Integrieren von Anmeldeinformationsspeichern

CyberArk® CCP integration

Der Central Credential Provider (CCP) ist die agentenlose Methode, die zur Integration in CyberArk verwendet wird, sodass UiPath® Anmeldeinformationen sicher aus einem Tresor abrufen kann, ohne einen Agenten auf dem Server bereitzustellen. Ein Clientzertifikat ist erforderlich, um den sicheren Abruf der Anmeldeinformationen sicherzustellen.

Bevor Sie mit der Verwendung von CyberArk® CCP-Anmeldeinformationsspeichern im Orchestrator beginnen können, müssen Sie zunächst die entsprechende Anwendung und Safe-Einstellungen in der CyberArk® PVWA-Schnittstelle (Password Vault Web Access) einrichten.

Voraussetzungen

• Ein Netzwerk, das die Interkonnektivität zwischen dem Orchestrator-Dienst und dem CyberArk-Server ermöglicht.
• Der CyberArk® Central Credential Provider muss auf einer Maschine installiert sein, die HTTP-Verbindungen zulässt.
• CyberArk® Enterprise Password Vault

Weitere Informationen zur Installation und Konfiguration von CyberArk®-Anwendungen finden Sie auf der offiziellen Seite.

Erstellen einer Orchestrator-Anwendung

1. Melden Sie sich bei CyberArk® PVWA als Benutzer an, der Berechtigungen zur Verwaltung von Anwendungen hat (erfordert die Berechtigung „Benutzer verwalten“).
2. Klicken Sie auf der Registerkarte Anwendungen auf Anwendung hinzufügen. Das Fenster Anwendung hinzufügen wird angezeigt.
   Figure 1. Add Application window
   

   

   
   
3. Geben Sie im Fenster Anwendung hinzufügen die folgenden Informationen an:
   • Name (Name)-Feld – ein benutzerdefinierter Name für die Anwendung, zum Beispiel Orchestrator.
   • Beschreibung – eine kurze Beschreibung, um Ihnen dabei zu helfen, den Zweck der neuen Anwendung anzugeben.

   • Ort – der Pfad der Anwendung innerhalb der Tresorhierarchie. Wenn kein Ort angegeben ist, wird die Anwendung am selben Ort wie der Benutzer, der diese Anwendung erstellt, hinzugefügt.

4. Select Add. The application is added, and its details are displayed on the Application Details page.
5. Aktivieren Sie das Kontrollkästchen Erweiterte Authentifizierungseinschränkungen zulassen.

   Unterstützte Authentifizierungsmethode:

   • Client-Zertifikate – Das Client-Zertifikat, das für die CyberArk-Authentifizierung verwendet wird, muss mindestens 2048 Bit haben
6. Configure the authentication method. For example, in the Authentication tab, select Add > Certificate Serial Number, and add the unique identifier of the client certificate, used to authenticate the requesting application against CCP.
   Figure 2. Certificate Serial Number
   

   

   
   

Erstellen eines Orchestrator-Safes

Safes sind erforderlich, damit Sie Ihre Konten besser verwalten können. Außerdem können Sie Safe-Mitglieder hinzufügen, um eine ordnungsgemäße Autorisierung sicherzustellen. CyberArk® empfiehlt das Hinzuziehen eines Anmeldeinformationsanbieters (ein Benutzer der die vollständigen Rechte über die Anmeldeinformationen besitzt, diese vergeben und verwalten kann) und der zuvor erstellten Anwendung als Safe-Mitglieder. Letzteres ermöglicht es dem Orchestrator, die im Safe gespeicherten Passwörter zu finden und abzurufen.

1. In der Registerkarte Richtlinien klicken Sie im Abschnitt Zugangskontrolle (Safes) auf Safe hinzufügen. Die Seite Safe hinzufügen wird angezeigt.
   Figure 3. Add Safe page
   

   

   
   
2. Füllen Sie die Felder Safename und Beschreibung aus.
3. Klicken Sie Speichern an. Das Fenster Safedetails wird angezeigt.
   Figure 4. Safe Details window
   

   

   
   
4. Klicken Sie im Abschnitt Mitglieder (Members) auf Mitglied hinzufügen (Add Member). Das Fenster Sicheres Mitglied hinzufügen (Add Safe Member) wird angezeigt.
   Figure 5. Members window
   

   

   
   
5. Suchen Sie nach der zuvor erstellten Anwendung (Schritte 2–6), und wählen Sie die folgenden Berechtigungen dafür aus:
   • Sichere Mitglieder ansehen (View Safe Members)
   • Konten abrufen
   • Konten auflisten

   • Zugriff auf Safe ohne Bestätigung - Nur wenn Sie eine Umgebung mit zweifacher Kontrolle und PIM-PSM v7.2 oder niedriger verwenden.

     Wenn Sie mehrere Anmeldeinformationsanbieter für diese Integration installieren, wird empfohlen, eine Gruppe für sie zu erstellen und die Gruppe einmal mit der obigen Autorisierung zum Safe hinzuzufügen.

     Figure 6. Add Safe Member window
     

     

     
     
6. Klicken Sie auf Hinzufügen. Ihre Integration ist abgeschlossen und Sie können mit der Bereitstellung von CyberArk®-Anmeldeinformationsspeichern im Orchestrator beginnen. Weitere Informationen zum Speichern von Robot-Anmeldeinformationen finden Sie hier.

CyberArk® Conjur Cloud (schreibgeschützt)

CyberArk® Concur Cloud ist eine SaaS-basierte, cloudagnostische Lösung für die Verwaltung von geheimen Schlüsseln. Sie ermöglicht es Organisationen, den nicht-menschlichen Zugriff auf geheime Schlüssel zu sichern und das Secret-Zero-Problem zu lösen. Um die Anmeldeinformationsspeicher von CyberArk® Concur Cloud im Orchestrator zu verwenden, müssen Sie die entsprechenden Safe-Einstellungen in der CyberArk® Privilege Cloud-Schnittstelle einrichten.

Voraussetzungen

• Ein Netzwerk, das die Interkonnektivität zwischen den Orchestrator-Maschinen und dem CyberArk® Cloud-Server ermöglicht.

• Ein CyberArk® Privilege Cloud-Benutzer mit Zugriff zum Erstellen von Benutzern und Safes.

• Ein CyberArk® Privilege Cloud-Benutzer mit Berechtigungen für die erforderlichen Safes und der Möglichkeit, Workloads zu erstellen.

Weitere Informationen zum Konfigurieren von CyberArk® Cloud-Anwendungen finden Sie in der offiziellen Dokumentation.

Orchestrator-Safe zum Speichern von Anmeldeinformationen erstellen

1. Melden Sie sich bei CyberArk® Privilege Cloud mit einem Konto an, das Berechtigungen zur Verwaltung von Anwendungen hat (erfordert die Berechtigung Benutzer verwalten).
2. Wählen Sie neben dem Benutzerportal Start aus.
3. Wählen Sie unter Privilege Cloud Richtlinien aus, dann Safes, dann Safe erstellen und fügen Sie die folgenden Informationen hinzu:
   1. Fügen Sie im Schritt Safe-Eigenschaften definieren einen benutzerdefinierten Namen für den Safe hinzu und klicken Sie auf Weiter.
   2. Wählen Sie im Schritt Safe-Mitglieder auswählen die Option Systemkomponentenbenutzer für Quelle aus, suchen Sie nach Conjur Sync, wählen Sie den Conjur Cloud-Benutzer aus und klicken Sie dann auf Weiter.
   3. Wählen Sie im Schritt Safe-Berechtigungen festlegen für Berechtigungsvoreinstellungen die Option Vollständig aus und dann Safe erstellen.
4. Der neue Safe ist jetzt unter Richtlinien sichtbar, nachdem Sie Safes ausgewählt haben.

Konto und Workload erstellen, um auf die Anmeldeinformationen zuzugreifen

Um auf die Safes zuzugreifen, die Sie in CyberArk® erstellt haben, benötigen Sie auch ein Konto in Privilege Cloud und eine Workload in Concur Cloud.

1. Wählen Sie unter Privilege Cloud die Option Konten aus, dann Konto hinzufügen und dann:
   1. Wählen Sie im Schritt Systemtyp auswählen die Option Windows aus, dann Windows-Domänenkonto und dann einen vorhandenen Safe.
   2. Füllen Sie im Schritt Kontoeigenschaften definieren die Felder Adresse, Benutzername und Kennwort aus.
   3. Aktivieren Sie die Option Kontonamen anpassen, wenn Sie dem Konto einen benutzerdefinierten Namen hinzufügen möchten.
   Hinweis: Wenn ein Asset oder ein Roboter im Orchestrator erstellt wird, wird es oder er über den externen Namen mit einem existierenden geheimen Schlüssel verknüpft. Stellen Sie sicher, dass im Orchestrator entweder der generierte oder der benutzerdefinierte Kontoname im Feld Externer Name festgelegt ist, um den CyberArk®-Kontodetails zugeordnet zu werden.

   Beispielsweise stellt das Format data/vault/OrchestratorQA/companyname-john.doe/username einen benutzerdefinierten Kontonamen dar, während das Format data/vault/OrchestratorQA/Operating System-WinDomain-adress-test (1)/address einen generierten Kontonamen darstellt.
2. Nachdem Sie einen Safe und ein Konto erstellt haben, wechseln Sie zum Conjur Cloud-Dienst, wählen Sie Ressourcen aus, dann Erstellen und dann Workload.
   1. Wählen Sie im Schritt Workload-Typ die Option Sonstige aus.
   2. Geben Sie im Schritt Workload-Details einen benutzerdefinierten Namen für die Workload in das Feld Name ein und wählen Sie Daten für das Feld Speicherort aus.
   3. Wählen Sie unter Authentifizierung die Option API-Schlüssel aus.
   4. Wählen Sie im Schritt Zugriff auf Safes den zuvor erstellten Safe aus.

   5. Überprüfen Sie die Zusammenfassung Ihrer Konfiguration und wählen Sie dann Fertig aus.

   6. Sie können den API-Schlüssel kopieren und dann Fertig auswählen.
   Anweisungen zum Bereitstellen der Geheimnisse finden Sie auf dieser Seite:

   • Storing Robot credentials in CyberArk

Azure Key Vault integration

Azure Key Vault ist ein Plugin, das Sie als Anmeldeinformationsspeicher mit dem Orchestrator verwenden können.

Es sind zwei Plugins enthalten:

• Azure Key Vault – Ein Lese-Schreib-Plugin (Geheimschlüssel werden über den Orchestrator erstellt)
• Azure Key Vault (schreibgeschützt) – Ein schreibgeschütztes Plugin (Sie müssen die Geheimschlüssel im Tresor direkt bereitstellen)

Voraussetzungen

• Azure Key Vault-Anmeldeinformationsspeicher verwenden RBAC-Authentifizierung. Azure Key Vault erfordert die Rolle „Key Vault-Geheimnisbeauftragter“, und Azure Key Vault (schreibgeschützt) erfordert die Rolle „Key Vault-Geheimnisbenutzer“.

Konfiguration

Führen Sie im Azure-Portal im Bereich App-Registrierungen die folgenden Schritte aus:

1. Erstellen Sie eine neue App-Registrierung.
2. Kopieren Sie die Anwendungs-ID (Client) für die spätere Verwendung.
3. Wechseln Sie zu Verwalten > Zertifikate und Geheimschlüssel > Neuer geheimer Clientschlüssel und fügen Sie einen neuen geheimen Clientschlüssel hinzu. Notieren Sie sich die von Ihnen gewählte Gültigkeitsdauer und erstellen Sie vorher ein neues Geheimnis.
4. Kopieren Sie den Wert des Geheimnisses für die spätere Verwendung.

Führen Sie im Azure Key Vault die folgenden Schritte aus:

1. Greifen Sie auf die Seite Übersicht in Key Vault zu und kopieren Sie den Tresor-URI und die Verzeichnis-ID zur späteren Verwendung.
2. Wählen Sie Einstellungen > Zugriffsrichtlinien im Menü auf der linken Seite aus.
3. Klicken Sie auf Zugriffsrichtlinie hinzufügen.
   Die erforderlichen Zugriffsrichtlinienberechtigungen sind Secret Get und Secret Set.
4. Wählen Sie im Dropdown-Menü Aus Vorlage konfigurieren (optional) die Option Verwaltung von Geheimschlüsseln aus.
5. Klicken Sie im Abschnitt Autorisierte Anwendung auf Keine ausgewählt, um das Feld Prinzipal auswählen zu aktivieren.
6. Geben Sie den App-Registrierungsnamen ein, bestätigen Sie, dass die Anwendungs-ID korrekt ist, und wählen Sie diesen Prinzipal aus.
7. Klicken Sie auf Hinzufügen.
8. Klicken Sie auf Speichern.

Sie sind nun bereit, den Tresor-URI, die Verzeichnis-ID, die Anwendungs-(Client-)ID und den Wert des Geheimschlüssels zu verwenden, um einen neuen Anmeldeinformationsspeicher zu konfigurieren.

Verwenden von Azure Key Vault (schreibgeschützt)

Wenn Sie das Azure Key Vault-Plugin (schreibgeschützt) verwenden, ist der Vault-Administrator für die korrekte Bereitstellung der Geheimnisse verantwortlich, die der Orchestrator verwenden wird. Das Format, in dem diese Geheimnisse bereitgestellt werden müssen, unterscheidet sich zwischen den verschiedenen Geheimnistypen (Asset- oder Roboterkennwort) und den verschiedenen Geheimnis-Engines.

Anweisungen zum Bereitstellen der Geheimnisse finden Sie unter:

• Speichern von Anmeldeinformationen von Unattended-Robotern in Azure Key Vault (schreibgeschützt)
• Speichern von Assets in Azure Key Vault (schreibgeschützt)

HashiCorp Vault-Integration

HashiCorp Vault ist ein Plugin, das Sie als Anmeldeinformationsspeicher mit dem Orchestrator verwenden können.

Es sind zwei Plugins enthalten:

• HashiCorp Vault – ein Lese-Schreib-Plugin (Geheimschlüssel werden über den Orchestrator erstellt)
• HashiCorp Vault (schreibgeschützt) – ein schreibgeschütztes Plugin (Sie müssen die Geheimschlüssel im Tresor direkt bereitstellen)

Voraussetzungen

• Ein Netzwerk, das die Interkonnektivität zwischen dem Orchestrator-Dienst und dem HashiCorp Vault-Server ermöglicht:

  • Der API-Port, der von HashiCorp Vault für API-Anforderungen verwendet wird, muss über eine Firewall hinweg geöffnet und über das Internet erreichbar sein. Dieser Port ist 8200 in einer typischen Installation.
  • Wenn die Firewall des Kunden keine Konnektivität von einer Internet-IP zulässt, müssen die IP-Adressen des Orchestrators auf die weiße Liste gesetzt werden. Eine aktuelle Liste der IP-Adressen finden Sie auf der Seite Orchestrator-IP-Adressen für ausgehende Verbindungen.

• Sie müssen eine der unterstützten Authentifizierungsmethoden konfigurieren:

  • AppRole (empfohlen)
  • UsernamePassword
  • LDAP (Lightweight Directory Access Protocol)
  • Token

    Sehen Sie sich an, wie Sie die Authentifizierung konfigurieren.

• Sie müssen eine der unterstützten Geheimnis-Engines konfigurieren:

  • KeyValueV1 – Sowohl für HashiCorp Vault als auch für HashiCorp Vault (schreibgeschützt) verfügbar
  • KeyValueV2 – Sowohl für HashiCorp Vault als auch für HashiCorp Vault (schreibgeschützt) verfügbar
  • ActiveDirectory – Nur für HashiCorp Vault (schreibgeschützt) verfügbar

  • OpenLDAP – Nur für HashiCorp Vault (schreibgeschützt) verfügbar

• Die gewählte Authentifizierungsmethode muss über eine Richtlinie verfügen, die die folgenden Fähigkeiten auf dem Pfad zulässt, auf dem Sie Ihre Geheimnisse speichern wollen:

  • Für das HashiCorp Vault-Plugin (schreibgeschützt): read
  • Für das HashiCorp Vault-Plugin: create , read , update , delete und optional delete im Metadatenpfad, wenn die Secrets-Engine KeyValueV2 verwendet wird.

Konfigurieren der Integration

Im Folgenden wird anhand eines Beispiels gezeigt, wie eine Entwicklungsversion von HashiCorp Vault, die in einem Docker-Container läuft, so konfiguriert wird, dass sie als Anmeldeinformationsspeicher mit dem Orchestrator verwendet werden kann. Die Beispiele sollten an Ihre eigene Umgebung angepasst werden. Weitere Informationen finden Sie in der offiziellen Dokumentation von HashiCorp Vault.

Konfigurieren der Authentifizierung

Zum Erstellen und Lesen von Geheimnissen müssen Sie zunächst die Authentifizierungsmethode konfigurieren, indem Sie die folgenden Schritte ausführen:

1. Öffnen Sie eine Shell innerhalb des Containers:

   docker exec -it dev-vault sh

2. Melden Sie sich als Root an. Stellen Sie sicher, dass das Root-Token in den Protokollen angezeigt wird, um damit eine Umgebungsvariable zu setzen, indem Sie den folgenden Befehl ausführen:

   export VAULT_TOKEN=s.hA7RJ5lBqSnKUPd8nrQBaK1f

3. Überprüfen Sie den Vault-Status, indem Sie den folgenden Befehl ausführen:

   vault status

4. Fügen Sie ein Dummy-Geheimnis für den Orchestrator in den KV-Speicher ein:

   vault kv put secret/applications/orchestrator/testSecret supersecretpassword=123456

5. Gewähren Sie dem Orchestrator Zugriff auf den neu erstellten secret/applications/orchestrator-Pfad. Dazu müssen Sie zuerst eine Richtlinie zum Lesen und Schreiben in diesem Pfad und allen seinen Unterpfaden erstellen, indem Sie den folgenden Befehl ausführen:

   cat <<EOF | vault policy write orchestrator-policy -
   path "secret/data/applications/orchestrator/*" {
     capabilities = ["create", "read", "update", "delete"]
   }
   path "secret/metadata/applications/orchestrator/*" {
     capabilities = ["delete"]
   }
   EOF

   Hinweis:

   Wenn Sie eine KeyValueV2-Geheimnis-Engine verwenden, werden die Geheimnisse am Pfad <mount>/data/<secret-path> geschrieben und abgerufen, im Gegensatz zu <mount>/<secret-path> in KeyValueV1. Die CLI-Befehle werden nicht geändert (d. h. Sie geben keine Daten in Ihrem Pfad an).

   Es ändert jedoch die Richtlinien, da Funktionen auf den realen Pfad angewendet werden. Im vorherigen Beispiel ist der Pfad secret/data/applications/orchestrator/* , da wir mit einer KeyValueV2-Secrets-Engine arbeiten. Bei Verwendung eines KeyValueV1 wäre der Pfad secret/applications/orchestrator/* gewesen.

   Die Funktion zum Löschen im Metadatenpfad ist nur erforderlich, wenn Sie sicherstellen möchten, dass der Orchestrator beim Überprüfen der Konnektivität keine Testschlüssel hinterlässt. Wenn diese Fähigkeit nicht gewährt wird, wird ein Schlüssel erstellt und bei der Erstellung des Anmeldeinformationsspeichers im Orchestrator zurückgelassen.

6. Aktivieren Sie die Authentifizierung mit der userpass-Authentifizierungsmethode, erstellen Sie dann einen Benutzer für den Orchestrator und weisen Sie die zuvor erstellte Richtlinie zu:

   vault auth enable userpass
   vault write auth/userpass/users/orchestrator password=123456 policies=orchestrator-policy

   Hinweis: Der Orchestrator unterstützt mehrere Authentifizierungsmodi. In der Dokumentation zu HashiCorp Vault finden Sie weitere Informationen zu deren Konfiguration.
7. Überprüfen Sie, ob Sie alles richtig konfiguriert haben, indem Sie sich anmelden und versuchen, das zuvor erstellte Geheimnis zu lesen:

   vault login -method=userpass username=orchestrator password=123456

   Ausgabe dieses Befehls:

   WARNING! The VAULT_TOKEN environment variable is set! This takes precedence
   over the value set by this command. To use the value set by this command,
   unset the VAULT_TOKEN environment variable or set it to the token displayed
   below.
   Success! You are now authenticated. The token information displayed below
   is already stored in the token helper. You do NOT need to run "vault login"
   again. Future Vault requests will automatically use this token.
   Key                    Value
   ---                    -----
   token                  s.nwombWQH3gGPDhJumRzxKqgI
   token_accessor         aGJL6Pzc6fRRuP8d8tTjS2Kj
   token_duration         768h
   token_renewable        true
   token_policies         ["default" "orchestrator-policy"]
   identity_policies      []
   policies               ["default" "orchestrator-policy"]
   token_meta_username    orchestratorWARNING! The VAULT_TOKEN environment variable is set! This takes precedence
   over the value set by this command. To use the value set by this command,
   unset the VAULT_TOKEN environment variable or set it to the token displayed
   below.
   Success! You are now authenticated. The token information displayed below
   is already stored in the token helper. You do NOT need to run "vault login"
   again. Future Vault requests will automatically use this token.
   Key                    Value
   ---                    -----
   token                  s.nwombWQH3gGPDhJumRzxKqgI
   token_accessor         aGJL6Pzc6fRRuP8d8tTjS2Kj
   token_duration         768h
   token_renewable        true
   token_policies         ["default" "orchestrator-policy"]
   identity_policies      []
   policies               ["default" "orchestrator-policy"]
   token_meta_username    orchestrator

8. Nehmen Sie dieses Token und setzen Sie es anstelle des Stammtokens. Dann versuchen Sie, das Testgeheimnis zu lesen:

   export VAULT_TOKEN=s.nwombWQH3gGPDhJumRzxKqgI
   vault kv get secret/applications/orchestrator/testSecret

Ausgabe dieses Befehls:

====== Metadata ======
Key              Value
---              -----
created_time     2020-10-12T06:24:41.7827631Z
deletion_time    n/a
destroyed        false
version          1
=========== Data ===========
Key                    Value
---                    -----
supersecretpassword    123456====== Metadata ======
Key              Value
---              -----
created_time     2020-10-12T06:24:41.7827631Z
deletion_time    n/a
destroyed        false
version          1
=========== Data ===========
Key                    Value
---                    -----
supersecretpassword    123456

Hinweis:

Sie können auch den appRole-Orchestrator aktivieren, indem Sie den folgenden Befehl ausführen:

/ # vault auth enable approle 
/ # vault write auth/approle/role/orchestrator policies=orchestrator-policy 
/ # vault read auth/approle/role/orchestrator/role-id 
/ # vault write -f auth/approle/role/orchestrator/secret-id

Sie verfügen jetzt über eine Rollen-ID und eine Geheimnis-ID zum Konfigurieren im Orchestrator.

Konfigurieren der Active Directory Geheimnis-Engine

Führen Sie die folgenden Schritte aus, um die Active Directory Geheimnis-Engine zu konfigurieren:

1. Aktivieren Sie die Active Directory Geheimnis-Engine, indem Sie den folgenden Befehl ausführen:

   vault secrets enable ad

2. Konfigurieren Sie die Anmeldeinformationen, die HashiCorp Vault für die Kommunikation mit Active Directory verwendet, um Kennwörter zu generieren:

   vault write ad/config \
       binddn=$USERNAME \
       bindpass=$PASSWORD \
       url=ldaps://138.91.247.105 \
       userdn='dc=example,dc=com'

3. Konfigurieren Sie eine Rolle, die einen Namen im HashiCorp Vault einem Konto in Active Directory zuweist. Wenn Anwendungen Kennwörter anfordern, werden die Einstellungen für die Kennwortrotation von dieser Rolle verwaltet.

   vault write ad/roles/orchestrator service_account_name="[e-mail]"

4. Gewähren Sie orchestrator Zugriff auf seine Anmeldeinformationen bei ad/creds/orchestrator mithilfe einer Authentifizierungsmethode, z. B. AppRole.

   cat <<EOF | vault policy write orchestrator-policy -
   path "ad/creds/orchestrator" {
     capabilities = ["read"]
   }
   EOF

Verwenden von HashiCorp Vault (schreibgeschützt)

Wenn Sie das HashiCorp Vault-Plugin (schreibgeschützt) verwenden, ist der Vault-Administrator für die korrekte Bereitstellung der Geheimnisse verantwortlich, die der Orchestrator verwenden wird. Das Format, in dem diese Geheimnisse bereitgestellt werden müssen, unterscheidet sich zwischen den verschiedenen Geheimnistypen (Asset- oder Roboterkennwort) und den verschiedenen Geheimnis-Engines.

Anweisungen zum Bereitstellen der Geheimnisse finden Sie unter:

Speichern der Anmeldeinformationen von Unattended-Robotern im HashiCorp Vault (schreibgeschützt)

Speichern von Assets im HashiCorp Vault (schreibgeschützt)

BeyondTrust-Integration

Die BeyondTrust-Integration ist schreibgeschützt und erfolgt in Form von zwei Plugins, aus denen Sie wählen können: BeyondTrust Password Safe – Verwaltete Konten und BeyondTrust Password Safe – Team-Kennwörter.

Während BeyondTrust Password Safe – Verwaltete Konten die Anforderungen von Organisationen mit lokalen oder Active Directory-Konten erfüllt, eignet sich BeyondTrust Password Safe – Team-Kennwörter in Szenarien, in denen die Anmeldeinformationen kleiner Gruppen in einer isolierten Umgebung gespeichert werden müssen.

Die Konfiguration der beiden Plugins ist größtenteils identisch, aber es gibt auch einige geringfügige Unterschiede. Diese Seite deckt beide Plugins ab.

Voraussetzungen

• Eine Cloud-Instanz des BeyondTrust-Servers oder eine ähnliche lokale Installation
• Anmeldeinformationen für Beyond Insight

Konfigurieren der Integration

1. Melden Sie sich bei der Cloud-Instanz des BeyondTrust-Servers oder bei einer ähnlichen lokalen Installation mit Ihren Beyond Insight-Anmeldeinformationen an.
2. Erstellen Sie eine API-Registrierung für eine UiPath Gruppe von Dienstkonten.
   Figure 7. Creating an API Registration
   

   

   
   
3. Erstellen Sie eine Authentifizierungsregel, um eingehende API-Verbindungen von UiPath zuzulassen.
   Figure 8. Creating an Authentication Rule
   

   

   
   
4. Erstellen Sie eine neue Gruppe für UiPath Dienstkonten und fügen Sie die folgenden Funktionen hinzu:
   • Password Safe-Konto

   • Password Safe-Rolle

     Figure 9. Creating a new Group
     

     

     
     
5. Sie müssen auch intelligente Regeln zuweisen:
   • Verwaltete Konten/Schreibgeschützt/Anfordernde Person sind für reguläre Benutzeranforderungen ausreichend.

   • Für den ISA-Zugriff ist die Assets/ISA-Rolle erforderlich.

     Figure 10. Assigning Smart Rules
     

     

     
     
6. Fügen Sie die API-Registrierung zur Gruppe hinzu.
   Figure 11. Adding the API Registration to the Group
   

   

   
   
7. Erstellen Sie einen neuen Benutzer und weisen Sie die UiPath Gruppe zu.
   Figure 12. Creating a new user
   

   

   
   
8. Die folgenden Schritte unterscheiden sich je nachdem, ob Sie BeyondTrust Password Safe – Verwaltete Konten oder BeyondTrust Password Safe – Team-Kennwörter verwenden.

BeyondTrust Password Safe – Verwaltete Konten

Wenn Sie BeyondTrust Password Safe – Verwaltete Konten verwenden, fahren Sie mit den folgenden Schritten fort:

1. Fügen Sie Ihre verwalteten Konten unter Verwaltete Systeme hinzu.

   Figure 13. Managed Systems page
   

   

   
   

2. Stellen Sie sicher, dass Sie API Enabled für Ihre verwalteten Konten verwenden.

Figure 14. Managed Accounts page

BeyondTrust Password Safe – Team-Kennwörter

Wenn Sie BeyondTrust Password Safe – Team-Kennwörter verwenden, fahren Sie mit den folgenden Schritten fort:

1. Gehen Sie zur Seite Team-Kennwörter.

   Figure 15. Team Passwords page
   

   

   
   

2. Erstellen Sie optional einen neuen Ordner.

3. Wählen Sie einen Ordner aus.
4. Verwenden Sie die Option Neue Anmeldeinformationen erstellen.

Thycotic Secret Server integration

Hinweis: Thycotic wurde aufgrund einer Fusion in Delinea umbenannt . Bitte beachten Sie dies, wenn Sie Ihre Anmeldeinformationsspeicher-Integrationen konfigurieren.

Voraussetzungen

• Eine Thycotic Secret Server-Cloudinstanz oder lokale Installation.

Konfigurieren der Integration

Wichtig:

Lesen Sie die Delinea-Dokumentation für aktuelle Informationen.

1. Melden Sie sich bei Ihrem Secret Server-Konto an.
2. Wechseln Sie zu Admin > Benutzerverwaltung und klicken Sie auf Benutzer erstellen. Aktivieren Sie das Kontrollkästchen Anwendungskonto, um ein Anwendungskonto zu generieren.
3. Navigieren Sie zu Administrator > Alle anzeigen > Tools und Integrationen > SDK- Clientverwaltung und richten Sie eine neue Onboarding-Regel in Client-Onboarding ein. Notieren Sie sich den Namen und den Schlüssel der Onboarding-Regel.
4. Bearbeiten Sie die Onboarding-Regel und weisen Sie das in Schritt 2 erstellte Anwendungskonto zu.
5. Stellen Sie sicher, dass das Anwendungskonto, das mit der Onboarding-Regel verknüpft ist, über Berechtigungen für die Geheimnisse verfügt, auf die der Orchestrator zugreift. Sie können das Anwendungskonto einer Gruppe zuweisen und dieser Gruppe Zugriff auf die erforderlichen Ordner gewähren oder ihr expliziten Zugriff auf die Geheimnisse gewähren.

AWS Secrets Manager-Integration

Über AWS Secrets Manager

AWS Secrets Manager ist ein Tool, das als Anmeldeinformationsspeicher im Orchestrator verwendet werden kann.

Es verfügt über zwei Plugins:

• AWS Secrets Manager
• AWS Secrets Manager (schreibgeschützt)

Das Plugin, das Sie verwenden können, nämlich schreibgeschützt oder schreibgeschützt, wird durch Ihre AWS Identity and Access Management (IAM)-Richtlinienberechtigungen bestimmt.

Wenn Sie das schreibgeschützte Plugin verwenden möchten, müssen Sie ein Asset mit einem Satz von Anmeldeinformationen verknüpfen, die bereits im AWS Secrets Manager verfügbar sind.

Voraussetzungen

So verwenden Sie diesen Dienst:

• Sie benötigen ein AWS-Abonnement.
• Sie müssen eine IAM-Richtlinie speziell für den Secrets Manager erstellen, die Sie der IAM-Rolle oder dem Benutzer des Kontos zuweisen.

Konfiguration

Um AWS Secrets Manager mit Orchestrator zu integrieren, benötigen Sie den Zugriffsschlüssel und den geheimen Schlüssel, die generiert werden, sobald Sie ein AWS IAM-Konto erstellen.

• Die Zugriffsschlüssel-ID finden Sie auf der Registerkarte Sicherheitsanmeldeinformationen Ihres AWS IAM-Kontos.

• Die ID des geheimen Schlüssels wird erst bereitgestellt, nachdem Sie das Konto erstellt haben. Es ist daher wichtig, sie für die zukünftige Verwendung zu kopieren.

  Wenn Sie Ihre geheime Schlüssel-ID vergessen oder vergessen, müssen Sie einen anderen Zugriffsschlüssel erstellen und dann die erforderlichen Informationen im Orchestrator ersetzen.

Darüber hinaus müssen Sie die Region überprüfen, die Sie in Ihrem AWS-Konto festgelegt haben, da Sie diese beim Konfigurieren des neuen Anmeldeinformationsspeichers in das Feld Region eingeben.

Verwenden von AWS Secrets Manager (schreibgeschützt)

Wenn Sie das AWS Secrets Manager-Plugin (schreibgeschützt) verwenden, ist der Administrator für die korrekte Bereitstellung der Geheimnisse verantwortlich, die der Orchestrator verwenden wird. Das Format, in dem diese Geheimnisse bereitgestellt werden müssen, unterscheidet sich zwischen den verschiedenen Geheimnistypen (Asset- oder Roboterkennwort) und den verschiedenen Geheimnis-Engines.

Anweisungen zum Bereitstellen der Geheimnisse finden Sie unter:

• Speichern der Anmeldeinformationen von Unattended-Robotern im AWS Secrets Manager (schreibgeschützt)
• Speichern von Assets im AWS Secrets Manager (schreibgeschützt)

Google Secret-Manager

Google Secret Manager ist ein Plugin, das Sie als Anmeldeinformationsspeicher mit dem Orchestrator verwenden können.

Es sind zwei Plugins enthalten:

• Google Secret Manager – Ein Lese-Schreib-Plugin, mit dem Sie Geheimnisse direkt aus Orchestrator erstellen und verwalten können.
• Google Secret Manager (schreibgeschützt) – ein schreibgeschütztes Plugin, mit dem Sie nur vorhandene Geheimnisse nutzen können. Geheime Schlüssel müssen direkt im Google Secret Manager bereitgestellt werden.

Voraussetzungen

Sie benötigen ein Google Cloud -Projekt mit einer Secret Manager- Komponente, um den Orchestrator mit dem Google Secret Manager zu verbinden.

Konfigurieren Sie die Integration

Um den Orchestrator mit dem Google Secret Manager zu verbinden, führen Sie die folgenden Schritte aus:

1. Aktivieren Sie die Secret-Manager-API.

2. Erstellen Sie ein Dienstkonto und generieren Sie einen Dienstkontoschlüssel.

3. Fügen Sie im Orchestrator einen Google Secret Manager-Anmeldeinformationsspeicher hinzu.

Schritt 1: Aktivieren der Secret-Manager-API

1. Wählen Sie Ein Projekt auswählen , um zur Projektliste zu gelangen und das gewünschte Projekt auszuwählen.
2. Suchen Sie in der Suchleiste nach Secret Manager und öffnen Sie den Secret Manager in der Ergebnisliste.
3. Wählen Sie unter Secret-Manager-API die Option Aktivieren aus.

Schritt 2: Erstellen eines Dienstkontos und Generieren eines Dienstkontoschlüssels

1. Suchen Sie in der Suchleiste nach Dienstkonten und öffnen Sie Dienstkonten in der Ergebnisliste.
2. Wählen Sie Dienstkonto erstellen aus.
   1. Geben Sie einen Namen für das neue Dienstkonto ein und wählen Sie Erstellen und fortfahren.
   2. Weisen Sie im Schritt Berechtigungen (optionell) die Rolle Secret Manager-Administrator dem neuen Dienstkonto zu.
   3. Wählen Sie Weiter und dann Fertig.
3. Wählen Sie in der Liste Dienstkonten das neue Konto aus.
4. Navigieren Sie zur Registerkarte Schlüssel .
5. Wählen Sie Schlüssel hinzufügen und dann Neuen Schlüssel erstellen aus.
   1. Wählen Sie JSON aus.
   2. Wählen Sie Erstellen.
   Am Ende dieses Schritts wird eine JSON-Datei heruntergeladen. Speichern Sie diese Datei, da Sie sie beim Konfigurieren des Anmeldeinformationsspeichers benötigen.

Schritt 3: Hinzufügen von Google Secret Manager zum Orchestrator

1. Gehen Sie im Orchestrator zur Seite Mandant .
2. Wählen Sie Anmeldeinformationen aus und wechseln Sie zur Registerkarte Speicher .
3. Wählen Sie Anmeldeinformationsspeicher hinzufügen aus.
4. Wählen Sie Google Secret Manager im Dropdownmenü Typ aus.
5. Geben Sie einen Namen für Ihren Anmeldeinformationsspeicher ein.
6. Geben Sie im Feld Google Cloud-Projekt-ID die Projekt-ID Ihres Google Cloud-Projekts ein.
7. Laden Sie im Feld Dienstkontoschlüssel-JSON das im vorherigen Schritt heruntergeladene JSON-Objekt hoch.
8. Wählen Sie Erstellen.

Wichtig:

• Beim Abrufen eines Assets aus einem Google Secret Manager-Anmeldeinformationsspeicher (schreibgeschützt oder schreibgeschützt) wird immer die neueste Version des Geheimnisses abgerufen. Stellen Sie sicher, dass die letzte Version die richtige ist.
• Wenn die aktuelle Version des Geheimnisses deaktiviert ist, schlägt der Abruf fehl. Stellen Sie sicher, dass die neueste Version des Geheimnisses aktiviert ist.

Verwenden von Google Secret Manager

Beim Erstellen von Assets in einem Lese-Schreib-Anmeldeinformationsspeicher dürfen Asset-Namen nur lateinische Zeichen (A-Z, a-z), Ziffern (0-9), Bindestriche (-) und Unterstriche (_) enthalten.

Ungültige Zeichen werden automatisch durch _ ersetzt.

Verwenden von Google Secret Manager (schreibgeschützt)

Speichern von Assets in einem schreibgeschützten Anmeldeinformationsspeicher

Beim Speichern eines Assets des Typs Anmeldeinformationen in einem Google Secret Manager-Anmeldeinformationsspeicher (schreibgeschützt) müssen Sie das Geheimnis im Secret Manager erstellen mit:

• Der Name des Geheimnisses muss mit dem Externen Namen übereinstimmen, der für den Wert konfiguriert ist (wenn Werte pro Roboter verwendet werden) oder andernfalls mit dem Asset-Namen.

• Google Secret Manager darf nur Buchstaben (A-Z, a-z), Ziffern (0-9), Bindestriche (-) und Unterstriche (_) enthalten.
• Der geheime Wert muss als Geheimnisversion mit der folgenden JSON-Struktur gespeichert werden:

  {"Username": "user", "Password": "pass"}

Speichern der Kennwörter von Unattended-Robotern

Wenn Sie ein unbeaufsichtigtes Roboter-Passwort in einem Google Secret Manager (schreibgeschützten) Anmeldeinformationsspeicher speichern, müssen Sie das Geheimnis im Secret Manager erstellen mit:

• Der geheime Name muss mit dem externen Namen für diesen Roboter übereinstimmen.

• Wenn kein externer Name konfiguriert ist, wird stattdessen das Feld Benutzername verwendet, wobei ungültige Zeichen durch _ ersetzt werden.

• Der geheime Wert darf nur das Kennwort für den Roboter enthalten.