Configurar la autenticación Kerberos

Requisitos previos

Para configurar correctamente la autenticación Kerberos, debe cumplir los siguientes requisitos previos:

• Garantizar que el clúster de Automation Suite pueda acceder a su AD
• Configurar la cuenta del servicio AD para la autenticación Kerberos
• Opcional: Requisitos previos de autenticación SQL

Garantizar que el clúster de Automation Suite pueda acceder a su AD

Antes de configurar la autenticación Kerberos, consulte a los administradores de TI si el clúster de Automation Suite puede acceder a su instancia de AD.

Deben cumplirse los siguientes requisitos:

• El clúster de Automation Suite debe estar en la misma red que el dominio de AD.

• El DNS debe configurarse correctamente en la red para que el clúster de Automation Suite pueda resolver los nombres de dominio de AD.

  Nota: es de vital importancia que el clúster de Automation Suite pueda resolver el AD domain names. Puede verificarlo ejecutando nslookup <AD domain name> en la máquina host.

Configurar la cuenta del servicio AD para la autenticación Kerberos

Generación de parámetros de keytab y nombre de usuario predeterminados de Kerberos

Opción 1: ejecutando el script (recomendado)

1. Inicia sesión con tu cuenta de administrador de AD en una máquina unida a un dominio de Windows.
2. Ejecute el script keytab-creator.ps1 como administrador.
3. Introduzca los siguientes valores en el script:
   1. Service Fabric FQDN. Por ejemplo, uipath-34i5ui35f.westeurope.cloudapp.azure.com.
   2. AD domain FQDN. Por ejemplo, TESTDOMAIN.LOCAL.
   3. Una cuenta de usuario de AD. Puedes usar una cuenta existente, como sAMAccountName, o puedes permitir que el script cree una nueva.

El archivo de salida contiene los parámetros <KERB_DEFAULT_USERNAME> y <KERB_DEFAULT_KEYTAB> requeridos por la configuración de Kerberos.

Opción 2: manualmente

Hable con su administrador de AD sobre la cuenta de usuario de AD, y recupere <KERB_DEFAULT_USERNAME> y <KERB_DEFAULT_KEYTAB> para dicha cuenta de la siguiente manera:

1. Cree una cuenta de usuario nuevo en su servidor AD. Si ya tiene una, continúe con el paso 2.
   1. En la consola Usuarios y equipos de Active Directory, haz clic con el botón derecho en la carpeta Usuarios , selecciona Nuevo y luego selecciona Usuario.
   2. Termine de crear la cuenta de usuario.
2. Haga clic con el botón derecho en la cuenta de usuario y seleccione Propiedades.
3. Vaya a la pestaña Cuenta y, en Opciones de cuenta, seleccione Esta cuenta admite cifrado AES de Kerberos de 256 bits.
4. Importante: El archivo keytab generado en los siguientes pasos dejará de ser válido si la contraseña de usuario de AD expira o se actualiza. Plantéese marcar La contraseña no caduca nunca en Opciones de cuenta para esta cuenta de usuario de AD. Como alternativa, puede actualizar la contraseña cuando esté a punto de caducar y generar un nuevo archivo keytab.
5. Para generar un archivo keytab para el SPN, abra PowerShell con acceso de administrador y ejecute el siguiente comando:

   ktpass -princ HTTP/<Service Fabric FQDN>@<AD FQDN in cap> -pass <AD user's password> -mapuser <AD NetBIOS name in cap>\<AD user name> -pType KRB5_NT_PRINCIPAL -out <output file path> -crypto AES256-SHA1

   Algunos campos deben especificarse en mayúsculas. Por ejemplo:

   ktpass -princ HTTP/[e-mail] -pass pwd123 -mapuser TESTDOMAIN\aduser -pType KRB5_NT_PRINCIPAL -out c:\krb5.keytab -crypto AES256-SHA1

   Después de la generación del keytab, el nombre de inicio de sesión del usuario cambia a HTTP/<Service Fabric FQDN>. Utiliza este valor para el campo <KERB_DEFAULT_USERNAME> en default_ad_username en input.json de la siguiente manera:

   "kerberos_auth_config": {
         "enabled": true,
         "ticket_lifetime_in_hour": 8,
         "ad_domain": "AUTOSUITEAD.LOCAL",
         "default_ad_username": "HTTP/sfqakxxxx-ea.infra.uipath-dev.com",
         "default_user_keytab": "BQIAAAB9AAIxxxxxxxxxxxxxxxxxxGRCqh+yQ="
       },
   

6. Cifre el archivo keytab generado en Base64, abra PowerShell y ejecute el siguiente comando:

   [Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<path to the generated keytab file>"))

7. Guarde el archivo keytab codificado. Lo utilizará al configurar el clúster de UiPath® para Kerberos. A este valor del paso 6 lo vamos a llamar <KERB_DEFAULT_KEYTAB>.

Opcional: Requisitos previos de autenticación SQL

Para configurar el clúster de UiPath® para conectarse a SQL mediante la autenticación integrada de Windows o mediante Kerberos, necesita realizar una serie de pasos adicionales:

• El servidor SQL debe conectarse al dominio de AD.
• El clúster de Automation Suite debe estar en la misma red que el servidor SQL.
• El clúster de Automation Suite puede resolver los nombres de dominio de los servidores SQL y AD.
• El usuario de AD debe tener acceso a los permisos del servidor SQL y de la base de datos.

Para crear un nuevo inicio de sesión en SQL Server Management Studio, siga estos pasos:

a. En el panel Explorador de objetos, ve a Seguridad > Inicios de sesión.

b. Haz clic derecho en la carpeta Inicios de sesión y selecciona Nuevo inicio de sesión. Se mostrará así la ventana Inicio de sesión: nuevo.

c. Selecciona la opción Autenticación de Windows. La ventana se actualizará en consecuencia.

d. En el campo Nombre de inicio de sesión, escribe el dominio de usuario que quieres utilizar como una cuenta de servicio.

e. En la lista de Idioma predeterminado, selecciona Inglés.

Importante: Asegúrate de que el Idioma predeterminado esté establecido en Inglés. Si no lo está, el sitio web no se podrá iniciar y el visor de eventos del equipo en el que Orchestrator está instalado mostrará el siguiente mensaje de error: "La conversión de un tipo de datos varchar a un tipo de datos datetime dio como resultado un valor de fuera de rango".

f. Selecciona Aceptar. Sus configuraciones se guardan.

Si la cuenta de servicio ya se ha creado y añadido a la sección Seguridad > Inicios de sesión de SQL Server, comprueba que el idioma predeterminado de esa cuenta SQL esté establecido en inglés. Si no lo está, realiza los ajustes necesarios.

Es necesario proporcionar al usuario que va a conectarse a la base de datos SQL el rol db_owner de asignación de usuarios, como se muestra en la siguiente captura de pantalla.

Si las restricciones de seguridad no te permiten utilizar el rol db_owner de asignación de usuarios con el inicio de sesión de UiPath®, concede los siguientes permisos:

• db_datareader
• db_datawriter
• db_ddladmin
• EXECUTE permiso en el esquema dbo
  
  

  

  
  

Debe otorgarse el permiso EXECUTE utilizando el comando GRANT EXECUTE de SQL, como se muestra a continuación:

USE UiPath
GO
GRANT EXECUTE ON SCHEMA::dbo TO [domain\)\)user]
GO

Si quiere que las aplicaciones de UiPath® utilicen cuentas exclusivas para conectarse a SQL mediante Integrated Security=True, necesitará crear un archivo keytab exclusivo para cada aplicación de UiPath®, tal como se indica a continuación. Para esta aplicación, se le denominará <KERB_APP_KEYTAB>.

Generar el keytab de la aplicación de Kerberos y los parámetros de nombre de usuario

Opción 1: ejecutando el script (recomendado)

1. Ejecute el script service-keytab-creator.ps1 .
2. Introduzca los siguientes valores en el script:
   1. AD domain FQDN. Por ejemplo, TESTDOMAIN.LOCAL.
   2. El nombre de usuario y la contraseña de una cuenta de usuario de AD. Por ejemplo, la cuenta de usuario de AD sAMAccountName y su contraseña.

El archivo de salida contiene los parámetros <KERB_APP_USERNAME> y <KERB_APP_KEYTAB> requeridos por Kerberos.

Opción 2: manualmente

Ejecuta el siguiente script manualmente:

# Generate keytab file and output it in the desired path 
ktpass /princ <AD username>@<AD domain in cap> /pass <AD user password> /ptype KRB5_NT_PRINCIPAL /crypto AES256-SHA1 /out <path to keytab file> -setpass 

# Converts AD user's keytab file to base 64 
[Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<path to the generated keytab file>"))

El valor <AD username> será el <KERB_APP_USERNAME> correspondiente a <KERB_APP_KEYTAB>.

Configurar Automation Suite como cliente de Kerberos

Esta sección explica cómo configurar Automation Suite como cliente de Kerberos para el acceso a LDAP o SQL.

Con <KERB_DEFAULT_KEYTAB>, configura Automation Suite como cliente Kerberos siguiendo las instrucciones de Configurar la autenticación Kerberos a través de input.json.

Nota: si deseas configurar servicios diferentes para ejecutarse bajo su propia cuenta de AD y acceder a SQL como dicha cuenta de AD, puedes especificar ad_username con dicho <KERB_APP_USERNAME>, y user_keytab como <KERB_APP_KEYTAB> bajo la sección de configuración del servicio.

Configurar la autenticación Kerberos a través de input.json

1. En el archivo input.json , establece el parámetro kerberos_auth_config.enabled en true.
2. Si quiere utilizar Kerberos para el acceso a SQL, configure sql_connection_string_template, sql_connection_string_template_jdbc y sql_connection_string_template_odbc con la marca Seguridad integrada.
3. Si quieres configurar un usuario de AD diferente por servicio, sigue los siguientes pasos:
   1. Especifica ad_username y user_keytab en el objeto JSON del grupo de servicios.
   2. Actualice la cadena de conexión SQL para el servicio para habilitar la seguridad integrada.

      El objeto JSON debe ser el siguiente:

      "<serviceGroupName>": {
          "kerberos_auth_config": {
            "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for this service group",
            "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for this service group"
          }
      }

      Nota: para ver la lista de nombres de grupos de servicios, consulta Grupos de servicio y servicios.
4. Después de actualizar el archivo input.json , ejecuta el script del instalador para actualizar la configuración. Para obtener más información, consulta Gestionar productos.

Ejemplo de actualización de Orchestrator y la plataforma para utilizar la autenticación Kerberos

"kerberos_auth_config": {
    "enabled" : true, 
    "ticket_lifetime_in_hour" : 8, 
    "ad_domain": "PLACEHOLDER - INSERT ACTIVE DIRECTORY DOMAIN ",
    "default_ad_username": "PLACEHOLDER - INSERT KERB_DEFAULT_USERNAME",
    "default_user_keytab": "PLACEHOLDER - INSERT KERB_DEFAULT_KEYTAB"
  },
"sql_connection_string_template": "PLACEHOLDER",
"sql_connection_string_template_jdbc": "PLACEHOLDER",
"sql_connection_string_template_odbc": "PLACEHOLDER",
"orchestrator": {
    "sql_connection_str": "Server=tcp:sfdev1804627-c83f074b-sql.database.windows.net,1433;Initial Catalog=AutomationSuite_Orchestrator;Persist Security Info=False;Integrated Security=true;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Max Pool Size=100;",
    "kerberos_auth_config": {
      "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for Orchestrator",
      "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for Orchestrator"
    }
    "testautomation": {
      "enabled": true
    },
    "updateserver": {
      "enabled": true
    }
},
"platform": {
    "sql_connection_str": "Server=tcp:sfdev1804627-c83f074b-sql.database.windows.net,1433;Initial Catalog=AutomationSuite_Platform;Persist Security Info=False;Integrated Security=true;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Max Pool Size=100;",
    "kerberos_auth_config": {
      "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for platform",
      "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for platform"
    }
}

Grupos de servicios y servicios

La siguiente tabla enumera los grupos de servicios disponibles y los servicios que incluyen. Los nombres son ligeramente diferentes en el archivo input.json o en la interfaz de usuario de ArgoCD.

Nombre del grupo de servicios para input.json	Nombre del grupo de servicios para ArgoCD	Servicios incluidos
orchestrator	orchestrator	Orchestrator, Webhooks
platform	platform	Identidad, licencia contable (LA), auditoría, ubicación, administrador de recursos de licencia (LRM), servicio de gestión de la organización (OMS)
discovery_group	discoverygroup	Automation Hub
test_manager	testmanager	Test Manager
automation_ops	automationops	Automation Ops
aicenter	aicenter	AI Center
documentunderstanding	documentunderstanding	Document Understanding
insights	insights	Insights
dataservice	dataservice	Data Service
asrobots	asrobots	Automation Suite Robots
processmining	processmining	Process Mining
studioweb	studioweb	Studio Web
llmgateway	llmgateway	Puerta de enlace de LLM
llmobservability	llmobservability	Observabilidad de LLM
ecs	ecs	ECS
autopiloteveryone	autopiloteveryone	Autopilot for Everyone
automationsolutions	automationsolutions	Soluciones

Configurar la integración de Active Directory

Para la autenticación Kerberos que va a utilizarse al iniciar sesión en Automation Suite, debe realizar más ajustes en la configuración del host de Automation Suite.

Disabling Kerberos authentication

Removing Kerberos authentication completely

Para eliminar por completo la autenticación de Kerberos, siga los siguientes pasos:

1. Si usaste Kerberos para configurar la integración de AD, reconfigura AD con la opción de nombre de usuario y contraseña siguiendo las instrucciones en Configuración de la integración de Active Directory.
2. Si utilizó la autenticación integrada de SQL, configure las cadenas de conexión SQL para utilizar el ID de usuario y la Contraseña.
3. Deshabilita la autenticación Kerberos. En el archivo cluster_config.json , establece el parámetro kerberos_auth_config.enabled en false y, a continuación, ejecuta el script del instalador para actualizar la configuración. Para obtener más información, consulta Gestionar productos.

Removing SQL integrated authentication

Para eliminar la autenticación integrada de SQL, siga los siguientes pasos:

1. Configure las cadenas de conexión SQL para utilizar el ID de usuario y la Contraseña.
2. Si quieres deshabilitar la autenticación integrada de SQL para todos los servicios, en el archivo cluster_config.json , establece el parámetro kerberos_auth_config.enabled en false y luego ejecuta el script del instalador para actualizar la configuración. Para obtener más información, consulta Gestionar productos.