Установка и сопровождение DoПортала

Подготовка сервера

1. Установите роли IIS (PowerShell от имени администратора):

   Install-WindowsFeature Web-Server, Web-Windows-Auth, Web-WebSockets, `
       Web-AppInit, Web-Mgmt-Console

2. Скачайте с сайта Microsoft ASP.NET Core 10 Runtime — Windows Hosting Bundle, установите и перезапустите IIS:

   iisreset

   Порядок важенHosting Bundle ставится после ролей IIS. Если IIS добавили позже, запустите установщик Hosting Bundle ещё раз и выберите «Исправить».
3. Создайте DNS-запись doportal (тип A или CNAME) на сервер портала. Сотрудники будут открывать http://doportal.

Сайт и пул приложений IIS

1. Пул приложений и сайт (PowerShell от имени администратора):

   Import-Module WebAdministration
   New-WebAppPool -Name DoPortal
   $p = 'IIS:\AppPools\DoPortal'
   Set-ItemProperty $p managedRuntimeVersion ''              # без управляемого кода
   Set-ItemProperty $p processModel.loadUserProfile $true
   Set-ItemProperty $p processModel.idleTimeout '00:00:00'  # не засыпать: фоновые задачи
   Set-ItemProperty $p startMode AlwaysRunning
   Set-ItemProperty $p recycling.periodicRestart.time '00:00:00'
   
   New-Website -Name DoPortal -PhysicalPath C:\inetpub\DoPortal `
       -ApplicationPool DoPortal -Port 80 -HostHeader doportal
   Set-ItemProperty IIS:\Sites\DoPortal applicationDefaults.preloadEnabled $true

2. Проверка подлинности: Windows — включить, анонимная — выключить.

   $f = 'system.webServer/security/authentication'
   Set-WebConfigurationProperty -PSPath IIS:\ -Location DoPortal `
       -Filter "$f/windowsAuthentication" -Name enabled -Value $true
   Set-WebConfigurationProperty -PSPath IIS:\ -Location DoPortal `
       -Filter "$f/anonymousAuthentication" -Name enabled -Value $false

3. Удостоверение пула. Рекомендуется доменная служебная учётная запись, например CORP\svc-doportal: ей проще выдать права на хранилище и базу.

   Set-ItemProperty $p processModel -Value @{
       identityType = 'SpecificUser'; userName = 'CORP\svc-doportal'; password = '…' }

   Если оставить ApplicationPoolIdentity, к сетевым ресурсам портал обращается от имени компьютера сервера CORP\ИМЯСЕРВЕРА$.

4. Права на данные портала:

   icacls C:\inetpub\DoPortal\AppData /grant "CORP\svc-doportal:(OI)(CI)M"
   icacls C:\inetpub\DoPortal\appsettings.json /grant "CORP\svc-doportal:R"

5. Для HTTPS добавьте привязку 443 с сертификатом организации и при желании перенаправление с HTTP.

Active Directory и вход без пароля

Группы ролей

$ou = 'OU=Groups,DC=corp,DC=local'
'Администраторы','ГИП','Начальники','Делопроизводство','Офис','НК','ЭиВ' | ForEach-Object {
    New-ADGroup -Name "DoPortal-$_" -GroupScope Global -GroupCategory Security -Path $ou }
Add-ADGroupMember 'DoPortal-ГИП' -Members ivanov.ii, petrov.pp

• Сотрудник получает роли всех своих групп. Если он не состоит ни в одной группе из таблицы, ему назначается роль «Сотрудник».
• Учётная запись в портале создаётся при первом входе: ФИО и отдел берутся из AD.
• Роли сверяются при входе и кешируются до 10 минут.
• Если роли человека изменили вручную в конфигураторе, AD их больше не меняет, пока не снять отметку «Роли заданы вручную».

Чтобы браузер не спрашивал пароль

• Групповой политикой добавьте http://doportal в зону «Местная интрасеть» (Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Internet Explorer → Панель управления браузером → Безопасность → Список назначений зон для веб-сайтов, значение 1).
• Для Edge и Chrome дополнительно задайте политику AuthServerAllowlist = doportal,doportal.corp.local.
• Открывайте портал по имени, а не по IP-адресу: по IP вход по Kerberos невозможен.
• Если пул работает от доменной учётной записи и нужен Kerberos по полному имени, зарегистрируйте SPN и включите useAppPoolCredentials:

  setspn -S HTTP/doportal CORP\svc-doportal
  setspn -S HTTP/doportal.corp.local CORP\svc-doportal
  Set-WebConfigurationProperty -PSPath IIS:\ -Location DoPortal `
      -Filter "$f/windowsAuthentication" -Name useAppPoolCredentials -Value $true

Настройка конфигуратором

Запустите C:\inetpub\DoPortal\Configurator\DoPortal.Configurator.exe на сервере портала от имени администратора. Пароли в appsettings.json шифруются ключом этого сервера (DPAPI): сохранённый на другом компьютере файл здесь не расшифруется.

1. База данных — сервер, порт, база doportal, пользователь и пароль → «Проверить подключение».
2. Хранилище и AutoCAD — корень \\fileserver\projects\01НГИ → «Проверить доступ». Путь к AutoCAD можно оставить пустым, если AutoCAD установлен в стандартную папку.
3. Active Directory — корень домена LDAP://DC=corp,DC=local, таблица «Группа AD → роль» → «Проверить группы».
4. Сохранить настройки, затем на вкладке «Обзор и диагностика» → «Проверить всё» → «Перезапустить портал».
5. По желанию — Импорт из AD: заводит всех активных сотрудников заранее, с отделами и ролями по группам. Роль «Администратор» при импорте не выдаётся.
6. В портале под администратором заполните справочники: отделы с руководителем и ВРИО, заказчики, месторождения, типы объектов с шаблонами папок, праздники, шаблоны документов.

Проверка после установки

• Конфигуратор → «Проверить всё»: все пункты зелёные.
• http://doportal с рабочего места открывается без запроса пароля, в правом верхнем углу инициалы сотрудника.
• Сотрудник из группы DoPortal-ГИП видит «Объекты» и «Задачи», сотрудник без групп — только свои разделы.
• Создание тестового объекта: папки появляются в \\fileserver\projects\01НГИ.
• Загрузка вложения к письму и его скачивание.
• Кнопка «Обновить штампы AutoCAD» на объекте завершается без ошибки (при установленном AutoCAD).
• Через 25 минут простоя портал отвечает сразу, без долгой первой загрузки.

Типовые неполадки