ArcGIS se construye con mecanismos, protocolos y tecnologías de autenticación de TI estándar, los admite y evoluciona con ellos, para garantizar que se integra sin problemas con las políticas, prácticas e infraestructuras de seguridad de una organización existente. Los productos ArcGIS siguen prácticas de autenticación estándar cuando acceden a recursos protegidos, incluidos orígenes de archivos, fuentes DBMS y fuentes basadas en la web. Tanto ArcGIS Enterprise como ArcGIS Online admiten un almacén de usuarios integrado, así como diversos proveedores de identidad empresarial (IdP) que las organizaciones de TI utilizan y proporcionan, como Microsoft Entra ID, Active Directory u Okta. Los clientes y servidores de ArcGIS admiten la autenticación en todos los niveles de una arquitectura de uno o varios niveles, incluido el acceso a servicios web, portales, DBMS, almacenes de archivos, lagos de datos y otras fuentes. Este tema proporcionará más detalles sobre los procesos de autenticación y las opciones que se tienen en cuenta durante un proceso de diseño de la arquitectura.
ArcGIS admite y promueve las experiencias de autenticación de usuarios de inicio de sesión único (SSO) que se basan en el IdP existente de una organización y en la infraestructura de seguridad asociada para administrar las identidades y credenciales de los usuarios y los mecanismos de autenticación. Integrar los IdP de este modo garantiza que ArcGIS se base sin problemas en la infraestructura de seguridad de misión crítica establecida con recursos sólidos y centralizados de aprovisionamiento, administración, monitorización y auditoría de usuarios. ArcGIS se integra con el IdP de una organización a través de patrones de autenticación ampliamente aceptados, como SAML, OIDC, IWA/AD, LDAP o PKI. Este planteamiento integrado simplifica el modelo de seguridad y permite a ArcGIS confiar en el IdP para autenticar directamente a los usuarios, proporcionar servicios de autenticación, administrar el acceso (por ejemplo, para agregar o eliminar privilegios o habilitar o deshabilitar cuentas), y proporcionar una experiencia de usuario de inicio de sesión único (SSO), así como recursos de prevención de vulnerabilidades e intrusiones.
Al utilizar recursos basados en la web en ArcGIS, un usuario establece una identidad después de autenticarse inicialmente. La identidad se puede establecer mediante diversos métodos, pero la secuencia general se describe a continuación:
Una vez completada la autenticación, la sesión de usuario resultante se basa exclusivamente en el token de acceso a ArcGIS. Este token se mantiene en el código de la aplicación o se almacena y comunica como una cookie HTTP y es válido durante un tiempo determinado. La expiración de token predeterminada es de 120 minutos, aunque los token pueden refrescarse y solicitarse por periodos más largos. Junto con el token de acceso, también se genera un refresh_token, que puede utilizarse para refrescar el token de acceso del usuario y prolongar su sesión cuando el uso supere un periodo de dos horas.
Una identidad de usuario también incluye atributos específicos del usuario que se aplican en todo el sistema ArcGIS y en la experiencia del usuario, como su:
Cuando se utilizan recursos basados en el escritorio en una configuración cliente-servidor tradicional, como un DBMS o un servidor de archivos, la identidad del usuario se basa en el modelo de seguridad asociado a la tecnología del servidor o a la funcionalidad del sistema operativo.
En los escenarios de automatización del backend, como las comunicaciones de servidor a servidor o las basadas en procesos del sistema operativo, el cliente en esas interacciones sigue los patrones anteriores para establecer la identidad con las credenciales asociadas.
Encontrará más información sobre los patrones de autenticación específicos de ArcGIS en el sitio para desarrolladores de Esri.
Para establecer una sesión de usuario o programática con ArcGIS Enterprise o ArcGIS Online, se utilizan los siguientes protocolos y mecanismos estándar del sector admitidos para autenticar usuarios y clientes en todo el sistema ArcGIS. Entre ellos se encuentran:
Esri proporciona soporte para los inicios de sesión basados en SAML en ArcGIS Enterprise y ArcGIS Online junto con un conjunto de documentación específica de proveedores de identidad. OpenID Connect (OIDC) también se admite plenamente para las organizaciones de ArcGIS Enterprise y AcGIS Online. Esri recomienda el uso de inicios de sesión SAML u OIDC para todas las organizaciones en las que esta opción esté disponible.
En el contexto de ArcGIS, tanto SAML como OIDC facilitan el acceso seguro al permitir a los usuarios iniciar sesión utilizando sus credenciales existentes de un proveedor de identidad de confianza, como Google, Microsoft Entra ID, Okta u otros sistemas de identidad empresarial. Cuando un usuario intenta acceder a un sistema ArcGIS sin una sesión de autenticación en curso, se le redirige al proveedor de identidad para que se autentique. El proveedor de identidad gestiona el paso de autenticación, en el que se proporciona al sistema un nombre de usuario, una contraseña, un código de un solo uso u otros factores y, si se realiza correctamente, el proveedor de identidad emite una aserción SAML o una declaración OIDC, que se envía de vuelta a ArcGIS para validar la identidad del usuario.
Entre las ventajas de utilizar SAML u OIDC están:
Funcionamiento
El almacén de identidades integrado le permite administrar usuarios y grupos directamente dentro de los componentes de ArcGIS Server o Portal for ArcGIS. Significa que no necesita un sistema externo para manipular la autenticación de los usuarios. ArcGIS se encarga del proceso de autenticación, verificando los nombres de usuario y las contraseñas almacenados en su propia base de datos. Este método se utiliza con frecuencia para la configuración inicial, el desarrollo y las pruebas, ya que permite crear una cuenta de forma rápida y sencilla.
Ejemplo práctico
Imagine que está configurando un nuevo portal de ArcGIS Enterprise para un pequeño equipo de profesionales de SIG. Es posible crear rápidamente cuentas de usuario para cada miembro del equipo directamente en el portal. A continuación, cada usuario puede iniciar sesión con sus credenciales para acceder a mapas, aplicaciones y otros recursos compartidos dentro de la organización.A continuación, cada usuario puede iniciar sesión con sus credenciales para acceder a mapas, aplicaciones y otros recursos compartidos dentro de la organización.
Ventajas
Facilidad de uso: no es necesaria una integración compleja con sistemas externos.
Configuración rápida: ideal para empezar a trabajar rápidamente, especialmente en entornos de desarrollo y pruebas.
Autónomo: todos los datos de los usuarios se administran dentro del portal, lo que simplifica la administración.
Limitaciones
Escalabilidad: no es ideal para organizaciones medianas o grandes con muchos usuarios, ya que la administración puede resultar engorrosa.
Seguridad: podría no cumplir los requisitos de seguridad estrictos de algunas organizaciones, en comparación con el uso de LDAP o SAML.
La autenticación integrada de Windows (IWA) y los protocolos Active Directory (AD) y Lightweight Directory Access Protocol (LDAP), que solo están disponibles con ArcGIS Enterprise, se utilizan habitualmente en las organizaciones para los flujos de trabajo internos o en red. Esri solo recomienda el uso de las configuraciones IWA, AD y LDAP para las implementaciones de orientación interna de ArcGIS Enterprise.
La infraestructura de clave pública (PKI) que utiliza certificados de cliente se emplea en varios patrones de autenticación, como IWA, SAML y OIDC.
La autenticación multifactor (MFA), se aplica con frecuencia a los inicios de sesión integrados en ArcGIS o se aplica como parte de un proceso SAML u OIDC utilizando un proveedor de identidad externo. Se trata de unas prácticas recomendadas, especialmente para las cuentas con privilegios elevados.
La autenticación basada en aplicaciones es otro patrón de autenticación, relacionado con el patrón de usuario integrado, en el que la autenticación se completa utilizando claves de API o pares de Id. de cliente y secreto de cliente.1
ArcGIS también admite el acceso anónimo de los usuarios a la mayoría de los tipos de recursos del sistema, para aquellas organizaciones que necesiten un acceso abierto en su WAN o un acceso público a las aplicaciones a través de Internet.
las claves de API se admiten con ArcGIS Location Platform, ArcGIS Online y ArcGIS Enterprise en la versión 11.4 o posterior. ↩
Mientras que la mayoría de los flujos de trabajo de uso que se completan en los sistemas ArcGIS están basados en el usuario, en los que una persona interactúa con una página web o una aplicación que emite peticiones a un servidor, otros flujos de trabajo requieren un nivel de interacción de servidor a servidor o programático, ya sea para la integración entre sistemas, la automatización de tareas de datos o la provisión de algún otro nivel de conectividad entre distintos sistemas de tipo servidor o backend.
Aunque el soporte para las solicitudes basadas en el servidor que permiten una identidad anónima resulta sencillo, existen muchas opciones para autenticar estas solicitudes cuando el servicio o el extremo es seguro y se requiere algún nivel de autenticación o identificación. Algunas recomendaciones generales en esta área son:
refresh_token basado en ArcGIS OAuth (generado a partir de un proveedor de identidad integrado o de empresa), puede integrarse en un sistema y utilizarse para generar tokens de sesión según sea necesario. Un token de actualización válido también puede intercambiarse por un nuevo token de actualización, por lo que puede crearse una lógica para mantener este token de actualización y hacer que sea válido indefinidamente.