Gestionar el certificado de firma de UiPath para las solicitudes de autenticación SAML

En el protocolo SAML, el proveedor de servicios (SP) puede firmar solicitudes de autenticación para confirmar su origen y garantizar que no se cambien durante la transmisión. El SP utiliza una clave privada (certificado de firma) para firmar la solicitud. El proveedor de identidades (IdP) utiliza la clave pública correspondiente (certificado de firma) para validar la firma.

De forma predeterminada, UiPath firma las solicitudes de autenticación SAML utilizando su propio certificado. UiPath cambia con frecuencia este certificado. Si tu IdP no puede recuperar automáticamente el certificado actualizado de la URL de metadatos SAML de UiPath, debes cargar manualmente el nuevo certificado en tu IdP cada vez que cambie. Este proceso manual aumenta el riesgo de errores e interrupción del servicio.

Para reducir este esfuerzo, puedes utilizar los puntos finales de la API del certificado SAML de UiPath para cargar tu propio certificado de firma. Esto te permite gestionar el certificado de firma a través de la automatización. Después de cargar un nuevo certificado, también debes actualizar la clave pública correspondiente en tu IdP para mantener una conexión válida y seguir las políticas de seguridad de tu organización.

Al cargar un certificado de cliente, UiPath reemplaza el certificado predeterminado en el documento de metadatos SAML. UiPath utiliza tu certificado para todas las acciones de firma. Después de cargar el certificado, actualice la clave pública correspondiente en su IdP para seguir las políticas de seguridad y cumplimiento de TI de su organización

Consideraciones

Antes de cargar tu propio certificado de firma para la integración SAML, asegúrate de tener en cuenta los siguientes aspectos:

• Eres responsable de asegurarte de renovar tus certificados autofirmados cargados antes de que caduquen.
• Cargar un nuevo certificado en UiPath anulará el certificado existente en el documento de metadatos SAML de UiPath, y también el cargado en tu IdP.

Requisitos previos

Antes de cargar tu propio certificado de firma para la integración SAML, asegúrate de cumplir los siguientes requisitos:

• Debes configurar una integración SAML para tu organización.
• Necesita acceso al partitionGlobalId de su organización.
  partitionGlobalId es el ID de la organización.
• Debes generar un certificado que incluya una clave privada en formato PEM.
• El archivo PEM debe incluir tanto el certificado como la clave privada.
• Debes cargar el certificado público en tu IdP (por ejemplo, PingOne) después de cargarlo en tu organización de UiPath.
• Para cargar un certificado secundario, primero debes cargar un certificado principal.

Pasos

Para generar un certificado de firma personalizado y cargarlo en Identity Server de UiPath, para tus integraciones SAML existentes, sigue estos pasos:

1. Genera un certificado autofirmado.

   Por ejemplo, utiliza los siguientes comandos PowerShell de OpenSSL para generar un certificado autofirmado válido por un año:

   openssl req -x509 -newkey rsa:2048 -nodes -keyout key.pem -out cert.pem -days 365 -subj "/CN=example.com"
   Get-Content key.pem, cert.pem | Set-Content full-cert.pem

   Estos comandos crean los siguientes objetos:

   • key.pem : clave privada
   • cert.pem : certificado
   • full-cert.pm : PEM combinado con clave privada y certificado
2. Carga tu certificado principal utilizando la API PUT /https://{yourDomain}/{organizationName}/identity_/SamlCertificate/primary .
   Nota: el certificado se convierte en el certificado de firma principal para tu organización.
   Ejemplo de respuesta:

   {
     "partitionGlobalId": "GUID",
     "primaryCertificateId": int,
     "primaryCertificateThumbprint": "string",
     "secondaryCertificateId": null,
     "secondaryCertificateThumbprint": null
   }

3. (Opcional) Carga un certificado secundario utilizando la API PUT /https://{yourDomain}/{organizationName}/identity_/SamlCertificate/secondary :
   Para minimizar las interrupciones durante la rotación de certificados, el protocolo SAML permite al IdP validar la firma con cualquier certificado publicado en los metadatos del proveedor de servicios. Esto te permite:

   • Crea un nuevo certificado de firma.
   • Cárgalo en tu IdP como certificado de verificación.
   • Cambia el certificado secundario a principal.
   • Elimina el certificado principal antiguo.
   Ejemplo de respuesta

   {
     "partitionGlobalId": "GUID",
     "primaryCertificateId": int,
     "primaryCertificateThumbprint": "string",
     "secondaryCertificateId": int,
     "secondaryCertificateThumbprint": "string"
   }

4. (Opcional) Cambia el certificado secundario a principal, utilizando la API POST /https://{yourDomain}/{organizationName}/identity_/SamlCertificate/switch :

   El cambio de certificados garantiza un reemplazo o renovación de certificados sin problemas.

   Ejemplo de respuesta

   {
     "partitionGlobalId": "<Id>",
     "primaryCertificateId": 74268,
     "primaryCertificateThumbprint": "<Id>",
     "secondaryCertificateId": <Id>,
     "secondaryCertificateThumbprint": "<Id>"
   }

5. (Opcional) Verifica qué certificados están configurados actualmente para tu organización utilizando la API GET /https://{yourDomain}/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/certificates .

   Esto devuelve los ID de certificado primario y secundario actuales y las huellas digitales.

   Este paso te ayuda a verificar la configuración de tu certificado para asegurarte de que el certificado correcto está actualmente activo.

6. (Opcional) Elimina un certificado utilizando la API DELETE /https://{yourDomain}/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/{certificateId} .

   Eliminar los certificados antiguos o no utilizados reduce los posibles riesgos de seguridad.

   Nota: No puedes eliminar el certificado principal si todavía hay un certificado secundario.