340-04B6-4706-88F7-01BDC0098CC7">如果已在 ArcGIS Server 上启用安全性，则 Web 用户的身份会自动传递到 ArcGIS Web 服务。随后 ArcGIS SOM 和 SOC 进程便能够以此用户身份强制执行访问控制。</p>
<p id="GUID-152F4CCB-868A-459F-9D7E-9D2A649503D0">在配置数据库层级的安全性时，将为每个用户分配对数据库中的表（和/或列和行）的访问权限，而不是像在 ArcGIS Server 中那样分配对角色/组的访问权限。要配置 Oracle 数据库的集成安全性，需要执行以下操作：</p>
<ol id="OL_2849A4F8ED1B4A7B97E2A7F70D413CA7" purpose="ol">
<li id="LI_DC91A753E3404757BEFADB023D24762A" purpose="li"><a class="xref" href="http://help.arcgis.com/zh-cn/arcgisserver/10.0/help/arcgis_server_java_help/0092/0092000013nz000000.htm#ESRI_SECTION2_EF9FA129A49147B8977992D13BED2A75" rel="/zh-cn/arcgisserver/10.0/help/arcgis_server_java_help/0092/0092000013nz000000.htm#ESRI_SECTION2_EF9FA129A49147B8977992D13BED2A75">为地图作者创建数据库帐户</a>。</li>
<li id="LI_5619C3C421244BCAAF51B9FF3A03AC29" purpose="li"><a class="xref" href="http://help.arcgis.com/zh-cn/arcgisserver/10.0/help/arcgis_server_java_help/0092/0092000013nz000000.htm#ESRI_SECTION2_254EF2DE880049D3BD4EEC00B956578C" rel="/zh-cn/arcgisserver/10.0/help/arcgis_server_java_help/0092/0092000013nz000000.htm#ESRI_SECTION2_254EF2DE880049D3BD4EEC00B956578C">定义 ArcGIS Web 服务用户</a>。</li>
<li id="LI_065CBFB058BC40A299559E33A9AD8471" purpose="li"><a class="xref" href="http://help.arcgis.com/zh-cn/arcgisserver/10.0/help/arcgis_server_java_help/0092/0092000013nz000000.htm#ESRI_SECTION2_14F59375CE69495890D4C11971E7A55C" rel="/zh-cn/arcgisserver/10.0/help/arcgis_server_java_help/0092/0092000013nz000000.htm#ESRI_SECTION2_14F59375CE69495890D4C11971E7A55C">创作一个文档并将其发布到 ArcGIS Server</a>。</li>
<li id="LI_33EBF57CD1A84348902D517346B951CE" purpose="li"><a class="xref" href="http://help.arcgis.com/zh-cn/arcgisserver/10.0/help/arcgis_server_java_help/0092/0092000013nz000000.htm#ESRI_SECTION2_5ABCEBA724C54127BBAC1D452BC65FBB" rel="/zh-cn/arcgisserver/10.0/help/arcgis_server_java_help/0092/0092000013nz000000.htm#ESRI_SECTION2_5ABCEBA724C54127BBAC1D452BC65FBB">启用数据库集成安全性</a>。</li></ol>
<div id="ESRI_SECTION2_EF9FA129A49147B8977992D13BED2A75" class="section2" purpose="section2">
<h3>定义地图作者</h3>
<p id="GUID-1ADE6CAD-63F5-4571-8255-662C81E23D03">为支持集成安全性，地图文档的作者必须具备所需的数据库权限。您需要定义创作地图文档要使用的数据库帐户。作为数据库管理员，可通过如下方式创建权限并将其分配给将创作地图的用户：</p>
<div class="codeblock" purpose="codeblock"><pre id="GUID-7DBFB215-7ABA-4E4D-957D-7255BD961576" class="codeblockbody" purpose="codeblockbody">CREATE USER <map author> IDENTIFIED BY <map author password>
 DEFAULT TABLESPACE <tablespace_name>
 TEMPORARY TABLESPACE <temp_tablespace_name>;

 GRANT CONNECT, RESOURCE TO <map author>;</pre></div>
<p id="GUID-6B76E4B1-B56D-49AD-8FC4-F9112AFE5AAD">有关用于创建用户的附加信息和要求，请参阅 Oracle 文档。</p></div>
<div id="ESRI_SECTION2_254EF2DE880049D3BD4EEC00B956578C" class="section2" purpose="section2">
<h3>为 ArcGIS Web 服务用户定义数据库帐户</h3>
<p id="GUID-524B390E-C7F1-4E0E-9222-866116C75E2A">对于要使用的集成安全性，每个 ArcGIS Web 服务用户都必须具备相应的数据库帐户。作为数据库管理员，可以为每个将使用 ArcGIS Web 服务的用户创建数据库帐户。还需要通过地图作者数据库帐户授予每个用户连接权限。</p>
<div class="codeblock" purpose="codeblock"><pre id="GUID-DD4B692E-ED87-4222-B27B-841E9C224E71" class="codeblockbody" purpose="codeblockbody">CREATE USER <ArcGIS Web user> IDENTIFIED by <ArcGIS Web user>
DEFAULT TABLESPACE <tablespace_name>
TEMPORARY TABLESPACE <temp_tablespace_name>;

GRANT CONNECT,RESOURCE to <ArcGIS Web user>;

ALTER USER <ArcGIS Web user> GRANT CONNECT THROUGH <map author>;</pre></div>
<div id="GUID-7AC38C28-C238-4E7D-9F09-7B477674DD75" class="notes">
<div class="note"><img class="note_img" title="注意" alt="注意" src="http://help.arcgis.com/zh-cn/arcgisserver/10.0/help/arcgis_server_java_help/rsrc/note.png"/><span>注意:</span></div>
<div class="tipbody">在数据库中创建用户名时需要使用小写字母，因为 ArcGIS Server 会以小写形式将用户名传递到数据库。对于域用户，请将名称用双引号括起来。例如：
<div class="codeblock" purpose="codeblock"><pre id="GUID-98943AC4-BB77-4F6D-8D05-7A0877A63508" class="codeblockbody" purpose="codeblockbody">CREATE USER "<domain name>\<user name>" IDENTIFIED by <user name></pre></div></div></div>
<p id="GUID-C2252BB0-C00B-43BD-A86C-8244FBFA2096">可根据需要对每个创建的数据库帐户授予权限，以与用户被授予的 Oracle 地理数据库的使用权限相对应。有关设置用户权限的详细信息，请参阅<a class="xref" href="http://help.arcgis.com/zh-cn/arcgisserver/10.0/help/arcgis_server_java_help/0029/002900000039000000.htm" rel="/zh-cn/arcgisserver/10.0/help/arcgis_server_java_help/0029/002900000039000000.htm">什么是用户权限</a>。</p>
<p id="GUID-9CDE87D0-2192-481F-AE6E-82D1906C87D4">以下示例中定义了两个角色，以便向 ArcGIS Web 服务用户授予权限。定义的第一个角色可以使数据库在两个地理数据库图层中进行选择（查看数据的权限），第二个角色可以编辑图层。</p>
<div class="codeblock" purpose="codeblock"><pre id="GUID-A0B35475-6028-4D74-A68E-B7444280DD7F" class="codeblockbody" purpose="codeblockbody">--Role for displaying boundary layers
CREATE ROLE sel_boundary_role NOT IDENTIFIED;
GRANT SELECT ON <map author>.States TO sel_boundary_role;
GRANT SELECT ON <map author>.Counties TO sel_boundary_role;

GRANT sel_boundary_role to <user one>;

-- Role for displaying transportation layer
CREATE ROLE sel_trans_role NOT IDENTIFIED;
GRANT SELECT,UPDATE,INSERT,DELETE ON <map author>.Roads TO sel_trans_role;

GRANT sel_trans_role to <user two>;</pre></div>
<p id="GUID-D4EFBE21-87B8-4A38-ABF4-872A90C569A1">还可以配置 Oracle 数据库中各行（要素）和各列（属性字段）的权限。有关详细信息，请参阅 Oracle 数据库文档。</p></div>
<div id="ESRI_SECTION2_14F59375CE69495890D4C11971E7A55C" class="section2" purpose="section2">
<h3>创建地图文档并将其发布到 ArcGIS Server</h3>
<p id="GUID-953ED2DC-444C-404F-947E-7FDD4ABDCDCA">可使用 ArcMap 或任何其他 ArcGIS 客户端来创建文档。在添加地理数据库资源时，需要使用<a class="xref" href="http://help.arcgis.com/zh-cn/arcgisserver/10.0/help/arcgis_server_java_help/0092/0092000013nz000000.htm#ESRI_SECTION2_EF9FA129A49147B8977992D13BED2A75" rel="/zh-cn/arcgisserver/10.0/help/arcgis_server_java_help/0092/0092000013nz000000.htm#ESRI_SECTION2_EF9FA129A49147B8977992D13BED2A75">定义地图作者</a>中所介绍的地图作者数据库帐户的凭据。使用任意 ArcGIS Server 客户端将地图文档发布到 ArcGIS Server。请注意，地图服务能力（例如 WMS 和 KML）将强制施行与标准 ArcGIS Web 服务 (SOAP/REST) 相同的安全性限制。</p></div>
<div id="ESRI_SECTION2_5ABCEBA724C54127BBAC1D452BC65FBB" class="section2" purpose="section2">
<h3>启用 Oracle 的集成安全性</h3>
<p id="GUID-AAA440DD-38AB-4245-A733-A336FF88097C">在配置 Oracle 数据库后，需要在 ArcGIS Server 中启用安全性。而且在配置 ArcGIS Server 安全性期间，需要创建与之前部分中创建的 Oracle 用户和角色完全匹配的用户和角色。有关配置 ArcGIS Server 安全性的说明，请参阅<a class="xref" href="http://help.arcgis.com/zh-cn/arcgisserver/10.0/help/arcgis_server_java_help/0092/0092000013n6000000.htm" rel="/zh-cn/arcgisserver/10.0/help/arcgis_server_java_help/0092/0092000013n6000000.htm">配置安全性概述</a>。</p>
<p id="GUID-B3F096E0-C14F-450E-85D4-5133DA9141BB">在配置 ArcGIS Server 安全性后，需要启用 ArcGIS Server 数据库集成安全性。在启用该功能后，ArcGIS Server 会将从 Web 服务处理程序接收到的身份传递到 Oracle 数据库。要启用数据库集成安全性，可使用文本或 XML 编辑器打开位于 <ArcGIS 安装目录>\server\system\ 文件夹中的 Server.dat 文件。在该文件内部找到 <属性> 元素。在此元素中，可按如下方式添加新的属性元素：</p>
<div class="codeblock" purpose="codeblock"><pre id="GUID-2308DE5C-A93B-40B8-BC0D-445FCA90D4EB" class="codeblockbody" purpose="codeblockbody"><Properties>
   <PushIdentityToDatabase>true</PushIdentityToDatabase>
   ...
</Properties></pre></div>
<p id="GUID-145372E7-103A-4702-8723-6848FE5CA2BB">在更新 Server.dat 文件后，将其保存并关闭。重新启动 ArcGIS 服务器对象管理器进程以应用此更改。</p></div>
<div id="ESRI_SECTION2_9DDAA540BD474BBA89F0C4A664D5024F" class="section2" purpose="section2">
<h3>测试集成安全性</h3>
<p id="GUID-6C4DCA30-DE4D-40F1-A6A2-25366ED64EA5">通过 ArcGIS Server 管理器或 Eclipse/NetBeans IDE 可创建 Web 制图应用程序，该应用程序将调用对集成安全性提供支持的 ArcGIS Web 服务。在 Web 浏览器中查看已部署的 Web 应用程序。只有用户授予权限的图层/要素应该显示在 Web 应用程序中。通过创建使用不同 ArcGIS Web 用户的凭据的新 Web 制图应用程序，就可以重复进行此测试。</p>
<div id="GUID-43463E86-58BB-4D95-98FC-9B8C09930AA1" class="notes">
<div class="note"><img class="note_img" title="注意" alt="注意" src="http://help.arcgis.com/zh-cn/arcgisserver/10.0/help/arcgis_server_java_help/rsrc/note.png"/><span>注意:</span></div>
<div class="tipbody">
<p id="GUID-EA96F98A-C0F1-45EC-9E76-2939841271E3">ArcGIS Web 服务必须通过 ArcGIS Server Internet 连接来使用。还必须提供用于连接服务的 ArcGIS Web 用户名和密码。</p></div></div></div></div>