在startssl.com申请免费的ssl证书并导入IIS进行使用

如果网站需要提供https加密访问方式，那么必须拥有一个有效的ssl证书来向客户端证明自己的身份。而ssl证书通常由第三方机构签发，有Domain Validation (DV), Organisation Validation (OV) 和 Extended Validation (EV)三种级别，分别对应由低到高的三种认证级别，DV比较宽松，EV最严格。认证方式不同，价格也不同。比如DV级别的证书，StartSSL可免费申请一年，GeoTrust是149$每年，Godaddy是69.99$每年，我国的万网价格是4200￥每年。个人使用当然是StartSSL提供的证书性价比最高，虽然免费，但依然在Chrome，Firefox，IE等主流浏览器的内置受信任根证书颁发机构里面，如果是商业或机构使用，可选择顶级的证书颁发机构（当然不包括万网之流），彰显身份。下面就说明如何在startssl.com上申请免费证书，并部署到IIS上进行使用的步骤。

1. 首先需要在startssl.com上进行注册。该网站采用的是客户端证书认证方式，所以注册的过程就是填写自己的资料，邮件接收验证码，之后获得并在浏览器中安装StartSSL生成的一个客户端证书。这样以后以自己身份登录startssl.com时，就需要从安装了上述步骤证书的浏览器里直接访问startssl.com，而不需要输入用户名密码了。这个身份验证证书丢失后，只能重新注册，所以建议将该证书备份，具体步骤见How do I backup my client certificates。备份好后，可将该证书安装到其他计算机或浏览器，便于登陆startssl.com。

2. 注册之后，若要给某个域名申请证书，需要对域名进行验证，证明你是这个域名的拥有者才行。StartSSL采用的是域名拥有者邮箱验证，所以在Validations Wizard里选择Domain Name Validation，按照向导完成验证即可。

3. 接下来就是给通过验证的域名申请ssl证书。在Certificates Wizard中选择Web Server SSL/TLS Certificate，然后会进入创建私钥（Generate Private Key）步骤。
由于SSL/TLS采用的是非对称加密，所以必须私钥和公钥配合才能建立正确的安全连接。私钥由服务器端持有，保密，私有；公钥包含在客户端访问https网站时看到的证书内，公开，当客户端访问时即获得之。公钥和私钥正确配对后方可建立安全连接。填入对私钥文件保护的10位以上密码，继续，
即可得到一段加密文本，将该文本保存为.key的文件，比如privatekey.key，作为私钥保存好。这里你也可以预先利用openssl工具或IIS向导来生成包含自己额外信息，并且包含私钥的证书申请（.csr文件），这样就可以跳过Generate Private Key这步了。之后选择要为哪个域名创建证书，并且输入一个子域名，最终申请的证书会作用在这个子域名上。
StartSSL的免费证书只能给一个子域名用，若想为多个子域名申请证书或申请通配符形式的证书，则需要掏钱购买他们提供的class2级证书了。继续下一步，确认之后，可以得到一段文本，该文本便是StartSSL颁发给你网站的经过签名的证书，将其另存为.crt文件，比如ssl.crt（此证书即是网站客户端访问https连接时能够得到的文件，实质是包含了公钥，服务器名称，CA认证签名及其他信息的文件）。此外在该界面上最好根据提示，保存下来一个中间（intermediate）证书文件sub.class1.server.ca.pem，有的地方可能会用到。
到此，我们得到了一个privatekey.key的私钥文件，一个ssl.crt的证书文件（包含公钥），一个sub.class1.server.ca.pem中间证书文件。在给自己的网站配置ssl.crt公有证书文件之前，我们还需生成两个在其他地方可能会用到的文件。第一个是经过解密的私钥文件（decrypted private key），比如在Nginx部署证书时需要用到。此步骤可通过openssl工具或startssl.com网站提供的Toolbox-->Decrypt Private Key工具完成，将结果保存为decryptedprivatekey.key。第二个是PKCS#12存档文件（*.pfx或*.p12），实质是包含了.crt证书文件所有内容，私钥以及加密信息的文件，而在IIS中部署时就需要用到此文件。可利用startssl.com网站提供的Toolbox-->Create PKCS#12 (PFX) File工具，传入私钥文件privatekey.key及证书文件ssl.crt后，生成之，保存为pfxarchive.p12。
4. 在域名所对应的计算机上部署该证书，此处以IIS为例。操作过程很简单，在IIS根节点的服务器证书功能中，右键，导入，根据向导输入刚才得到的pfxarchive.p12文件即可，
最后，在IIS网站绑定中，指定443端口使用我们导入的证书即可。
这样，在以https访问此网站时，就能够看到我们申请的证书了。

参考文章：

• 向StartSSL申请个人域名SSL证书
• 申请startssl免费一年ssl证书
• Difference between .pfx and .cert certificates

在Portal for ArcGIS中设置Federated Servers时请求报500错误的解决办法

Portal for ArcGIS 10.2版本开始，可在Portal的组织管理中设置Federated Servers即联合服务器，从而通过Portal for ArcGIS来托管与之联合的ArcGIS for Server站点的安全性，使得两者的单点登录，以及后续使联合服务器变成Hosting Server（托管服务器），并在其上发布托管服务成为可能。关于两者的介绍和具体操作步骤请参考相关文档。这里说一下设置联合服务器时一个常见问题的解决办法。
在Portal的组织管理页面中，添加联合服务器时，有可能会出现如下错误：

具体请求是Portal的代理页面通过https方式访问要关联的ArcGIS for Server站点token服务时服务器端报500 internal error。

直接通过https方式访问上述token服务地址：

发现此证书不受信任，有安全警告；而如果通过https方式访问Portal，

证书是已经导入机器的受信任根证书颁发机构的，所以证书可信，没有安全警告。你可能还发现，上面两个证书的颁发者，颁发对象均不一样，说明这是两个完全不同的证书。这是因为第一个没有受信的证书是ArcGIS for Server自带的tomcat中6443端口使用的证书，此证书是在安装完ArcGIS for Server后，第一次创建站点时就会自动生成的，存放在config-store中该机器文件夹下的key stroe中；而后面的证书是我在IIS中自己创建的域证书，是IIS中的443端口使用的证书。如果你在联合服务器时遇到同样错误，很可能会发现两个证书的颁发者和颁发对象是同名的（大小写不一样），这是通常情况，我这里不同名是因为装完ArcGIS for Server之后，安装Portal之前修改了机器名。修改机器名为full qualified domain name步骤是必须的，应该在装ArcGIS for Server之前完成。
经过与同事讨论及实验得知，最初那个500错误是因为ArcGIS for Server站点6443端口安全证书不受信任引起的。所以解决办法有以下几种：

• 同Portal的443端口（其实Portal是7443端口，通过443是Web Adaptor的端口）所使用证书的处理办法一样，将6443端口的证书也导入机器的受信区域。如果导入成功，浏览器访问ArcGIS for Server的6443端口应该不再有警告信息，如此在Portal中联合服务器时就不会报500错误了；
• 既然IIS中自己创建的证书已经设为可信了，那么可以指定ArcGIS for Server的6443端口使用同样的证书，则通过https访问6443端口时自然也不会报警告信息。大致步骤是，从iis中导出证书，在ArcGIS for Server中通过admin rest api将证书导入到机器中，然后编辑机器资源，指定该机器使用该证书。具体可参考相关的admin api帮助。

此处我遇到的错误是通过第二个办法解决的。补充：如果你和我一样，6443使用的证书的颁发对象与当前机器名不同，建议使用admin rest api，重新生成一个颁发对象与当前机器名相同的自签名证书，之后再将其导入机器的受信区域。

ArcMap加载WMTS服务后显示空白的可能原因

在ArcMap（10.1/10.2）中，加载一个WMTS服务后，如果显示空白，但用fiddler查看请求，已经下载了正确的图片，那么很可能是WMTS规范中要求的WMTSCapabilities.xml文件输出了错误的图片格式所导致的。
比如在ArcMap中，添加由Portable Basemap Server输出的WMTS服务时，Google Map街道图无法显示（空白），
  用Fiddler查看，其实已经下载了正确的切片，
而产生此问题的原因正如上图两处红框所示，目前版本（3.0）的PBS输出的WMTS服务，将在线地图的切片格式在WMTSCapabilities.xml文件中统一指定成了JPG格式，而Google街道图的切片实际上是PNG格式的。对于Google影像图来说，切片格式是JPG，所以在ArcMap中可以正常显示：
有网友反映QGIS中也无法加载PBS的部分WMTS服务， 原因也是如此。下个版本的Portable Basemap Server会将图片格式选项留在CustomOnlineMaps.xml文件中由用户自己指定，所以会修复此bug。
当然PBS还将继续加入更多实用功能，敬请期待。

Portable Basemap Server发布3.0版本

更新内容：

~添加以Windows服务方式运行功能，即使不登陆系统，也可通过REST Admin API对PBS进行管理；
~发布的缓存服务增加对OGC WMTS规范的支持。详见这里；
~数据源增加对OGC WMS服务的支持。详见这里；
~数据源增加对高德本地缓存文件的支持。详见这里；
~预览界面中可显示切片来源（动态生成/文件缓存/内存缓存，以不同底色区分）；
~添加日志功能；
~修复已知bug；

下载地址：https://geopbs.codeplex.com/
详见：http://blog.newnaw.com/?p=890

在ArcGIS Server REST API中的Export Map操作里进行空间查询

使用ArcGIS API for Javascript/Flex/Silverlight有一段时间的朋友应该知道，客户端动态地图服务的显示是由服务器端ArcGIS Server REST API中的Export Map操作完成的。而Export Map这个操作中有一个layerDefs参数，允许传入sql语句进行属性过滤。如果想在出图时，除了属性过滤，同时也进行空间过滤该怎么办（类似query的geometry空间查询，注意和bbox参数区别）？
乍一看export操作并没有像服务子图层query操作一样的geometry参数，而我遇到的地图服务也只有一个点图层。一开始想首先用子图层的query进行空间查询，设置returnIdsOnly为true，之后将这些符合空间条件要素的ids写到layerDefs里，类似”0:objectid IN (1,2,3,4…)”。但最后发现，layerDefs这个参数是接受空间SQL语句的，所以只需构造好空间查询的SQL语句，写入layerDefs进行过滤即可获得想要的结果。
比如想在出图时，限定只输出某个矩形范围内的要素，则可用类似”0:sde.st_within (shape, sde.st_geometry ('polygon ((12818466 4196179,13308886 4196179,13308886 4499482,12818466 4499482,12818466 4196179))', 3857)) = 't'”的语句作为空间过滤条件即可。
同样ArcMap中，图层对话框的Definition Query标签页，也接受空间SQL语句。
  背景：这是在使用动态缓存图层时遇到的问题。