Configurar la integración de Active Directory

Puedes habilitar SSO utilizando la autenticación de Windows y habilitar la funcionalidad de búsqueda en el directorio con la integración de Active Directory. La búsqueda en el directorio te permite buscar cuentas y grupos del directorio y utilizarlos como lo harías con las cuentas locales.

Limitaciones conocidas

• Directory search does not find users from an external trust domain). This feature is not supported because there isn't a mutually-trusted authority with external trusts.
• La autenticación de Windows utiliza el protocolo Kerberos en Automation Suite, por lo que el inicio de sesión de Windows solo puede utilizarse con máquinas unidas a un dominio.

Paso 1. Configurar la integración de Active Directory

Colabore con sus administradores de TI para garantizar que el clúster de Automation Suite pueda acceder a su Active Directory (AD).

La integración de Active Directory puede configurarse mediante una de las dos opciones:

1. Autenticación Kerberos
2. Nombre de usuario y contraseña

Se recomienda la autenticación Kerberos porque es compatible con más escenarios:

Escenario	Nombre de usuario y contraseña	Autenticación Kerberos
Búsqueda en el directorio de los dominios del mismo bosque	Compatible	Compatible
Búsqueda en el directorio de dominios en un bosque de confianza	No compatible	Compatible
Búsqueda en el directorio de dominios de confianza externos	No compatible	No compatible

a. Configuración de Kerberos (recomendada)

1. Configure la autenticación Kerberos siguiendo las instrucciones de Configurar la autenticación Kerberos.

2. Inicie sesión en como administrador del sistema.

3. Ve a Configuración de seguridad.

4. En la sección Proveedores externos, haga clic en Configurar en Active Directory.

   • Select the Enabled checkbox to enable the integration.
   • Select the Force automatic login using this provider checkbox if you want to only allow login with Active Directory accounts. :fa-warning: Only do this if the integration with the provider has been successfully validated to prevent lockout.
   • En el campo Nombre a mostrar, escribe el texto que deseas mostrar bajo esta opción de inicio de sesión en la página Inicio de sesión.
   • Leave the Use Kerberos Auth checkbox selected.

5. Haga clic en Probar y guardar para guardar los cambios.

6. Reinicia el pod identity-service-api-*.

   1. Conéctate al Servidor principal utilizando SSH.

   2. Ejecuta el siguiente comando:

      kubectl -n uipath rollout restart deployment identity-service-api

B. Configuración del nombre de usuario y la contraseña

Importante:

When you use this option, UiPath® service uses credentials provided in clear text to communicate with Active Directory. To prevent this, we recommend using LDAP over SSL (LDAPS) with this configuration.

Importante:

Solo los usuarios del mismo bosque que el configurado en esta página pueden interactuar con el clúster de UiPath. Los usuarios de bosques de confianza no podrán iniciar sesión en este clúster de UiPath.

B.1. Requisito previo para utilizar LDAPS

Si desea utilizar LDAP sobre SSL (LDAPS), primero debe configurar LDAP sobre SSL en su entorno de AD y obtener el certificado raíz que se utilizará en la configuración del clúster de UiPath.

Nota:

Problema conocido: el certificado LDAPS configurado no se mantiene al actualizar. Como resultado, después de una actualización, es necesario añadir el certificado LDAPS de nuevo para que funcionen las conexiones seguras LDAP.

1. Obtén e instala el certificado SSL para LDAPS en cada controlador de dominio.

   For more information and instructions, refer to the article LDAP over SSL (LDAPS) Certificate.

2. Cifre el certificado raíz en Base64 ejecutando el siguiente comando:

   [Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<Path to the .crt or .cer file>"))
   

3. Añade el certificado raíz codificado en ArgoCD:

   1. Inicie sesión en ArgoCD.
   2. Selecciona y ve a la aplicación UiPath.
   3. En la esquina superior izquierda, selecciona DETALLES DE LA APLICACIÓN.
   4. En la sección Parámetros, busca el parámetro global.userInputs.certificate.identity.ldaps.customRootCA.
   5. Actualice el valor del parámetro al contenido codificado que obtuvo anteriormente.
   6. Guarda.
   7. Selecciona SYNC para aplicar tus cambios.

B.2. Configuración de Active Directory

1. Inicie sesión en como administrador del sistema.

2. Ve a Configuración de seguridad.

3. En la sección Proveedores externos, haga clic en Configurar en Active Directory.

   • Selecciona la casilla de verificación Habilitada.
   • If you want to only allow login with Active Directory accounts, select the Force automatic login using this provider checkbox.
   • (Optional, but strongly recommended) Select the Use LDAP over SSL (LDAPS) checkbox.
   • The Use Kerberos Auth checkbox must be cleared.
   • In the Display Name field, type the name you want to show on the Login page for this sign in option.
   • En el campo Dominio predeterminado, escriba su nombre de dominio completo (FQDN) para Active Directory (AD).
   • In the Username field, type the user name of an AD user. It needs to be in the format DOMAIN\username. For example, TESTDOMAIN\user1.
   • En el campo Contraseña de usuario, escriba la contraseña de la cuenta AD anterior.

4. Haga clic en Probar y guardar para guardar los cambios.

5. Reinicia el pod identity-service-api-*.

   1. Conéctate al Servidor principal utilizando SSH.

   2. Ejecuta el siguiente comando:

      kubectl -n uipath rollout restart deployment identity-service-api

Solución de problemas

Dominio inalcanzable

Si obtiene el error Domain unreachable, compruebe el enrutamiento DNS mediante el comando getent ahosts <AD domain>.

Si no devuelve una dirección IP, compruebe el nodo /etc/resolv.conf. El valor del servidor de nombres debe apuntar al DNS del dominio AD. Si no es así, póngase en contacto con el administrador del sistema para que lo configure correctamente.

If the node runs on Azure, follow the instructions in Name resolution for resources in Azure virtual networks.

Una de las formas de lograr esto es la siguiente:

1. En Azure, diríjase a la red virtual del nodo y configure los servidores DNS de la red virtual con los DNS de Active Directory.
2. Ejecute systemctl restart NetworkManager.service y compruebe que /etc/resolv.conf se haya actualizado.
3. Reinicie el núcleo del clúster DNS desde ArgoCD.

Dominio inaccesible durante el uso de LDAPS

Si recibe el error Domain unreachable cuando LDAPS está habilitado, puede deberse a que se está utilizando un certificado incorrecto.

Comprueba si tienes varios certificados válidos para la autenticación del servidor en el almacén de certificados del equipo local del servidor LDAP. Si es así, se puede utilizar un certificado diferente al que desea para las comunicaciones LDAPS.

La solución más sencilla es eliminar todos los certificados innecesarios del almacén de certificados del equipo local y tener solo un certificado válido para la autenticación del servidor.

Paso 2. Configurar la autenticación de Windows

Requisito previo

Obtenga <KERB_DEFAULT_KEYTAB>, que es la cadena codificada en base64 del archivo keytab generado como parte de la configuración de Kerberos.

Configurar el clúster de Automation Suite

1. Diríjase a ArgoCD e inicie sesión como administrador.

2. Seleccione y vaya a la aplicación «uipath».

3. Haga clic en DETALLES DE LA APLICACIÓN en la esquina superior izquierda.

4. En la sección PARÁMETROS, busque el parámetro global.userInputs.identity.krb5KeytabSecret.

   El parámetro tiene un valor de marcador de posición predeterminado.

5. Actualiza el valor del marcador de posición del parámetro con <KERB_DEFAULT_KEYTAB>, y luego guarda.

6. Haga clic en SINCRONIZAR para aplicar el cambio.

7. Tras sincronizar con éxito, ejecute el comando kubectl -n uipath rollout restart deployment identity-service-api para reiniciar Identity Server.

Paso 3. Configuración del navegador

Microsoft Internet Explorer

No es compatible.

Microsoft Edge

No se requiere ninguna configuración adicional.

Google Chrome

Normalmente, Google Chrome funciona sin necesidad de configuración adicional.

Si no funciona, sigue los siguientes pasos:

1. Diríjase a Herramientas > Opciones de Internet > Seguridad.

2. Seleccione Intranet local.

3. Selecciona Sitios.

4. Asegúrese de que esté seleccionada la opción Detectar automáticamente la red intranet o que estén seleccionadas todas las opciones.

5. Selecciona en Avanzado.

6. Añada el FQDN de Automation Suite a la Intranet local.

7. Selecciona Cerrar y Aceptar.

8. Selecciona en Nivel personalizado.

9. Opcionalmente, seleccione Inicio de sesión automático solo en la zona Intranet en Autenticación de usuario

   Si se selecciona, cuando el navegador recibe la solicitud de autenticación de redirección, compruebe el origen del requerimiento. Si el dominio o la IP pertenecen a la Intranet, el navegador envía el nombre de usuario y la contraseña automáticamente. Si no es así, el navegador abre un cuadro de diálogo para introducir el nombre de usuario y la contraseña, y espere que se introduzcan manualmente.

10. Opcionalmente, seleccione Inicio de sesión automático con el nombre de usuario y la contraseña actuales en Autenticación de usuario.

    Si se selecciona, cuando el navegador reciba la solicitud de autenticación de redirección, envíe el nombre de usuario y la contraseña de forma silenciosa. Si el resultado de la autenticación es exitoso, el navegador continúa con la acción original. Si la autenticación falla, el navegador abra un cuadro de diálogo para introducir el nombre de usuario y la contraseña, y vuelva a intentarlo hasta que tenga éxito.

11. Asegúrese de que la opción Habilitar la autenticación integrada de Windows está seleccionada en la pestaña Opciones de Internet > Avanzadas y en la sección Seguridad.

Mozilla Firefox

1. Abra la ventana de configuración del navegador.
2. Escriba about:config en la barra de direcciones.
3. Especifica los FQDN de Automation Suite para los que utiliza la autenticación Kerberos:
   1. Busca el término network.negotiate.
   2. Habilite y configure los siguientes parámetros para Kerberos: network.negotiate-auth.delegation-uris (valor de ejemplo: uipath-34i5ui35f.westeurope.cloudapp.azure.com), network.negotiate-auth.trusted-uris (valor de ejemplo: uipath-34i5ui35f.westeurope.cloudapp.azure.com) y network.negotiate-auth.allow-non-fqdn (valor: true).

Paso 4. Permitir la autenticación de Windows para la organización

Ahora que la plataforma UiPath está integrada con la autenticación de Windows, los usuarios para los que se crea una cuenta de usuario en UiPath pueden utilizar la opción de Windows en la página de inicio de sesión para iniciar sesión en la plataforma UiPath.

Figura 1. Opción de inicio de sesión de Windows

Cada administrador de la organización debe seguir estos pasos si quiere permitir el inicio de sesión con credenciales de Windows.

1. Inicia sesión como administrador de la organización.
2. Asigna un rol a nivel de organización a un usuario o grupo de Active Directory, que puedes seleccionar en la búsqueda.
3. Repite el paso anterior para cada usuario al que quieras permitir que inicie sesión con la autenticación de Windows.

Los usuarios a los que hayas asignado roles pueden iniciar sesión en la organización de UiPath con su cuenta de Active Directory. Deben iniciar sesión desde una máquina unida a un dominio.

Solución de problemas

Si recibes un error HTTP 500 al intentar iniciar sesión con las credenciales de Windows, realiza las siguientes comprobaciones:

1. ¿Está la máquina Windows unida por dominio?

   En la máquina, diríjase al Panel de control > Sistema y seguridad > Sistema y compruebe si se muestra un dominio. Si no se muestra ningún dominio, añada la máquina al dominio. Las máquinas deben estar unidas a un dominio para utilizar la autenticación de Windows con el protocolo Kerberos.

2. ¿Puedes iniciar sesión en la máquina Windows con las mismas credenciales?

   Si no es así, pida ayuda al administrador del sistema.

3. ¿Utilizas un explorador distinto de Microsoft Edge?

   Additional configuration is required for supported browsers other than Microsoft Edge.

4. Comprueba la configuración de keytab:

   1. Tras generar el keytab, en el servidor de Active Directory, la propiedad del usuario AD (servicePrincpalName) debe ser de la forma HTTP/<Service Fabric FQDN>; por ejemplo, HTTP/uipath-34i5ui35f.westeurope.cloudapp.azure.com.

   2. La opción Esta cuenta admite cifrado AES de Kerberos de 256 bits debe seleccionarse para la cuenta de usuario en AD.

      Si esto no está configurado correctamente, en el registro de identity-service-api, se muestra lo siguiente:

      Microsoft.AspNetCore.Authentication.Negotiate.NegotiateHandler An exception occurred while processing the authentication request.
      GssApiException*GSSAPI operation failed with error - Unspecified GSS failure. Minor code may provide more information (Request ticket server HTTP/[e-mail] kvno 4 enctype aes256-cts found in keytab but cannot decrypt ticket).* at Microsoft.AspNetCore.Authentication.Negotiate.NegotiateHandler.HandleRequestAsync()
      

5. Si tienes varios Active Directory configurados en el dominio que estás utilizando, la autenticación falla y en el registro de identity-service-api, se muestra lo siguiente:

   kinit: Client '[e-mail]' not found in Kerberos database while getting initial credentials
   

   En este caso, asegúrese de que la cuenta de máquina creada para la autenticación se replica en todos los directorios activos.

6. Si ejecutas ktpass y asignas una nueva contraseña a la cuenta de usuario, la versión de la clave (kvno) aumenta e invalida la antigua keytab. En el registro de identity-service-api, se muestra lo siguiente:

   Request ticket server HTTP/rpasf.EXAMPLE.COM kvno 4 not found in keytab; ticket is likely out of date
   

   En este caso, es necesario actualizar krb5KeytabSecret en ArgoCD.

7. Si encuentras el siguiente error en el pod identity-service-api :

   GssApiException*GSSAPI operation failed with error - Unspecified GSS failure. Minor code may provide more information (Keytab FILE:/uipath/krb5/krb5.keytab is nonexistent or empty).
   

   1. Primero comprueba si has proporcionado el parámetro global.userInputs.identity.krb5KeytabSecret en ArgoCD. Si el parámetro existe, comprueba si puedes iniciar sesión en el equipo Windows con las credenciales del usuario de AD utilizado para generar el llavero. Ten en cuenta que debes volver a generar el keytab si la contraseña ha cambiado o ha caducado.
   2. Otra posible causa de este problema es que ArgoCD se haya sincronizado previamente de forma incorrecta. Para solucionar el problema, elimina el global.userInputs.identity.krb5KeytabSecret existente, sincroniza ArgoCD y, una vez que la operación se haya realizado correctamente, actualiza global.userInputs.identity.krb5KeytabSecret y vuelve a sincronizarlo.

8. ¿El navegador utiliza el SPN esperado?

   Si el registro de eventos de Kerberos está habilitado siguiendo estas instrucciones, se mostrará el error KDC_ERR_S_PRINCIPAL_UNKNOWN en los registros de eventos de Kerberos. Para obtener más información sobre este problema, consulta la documentación de Microsoft.

   Para resolver este problema, deshabilita la búsqueda de CNAME al negociar la autenticación Kerberos modificando la política de grupo. Para obtener más información, consulta las instrucciones para Google Chrome y para Microsoft Edge.