Identity Server-Skripte

Veröffentlichen auf Identity Server

In der folgenden Tabelle sind alle Parameter beschrieben, die mit dem Skript Publish-IdentityServer.ps1 verwendet werden können.

Parameter	Beschreibung
-action	Obligatorisch. Gibt den Typ des Szenarios an, das Sie starten möchten. Die folgenden Optionen sind verfügbar: Deploy – gibt an, dass es sich um eine Neuinstallation handelt. Update – Gibt an, dass Sie Ihre Identity Server-Instanz aktualisieren.
-azureAccountApplicationId	Obligatorisch. Die ID des Azure-Dienstprinzipals. Bitte beachten Sie, dass dem verwendeten Dienstprinzipal die Rolle Mitwirkender für den App-Dienst im Abonnementbereich zugewiesen werden muss.
-azureAccountPassword	Obligatorisch. Das Azure-Tokenkennwort für die Dienstprinzipal-ID.
-azureSubscriptionId	Obligatorisch. Die Azure-Abonnement-ID für den App Service, der Orchestrator hostet.
-azureAccountTenantId	Obligatorisch. Die Azure-Mandanten-ID.
-orchestratorUrl	Obligatorisch. Die URL der Orchestrator-Instanz.
-identityServerUrl	Obligatorisch. Die URL des Identity Servers. Wichtig: Die URL muss die Identity Server-Adresse und das Suffix /identity in Kleinbuchstaben enthalten. Beispiel: https://[identity_server]/identity
-orchDetails	Dieser Parameter ist eine Hashtabelle, die die folgenden Werte enthält: resourceGroupName – Obligatorisch. Der Name der Azure-Ressourcengruppe, die den App-Dienst des Orchestrators enthält. appServiceName – Obligatorisch. Der Name des Azure App-Diensts des Orchestrators. targetSlot – Obligatorisch. Der von Azure festgelegte Ziel-App-Dienst-Slot.
-identityServerDetails	Dieser Parameter ist eine Hashtabelle, die die folgenden Werte enthält: resourceGroupName – Obligatorisch. Der Name der Azure-Ressourcengruppe, die den Identity Server App-Dienst enthält. appServiceName – Obligatorisch. Der Name des Azure App-Diensts des Identity Servers. targetSlot – Obligatorisch. Der von Azure festgelegte Ziel-App-Dienst-Slot.
-package	Obligatorisch. Geben Sie den vollständigen Pfad oder relativen Pfad des Archivs UiPath.IdentityServer.Web.zip an.
-cliPackage	Obligatorisch. Geben Sie den vollständigen Pfad oder relativen Pfad des Archivs UiPath.IdentityServer.Migrator.Cli.zip an.
-productionSlotName	Optional. Kann nur verwendet werden, wenn sich der Bereitstellungs-Slot des App Service für Identity Server von dem durch Azure festgelegten Standard-Produktionsslot von App-Service unterscheidet.
-stopApplicationBeforePublish	Optional. Wenn vorhanden, wird die Anwendung vor der Bereitstellung angehalten und nach Abschluss der Bereitstellung gestartet.
-unattended	Optional. Wenn vorhanden, wird die Bereitstellung ohne Benutzerbestätigung fortgesetzt.
-tmpDirectory	Optional: Ermöglicht das Festlegen eines Verzeichnisses, in dem benötigte Dateien heruntergeladen und entpackt werden.
-noAzureAuthentication	Optional. Ermöglicht Ihnen die Veröffentlichung im Azure App-Dienst, indem Sie sich auf Ihre eigene Benutzeridentität verlassen, ohne einen Dienstprinzipal erstellen zu müssen. Wenn dieser Parameter verwendet wird, ist der Parametersatz UseServicePrincipal (der Elemente wie die Azure Anwendungs-ID, das Kennwort, die Abonnement-ID und die Mandanten-ID enthält) nicht mehr erforderlich.
-azureUSGovernmentLogin	Optional. Dieser Parameter wird nur für Bereitstellungen der US-Regierung verwendet.

Das Skript Publish-IdentityServer.ps1 wird für die anfängliche Bereitstellung oder Aktualisierung von Identity Server verwendet. Das Skript geht davon aus, dass die Web-App bereits die Datenbankverbindungszeichenfolge DefaultConnection konfiguriert hat.

.\Publish-IdentityServer.ps1 `
    -action Deploy `
    -orchestratorUrl "<orchestrator_address>" `
    -identityServerUrl "https://<identity_server_url>/identity" ` // must be in lowercase
    -orchDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>";  targetSlot = "Production" } `
    -identityServerDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>"; targetSlot = "Production" } `
    -azureSubscriptionId "<subscription_id>" `
    -azureAccountTenantId "<azure_tenant_id>" `
    -azureAccountApplicationId "<azure_application_id>" `
    -azureAccountPassword "<azure_account_password>" `
    -package "UiPath.IdentityServer.Web.zip" `
    -cliPackage "UiPath.IdentityServer.Migrator.Cli.zip" `
    -stopApplicationBeforePublish `
    -unattended

Wichtig: Stellen Sie nach dem Ausführen des obigen Skripts sicher, dass Sie die unten aufgeführten zusätzlichen Schritte ausführen, um eine erfolgreiche Erstbereitstellung zu ermöglichen.

Führen Sie nach der Veröffentlichung von Identity Server die folgenden Schritte aus:

1. Wechseln Sie zum Azure-Portal.
2. Wählen Sie Ihren Identity Server-App-Service aus.
3. Wechseln Sie im Menü Zertifikate zu Eigene Zertifikate einbringen.
4. Laden Sie die .pfx-Zertifikatdatei eines privaten Schlüssels mit einem gültigen Kennwort hoch.
   Hinweis: Dieses Zertifikat wird zum Signieren der Zugriffstoken und der ID-Token verwendet.

5. Fügen Sie unter dem Konfigurationsmenü die folgenden Anwendungseinstellungen genau wie in der Spalte Anwendungseinstellungen geschrieben hinzu:

   Anwendungseinstellung	Wert	Beschreibung
   AppSettings__IdentityServerAddress	https://[identity_server]/identity	Die öffentliche URL von Identity Server. Wichtig: Die URL muss die Adresse von Identity Server sowie das Suffix /identity in Kleinbuchstaben enthalten.
   AppSettings__SigningCredentialSettings__StoreLocation__Location	CurrentUser	Dies muss auf CurrentUser verweisen.
   AppSettings__SigningCredentialSettings__StoreLocation__Name	XXXXXXXXXXXXXXXXXXXXXXXXXXXXX	Der Fingerabdruckwert Ihres Zertifikats, das Sie zuvor hochgeladen haben.
   AppSettings__SigningCredentialSettings__StoreLocation__NameType	Thumbprint	Geben Sie Thumbprint als Typ des vorherigen Felds ein.
   AppSettings__LoadBalancerSettings__RedisConnectionString	XXXXXXXXXXXX:XXXX,password=XXXXXX	Ein Verbindungszeichenfolge, um Ihren Redis-Server einzurichten, und die die URL des Servers, das Kennwort und den mit Redis verwendeten Port enthält. Überdies besteht die Möglichkeit, mit SSL verschlüsselte Verbindungen zwischen den Orchestrator-Knoten und dem Redis-Dienst zu aktivieren.
   AppSettings__LoadBalancerSettings__SlidingExpirationTimeInSeconds	Anzahl der Sekunden	Die gleitende Ablaufzeit eines Elements im Cache. Diese Ablaufzeit gilt sowohl für Redis Cache als auch für InMemory Cache.
   AppSettings__RedisSettings__UseRedisStoreCache	true/false	Legen Sie den Wert auf true fest, um das Redis-Caching von OAuth-Clientdaten zu aktivieren. Dies verhindert Leistungsprobleme bei der Verwendung der interaktiven Anmeldung, um eine große Anzahl von Robotern in kurzer Zeit zu verbinden. Dieser Cache verwendet dieselbe Redis-Verbindungszeichenfolge, die in AppSettings__LoadBalancerSettings angegeben ist. Hinweis: Dies wird nicht empfohlen, wenn Sie die Funktion Externe Anwendungen verwenden, da diese Einstellung Clients zwischenspeichert und Aktualisierungen für externe Anwendungen nicht widergespiegelt werden.
   AppSettings__RedisSettings__UseRedisStoreClientCache	true/false	Legen Sie den Wert auf „true“ fest, um das Redis-Caching für Erstanbieter-Clients (UiPath-Anwendungen) oder Drittanbieter-Clients (externe Anwendungen) zu aktivieren. Wenn Sie eine umfangreiche Bereitstellung haben, wird empfohlen, dieses Flag zu aktivieren.
   App__Saml2ValidCertificateOnly	true/false	Für Orchestrator-Bereitstellungen über eine Azure Web-App muss dieser Parameter auf false festgelegt werden. Dies liegt daran, dass SAML2 erfordert, dass Zertifikate zu seinem Truststore hinzugefügt werden, aber Azure Web-Apps lassen diese Aktion nicht zu. Das Festlegen des Werts auf false bedeutet, dass die Zertifikatsprüfung umgangen wird.
   WEBSITE_LOAD_CERTIFICATES	XXXXXXXXXXXXXXXXXXXXXXXXXXXXX	Der Fingerabdruckwert Ihres Zertifikats, das Sie zuvor hochgeladen haben.
   WEBSITE_LOAD_USER_PROFILE	1	Das Benutzerprofil.

6. Speichern Sie die Änderungen.

Weitere Informationen finden Sie in der Microsoft Azure-Dokumentation.

Ersetzen des Zertifikats mit privatem Schlüssel

Wenn Sie ein Zertifikat mit privatem Schlüssel durch ein neues ersetzen, stellen Sie sicher, dass Sie die folgenden Schritte ausführen:

1. Ersetzen Sie die Werte der Parameter AppSettings__SigningCredentialSettings__StoreLocation__Name und WEBSITE_LOAD_CERTIFICATES durch den Fingerabdruck des neuen Zertifikats.
2. Starten Sie den Identitäts-App-Dienst neu.
3. Starten Sie den Orchestrator-App-Dienst neu.

Migrieren zu Identity Server

In der folgenden Tabelle sind alle Parameter beschrieben, die mit MigrateTo-IdentityServer.ps1 verwendet werden können.

Parameter	Beschreibung
-cliPackage	Obligatorisch. Geben Sie den vollständigen Pfad oder relativen Pfad des Archivs UiPath.IdentityServer.Migrator.Cli.zip an.
-azureDetails	Dieser Parameter ist eine Hashtabelle, die die folgenden Werte enthält: azureAccountApplicationId – Obligatorisch. Die ID des Azure-Dienstprinzipals. Bitte beachten Sie, dass dem verwendeten Dienstprinzipal die Rolle „Mitwirkender“ für den App-Dienst im Abonnementbereich zugewiesen werden muss. azureSubscriptionId – Obligatorisch. Die Azure-Abonnement-ID für den App-Dienst, der den Orchestrator hostet. azureAccountTenantId – Obligatorisch. Die Azure-Mandanten-ID. azureAccountPassword – Obligatorisch. Das Azure-Tokenkennwort für die Dienstprinzipal-ID.
-orchDetails	Dieser Parameter ist eine Hashtabelle, die die folgenden Werte enthält: resourceGroupName – Obligatorisch. Der Name der Azure-Ressourcengruppe, die den App-Dienst des Orchestrators enthält. appServiceName – Obligatorisch. Der Name des Azure App-Diensts des Orchestrators. targetSlot – Obligatorisch. Der von Azure festgelegte Ziel-App-Dienst-Slot.
-identityServerDetails	Dieser Parameter ist eine Hashtabelle, die die folgenden Werte enthält: resourceGroupName – Obligatorisch. Der Name der Azure-Ressourcengruppe, die den Identity Server App-Dienst enthält. appServiceName – Obligatorisch. Der Name des Azure App-Diensts des Identity Servers. targetSlot – Obligatorisch. Der von Azure festgelegte Ziel-App-Dienst-Slot.
-identityServerUrl	Obligatorisch. Die öffentliche Adresse von Identity Server. Wichtig: Die URL muss die Adresse von Identity Server sowie das Suffix /identity in Kleinbuchstaben enthalten. Beispiel: https://[identity_server]/identity
-orchestratorUrl	Obligatorisch. Die öffentliche Adresse von Orchestrator.
-tmpDirectory	Optional: Ermöglicht das Festlegen eines Verzeichnisses, in dem benötigte Dateien heruntergeladen und entpackt werden.
-hostAdminPassword	Obligatorisch nur für neue Bereitstellungen, wenn -action auf Deploy festgelegt ist. Legen Sie ein benutzerdefiniertes Kennwort für den Hostadministrator fest. Bitte beachten Sie, dass Kennwörter mindestens 8 Zeichen lang sein müssen und mindestens ein Kleinbuchstaben und mindestens eine Ziffer haben müssen.
-isHostPassOneTime	Optional. Ermöglicht Ihnen, das Zurücksetzen eines Passworts nach dem ersten Anmelden des Host-Administrators zu erzwingen. Wenn Sie diesen Parameter weglassen, ist das Host-Administrator-Passwort nicht einmalig.
-defaultTenantAdminPassword	Obligatorisch nur für neue Bereitstellungen, wenn -action auf Deploy festgelegt ist. Geben Sie ein benutzerdefiniertes Kennwort für den Standard-Tenant Administrator an. Bitte beachten Sie, dass Kennwörter mindestens 8 Zeichen lang sein müssen und mindestens ein Kleinbuchstaben und mindestens eine Ziffer haben müssen.
-isDefaultTenantPassOneTime	Optional. Ermöglicht Ihnen, das Zurücksetzen eines Passworts nach dem ersten Anmelden des Host-Administrators zu erzwingen. Wenn Sie diesen Parameter weglassen, ist das Tenant-Administrator-Passwort nicht einmalig.
-noAzureAuthentication	Optional. Ermöglicht Ihnen die Veröffentlichung im Azure App-Dienst, indem Sie sich auf Ihre eigene Benutzeridentität verlassen, ohne einen Dienstprinzipal erstellen zu müssen. Wenn dieser Parameter verwendet wird, ist der Parametersatz UseServicePrincipal (der Elemente wie die Azure Anwendungs-ID, das Kennwort, die Abonnement-ID und die Mandanten-ID enthält) nicht mehr erforderlich.

Das Skript MigrateTo-IdentityServer.ps1 wird verwendet, um Benutzerdaten vom Orchestrator zum Identity Server zu migrieren und die Konfigurationen für beide festzulegen. Es überträgt die Identifikationsautorität des Orchestrators auf den Identity Server und erstellt die Clientkonfiguration für den Orchestrator im Identity Server.

Das Skript geht davon aus, dass Orchestrator und Identity Server bereits veröffentlicht wurden.

.\MigrateTo-IdentityServer.ps1 `
    -cliPackage "UiPath.IdentityServer.Migrator.Cli.zip" `
    -azureDetails @{azureSubscriptionId = "<subscription_id>"; azureAccountTenantId = "<azure_tenant_id>"; azureAccountApplicationId = "<azure_application_id>"; azureAccountPassword = "<azure_account_password>" } `
    -orchDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>";  targetSlot = "Production" } `
    -identityServerDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>"; targetSlot = "Production" } `
    -identityServerUrl "https://<identity_server_url>/identity" ` // must be in lowercase
    -orchestratorUrl "https://<OrchestratorURL>" `
    -hostAdminPassword "12345qwert" `
    -defaultTenantAdminPassword "12345qwert"