Verwalten des UiPath-Signaturzertifikats für SAML-Authentifizierungsanforderungen

Rotieren und verwalten Sie das UiPath-Signaturzertifikat, das zum Signieren von SAML-Authentifizierungsanforderungen in Test Cloud verwendet wird, um die Kontinuität mit Ihrem Identitätsanbieter zu gewährleisten.

Im SAML-Protokoll kann der Dienstanbieter (SP) Authentifizierungsanforderungen signieren, um ihre Herkunft zu bestätigen und sicherzustellen, dass sie während der Übertragung nicht geändert werden. Der SP verwendet einen privaten Schlüssel (Signaturzertifikat) zum Signieren der Anforderung. Der Identitätsanbieter (IdP) verwendet den übereinstimmenden öffentlichen Schlüssel (Signaturzertifikat), um die Signatur zu validieren.

UiPath-Signaturzertifikat

Standardmäßig signiert UiPath SAML-Authentifizierungsanforderungen mit einem eigenen Zertifikat. UiPath ändert dieses Zertifikat häufig. Wenn Ihr IdP das aktualisierte Zertifikat nicht automatisch von der SAML-Metadaten-URL von UiPath abrufen kann, müssen Sie das neue Zertifikat bei jeder Änderung manuell in Ihrem IdP hochladen. Dieser manuelle Prozess erhöht das Risiko von Fehlern und Dienstunterbrechungen.

Um diesen Aufwand zu reduzieren, können Sie die SAML-Zertifikat-API-Endpunkte von UiPath verwenden, um Ihr eigenes Signaturzertifikat hochzuladen. Dadurch können Sie das Signaturzertifikat über die Automatisierung verwalten. Nach dem Hochladen eines neuen Zertifikats müssen Sie auch den entsprechenden öffentlichen Schlüssel in Ihrem IdP aktualisieren, um eine gültige Verbindung aufrechtzuerhalten und den Sicherheitsrichtlinien Ihrer Organisation zu folgen.

Wenn Sie ein Kundenzertifikat hochladen, ersetzt UiPath das Standardzertifikat im SAML-Metadatendokument. UiPath verwendet Ihr Zertifikat dann für alle Signieraktionen. Nachdem Sie das Zertifikat hochgeladen haben, aktualisieren Sie den übereinstimmenden öffentlichen Schlüssel in Ihrem IdP, um den IT-Sicherheits- und Compliance-Richtlinien Ihrer Organisation zu entsprechen

Überlegungen

Bevor Sie Ihr eigenes Signaturzertifikat für die SAML-Integration hochladen, berücksichtigen Sie die folgenden Aspekte:

• Sie sind dafür verantwortlich, sicherzustellen, dass Sie Ihre hochgeladenen selbstsignierten Zertifikate erneuern, bevor sie ablaufen.
• Beim Hochladen eines neuen Zertifikats in UiPath wird das vorhandene Zertifikat im UiPath SAML-Metadatendokument sowie das in Ihrem IdP hochgeladene Zertifikat überschrieben.

Voraussetzungen

Bevor Sie Ihr eigenes Signaturzertifikat für die SAML-Integration hochladen, stellen Sie sicher, dass Sie die folgenden Anforderungen erfüllen:

• Sie müssen eine SAML-Integration für Ihre Organisation konfigurieren.

• Sie benötigen Zugriff auf die partitionGlobalId Ihrer Organisation.

  partitionGlobalId ist die Organisations-ID.

• Sie müssen ein Zertifikat erstellen, das einen privaten Schlüssel im PEM-Format enthält.

• Die PEM-Datei muss sowohl das Zertifikat als auch den privaten Schlüssel enthalten.

• Sie müssen das öffentliche Zertifikat auf Ihren IdP hochladen (z. B. PingOne), nachdem Sie es in Ihre UiPath-Organisation hochgeladen haben.

• Um ein sekundäres Zertifikat hochzuladen, müssen Sie zuerst ein primäres Zertifikat hochladen.

Schritte

Führen Sie die folgenden Schritte aus, um ein benutzerdefiniertes Signaturzertifikat zu generieren und es auf den UiPath Identity Server für Ihre vorhandenen SAML-Integrationen hochzuladen:

1. Generieren Sie ein selbstsigniertes Zertifikat. Verwenden Sie beispielsweise die folgenden OpenSSL-Powershell-Befehle, um ein selbstsigniertes Zertifikat zu generieren, das für ein Jahr gültig ist:

   openssl req -x509 -newkey rsa:2048 -nodes -keyout key.pem -out cert.pem -days 365 -subj "/CN=example.com"
   Get-Content key.pem, cert.pem | Set-Content full-cert.pem
   

   Diese Befehle erstellen die folgenden Objekte:

   • key.pem – Privater Schlüssel
   • cert.pem – Zertifikat
   • full-cert.pm – Kombiniertes PEM mit privatem Schlüssel und Zertifikat

2. Laden Sie Ihr Primärzertifikat über die PUTAPI unter einer der folgenden URLs hoch:

   • https://cloud.uipath.com/{organizationName}/identity_/SamlCertificate/primary
   • https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/primary
   • https://<customURL>.dedicated.uipath.com/{organizationName}/identity_/SamlCertificate/primary
   Hinweis:

   Das Zertifikat wird zum primären Signaturzertifikat für Ihre Organisation.

   Beispiel für eine Antwort:

   {
     "partitionGlobalId": "GUID",
     "primaryCertificateId": int,
     "primaryCertificateThumbprint": "string",
     "secondaryCertificateId": null,
     "secondaryCertificateThumbprint": null
   }
   

3. (Optional) Laden Sie ein sekundäres Zertifikat mithilfe der PUT -API auf eine der folgenden URLs hoch:

   • https://cloud.uipath.com/{organizationName}/identity_/SamlCertificate/secondary
   • https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/secondary
   • https://<customURL>.dedicated.uipath.com/{organizationName}/identity_/SamlCertificate/secondary

   Um Unterbrechungen während der Zertifikatsrotation zu minimieren, ermöglicht das SAML-Protokoll es dem IdP, die Signatur anhand jedes Zertifikats zu validieren, das in den Metadaten des Dienstanbieters veröffentlicht wird. Dadurch können Sie:

   • Erstellen Sie ein neues Signaturzertifikat.
   • Laden Sie es als Verifizierungszertifikat bei Ihrem IdP hoch.
   • Schalten Sie das sekundäre Zertifikat auf das primäre um.
   • Löschen Sie das alte primäre Zertifikat.

   Beispiel für eine Antwort:

   {
     "partitionGlobalId": "GUID",
     "primaryCertificateId": int,
     "primaryCertificateThumbprint": "string",
     "secondaryCertificateId": int,
     "secondaryCertificateThumbprint": "string"
   }
   

4. (Optional) Wechseln Sie das sekundäre Zertifikat über die POST API unter einer der folgenden URLs zu primär:

   • https://cloud.uipath.com/{organizationName}/identity_/SamlCertificate/switch
   • https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/switch
   • https://<customURL>.dedicated.uipath.com/{organizationName}/identity_/SamlCertificate/switch

   Das Wechseln von Zertifikaten gewährleistet einen nahtlosen Ersatz oder eine Verlängerung des Zertifikats.

   Beispiel für eine Antwort:

   {
     "partitionGlobalId": "<Id>",
     "primaryCertificateId": 74268,
     "primaryCertificateThumbprint": "<Id>",
     "secondaryCertificateId": <Id>,
     "secondaryCertificateThumbprint": "<Id>"
   }
   

5. (Optional) Überprüfen Sie mithilfe der GET API unter einer der folgenden URLs, welche Zertifikate für Ihre Organisation konfiguriert sind:

   • https://cloud.uipath.com/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/certificates
   • https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/certificates
   • https://<customURL>.dedicated.uipath.com/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/certificates

   Dadurch werden die aktuellen IDs und Fingerabdrücke des primären und sekundären Zertifikats zurückgegeben. Mit diesem Schritt überprüfen Sie Ihre Zertifikateinrichtung, um sicherzustellen, dass das richtige Zertifikat aktiv ist.

6. (Optional) Löschen Sie ein Zertifikat über die DELETE API auf einer der folgenden URLs:

   • https://cloud.uipath.com/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/{certificateId}
   • https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/{certificateId}
   • https://<customURL>.dedicated.uipath.com/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/{certificateId}

   Das Löschen alter oder nicht verwendeter Zertifikate reduziert potenzielle Sicherheitsrisiken.

   Hinweis:

   Sie können das primäre Zertifikat nicht löschen, wenn noch ein sekundäres Zertifikat vorhanden ist.