Verwalten von Anmeldeinformationsspeichern

Erstellen eines Anmeldeinformationsspeichers

1. Klicken Sie auf der Seite Anmeldeinformationsspeicher auf Hinzufügen. Das Dialogfeld Neuen Anmeldeinformationsspeicher hinzufügen wird angezeigt.
2. Wählen Sie im Dropdownmenü Typ aus, welcher sichere Speicher verwendet wird.
   Welche Optionen verfügbar sind, hängt davon ab, welche Plugins aktiviert wurden.
3. Die nächsten Schritte variieren, wenn Sie einen Orchestrator-Datenbank-, CyberArk- oder einen Azure Key Vault-Anmeldeinformationsspeicher erstellen.
4. Erstellen Sie einen Shop mit einer der folgenden Plattformen.

Orchestrator-Datenbank

1. Klicken Sie auf Erstellen, Orchestrator-Datenbankspeicher haben keine konfigurierbaren Eigenschaften.
   Hinweis: Sie können nur einen einzigen Orchestrator-Datenbankspeicher haben.

CyberArk

Hinweis: Wenn CyberArk-Speicher in mehreren Mandanten mit den gleichen App-IDs, Safes und Ordnernamen konfiguriert werden, ist der Zugriff auf gespeicherte Anmeldeinformationen über Mandanten hinweg möglich. Um die Sicherheit und Isolierung auf Mandantenebene aufrechtzuerhalten, stellen Sie sicher, dass unterschiedliche Konfigurationen für den CyberArk-Speicher jedes Mandanten verwendet werden.

1. Geben Sie im Feld Name einen Namen für den neuen Anmeldeinformationsspeicher ein.
2. Geben Sie im Feld App ID die Anwendungs-ID für Ihre Orchestrator-Instanz über die CyberArk® PVWA (Password Vault Web Access)-Oberfläche ein. Klicken Sie hier für Details.
3. Geben Sie im Feld CyberArk-Safe den Safe-Namen ein, wie in CyberArk® PVWA definiert. Klicken Sie hier für Details.
4. Geben Sie im Feld CyberArk Folder den Speicherort ein, an dem CyberArk® Ihre Anmeldeinformationen speichert.

5. Klicken Sie auf Erstellen (Create). Ihr neuer Berechtigungsnachweisspeicher ist einsatzbereit.

   
   

   

   
   

CyberArk CCP

Hinweis: Wenn CyberArk-Speicher in mehreren Mandanten mit den gleichen App-IDs, Safes und Ordnernamen konfiguriert werden, ist der Zugriff auf gespeicherte Anmeldeinformationen über Mandanten hinweg möglich. Um die Sicherheit und Isolierung auf Mandantenebene aufrechtzuerhalten, stellen Sie sicher, dass unterschiedliche Konfigurationen für den CyberArk-Speicher jedes Mandanten verwendet werden.

1. Geben Sie im Feld Name einen Namen für den neuen Anmeldeinformationsspeicher ein.
2. Geben Sie im Feld App ID die Anwendungs-ID für Ihre Orchestrator-Instanz über die CyberArk® PVWA (Password Vault Web Access)-Oberfläche ein. Klicken Sie hier für Details.
3. Geben Sie im Feld CyberArk-Safe den Safe-Namen ein, wie in CyberArk® PVWA definiert. Klicken Sie hier für Details.
4. Geben Sie im Feld CyberArk Folder den Speicherort ein, an dem CyberArk® Ihre Anmeldeinformationen speichert.
5. Geben Sie im Feld URL Central Credential Provider-URL die Adresse des Central Credential Anbieter ein.
6. Geben Sie im Feld Webdienstname den Namen des Central Credential Provider-Webdienstes ein. Wenn Sie dieses Feld leer lassen, wird der Standardname verwendet: AIMWebService.
7. Das Clientzertifikat muss konfiguriert werden, wenn die CyberArk-Anwendung die Authentifizierungsmethodefür das Clientzertifikat verwendet. Die erwartete Eingabe ist eine .pfx -Datei, in der der private und der öffentliche Schlüssel des Zertifikats gespeichert sind. Das Clientzertifikat muss auf der Maschine installiert werden, auf der CyberArk CCP AIMWebservice bereitgestellt wird.
   Hinweis:

   Das Clientzertifikat wird von den CyberArk-Anmeldeinformationen verwendet, um die im Anmeldeinformationsspeicher des Orchestrators definierte Anwendung zu authentifizieren. Weitere Informationen zu Authentifizierungsmethoden für Anwendungen finden Sie in der offiziellen CyberArk-Dokumentation.

   Das Clientzertifikat ist eine Datei im PKCS12-Binärformat, in der der/die öffentliche(n) Schlüssel der Zertifikatkette und der private Schlüssel gespeichert sind.

   Wenn das Clientzertifikat in Base 64 kodiert ist, führen Sie den folgenden certutil-Befehl aus, um es im Binärformat zu dekodieren:

   certutil -decode client_certificate_encoded.pfx client_certificate.pfx

• Geben Sie im Feld Clientzertifikatkennwort das Kennwort des Clientzertifikats ein.
• Das Serverstammzertifikat muss konfiguriert werden, wenn ein selbstsigniertes Stammzertifikat der Zertifizierungsstelle vom CyberArk CCP AIMWebService für eingehende HTTP-Anforderungen verwendet wird. Es wird bei der Validierung der HTTPS TLS Handshake-Zertifikatkette verwendet. Die erwartete Eingabe ist eine .crt-Datei, in der der öffentliche Schlüssel des Stammzertifikats der Zertifizierungsstelle gespeichert ist.

• Klicken Sie auf Erstellen (Create). Ihr neuer Berechtigungsnachweisspeicher ist einsatzbereit.

  
  

  

  
  

Azure Key Vault

Key Vault-Anmeldeinformationen verwenden die RBAC-Authentifizierung. Führen Sie nach dem Erstellen eines Dienstprinzipals die folgenden Schritte aus:

1. Geben Sie im Feld Name einen Namen für den neuen Anmeldeinformationsspeicher ein.

2. Geben Sie im Feld Key Vault-URI die Adresse Ihres Azure Key-Vault ein. Sie lautet https://<vault_name>.vault.azure.net/.

3. Geben Sie im Feld Verzeichnis-ID die Verzeichnis-ID ein, die im Azure-Portal zu finden ist.

4. Geben Sie im Feld Client-ID die Anwendungs-ID vom Abschnitt „Azure AD App-Registrierungen“ ein, in dem die Orchestrator-App registriert wurde.

5. Geben Sie im Feld Geheimer Clientschlüssel den geheimen Schlüssel ein, der zum Authentifizieren des im vorherigen Schritt eingegebenen Clientkontos erforderlich ist.

6. Klicken Sie auf Erstellen. Ihr neuer Berechtigungsnachweisspeicher ist einsatzbereit.

Bearbeiten eines Anmeldeinformationsspeichers

Gehen Sie zu Anmeldeinformationsspeicher (Mandant > Anmeldeinformationsspeicher) und wählen Sie im Menü Weitere Aktionen des gewünschten Speichers die Option Bearbeiten aus. Das Dialogfeld Anmeldeinformationsspeicher bearbeiten wird angezeigt.

Hinweis: Der Orchestrator-Datenbank-Speicher verfügt über keine bearbeitbaren Eigenschaften.

Einrichten eines standardmäßigen Anmeldeinformationsspeichers

Wenn Sie 2 oder mehr Anmeldeinformationsspeicher verwenden, können Sie auswählen, welcher Standardspeicher für Roboter und Assets verwendet wird. Der gleiche Speicher kann als Standard für beide verwendet werden, oder Sie können für jeden einen anderen Standardspeicher auswählen.

Um einen Standardspeicher auszuwählen, wählen Sie im Menü Weitere Aktionen die Option Als Speicher für Standardeinstellungen des Roboters festlegen und/oder Als Speicher für Standardeinstellungen von Assets festlegen.

Hinweis: Durch das Ändern des Standardspeichers wird keine bestehende Roboter- oder Asset-Konfiguration geändert. Es wird lediglich festgelegt, was bei der Erstellung neuer Roboter oder Assets im Dropdownmenü Anmeldeinformationsspeicher vorab ausgewählt wird. Roboter und Assets erhalten ihre Kennwörter immer aus dem Speicher, der bei der Erstellung verwendet wurde. Um den Anmeldeinformationsspeicher für einen bestimmten Roboter oder ein bestimmtes Asset zu ändern, müssen Sie ihn auf Roboter- oder Asset-Ebene ändern.

Löschen eines Anmeldeinformationsspeichers

Um einen Anmeldeinformationsspeicher zu löschen, wählen Sie aus dem Menü Weitere Aktionen des gewünschten Speichers die Option Entfernen aus.

Wenn der ausgewählte Speicher verwendet wird, wird eine Warnung mit der Anzahl der betroffenen Roboter und Assets angezeigt. Klicken Sie auf Löschen, um das Entfernen zu bestätigen, oder auf Abbrechen. Beachten Sie, dass mindestens ein Anmeldeinformationsspeicher jederzeit aktiv sein muss. Wenn nur einer vorhanden ist, wird die Option zum Löschen nicht angezeigt.

Hinweis: Ein Anmeldeinformationsspeicher, der als Standard festgelegt wurde, kann nicht gelöscht werden. Sie müssen zunächst einen anderen Standardspeicher für den Anmeldeinformationstyp auswählen.