arcopole Studio Annexe 7 Architectures Site du programme arcopole : www.arcopole.fr

4 arcopole Studio Annexe 7 Architectures Site du programme arcopole : www.arcopole.fr Auteur du document : Esri France Version de la documentation : 1.2 Date de dernière mise à jour : 26/02/2015

Sommaire I Introduction... 3 II Exemples d architecture simples... 4 II.1 ArcGIS Server et arcopole Studio sur un même serveur... 4 II.2 ArcGIS Server et arcopole Studio sur deux serveurs différents... 5 II.3 Configuration des rapports et de l impression... 7 II.3.1 Serveur arcopole... 7 II.3.2 Serveur SIG... 7 II.3.3 ArcGIS for Server... 7 II.3.4 Configuration.xml... 8 III Exemple d Architecture HTTPS... 10 III.1 Présentation... 10 III.2 Configuration... 11 IV Exemple d Architecture utilisant le Web Adaptor... 12 IV.1 Pré requis... 12 IV.2 Explication du mode d authentification... 13 IV.3 Configuration du serveur... 14 IV.4 Configuration du service d impression... 16 26/02/2015 Version doc. : 1.2 Page 2 sur 17

I INTRODUCTION La variété des utilisations d arcopole Studio nécessite que le logiciel puisse être installé dans différentes architectures techniques. Cette documentation présente les différentes architectures supportées suivantes et leurs implémentations : Architectures simples (HTTP) Architectures sécurisées (HTTPS) D autres architectures peuvent être mises en œuvre. Chaque cas étant particulier, cette documentation ne peut tous les traiter. Dans la mesure du possible, nous vous conseillons de suivre les préconisations de ce document pour bénéficier d un support efficace. Sachez également que les experts d Esri France peuvent vous accompagner dans la mise en œuvre d architectures différentes en fonction de vos besoins. Enfin, vous trouverez en dernière partie de document, des informations sur l architecture de génération des rapports et de l impression. 26/02/2015 Version doc. : 1.2 Page 3 sur 17

II EXEMPLES D ARCHITECTURE SIMPLES Afin de vous aider dans votre installation d arcopole Studio, voici le schéma d une architecture habituelle HTTP et les valeurs des différentes variables à indiquer lors de l installation. Ces schémas sont proposés pour les versions 10.0, 10.1, 10.2.x et 10.3 d ArcGIS for Server supportées. Les versions 10.1 et supérieures sont notées 10.1+ dans la suite de ce document. II.1 ARCGIS SERVER ET ARCOPOLE STUDIO SUR UN MEME SERVEUR Dans le schéma ci-dessus, arcopole Studio et ArcGIS Server sont installés sur la même machine et ArcGIS n utilise pas le Web Adaptor. La machine porte le nom de SERVEUR_SIG sur le domaine et on y peut accéder en http à l adresse http://sig.macollectivite.org. Tomcat a été installé sur le port 8080 et ArcGIS for Server, en fonction de sa version répond sur : en 10.0 : le port 80 (.net) ou 8099 (JAVA) en 10.1+ : le port 6080 L utilisateur User_SIG est local à SERVEUR_SIG et est un utilisateur ArcGIS (membre de AGS_User en 10.0 ; utilisateur arcgis créé lors de l installation en 10.1+). Dans ce contexte, les différentes variables à utiliser pendant l installation sont les suivantes : AGS_SERVER_VERSION = 10.0 WEB_SERVER_HOST : sig.macollectivite.org:8080 WEB_SERVER_PROTOCOL : http WEBAPP_NAME : studio AGS_HOST : SERVEUR_SIG AGS_WEBAPI_HOSTS : SERVEUR_SIG  AGS_USER : User_SIG AGS_PWD : Password_SIG AGS_DOMAIN : SERVEUR_SIG AGS_INPUT_10= C:/arcgisserver/arcgisinput AGS_JOBS_10= C:/arcgisserver/arcgisjobs Exemple de configuration en 10.0 26/02/2015 Version doc. : 1.2 Page 4 sur 17

AGS_SERVER_VERSION = 10.1 ou 10.2 ou 10.3 WEB_SERVER_HOST : sig.macollectivite.org:8080 WEB_SERVER_PROTOCOL : http WEBAPP_NAME : studio AGS_HOST : SERVEUR_SIG AGS_WEBAPI_HOSTS : SERVEUR_SIG:6080 AGS_USER : arcgis AGS_PWD : arcgis_password AGS_DOMAIN : SERVEUR_SIG AGS_INPUT_10_1: C:/arcgisserver/directories/arcgissystem/arcgisinput AGS_JOBS_10_1 : C:/arcgisserver/directories/arcgisjobs Exemple de configuration en 10.1+ II.2 ARCGIS SERVER ET ARCOPOLE STUDIO SUR DEUX SERVEURS DIFFERENTS Dans le schéma ci-dessus, arcopole Studio et ArcGIS Server sont installés sur deux machines différentes et ArcGIS n utilise pas le Web Adaptor. Le serveur ArcGIS porte le nom de SERVEUR_SIG sur le domaine ; le serveur sur lequel arcopole Studio est installé porte le nom SERVEUR_ARCOPOLE sur le domaine, et on y peut accéder en http à l adresse http://sig.macollectivite.org. Tomcat a été installé sur le port 8080 et ArcGIS for Server, en fonction de sa version répond sur : en 10.0 : le port 80 (.net) ou 8099 (JAVA) en 10.1+ : le port 6080 L utilisateur User_SIG est local à SERVEUR_SIG et est un utilisateur ArcGIS (membre de AGS_User en 10.0 ; utilisateur arcgis créé lors de l installation en 10.1+). 26/02/2015 Version doc. : 1.2 Page 5 sur 17

Dans ce contexte, les différentes variables à utiliser pendant l installation sont les suivantes : AGS_SERVER_VERSION = 10.0 WEB_SERVER_HOST : sig.macollectivite.org:8080 WEB_SERVER_PROTOCOL : http WEBAPP_NAME : studio AGS_HOST : SERVEUR_SIG AGS_WEBAPI_HOSTS : SERVEUR_SIG  AGS_USER : User_SIG AGS_PWD : Password_SIG AGS_DOMAIN : SERVEUR_SIG AGS_INPUT_10= \\SERVEUR_DMZ\partage\arcgisserver\arcgisinput AGS_JOBS_10= \\SERVEUR_DMZ\partage\arcgisserver\arcgisjobs Exemple de configuration en 10.0 AGS_JOBS_10= C:/arcgisserver/arcgisjobs AGS_SERVER_VERSION = 10.1 ou 10.2 ou 10.3 WEB_SERVER_HOST : sig.macollectivite.org:8080 WEB_SERVER_PROTOCOL : http WEBAPP_NAME : studio AGS_HOST : SERVEUR_SIG AGS_WEBAPI_HOSTS : SERVEUR_SIG:6080 AGS_USER : arcgis AGS_PWD : arcgis_password AGS_DOMAIN : SERVEUR_SIG AGS_INPUT_10_1: \\SERVEUR_DMZ\partage\arcgisserver\arcgisinput AGS_JOBS_10_1 : \\SERVEUR_DMZ\partage\arcgisserver\arcgisjobs Exemple de configuration en 10.1+ 26/02/2015 Version doc. : 1.2 Page 6 sur 17

II.3 CONFIGURATION DES RAPPORTS ET DE L IMPRESSION Cette architecture nécessite l usage d un répertoire partagé entre les deux machines (SERVEUR_ARCOPOLE et SERVEUR_SIG) pour pouvoir générer et récupérer des rapports ainsi que pour l impression. Voici les étapes de configuration spécifiques. II.3.1 Serveur arcopole Créez les répertoires suivants sous un répertoire commun : - arcgisjobs - arcgisoutput - arcgisinput : contiendra les fichiers XML générés par arcopole Studio - rapports : y copier les modèles de rapports jasper et xslt. - arcopoleprint : y copier le répertoire studio/web-inf/printtemplates. Exemple : D:\partage\arcgisjobs D:\partage\arcgisoutput D:\partage\rapports D:\partage\arcgisinput D:\partage\arcOpolePrint Donnez à Tomcat les droits d accès à ces répertoires. II.3.2 Serveur SIG Créez cinq répertoires virtuels arcgisjobs, arcgisoutput, arcgisinput, rapports et arcopoleprint correspondants aux cinq répertoires partagés précédemment sur SERVEUR_ ARCOPOLE et y donner accès au compte arcgis. Exemple : \\SERVEUR_ARCOPOLE\partage\arcgisjobs \\SERVEUR_ARCOPOLE\partage\arcgisoutput \\SERVEUR_ARCOPOLE\partage\arcgisinput \\SERVEUR_ARCOPOLE\partage\rapports \\SERVEUR_ARCOPOLE\partage\arcOpolePrint II.3.3 ArcGIS for Server La configuration de votre ArcGIS Server doit également être modifiée : Dans votre Site ajoutez un nouveau répertoire arcgisjobsarcopole de type Tâches : arcgisjobsarcopole : \\SERVEUR_ARCOPOLE\partage\arcgisjobs Ajoutez également un nouveau répertoire arcgisoutputarcopole de type Sortie : arcgisoutputarcopole : \\SERVEUR_ARCOPOLE\partage\arcgisoutput Configurez le service Rapports : - Répertoire des tâches : \\SERVEUR_ARCOPOLE\partage\arcgisjobs - Répertoire en sortie : \\SERVEUR_ARCOPOLE\partage\arcgisoutput 26/02/2015 Version doc. : 1.2 Page 7 sur 17

Si vous utilisez ArcGIS 10.1+ configurez la fonctionnalité SOEMxdPrinter du service arcopoleprint : - templates : \\SERVEUR_ARCOPOLE\partage\arcOpolePrint\printTemplates - authentification : \\SERVEUR_ARCOPOLE\partage\arcOpolePrint\PrintAuth.xml II.3.4 Configuration.xml Dans le fichier configuration.xml effectuez les modifications suivantes : 1. remplacez le pattern de filtre /arcgisjobs par /arcgisjobsarcopole : <urlfilter startwith="/arcgisjobsarcopole" handlerclass="com.esrifrance.restfmksrv.handlers.securedownload.sd"> <handler-configuration root_folder="${agsjobs}" > </handler-configuration> </urlfilter> 2. puis configurez l emplacement des modèles de rapports :  <urlfilter startwith="/report" handlerclass="com.esrifrance.restfmksrv.handlers.arcopole.report.reporthandler"> <handler-configuration> <engines> </engines> <engine name="jasper" alias="ireport" modelxmlpath="\\serveur_arcopole\partage\rapports\jasper\models.xml" geoprocessingurl="${orionhost}/arcgis/rest/services/arcopole/ra pports/gpserver/jasper" tmppath="${agsinput}" /> <engine name"xslt" alias="xslt" ml" modelxmlpath="\\serveur_arcopole\partage\rapports\xslt\models.x geoprocessingurl="${orionhost}/arcgis/rest/services/arcopole/ra pports/gpserver/xslt" tmppath="${agsinput}" /> </handler-configuration> </urlfilter> 26/02/2015 Version doc. : 1.2 Page 8 sur 17

3. et enfin l emplacement des répertoires arcgisjobs et arcgisinput : <var name="agsjobs" value=" \\SERVEUR_ARCOPOLE\partage\arcgisjobs" /> <var name="agsinput" value=" \\SERVEUR_ARCOPOLE\partage\arcgisinput" /> Si vous utilisez ArCGIS Server 10.0 il faut également définir où se trouve le répertoire contenant les gabarits d impression et le fichier PrintAuth.xml :  <var name="printauthpath" value="\\serveur_arcopole\partage\arcopoleprint\printauth.xml"/> <var name="printtemplatefolder" value="\\serveur_arcopole\partage\arcopoleprint\printtemplates"/> 26/02/2015 Version doc. : 1.2 Page 9 sur 17

III EXEMPLE D ARCHITECTURE HTTPS III.1 PRESENTATION Dans le schéma ci-dessus, arcopole Studio est installé sur une machine en DMZ tandis qu ArcGIS Server se trouve sur une machine du LAN. Cette dernière porte le nom de SERVEUR_SIG sur le domaine tandis que la machine de DMZ, qu on appellera SERVEUR_ARCOPOLE, est accessible en HTTP à l adresse http://sig.macollectivite.org ou en HTTPS à l adresse https://sig.macollectivite.org. ArcGIS Server répond sur le port 6080 et Tomcat a été installé sur le port 8080. Apache est utilisé comme reverse proxy et écoute sur les ports 80 (HTTP) et 443 (HTTPS) les requêtes puis les redirigent sur le port 8080 de Tomcat en HTTP. L utilisateur arcgis est le gestionnaire d ArcGIS Server et le compte a été créé comme un compte local à la machine au moment de l installation d ArcGIS Server. Cet utilisateur peut donc se connecter à ArcGIS Server Manager en utilisant son couple login / mot de passe suivant : arcgis / arcgis_password. 26/02/2015 Version doc. : 1.2 Page 10 sur 17

III.2 CONFIGURATION Dans ce contexte, les différentes variables à utiliser pendant l installation sont les suivantes : AGS_SERVER_VERSION = 10.1 ou 10.2 WEB_SERVER_HOST : sig.macollectivite.org WEB_SERVER_PROTOCOL : https WEBAPP_NAME : studio AGS_HOST : SERVEUR_SIG AGS_WEBAPI_HOSTS : SERVEUR_SIG:6080 AGS_USER : arcgis AGS_PWD : arcgis_password AGS_DOMAIN : SERVEUR_SIG AGS_INPUT_10_1: \\SERVEUR_ARCOPOLE\partage\arcgisinput (cf. III.2) AGS_JOBS_10_1 : \\SERVEUR_ARCOPOLE\partage\arcgisjobs (cf. III.2) Exemple de configuration Pour la configuration des fonctionnalités de rapports et d impression, se référer au paragraphe II.3. Si par la suite, le protocole HTTPS est désactivé dans Apache, il faut redéfinir les urls d accès au studio avec le protocole HTTP et le port correspondant. 26/02/2015 Version doc. : 1.2 Page 11 sur 17

IV EXEMPLE D ARCHITECTURE UTILISANT LE WEB ADAPTOR Depuis le patch 2 d arcopole Studio 3.3, arcopole Studio peut fonctionner avec un ArcGIS for Server 10.3 sécurisé par une authentification Web déléguée au Web Adaptor 1 (Par exemple : authentification intégrée Windows, digest, PKI). Ce type d architecture tant à se développer dans les structures où les données publiées par ArcGIS for Server sont sécurisées et utilisées dans arcopole Studio mais aussi dans d autres applications cartographiques (applications mobiles ou autres modèles d applications ArcGIS par exemple). IV.1 PRE REQUIS Si vous souhaitez configurer arcopole Studio avec un ArcGIS for Server utilisant une authentification Web, vérifiez les points de configuration ci-dessous : 1. L ArcGIS for Server local est bien configuré avec une authentification web. Connectez-vous au gestionnaire d ArcGIS for Server, puis cliquez sur Sécurité > Paramètres et vérifiez le mode d authentification. Si le mode d authentification web n est pas activé, reportez-vous à la documentation en ligne : http://resources.arcgis.com/fr/help/main/10.2/index.html#/na/015400000517000000/ 2. ArcGIS 10.x Web Adaptor for Java doit être installé sur le serveur arcopole. Le fichier arcgis.war doit être accessible en lecture depuis le serveur arcopole. Par exemple : installez le Web Adaptor dans C:\Program Files\ArcGIS\WebAdaptor10.x\Java. Vérifiez que ce répertoire contient bien le fichier arcgis.war. Si votre architecture ne le permet pas au serveur arcopole de lire ce fichier directement sur le serveur ArcGIS, récupérez le fichier arcgis.war de votre installation d ArcGIS 10.x Web Adaptor for Java et copiez-le sur le serveur arcopole dans, par exemple, C:\Program Files\ArcGIS\WebAdaptor10.x\Java. 1 Notez que la version 3.3.0.2 (arcopole Studio 3.3 + patch 2) fonctionne avec un Web Adaptor et une authentification web intégrée mais n a pas été testé dans le cas d un ArcGIS for Server fédéré avec ArcGIS Portal. 26/02/2015 Version doc. : 1.2 Page 12 sur 17

IV.2 EXPLICATION DU MODE D AUTHENTIFICATION L authentification web repose sur l utilisation du Web Adaptor, pour l authentification de l utilisateur. Le Web Adaptor intégré dans un serveur web, transmet l authentification à ArcGIS for Server qui peut alors appliquer les droits associés sur les services. Il existe une relation de confiance entre le Web Adaptor et ArcGIS for Server. En effet, chaque Web Adaptor paramétré pour se connecter à un ArcGIS for Server (plusieurs peuvent l être), partage avec ce dernier une clef de cryptage, permettant d échanger l identité de l utilisateur connecté. Dans ce cas d utilisation d authentification web, arcopole Studio, avec ce patch, intègre un petit Web Adaptor dans sa connexion à ArcGIS for Server, permettant de transmettre l utilisateur «applicatif» à utiliser pour se connecter à ArcGIS for Server. Après enregistrement du Web Adaptor contenu dans arcopole Studio auprès de votre ArcGIS for Server, les appels http transmis par arcopole Studio à ArcGIS for Server porteront l authentification d un seul et même «compte applicatif». Ce dernier doit être paramétré dans la connexion à ArcGIS for Server dans la configuration d arcopole Studio. Comme pour les connexions sécurisées par tokens, le compte applicatif doit disposer de tous les droits d accès aux services ArcGIS for Server. C est toujours arcopole Studio qui continue de filtrer les droits d accès en fonction de l utilisateur connecté et des droits définis dans l interface d administration d arcopole Studio. L utilisation d un compte applicatif, permet de ne pas avoir à configurer les droits pour chaque utilisateur des deux cotés (arcopole Studio et ArcGIS for Server), et donc de réduire les problèmes de configuration de droits. Dans le schéma ci-dessus, le compte DOMAINE\arcopole est utilisé par arcopole Studio pour se connecter à ArcGIS for Server via le petit Web Adaptor embarqué dans arcopole Studio. Si vous avez activé le mode d authentification web sur votre ArcGIS for Server local, il est nécessaire de mettre à jour la configuration des éléments suivants : du serveur arcopole afin de modifier le type de connexion utilisé pour accéder à ArcGIS for Server et la configuration du service d impression. 26/02/2015 Version doc. : 1.2 Page 13 sur 17

IV.3 CONFIGURATION DU SERVEUR 1) Arrêtez Tomcat. 2) Dans /studio/web-inf/configuration.xml, modifiez la configuration de la connexion nommée «ags0». Mettez en commentaire (ajoutez les balises ) le paramétrage de la connexion nommée «ags0» par défaut. Par exemple : <! <connection name="ags0" class="com.esrifrance.orion.connections.ags.agsconnection"> <http hosts="${agshost}" scheme="http" /> </connection> --> Juste au dessus de ce bloc, ajoutez la nouvelle configuration de la connexion «ags0» : <connection name="ags0" class="com.esrifrance.orion.wa.connection.waconnection"> <warpath>${wapath}</warpath> <deploypath>${wajettytempdir}</deploypath> <depends>${apppath}\web-inf\lib-orionwa-dependency</depends> <webadaptorport>${waport}</webadaptorport> <webadaptorsite>${wacontext}</webadaptorsite> <arcgisserveraccount>${waaccount}</arcgisserveraccount>    </connection> Puis avant la balise </vars> en début de fichier, ajoutez les lignes suivantes :  <var name="wapath" value="@wapath@" /> <var name="wajettytempdir" value="@wajettytempdir@" /> <var name="waport" value="9234" /> <var name="wacontext" value="/arcgis" /> <var name="waaccount" value="@agsserveraccount@" /> Puis en fonction de votre plateforme, remplacez : @WaPath@ par le chemin vers le fichier arcgis.war. Par exemple : C:\Program Files\ArcGIS\WebAdaptor10.3\java\arcgis.war @WaJettyTempDir@ par un répertoire temporaire où sera déployé arcgis.war. Par exemple : C:\temp\arcopole-orionwa-webapps. Si ce répertoire n existe pas, il sera automatiquement créé. @AgsServerAccount@ par un compte utilisateur. Ce compte est celui utilisé pour sécuriser les services de votre ArcGIS for Server. Il peut faire partie soit du domaine Windows, soit d un Active Directory. Par exemple : MONDOMAINE\monuser. 26/02/2015 Version doc. : 1.2 Page 14 sur 17

Par défaut, le protocole des requêtes envoyées à ArcGIS for Server (http ou https) est le même que celui du serveur arcopole. Si vous souhaitez imposer le protocole d accès à ArcGIS for Server, vous pouvez le faire en décommentant la ligne ci-dessous (supprimez les balises ) : <forcedscheme>https</forcedscheme> La valeur du «forcedscheme» sera : o o http si le protocole d accès entre les serveurs arcopole Studio et ArcGIS est «http only» ou «http ou https» https si le protocole d accès entre les serveurs arcopole Studio et ArcGIS est «https only» Par défaut, le protocole d ArcGIS for Server est http. Des erreurs peuvent apparaitre si vous avez forcé le mode https sur ArcGIS for Server. Si un proxy est configuré pour accéder à ArcGIS for Server, décommentez la ligne ci-dessous (supprimez les balises ) et configurez le proxy host et port : <proxy host="localhost" port="8888"/> 3) Démarrez Tomcat. 4) Vérifiez les logs du serveur arcopole. Si la connexion vers ArcGIS for Server ne s'initialise pas correctement, un log WARN est généré dans le log du serveur arcopole (WEB- INF\los\rootLogger.log). Vérifiez les paramètres de la connexion nommée «ags0». 5) Une fois le serveur arcopole correctement démarré, enregistrez votre ArcGIS for Server local auprès du Web Adaptor Java. Pour cela, ouvrez un navigateur et accédez au gestionnaire de ce Web Adaptor. ATTENTION, pour des questions de sécurité, cette opération ne peut être effectuée qu à partir de la machine serveur d arcopole Studio. A partir du serveur arcopole, dans un navigateur internet, lancez l url : http://localhost:{waport}{wacontext}/webadaptor Par exemple : http://localhost:9234/arcgis/webadaptor Sélectionnez ArcGIS for Server puis cliquez sur le bouton Suivant. 26/02/2015 Version doc. : 1.2 Page 15 sur 17

Saisissez l url d accès à ArcGIS for Server. Par exemple : http://gisserver:6080/ ou https://gisserver:6443/ Puis entrez le login et mot de passe de l administrateur du serveur ArcGIS puis cliquez sur le bouton Configure. 6) Vérifiez les logs, pour des erreurs éventuelles. 7) Connectez-vous enfin à arcopole Studio et vérifiez le bon fonctionnement de l application d administration et en créant une nouvelle application puis en vérifiant que la liste des MapServices de l ArcGIS for Server Local apparait correctement. IV.4 CONFIGURATION DU SERVICE D IMPRESSION A présent, il est nécessaire de modifier la configuration du service d impression pour les données internes (publiées sur l ArcGIS for Server Local). 1. Accédez au Manager d ArcGIS for Server 2. Arrêtez le service d impression «arcopoleprint» 3. Ouvrez avec un éditeur de texte le fichier PrintAuth.xml référencé dans la propriété «authentification» du service «arcopoleprint». 4. Mettez en commentaire les lignes ci-dessous (configurées avec paramètres de connexion à votre serveur arcopole et ArcGIS for Server local) :   resturl="@orionhost@/arcgis/rest/services/" soapurl="http://@agshost@/arcgis/services/" /> 26/02/2015 Version doc. : 1.2 Page 16 sur 17

5. Chaque service de votre ArcGIS for Server local accédé par arcopole Studio doit être configuré par une nouvelle ligne dans le fichier et renseigner : resturl : L url du service passant par le serveur arcopole. mxd : Chemin vers le fichier.mxd du service. <service resturl="@orionhost@/arcgis/rest/services/<folder>/<service>/mapserver" mxd="chemin_vers_mxd"/> Par exemple : <service resturl="http://monserveur:8080/studio/orion/arcgis/rest/services/data/cadastre/mapserver" mxd="c:\data\cadastre.mxd"/> <service resturl="http://monserveur:8080/studio/orion/arcgis/rest/services/data/plu/mapserver" mxd="c:\data\plu.mxd"/> Lorsque vous aurez besoin de pouvoir imprimer des données issues d un nouveau MapService, vous devrez : mettre à jour le fichier printauth.xml en ajoutant une nouvelle balise <service> Redémarrer le MapService arcopoleprint 26/02/2015 Version doc. : 1.2 Page 17 sur 17