Habilitar claves administradas por el cliente

Puedes utilizar tu propia clave de cifrado para proteger los datos almacenados en los recursos de Azure gestionados por UiPath en entornos dedicados. Esto te da un control total sobre la rotación de claves, los permisos de acceso y los requisitos de cumplimiento.

UiPath admite configuraciones de clave administrada por el cliente (CMK) entre tenants. Tu clave reside en tu propio Azure Key Vault, mientras que los recursos cifrados permanecen en el tenant de UiPath.

Advertencia: Habilitar las claves administradas por el cliente afecta a la forma en que UiPath accede a tus datos cifrados. Si la clave o su configuración de acceso deja de estar disponible, es posible que pierdas el acceso a tus datos.

Recursos compatibles

Puedes utilizar claves administradas por el cliente para cifrar los siguientes recursos administrados por UiPath:

• Cuentas de Azure Storage
• Servidores SQL de Azure
• Discos de Azure
• Snowflake

Nota: Azure Databricks y Azure Event Hubs no admiten claves administradas por el cliente (CMK) entre tenants. Estos servicios requieren que Key Vault resida en el mismo tenant de Microsoft Entra que los recursos de Azure asociados y, por lo tanto, no se pueden cifrar utilizando CMK entre tenants.

Insights utiliza estos servicios internamente para admitir el procesamiento de telemetría y análisis:

• Azure Event Hubs: amortigua la transmisión de telemetría, como registros de robots y eventos de ejecución, datos de ejecución de trabajos, eventos de elementos de cola, supervisión en tiempo real. Los datos en Event Hubs son transitorios y no se almacenan a largo plazo.

• Azure Databricks: procesa y almacena datos analíticos, incluidos datos de supervisión en tiempo real, agregaciones históricas y métricas de ejecución de robots procesadas.

  Estos servicios utilizan claves administradas por Microsoft para el cifrado en reposo y no se pueden configurar con claves administradas por el cliente.

Arquitectura

Cuando habilitas las claves administradas por el cliente en un entorno Dedicado, UiPath utiliza un modelo de cifrado entre tenants con identidad federada. Esto permite que las claves de cifrado permanezcan totalmente controladas por ti, aunque los datos se almacenen en servicios de Azure administrados por UiPath.

La arquitectura se basa en el patrón de Azure para el cifrado seguro de datos en reposo utilizando CMK e identidad federada.

Los componentes clave de la arquitectura de la capacidad son:

1. Tenant de UiPath: aloja los recursos de Azure que requieren cifrado.

2. Tu tenant: aloja Azure Key Vault y la clave administrada por el cliente.

3. Aplicación multitenant: registrada por UiPath e instalada en tu tenant para habilitar el acceso seguro entre tenants.

4. Identidad administrada: asignada a la aplicación UiPath, utilizada para autenticarse en tu Key Vault.

5. Credenciales federadas: permite que la aplicación UiPath utilice la identidad administrada sin almacenar secretos.

6. Azure Key Vault: almacena tu clave administrada por el cliente.

El flujo de cifrado es el siguiente:

1. Generas un ticket de soporte para recibir el ID de registro y el nombre de la aplicación.

2. UiPath registra una aplicación multitenant y adjunta una identidad administrada asignada por el usuario.

3. La aplicación se instala en tu tenant de Azure.

4. Creas la clave en tu Key Vault y compartes el URI de la clave (con la versión) con UiPath.

5. Asignas los siguientes permisos a la aplicación a través de Azure RBAC: get, wrapKey, unwrapKey.

6. UiPath configura los recursos de Azure relevantes para utilizar la clave para el cifrado y descifrado.

UiPath nunca almacena tu clave. Todas las operaciones se realizan de forma segura utilizando las API de Azure y tus propios controles de acceso.

Requisitos previos

Antes de habilitar las claves administradas por el cliente, asegúrate de cumplir los siguientes requisitos:

• Requisitos de Azure Key Vault :
  • La eliminación suave y la protección de purga están habilitadas.
  • Los bloqueos de recursos se configuran en el Almacén de claves y las claves.
  • La clave debe ser del tipo RSA de 2048 bits.

    Estas configuraciones evitan la eliminación accidental y garantizan la capacidad de recuperación.

• Permisos y configuración:

  • Genera un ticket de soporte para solicitar a UiPath un ID y un nombre de registro de la aplicación multitenant.

  • Debes crear la clave en tu tenant y autorizar el acceso a ella para la aplicación de UiPath.

  • La rotación de claves es compatible si tu clave tiene el control de versiones habilitado.

Pasos

1. Crea o selecciona un almacén de claves de Azure en tu tenant de Azure.
2. Configura el almacén de claves y la clave de cifrado de acuerdo con los siguientes requisitos:

   • Habilitar la eliminación suave y la protección de purga.

     Garantiza que las claves o almacenes eliminados puedan restaurarse hasta en 90 días.

   • Aplicar un bloqueo de recursos tanto en Key Vault como en la clave

     Evita eliminaciones o cambios accidentales.

   • Selecciona RSA de 2048 bits como tipo de clave.

   • Asegúrate de que Key Vault está en la misma región que tus recursos de disco de Azure (necesario para el cifrado de disco de Azure).

   • En Redes, selecciona Permitir que los servicios de Microsoft de confianza omitan este firewall.

   Para conocer los pasos detallados, consulta Configurar claves administradas por el cliente entre tenants para una nueva cuenta de almacenamiento: Azure Storage.

   .
3. Instala la aplicación multitenant de UiPath en tu tenant de Azure utilizando la información proporcionada por el equipo de soporte.
4. Asigna el rol de Azure RBAC Key Vault Crypto Service Encryption User a la aplicación UiPath para que pueda acceder a Key Vault.
   Como alternativa, concede a la aplicación UiPath una política de acceso a Key Vault con los siguientes permisos: get, wrapKey y unwrapKey.
5. Comparte el URI de la clave con UiPath a través del ticket de soporte creado anteriormente.
   Nota: puedes utilizar una única clave para todos los recursos compatibles o claves independientes para cada recurso, como SQL, almacenamiento, disco, Snowflake. Si eliges utilizar claves diferentes, proporciona a UiPath los URI de clave correspondientes a través de tu ticket de soporte.
6. Utilizando los URI de clave que proporcionaste, UiPath configura el cifrado en tus recursos basados en Azure y aplica claves administradas por el cliente (CMK) a los componentes compatibles, incluidos los recursos de almacenamiento, SQL, disco y Snowflake.

   Si quieres aplicar CMK a los recursos de Snowflake, debes seguir estos pasos adicionales:

   1. Realiza los pasos 1 a 2.5 de esta guía de la comunidad de Snowflake.
   2. Proporciona el resultado del paso 2.5 a UiPath a través de tu ticket de soporte.
   3. UiPath completa el registro automático Tri-Secret Secure con Azure Key Vault mencionado en el paso 2.5 y el paso 3.1.
   4. UiPath comparte el enlace de consentimiento de Azure y el nombre principal de Snowflake.
   5. Continúa con el procedimiento de Snowflake descrito aquí, empezando por el paso 3.
   6. En el paso 4, si necesitas controles de acceso público para Key Vault (a través de IP específicas o redes virtuales), ponte en contacto con UiPath para obtener los detalles de la subred.
   7. UiPath completa el paso 4.5.
7. Notificar cuando el cifrado con CMK está activo.

Prevención de pérdida de datos

Para evitar la pérdida accidental de datos, UiPath recomienda:

• Rotación de claves:
  • Los servicios de Azure comprueban si hay una nueva versión de clave una vez al día.

    Cambiar la versión de la clave no causa tiempo de inactividad. Para obtener más información, consulta Claves administradas por el cliente para el cifrado de cuentas: Azure Storage.

  • Después de rotar, espere 24 horas antes de deshabilitar la versión anterior.
  • Las copias de seguridad más antiguas no se vuelven a cifrar, así que mantén las versiones de clave antiguas disponibles para las restauraciones.
• Revocación temporal:
  • Puedes deshabilitar una clave sin eliminarla.
  • Esto bloquea el acceso a los recursos cifrados, pero no afecta al estado de cifrado.
  • El acceso se restaura cuando se vuelve a habilitar la clave.
  • Mientras está deshabilitado, las operaciones devolverán errores 403 prohibidos.

Consulta la siguiente tabla para ver los escenarios en los que podrías perder tus datos y las formas en que puedes prevenir o mitigar el problema:

Tabla 1. Posibles escenarios de pérdida de datos

Incidencia	Repercusión	Prevención	Mitigación
Bloqueo de recursos AKV eliminado	Es posible que se eliminen AKV/key. Si se elimina, los recursos se vuelven inaccesibles en aproximadamente 10 minutos.	La protección de eliminación suave y purga garantiza que el AKV/clave pueda restaurarse en un plazo de 90 días.	Restaure el AKV o la clave en un plazo de 90 días.
AKV/Clave actual eliminada	Los recursos se vuelven inaccesibles en aproximadamente 10 minutos.	La protección de eliminación suave y purga garantiza que el AKV/clave pueda restaurarse en un plazo de 90 días.	Restaure el AKV o la clave en un plazo de 90 días.
Versión de clave anterior eliminada	Interrumpe la restauración de la copia de seguridad	La protección de eliminación suave y purga garantiza que el AKV/clave pueda restaurarse en un plazo de 90 días.	Restaure el AKV o la clave en un plazo de 90 días.
Clave comprometida	Datos en riesgo	Aplicar protección de red en AKV.	N/D
Acceso revocado (cambio de RBAC/firewall) Por ejemplo: revocar los permisos get, wrapKey, unwrapKey del almacén de claves desde el servidor o cambiar las reglas de firewall del almacén de claves.	Los recursos se vuelven inaccesibles en aproximadamente 10 minutos.	Utilizar bloqueos de recursos.	Restaurar permisos
Interrupción de Azure Key Vault	Los recursos se vuelven inaccesibles en aproximadamente 10 minutos.	No aprovisionamos Azure Key Vaults en regiones donde la conmutación por error entre regiones no es compatible. Para obtener más información, consulta Fiabilidad en Azure Key Vault.	No se requiere ninguna acción