- Erste Schritte
- Best Practices
- Mandant
- Über den Kontext „Mandant“
- Suche nach Ressourcen in einem Mandanten
- Verwaltung von Robotern
- Verbindung von Robotern mit Orchestrator
- Speicherung von Roboterzugangsdaten in CyberArk
- Speichern der Kennwörter von Unattended-Robotern im Azure Key Vault (schreibgeschützt)
- Speichern der Anmeldeinformationen von Unattended-Robotern im HashiCorp Vault (schreibgeschützt)
- Speichern der Anmeldeinformationen von Unattended-Robotern im AWS Secrets Manager (schreibgeschützt)
- Löschen von getrennten und nicht reagierenden Unattended-Sitzungen
- Roboter-Authentifizierung
- Roboter-Authentifizierung mit Client-Anmeldeinformationen
- Audit
- Integrieren von Anmeldeinformationsspeichern
- Verwalten von Anmeldeinformationsspeichern
- Cloud Robots
- Konfigurieren einer VPN für Cloud-Roboter
- Events
- Anzeigen und Zugreifen auf Benachrichtigungen
- Anzeigen und Zugreifen auf E-Mail-Benachrichtigungen
- Es werden nur ungelesene Benachrichtigungen angezeigt
- Alle Benachrichtigungen als gelesen markieren
- Alle Benachrichtigungen löschen
- Löschen von Benachrichtigungen
- Abonnieren von Ereignissen
- Abbestellen von Ereignissen
- Ordnerkontext
- Automatisierungen
- Prozesse
- Jobs
- Apps
- Auslöser
- Protokolle
- Überwachung
- Warteschlangen
- Assets
- Speicher-Buckets
- Test Suite - Orchestrator
- Ressourcenkatalogdienst
- Authentication
- Integrationen
- Klassische Roboter
- Fehlersuche und ‑behebung
Verwalten von Anmeldeinformationsspeichern
Klicken Sie auf Erstellen – Orchestrator-Datenbankspeicher haben keine konfigurierbaren Eigenschaften.
- Geben Sie im Feld Name einen Namen für den neuen Anmeldeinformationsspeicher ein.
- Geben Sie im Feld App ID die Anwendungs-ID für Ihre Orchestrator-Instanz über die CyberArk® PVWA (Password Vault Web Access)-Oberfläche ein. Klicken Sie hier für Details.
- Geben Sie im Feld CyberArk-Safe den Safe-Namen ein, wie in CyberArk® PVWA definiert. Klicken Sie hier für Details.
- Geben Sie im Feld CyberArk Folder den Speicherort ein, an dem CyberArk® Ihre Anmeldeinformationen speichert.
- Geben Sie im Feld URL Central Credential Provider-URL die Adresse des Central Credential Anbieter ein.
- Geben Sie im Feld Webdienstname den Namen des Central Credential Provider-Webdienstes ein. Wenn Sie dieses Feld leer lassen, wird der Standardname verwendet: AIMWebService.
-
Das Clientzertifikat muss konfiguriert werden, wenn die CyberArk-Anwendung die Authentifizierungsmethodefür das Clientzertifikat verwendet. Die erwartete Eingabe ist eine
.pfx
-Datei, in der der private und der öffentliche Schlüssel des Zertifikats gespeichert sind. Das Clientzertifikat muss auf der Maschine installiert werden, auf der CyberArk CCP AIMWebservice bereitgestellt wird.Hinweis:Das Clientzertifikat wird von den CyberArk-Anmeldeinformationen verwendet, um die im Anmeldeinformationsspeicher des Orchestrators definierte Anwendung zu authentifizieren. Weitere Informationen zu Authentifizierungsmethoden für Anwendungen finden Sie in der offiziellen CyberArk-Dokumentation.
Das Clientzertifikat ist eine Datei im PKCS12-Binärformat, in der der/die öffentliche(n) Schlüssel der Zertifikatkette und der private Schlüssel gespeichert sind.
CyberArk CCP verwendet 2048-Bit-Zertifikatschlüssel.
Wenn das Clientzertifikat in Base 64 kodiert ist, führen Sie den folgendencertutil
-Befehl aus, um es im Binärformat zu dekodieren:certutil -decode client_certificate_encoded.pfx client_certificate.pfx
- Geben Sie im Feld Clientzertifikatkennwort das Kennwort des Clientzertifikats ein.
- Das Serverstammzertifikat muss konfiguriert werden, wenn ein selbstsigniertes Stammzertifikat der Zertifizierungsstelle vom CyberArk CCP AIMWebService für eingehende HTTP-Anforderungen verwendet wird. Es wird bei der Validierung der HTTPS TLS Handshake-Zertifikatkette verwendet. Die erwartete Eingabe ist eine
.crt
- oder.cer
-Datei, in der der öffentliche Schlüssel des Stammzertifikats der Zertifizierungsstelle gespeichert ist. - Die Option Benutzerauthentifizierung des Betriebssystems zulassen wird nur angezeigt, wenn der Wert des Parameters
Plugins.SecureStores.CyberArkCCP.EnableOsUserAuthentication
auftrue
festgelegt ist. Die Option ermöglicht die Authentifizierung mit den Anmeldeinformationen des Benutzers, der derzeit an der Orchestrator-Maschine angemeldet ist.Hinweis: Stellen Sie sicher, dass die entsprechende Infrastruktur eingerichtet ist, indem Sie die erforderlichen Änderungen in IIS für den Orchestrator sowie für CyberArk vornehmen. - Wählen Sie Erstellen. Ihr neuer Berechtigungsnachweisspeicher ist einsatzbereit.
Ein CyberArk Concur Cloud-Speicher, der mit dem gleichen App-ID-Code, Safe und Ordnernamen für die Mandanten konfiguriert ist, ermöglicht den mandantenübergreifenden Zugriff auf Anmeldeinformationen. Um die Sicherheit und Isolierung auf Mandantenebene aufrechtzuerhalten, stellen Sie sicher, dass Sie für jeden CyberArk® Conjur Cloud-Speichermandanten unterschiedliche Konfigurationen verwenden.
Key Vault-Anmeldeinformationen verwenden die RBAC-Authentifizierung. Führen Sie nach dem Erstellen eines Dienstprinzipals die folgenden Schritte aus:
-
Geben Sie im Feld Name einen Namen für den neuen Anmeldeinformationsspeicher ein.
-
Geben Sie im Feld Key Vault-URI die Adresse Ihres Azure Key-Vault ein. Sie lautet
https://<vault_name>.vault.azure.net/
. -
Geben Sie im Feld Verzeichnis-ID die Verzeichnis-ID ein, die im Azure-Portal zu finden ist.
-
Geben Sie im Feld Client-ID die Anwendungs-ID vom Abschnitt „Azure AD App-Registrierungen“ ein, in dem die Orchestrator-App registriert wurde.
-
Geben Sie im Feld Geheimer Clientschlüssel den geheimen Schlüssel ein, der zum Authentifizieren des im vorherigen Schritt eingegebenen Clientkontos erforderlich ist.
-
Klicken Sie auf Erstellen (Create). Ihr neuer Berechtigungsnachweisspeicher ist einsatzbereit.
- Wählen Sie im Feld Typ entweder HashiCorp Vault oder HashiCorp Vault (schreibgeschützt) als Ihren Anmeldeinformationsspeicher aus.
- Geben Sie im Feld Name einen Namen für den HashiCorp Vault-Anmeldeinformationsspeicher an.
- Geben Sie im Feld Tresor-URI den URI zur HTTP-API des HashiCorp Vault an.
-
Geben Sie im Feld Authentifizierungstyp Ihre bevorzugte Authentifizierungsmethode an. Je nach gewählter Option müssen Sie zusätzliche Felder konfigurieren:
-
AppRole – Dies ist die empfohlene Authentifizierungsmethode. Wenn Sie diese Option auswählen, stellen Sie sicher, dass Sie auch die folgenden Felder konfigurieren:
- Rollen-ID – Geben Sie die Rollen-ID an, die mit der AppRole-Authentifizierungsmethode verwendet werden soll.
- Geheime ID – Geben Sie die geheime ID ein, die mit dem AppRole-Authentifizierungstyp verwendet werden soll.
-
UsernamePassword – Wenn Sie diese Option auswählen, stellen Sie sicher, dass Sie auch die folgenden Felder konfigurieren:
- Benutzername – Geben Sie den Benutzernamen ein, der mit UsernamePassword verwendet werden soll.
- Kennwort – Geben Sie das Kennwort an, das mit dem UsernamePassword-Authentifizierungstyp verwendet werden soll.
-
Ldap – Wenn Sie diese Option auswählen, stellen Sie sicher, dass Sie auch die folgenden Felder konfigurieren:
- Benutzername – Geben Sie den Benutzernamen an, der mit dem LDAP-Authentifizierungstyp verwendet werden soll.
- Kennwort – Geben Sie das Kennwort an, das mit dem LDAP-Authentifizierungstyp verwendet werden soll.
-
Token – Wenn Sie diese Option auswählen, stellen Sie sicher, dass Sie auch das folgende Feld konfigurieren:
- Token – Geben Sie das Token ein, das mit dem Token-Authentifizierungstyp verwendet werden soll.
- Wählen Sie im Feld Geheimnis-Engine die zu verwendende Geheimnis-Engine aus. Ihre Optionen sind:
- KeyValueV1
- KeyValueV2
- Active Directory
- Öffnen Sie LDAP
- LDAP (Lightweight Directory Access Protocol)
-
-
Im optionalen Feld Authentifizierungs -Bereitstellungspfad können Sie einen benutzerdefinierten Bereitstellungspfad angeben. Sie können dieselbe Authentifizierungsmethode mit zwei verschiedenen Konfigurationen auf zwei verschiedenen Pfaden bereitstellen.
- Geben Sie im Feld Bereitstellungspfad von Geheimnis-Engine den Pfad der Geheimnis-Engine an. Wenn nicht angegeben, wird standardmäßig
kv
für KeyValueV1,kv-v2
für KeyValueV2 undad
für ActiveDirectory verwendet. - Geben Sie im Feld Datenpfad das Pfadpräfix ein, das für alle gespeicherten Geheimnisse verwendet werden soll.
- Geben Sie im Feld Namespace den zu verwendenden Namespace an. Nur in HashiCorp Vault Enterprise verfügbar.
-
Wählen Sie für die Option (Ldap) Dynamische Anmeldeinformationen verwenden die Option True (dynamisch) oder False (statisch) aus, um zwischen dynamischen und statischen Anmeldeinformationen zu wechseln. Die Standardoption ist False.
-
Wählen Sie Erstellen. Ihr neuer Berechtigungsnachweisspeicher ist einsatzbereit.
-
Wählen Sie im Feld Typ eine der folgenden Optionen aus:
- BeyondTrust Password Safe – Verwaltete Konten
- BeyondTrust Password Safe – Team-Kennwörter
- Geben Sie im Feld Name einen Namen für den BeyondTrust-Anmeldeinformationsspeicher an.
- Geben Sie im Feld BeyondTrust Host-URL die URL Ihrer geheimen Serverinstanz an.
- Geben Sie im Feld API-Registrierungsschlüssel den Wert des API-Registrierungsschlüssels von BeyondTrust an.
-
Geben Sie im Feld API-Ausführung als Benutzername den BeyondTrust-Benutzernamen an, unter dem Sie die Aufrufe ausführen möchten.
Wenn Sie BeyondTrust Password Safe – Verwaltete Konten ausgewählt haben, fahren Sie mit den folgenden Schritten fort:
- Geben Sie optional im Feld Standardname des verwalteten Systems den Systemnamen an, der vom BeyondTrust Password Safe verwaltet wird. Dieses Feld dient als Ausweich-Systemname, wenn das Feld Externer Name des Orchestrator-Assets kein Systemnamenpräfix enthält.
- Geben Sie im Feld System-/Kontotrennzeichen das Trennzeichen an, mit dem der Systemname vom Kontonamen im Orchestrator-Asset getrennt wird.
- Wählen Sie im Feld Typ des verwalteten Kontos den Typ des Kontos aus, das von BeyondTrust abgerufen werden soll:
- system – Gibt lokale Konten zurück
- domainlinked – Gibt Domänenkonten zurück, die mit Systemen verknüpft sind
- Wählen Sie Erstellen. Ihr neuer Berechtigungsnachweisspeicher ist einsatzbereit.
SystemName
oder im Feld Externer Name des Orchestrator-Assets im Format SystemName/AccountName
angegeben werden.
Wenn Sie BeyondTrust Password Safe – Team-Kennwörter auswählen, fahren Sie mit den folgenden Schritten fort:
-
Geben Sie optional im Feld Ordnerpfadpräfix ein Standard-Ordnerpfadpräfix an. Dies wird vor allen Werten der Orchestrator-Assets eingefügt.
- Geben Sie im Feld Ordner-/Kontotrennzeichen das Trennzeichen ein, mit dem der Pfad vom Titel im Orchestrator-Asset getrennt wird.
-
Wählen Sie Erstellen. Ihr neuer Berechtigungsnachweisspeicher ist einsatzbereit.
- Wählen Sie im Feld Typ die Option Thycotic Secret Server aus.
- Geben Sie im Feld Name einen Namen für den neuen Anmeldeinformationsspeicher ein.
- Geben Sie im Feld Secret Server-URL die URL Ihrer geheimen Serverinstanz an.
- Geben Sie im Feld Regelname den Namen der Client-Onboarding-Regel an.
- Geben Sie optional im Feld Regelschlüssel den Schlüssel aus der Onboarding-Regel an. Obwohl dieser Schritt optional ist, empfehlen wir, den Regelschlüssel für eine verbesserte Sicherheit anzugeben.
- Geben Sie im Feld Benutzername den Slug-Namen des Felds Geheime Vorlage an, aus dem der Orchestrator den Benutzernamen beim Abrufen eines Assets vom Thycotic Secret Server abruft.
-
Geben Sie im Feld Kennwortfeld den Slug-Namen des Felds Geheime Vorlage an, aus dem der Orchestrator das Kennwort abruft, wenn ein Asset vom Thycotic Secret Server abgerufen wird.
Hinweis: Sie finden den Slug-Namen des Felds Geheime Vorlage unter Administrator > Geheime Vorlagen > Vorlage > Felder.
Wenn ein Asset oder ein Roboter im Orchestrator erstellt wird, wird er über den externen Namen mit einem bereits existierenden Geheimnis verknüpft. In diesem Fall ist dies die tatsächliche Geheimnis-ID vom Thycotic Secret Server.
5
.
- Wählen Sie im Feld Typ die Option AWS Secrets Manager oder AWS Secrets Manager (schreibgeschützt) aus.
Die Wahl zwischen der schreibgeschützten und der schreibgeschützten Version hängt von Ihren IAM-Richtlinienberechtigungen ab.
- Geben Sie im Feld Name einen Namen für den neuen Anmeldeinformationsspeicher ein.
- Fügen Sie im Feld Zugriffsschlüssel die Zugriffsschlüssel-ID hinzu, die auf der Registerkarte Sicherheitsanmeldeinformationen Ihrer AWS IAM-Benutzerseite verfügbar ist.
- Fügen Sie im Feld Geheimer Schlüssel die ID des geheimen Schlüssels hinzu, die Ihnen beim Erstellen des AWS IAM-Benutzerkontos bereitgestellt wurde.
- Fügen Sie im Feld Region die Region hinzu, in der Ihre Geheimnisse gespeichert werden sollen, wie in Ihrem AWS-Konto angezeigt.
Wenn Sie AWS Secrets Manager (schreibgeschützt) verwenden möchten, müssen Sie zuerst Ihre Asset- oder Roboter-Anmeldeinformationen im AWS Secrets Manager erstellen.
Navigieren Sie zu Speicher (Mandant > Anmeldeinformationen > Speicher) und wählen Sie im Menü Weitere Aktionen des gewünschten Speichers die Option Bearbeiten aus. Das Dialogfeld Anmeldeinformationsspeicher bearbeiten wird angezeigt.
Wenn Sie 2 oder mehr Anmeldeinformationsspeicher verwenden, können Sie auswählen, welcher Standardspeicher für Roboter und Assets verwendet wird. Der gleiche Speicher kann als Standard für beide verwendet werden, oder Sie können für jeden einen anderen Standardspeicher auswählen.
Um einen Standardspeicher auszuwählen, wählen Sie im Menü Weitere Aktionen die Option Als Speicher für Standardeinstellungen des Roboters festlegen und/oder Als Speicher für Standardeinstellungen von Assets festlegen.
Durch das Ändern des Standardspeichers wird keine bestehende Roboter- oder Asset-Konfiguration geändert. Es wird lediglich festgelegt, was bei der Erstellung neuer Roboter oder Assets im Dropdownmenü Anmeldeinformationsspeicher vorab ausgewählt wird. Roboter und Assets erhalten ihre Kennwörter immer aus dem Speicher, der bei der Erstellung verwendet wurde. Um den Anmeldeinformationsspeicher für einen bestimmten Roboter oder ein bestimmtes Asset zu ändern, müssen Sie ihn auf Roboter- oder Asset-Ebene ändern.
Um einen Anmeldeinformationsspeicher zu löschen, wählen Sie aus dem Menü Weitere Aktionen des gewünschten Speichers die Option Entfernen aus.
Wenn der ausgewählte Speicher verwendet wird, wird eine Warnung mit der Anzahl der betroffenen Roboter und Assets angezeigt. Klicken Sie auf Löschen, um das Entfernen zu bestätigen, oder auf Abbrechen. Beachten Sie, dass mindestens ein Anmeldeinformationsspeicher jederzeit aktiv sein muss. Wenn nur einer vorhanden ist, wird die Option zum Löschen nicht angezeigt.
- Erstellen eines Anmeldeinformationsspeichers
- Orchestrator-Datenbank
- CyberArk CCP
- CyberArk Conjur Cloud (schreibgeschützt)
- Azure Key Vault
- HashiCorp Vault
- BeyondTrust
- BeyondTrust Password Safe – Verwaltete Konten
- BeyondTrust Password Safe – Team-Kennwörter
- Thycotic Secret Server
- AWS Secrets Manager
- Bearbeiten eines Anmeldeinformationsspeichers
- Einrichten eines standardmäßigen Anmeldeinformationsspeichers
- Löschen eines Anmeldeinformationsspeichers