- Primeros pasos
- Seguridad y cumplimiento de los datos
- Organizaciones
- Autenticación y seguridad
- Comprender los modelos de autenticación
- Configurar la integración de Microsoft Entra ID
- Requisitos de complejidad de la contraseña de los usuarios locales
- Licencia
- Tenants y servicios
- Cuentas y roles
- Aplicaciones externas
- Pruebas en su organización
- Ai Trust Layer
- Notificaciones
- Registro
- Solución de problemas
Guía de administración del sector público de Automation Cloud
Habilitar esta característica tiene serias implicaciones en lo que respecta al acceso a los datos. Si surgen problemas clave, corre el riesgo de perder el acceso a sus datos.
La siguiente tabla describe escenarios problemáticos comunes y sus soluciones.
|
Escenario |
Solución |
|---|---|
|
Tus credenciales de acceso a Azure Key Vault (AKV) han expirado o han sido eliminadas. |
Si aún puedes iniciar sesión utilizando tu correo electrónico y tu contraseña (no SSO)... ... y si eres administrador de la organización, puedes actualizar tus credenciales en la sección Cifrado de la página Administración de la organización. ... y si no eres administrador de la organización, puedes solicitar, a través de un ticket de soporte, que se te ascienda a un rol de administrador; a continuación, puedes actualizar tus credenciales en la sección Cifrado de la página Administración de la organización. Si ya no puedes iniciar sesión, proporciona el ID de tu organización a través de un ticket de soporte, y podemos invitarte y promocionarte como administrador. A continuación, puedes actualizar tus credenciales en la sección Cifrado de la página Administración de la organización. Una vez recuperes el acceso a tu cuenta, te recomendamos crear un nuevo conjunto de claves AKV y credenciales, así como configurar la clave gestionada por el cliente utilizando esta nueva información para que nadie más tenga acceso a tus credenciales. |
|
Tu clave AKV ha expirado. |
Tu clave administrada por el cliente aún funciona, pero te recomendamos que cambies a una nueva. |
|
Tu clave AKV ha sido eliminada. |
Puedes restaurar tu clave AKV desde el portal de Azure durante el periodo de retención. |
|
Tu clave AKV ha sido purgada, pero tenía una copia de seguridad. |
Puedes restaurar la clave desde la copia de seguridad del portal de Azure. Por defecto, la clave restaurada tiene el mismo ID que la original, y no deberías cambiarla. |
|
Tu clave AKV ha sido purgada y no tenía copia de seguridad. |
ADVERTENCIA:
No hay solución para este escenario. En esta situación, tus datos de cliente de UiPath® se pierden. |
Además del TDE estándar a nivel de almacenamiento, ciertos servicios también emplean cifrado implícito a nivel de aplicación (ALE). Esto significa que los datos se cifran en la capa de aplicación antes de almacenarse, lo que proporciona una capa adicional de seguridad.
Además, algunos servicios/recursos ofrecen un cifrado opcional impulsado por el usuario que se conoce como ALE opcional. Esto te permite decidir si esos servicios/recursos deben emplear ALE o no. Para obtener la lista de servicios o recursos y los tipos de cifrado relevantes para ellos, consulta la página dedatos cifrados en nuestra documentación.
Para los servicios con ALE, ya sea implícito o habilitado, tienes la posibilidad de elegir quién gestiona la clave de cifrado. Puede ser gestionado por UiPath o por ti mismo. Para ayudar en esto, Azure Key Vault admite el control de versiones de secretos, lo que te permite generar un secreto para utilizarlo en la configuración de tu clave a nivel de organización.
Después de habilitar la clave administrada por el cliente, los datos previamente respaldados no serán cifrados de nuevo, y cualquier copia de seguridad existente será eliminada cuando caduque. Solo los datos nuevos serán cifrados utilizando esta opción.
En la arquitectura de claves administradas por el cliente, los productos o servicios de plataforma de UiPath (como UiPath Orchestrator o UiPath Identity Service) generalmente cifran datos confidenciales del cliente antes de almacenarlos. Cuando sea necesario acceder a los datos, el producto o servicio invocará tu infraestructura de gestión de claves para obtener la clave de descifrado. Esto te da control sobre los datos cifrados en UiPath, porque puedes negarte a devolver la clave.
Este proceso se compone de los siguientes componentes:
- El servicio de gestión de claves (KMS): es la herramienta interna de UiPath, desarrollada con fines de cifrado de claves.
- La clave de cifrado de datos (DEK o KMS DEK): se utiliza para cifrar datos de texto simple. Por lo general, el DEK es generado por el KMS o por el almacén de claves internas de UiPath, y nunca se almacenan en texto sin cifrar.
- La clave de cifrado de claves (KEK): se utiliza para cifrar el DEK. El proceso de cifrar una clave se conoce como encapsular claves. Por lo general, el KEK lo generas tú y queda almacenado en tu almacén de claves. Es la clave administrada por el cliente que es controlada por tu servicio de gestión de claves.
- La clave de cifrado de datos cifrados (EDEK): es el DEK encapsulado por el KEK. Por lo general, esta clave es almacenada por el proveedor del servicio (como Orchestrator). Por ello, cuando un servicio necesite acceder a datos cifrados, este llama al servicio de gestión de claves del cliente para obtener el KEK necesario para descifrar el EDEK y así obtener el DEK que será utilizado para descifrar los datos.
- La clave interna de UiPath: es la utilizada para cifrar columnas de datos, incluyendo el CMK y el KMS DEK.
Este diagrama ilustra cómo funcionan conjuntamente los diversos componentes implicados en permitir que las claves administradas por el cliente funcionen conjuntamente:
Habilitar claves administradas por el cliente (CMK) tiene implicaciones significativas para la accesibilidad de los datos. Si la clave deja de estar disponible o está mal configurada, es posible que pierdas el acceso a tus datos.
Si pierdes tu clave, ya no podrás conectarte al almacén. Deberías crear siempre una copia de seguridad de la clave en el portal de Azure o en un almacén de claves seguro separado de Azure, de acuerdo con las políticas de seguridad de tu organización.
El Almacén de claves de Azure debe estar alojado en la nube de Microsoft Azure Government para cumplir con los requisitos de límites de la nube.
Para habilitar las claves administradas por el cliente, debes configurar la aplicación Microsoft Entra ID que representa el sector público de Automation CloudTM para acceder a la clave de cifrado de claves en tu Azure Key Vault.
- (Recomendado) Configuración automatizada: utiliza la aplicación Microsoft Entra ID administrada por UiPath (modelo multitenant) para obtener las siguientes ventajas:
- No hay secretos ni certificados que gestionar.
- Configuración rápida y fiable.
- UiPath mantiene la aplicación Microsoft Entra ID por ti.
- Configuración manual con un registro personalizado de la aplicación Microsoft Entra ID: utiliza tu propia aplicación Microsoft Entra ID y gestiona su configuración manualmente, con las siguientes consideraciones:
- Debes crear y gestionar las credenciales de la aplicación.
- Las credenciales caducan y requieren actualizaciones periódicas.
- Si las credenciales no se actualizan antes de que caduquen, los usuarios no podrán iniciar sesión.
Configuración automatizada con la aplicación Microsoft Entra ID administrada por UiPath (recomendado)
Utiliza este método si quieres simplificar la configuración y evitar la gestión de secretos o certificados. UiPath recomienda este enfoque para la mayoría de las organizaciones.
Si es administrador del sector público de Microsoft Entra ID y Automation CloudTM
Si eres administrador de Microsoft Entra ID y administrador del sector público de Automation CloudTM , sigue los siguientes pasos para configurar la integración utilizando la aplicación multitenant gestionada por UiPath:
- En Sector público de Automation CloudTM , ve a Admin > Seguridad > Cifrado.
- Elige Clave administrada por el cliente y confirma la selección introduciendo el nombre de tu organización en el cuadro de diálogo de confirmación.
- Selecciona Aplicación multitenant gestionada por UiPath (recomendada).
-
Selecciona Conceder consentimiento y, a continuación, inicia sesión con tu cuenta de Microsoft Entra ID.
Después de conceder el consentimiento, Automation CloudTM Public Sector crea una aplicación Microsoft Entra ID en Azure que representa a tu organización.
- Crea tu clave de cifrado de claves y configura Azure Key Vault.
- Introduce el URI de clave de Azure Key Vault de la clave de cifrado de claves.
- Si proporcionas un URI de clave sin versión, Sector público de Automation CloudTM utiliza la versión de clave más reciente automáticamente (rotación de claves habilitada).
- Si proporcionas un URI de clave versionada, Sector público de Automation CloudTM cifra todos los datos con esa versión de clave específica.
-
Selecciona Probar y guardar para activar la integración.
Si se produce un error, verifique sus credenciales e inténtelo de nuevo.
Solo si es administrador del sector público de Automation CloudTM
Si no tienes privilegios administrativos en Microsoft Entra ID pero eres un administrador del sector público de Automation CloudTM , sigue los siguientes pasos para solicitar el consentimiento del administrador y completar la integración:- En Sector público de Automation CloudTM , ve a Admin > Seguridad > Cifrado.
- Selecciona
Customer managed keyy confirma la selección introduciendo el nombre de tu organización en el cuadro de diálogo de confirmación. - Selecciona Aplicación multitenant gestionada por UiPath (recomendada).
-
Selecciona Conceder consentimiento y, a continuación, inicia sesión con tu cuenta de Microsoft Entra ID.
Como no tienes derechos de administrador de Microsoft Entra ID, deberías ver uno de los siguientes mensajes:
- Solicitar aprobación, como se muestra en la documentación de Microsoft: Solicitar aprobación del administrador. Después de que tu administrador de Microsoft Entra ID apruebe la solicitud, continúa con el siguiente paso.
- Necesita la aprobación del administrador, como se muestra en la documentación de Microsoft: pide a tu administrador de Microsoft Entra ID que siga los siguientes pasos:
- Dirígete a esta URL para abrir la solicitud de consentimiento de Microsoft Entra ID.
- Selecciona Consentimiento en nombre de tu organización y, a continuación, Aceptar.
- Después de recibir la confirmación de que se ha concedido el consentimiento del administrador, crea tu clave de cifrado y configura Azure Key Vault, luego vuelve a Sector público de Automation CloudTM y repite los pasos 1 a 4.
- Un inicio de sesión correcto indica que la integración está configurada correctamente.
- Si el inicio de sesión falla, pide a tu administrador de Microsoft Entra ID que verifique que el consentimiento se ha concedido correctamente.
- Introduce el URI de clave de Azure Key Vault de la clave de cifrado de claves.
- Si proporcionas un URI de clave sin versión, se habilita la rotación automática de claves y Sector público de Automation CloudTM utiliza la versión de clave más reciente.
- Si proporcionas un URI de clave versionada, Sector público de Automation CloudTM cifra todos los datos con esa versión de clave específica.
-
Selecciona Probar y guardar para activar la integración.
Si se produce un error, verifique sus credenciales e inténtelo de nuevo.
Configuración manual con el registro personalizado de la aplicación Microsoft Entra ID
Crear la clave de cifrado de claves y configurar Azure Key Vault
- Puedes crear el Key Vault en cualquier región, pero recomendamos utilizar la misma región que tu organización del sector público de Automation CloudTM .
- UiPath requiere acceso al Key Vault utilizado para la clave administrada por el cliente. Para limitar el ámbito, recomendamos crear un almacén dedicado para este propósito.
- La característica funciona con cualquier tamaño de clave compatible con Azure Key Vault.
- Para realizar operaciones criptográficas, debes conceder los permisos Ajustar clave y Desbloquear clave . Estos permisos son necesarios independientemente de si utilizas políticas de acceso de Azure RBAC (Control de acceso basado en roles) o Key Vault para gestionar el acceso.
Una vez que habilites esta opción, también puedes editar cualquier detalle relacionado con la conexión. Para ello, selecciona Editar conexión en la opción Clave administrada por el cliente y cambia cualquier información según sea necesario.
Es buena práctica rotar tus claves de forma rutinaria para garantizar la protección continua de tus datos cifrados frente a posibles violaciones de seguridad.
Rotación manual de claves
La rotación manual de claves implica cambiar toda la configuración de CMK. Aunque puedes cambiar toda la configuración, se recomienda cambiar solo el identificador de clave, o la versión de clave, para minimizar los cambios de ruptura.
Para realizar la rotación manual de claves, sigue los siguientes pasos:
-
Crea una nueva clave en el Almacén de claves de Azure que configuraste anteriormente.
-
En tu organización del sector público de Automation CloudTM , ve a Admin > Seguridad.
-
En Clave administrada por el cliente, selecciona Editar conexión.
- Reemplaza el identificador de clave existente por el nuevo URI de clave.
Rotación automática de claves
La rotación automática de claves permite a Automation CloudTM Public Sector utilizar la última versión de tu clave automáticamente, en función de la política de rotación definida en Azure Key Vault. Este enfoque reduce el esfuerzo manual y mejora la seguridad.
Para habilitar el proceso de rotación automática de claves, sigue los siguientes pasos:
-
En Azure Key Vault, crea una política de rotación para tu clave.
-
En Automation Cloud, ve a Configuración de clave administrada por el cliente y proporciona el identificador de clave sin versión.
Para conocer los pasos de configuración, consulta Habilitar la clave administrada por el cliente.
- Después de cada rotación de claves en Azure Key Vault, Sector público de Automation CloudTM obtiene y aplica automáticamente la última versión de la clave.
Automation CloudTM Public Sector comprueba automáticamente si hay nuevas versiones de clave cada hora. Cuando una nueva versión está disponible, se recupera y se aplica sin necesidad de actualizaciones manuales.
- No desactives ni modifiques los permisos de acceso para versiones de clave anteriores. Tanto la versión de la clave anterior como la actual deben permanecer accesibles para mantener el acceso ininterrumpido a los datos cifrados durante el proceso de rotación.
- Puedes ver tanto los cambios manuales en la configuración de la clave administrada por el cliente, como las actualizaciones del identificador de clave, como los eventos de rotación automática de claves en la sección Registros de auditoría en Administración en Sector público de Automation CloudTM .
Si tu plan Enterprise caduca, se te degradará automáticamente a un estado de solo lectura. Esto es lo que puedes esperar en términos de cifrado de datos:
- La opción Clave administrada por el cliente aún estará habilitada para ti, pero aparecerá en gris en la interfaz. Por lo tanto, ya no podrás editar sus valores, como por ejemplo cambiar los detalles del almacén de claves,
- Puedes cambiar a Clave gestionada por UiPath (opción predeterminada), pero no podrás volver a Clave administrada por el cliente hasta que tu plan sea actualizado a Empresarial.
Hay algunos detalles importantes que debes tener en cuenta antes de comenzar a usar claves administradas por el cliente:
-
Una vez empieces a usar una nueva clave como parte de un proceso de rotación de claves, la antigua ya no podrá utilizarse para acceder y cifrar datos. Por tanto, es importante mantener cualquier clave antigua en el almacén de claves, es decir, deshabilitarlas en lugar de eliminarlas. Esto es de especial importancia en escenarios de recuperación en caso de catástrofes en los que UiPath puede necesitar volver a una copia de seguridad de una versión anterior de la base de datos. Si esa copia de seguridad utiliza una de tus claves antiguas, puedes rotarla para recuperar el acceso a los datos.
Si decides eliminar una clave, es importante que utilices la característica de eliminado suave.
- Si pierdes tu clave, ya no podrás conectarte al almacén. Deberías crear siempre una copia de seguridad de la clave en el portal de Azure o en un almacén de claves seguro separado de Azure, de acuerdo con las políticas de seguridad de tu organización.
- Si estás aprovechando el inicio de sesión único para acceder a los servicios de UiPath, puedes considerar crear una cuenta local para que funcione como una cuenta de emergencia. Dado que la información del proveedor de identidades externo se incluye en los datos cifrados por la clave administrada por el cliente, las cuentas de SSO serán inaccesibles en caso de que no se pueda acceder a tu almacén de claves.
- A efectos de seguridad, los usuarios que no tengan privilegios de administrador de nivel superior no deberían tener derechos de purga sobre claves administradas por el cliente.
-
Si ya no quieres que UiPath tenga acceso a tus datos, puedes deshabilitar la clave desde Azure Key Vault, como se muestra en la siguiente imagen:
Más información sobre las Acciones de recuperación de Azure Key Vault.
- Información general
- Explicación de las claves administradas por el cliente
- Habilitar claves administradas por el cliente
- Configuración automatizada con la aplicación Microsoft Entra ID administrada por UiPath (recomendado)
- Configuración manual con el registro personalizado de la aplicación Microsoft Entra ID
- Crear la clave de cifrado de claves y configurar Azure Key Vault
- Editar la clave gestionada por el cliente
- Rotación de claves
- Rotación manual de claves
- Rotación automática de claves
- Reducción de licencias
- Mejores prácticas para el uso de claves administradas por el cliente
