SIG on-premise: sus mapas en sus servidores

Por qué un SIG soberano

Un SIG web alojado es la solución más sencilla para la mayoría de las organizaciones. Pero algunos datos no deben salir de la infraestructura de su propietario: catastro y propiedad, redes sensibles, datos personales, defensa, salud. A veces lo impone la ley, a veces una política interna, a veces un financiador o un pliego de contratación pública.

• Control de la ubicación: los datos se quedan en su centro de datos o en el proveedor que usted ha elegido.
• Control de los accesos: su personal entra con su cuenta habitual y las reglas de seguridad son las suyas.
• Control del calendario: usted decide cuándo se aplica una actualización.
• Continuidad: el servicio no depende de la supervivencia de un proveedor externo.

Soberanía no significa aislamiento. Un SIG instalado en sus servidores puede publicar mapas abiertos al público, servir flujos WMS a socios o intercambiar datos con una infraestructura nacional. La diferencia está en quién decide: usted elige lo que sale, y nada sale por defecto.

Alojado o en servidores propios: una tabla de decisión

La elección entre un SIG alojado y un SIG on-premise rara vez se decide con un solo argumento. Esta tabla ayuda a plantear la pregunta con método, con los servicios jurídicos, informáticos y de negocio en la misma mesa.

Si la mayoría de las respuestas caen en la columna de la derecha, un SIG on-premise está justificado. Si se reparten, empiece con una oferta alojada para los mapas públicos y mantenga los datos sensibles en casa: ambos enfoques usan los mismos programas libres y pueden convivir.

Lo que exige realmente un SIG on-premise

Instalar Lizmap, QGIS Server, PostGIS o GeoServer en un servidor interno es perfectamente posible: son programas libres y bien documentados. La dificultad llega después de la instalación, cuando todo debe funcionar en producción durante años.

• Un servidor bien dimensionado: procesadores, memoria y disco rápido adaptados al número de mapas y al volumen de imágenes.
• Un directorio: el personal no quiere otra contraseña más; el SIG debe reconocer las cuentas de Active Directory, LDAP o de un proveedor OpenID Connect.
• Permisos detallados: quién ve qué mapa, quién modifica qué capa.
• Copias de seguridad: programadas, copiadas fuera del servidor y probadas.
• Un plan de recuperación: saber reconstruir el servicio en un servidor nuevo tras una avería grave.
• Actualizaciones: versiones compatibles de QGIS, QGIS Server y Lizmap, y parches de seguridad aplicados a tiempo.

Para medir el esfuerzo real de una instalación propia, lea alojar Lizmap o instalarlo uno mismo; para el presupuesto, cuánto cuesta un SIG web de código abierto.

LizPack Entreprise: el SIG on-premise sin construirlo todo

LizPack Entreprise es la infraestructura geoespacial de código abierto de LizPack, la misma que la oferta alojada, instalada en un servidor que usted controla. No sustituye a los programas libres: instala Lizmap, QGIS Server, PostGIS, GeoServer y, si su licencia lo incluye, la captura de campo con QField, y luego los gestiona desde un portal único.

• Instancias Lizmap: tantas como permita su licencia, cada una con QGIS Server y su base PostGIS.
• Inicio de sesión con su directorio: Active Directory, LDAP u OpenID Connect (Entra ID, Keycloak), con roles, grupos y acceso por mapa.
• Copias de seguridad y recuperación: copias programadas, réplica en su almacenamiento S3 y reconstrucción completa en un servidor nuevo.
• GeoServer y datos: GeoServer integrado y un inventario de los datos de sus instancias, con sus fichas.
• [LizPack Field](/lizpack-field): la captura de campo con QField, en el mismo servidor, si su licencia lo incluye.
• Sus colores: el portal lleva su nombre y su logotipo; sus datos no salen de su infraestructura.

Directorio, roles y permisos por mapa

El inicio de sesión con el directorio suele ser lo que hace aceptar un SIG internamente. El personal conserva su identificador habitual y el servicio informático mantiene el control de las cuentas. Conviven dos familias de protocolos, y LizPack Entreprise admite ambas.

• LDAP y Active Directory: el portal consulta el directorio para comprobar la contraseña y leer los grupos del usuario. Es el caso más frecuente en las administraciones con equipos Windows.
• OpenID Connect: el usuario es redirigido al proveedor de identidad de la organización, como Entra ID o Keycloak, que confirma su identidad. La contraseña nunca pasa por el SIG, y la autenticación reforzada configurada en el proveedor se aplica por sí sola.

Una vez reconocido el usuario, queda decidir qué ve. La buena práctica es razonar por grupos y no por personas: un grupo Urbanismo, un grupo Redes, un grupo Cargos electos. Cada mapa se abre a uno o varios grupos, y las altas y bajas se gestionan en el directorio, sin tocar el SIG.

1. Enumerar los mapas previstos y, para cada uno, quién debe consultarlo y quién debe modificarlo.
2. Agrupar esas necesidades en unos pocos grupos de negocio, alineados si es posible con los grupos ya presentes en el directorio.
3. Asignar un rol a cada cuenta en el portal y abrir cada mapa a los grupos correspondientes.
4. Comprobar con una cuenta de prueba de cada grupo antes de abrir el acceso al personal.

El servidor, la red y los certificados

LizPack Entreprise requiere un procesador x86_64 (los servidores ARM no son compatibles), Ubuntu 22.04 LTS o 24.04 LTS con acceso de administrador, un disco NVMe o SSD y los puertos 80 y 443 abiertos.

GeoServer reserva por sí solo de 4 a 8 GB de memoria, y LizPack Field requiere 6 GB más. En caso de duda, contáctenos antes de contratar su servidor.

Un SIG en servidores propios sigue siendo un servicio web: su seguridad empieza por la red. LizPack Entreprise requiere que los puertos 80 y 443 estén abiertos hacia el servidor; el resto depende de su política.

• Elegir la exposición. Un SIG reservado al personal puede ser accesible solo desde la red interna o la VPN. Los mapas públicos requieren exposición a Internet, idealmente detrás del proxy o del cortafuegos de aplicaciones que su organización ya utiliza.
• Prever los nombres. Reserve pronto los nombres de dominio del portal y de los sitios de mapas con su servicio DNS: en una administración suele ser el paso más lento.
• Cifrar en todas partes. Todas las conexiones deben ir por HTTPS, también las internas. Un certificado de una autoridad pública sirve para un nombre expuesto a Internet; para un nombre puramente interno, sirve la autoridad de certificación de la organización, siempre que los equipos confíen en ella.
• Limitar el acceso de administración. El acceso de administrador al servidor debe reservarse a pocos equipos y pocas personas, con claves en lugar de contraseñas.

Anote estas decisiones en un breve documento de arquitectura: servirá a seguridad informática para validar el proyecto y, después, al equipo que asuma la explotación.

La puesta en marcha, paso a paso

1. Describir sus necesidades: número de mapas, de cuentas, captura de campo.
2. Contratar o reservar un servidor según la configuración requerida.
3. Instalar el portal con su licencia y crear la primera cuenta de administrador. El gestor de portales, de descarga libre para Windows, instala y actualiza el portal en sus servidores Linux desde su equipo.
4. Crear sus instancias, conectar su directorio y publicar sus proyectos con LizPack Publisher.

Se necesita acceso a Internet para instalar y actualizar. En el día a día, los equipos de los usuarios solo necesitan llegar a su servidor. Las actualizaciones las lanza usted desde el portal, cuando lo decide. La edición empresa se ofrece bajo presupuesto, según el número de instancias, de cuentas y los productos incluidos en la licencia.

Si el proyecto pasa por una licitación pública, el pliego gana fijando requisitos verificables en lugar de una lista de programas: ubicación de los datos en la infraestructura del comprador, inicio de sesión con el directorio existente (LDAP, Active Directory u OpenID Connect), permisos por mapa y por grupo, copias programadas con réplica fuera del servidor, procedimiento documentado de reconstrucción en un servidor nuevo, actualizaciones lanzadas por el comprador y formatos abiertos para proyectos, bases y servicios. Pida también a los licitadores una demostración de restauración y la configuración de servidor exacta que recomiendan. Estos criterios permiten comparar ofertas de naturaleza distinta y protegen a la organización el día en que cambie de proveedor, ya que los proyectos QGIS, las bases PostgreSQL y los servicios OGC siguen siendo legibles por otras herramientas.

Explotar un SIG soberano en el día a día

Una vez instalado el portal, la soberanía depende de los hábitos de explotación. Unas pocas reglas sencillas marcan la diferencia entre un SIG on-premise fiable y un servidor que nadie se atreve a tocar.

• Probar la restauración, no solo la copia. Una copia de seguridad nunca restaurada es solo una promesa. Prevea una restauración de prueba a intervalos regulares, idealmente en un servidor de pruebas.
• Guardar una copia fuera del servidor. Una copia en el mismo disco desaparece con él. La réplica en su almacenamiento S3 protege frente a la pérdida completa de la máquina.
• Gestionar las bajas desde el directorio. Cuando una persona deja la organización, desactivar su cuenta en el directorio también corta su acceso al SIG, sin listas aparte que mantener.
• Planificar las actualizaciones. Elija un momento tranquilo, avise a los usuarios y haga una copia justo antes.
• Redactar el procedimiento de recuperación. Quién hace qué si el servidor cae, dónde están las copias, cómo reconstruir en un servidor nuevo: basta una página, siempre que exista antes del incidente.

Estas reglas valen para cualquier SIG instalado en casa. LizPack Entreprise aporta las herramientas (copias programadas, réplica en S3, reconstrucción en un servidor nuevo, conexión al directorio), pero la organización que las pone en práctica sigue siendo la suya.

Los errores frecuentes de un proyecto de SIG on-premise

Los mismos escollos se repiten de un proyecto a otro. Conocerlos de antemano evita semanas de retraso.

• Infradimensionar el servidor. GeoServer reserva por sí solo varios gigabytes de memoria, y las imágenes llenan pronto un disco. Partir del perfil recomendado en lugar del mínimo deja margen para nuevos mapas.
• Elegir un disco mecánico o un servidor ARM. Ambos quedan excluidos por la configuración requerida: el disco debe ser NVMe o SSD, y el procesador x86_64.
• Olvidar el acceso a Internet de la instalación. El servidor debe poder llegar a Internet para instalar y actualizar, aunque los usuarios no lo necesiten después. Haga abrir ese flujo antes del día de la instalación.
• Conectar el directorio al final. Si los mapas se crean con cuentas locales y luego se migran, hay que rehacer los permisos. Conecte el directorio desde los primeros mapas.
• No restaurar nunca. La primera restauración no debe tener lugar el día de la avería.
• Confiarlo todo a una sola persona. Un SIG interno necesita al menos dos administradores que sepan actualizarlo y reconstruirlo.

Cuándo quedarse con una oferta alojada

Un SIG on-premise no siempre es la respuesta adecuada. Si no tiene un equipo para vigilar un servidor, si sus datos no son sensibles o si empieza con pocos mapas, una oferta alojada como LizPack Map, el alojamiento Lizmap de LizPack, es más sencilla y económica. Ambas comparten los mismos programas libres: podrá pasar de una a otra. Para situar estas opciones frente a las soluciones propietarias, vea las alternativas a ArcGIS Online.

Preguntas frecuentes