Configurar la autenticación Kerberos

Referencia de los requisitos previos y pasos para configurar la autenticación Kerberos en Automation Suite.

Requisitos previos

Para configurar correctamente la autenticación Kerberos, debe cumplir los siguientes requisitos previos:

• Garantizar que el clúster de Automation Suite pueda acceder a su AD
• Configurar la cuenta del servicio AD para la autenticación Kerberos
• Opcional: Requisitos previos de autenticación SQL

Garantizar que el clúster de Automation Suite pueda acceder a su AD

Antes de configurar la autenticación Kerberos, consulte a los administradores de TI si el clúster de Automation Suite puede acceder a su instancia de AD.

Deben cumplirse los siguientes requisitos:

• El clúster de Automation Suite debe estar en la misma red que el dominio de AD.
• El DNS debe configurarse correctamente en la red para que el clúster de Automation Suite pueda resolver los nombres de dominio de AD.
  Nota:

  Es de vital importancia que el clúster de Automation Suite pueda resolver el AD domain names. Puede verificarlo ejecutando nslookup <AD domain name> en la máquina host.

Configurar la cuenta del servicio AD para la autenticación Kerberos

Generación de parámetros de keytab y nombre de usuario predeterminados de Kerberos

Opción 1: ejecutando el script (recomendado)

1. Inicia sesión con tu cuenta de administrador de AD en una máquina unida a un dominio de Windows.
2. Ejecuta el script keytab-creator.ps1 como administrador.
3. Introduzca los siguientes valores en el script:
   1. Service Fabric FQDN. Por ejemplo, uipath-34i5ui35f.westeurope.cloudapp.azure.com.
   2. AD domain FQDN. Por ejemplo, TESTDOMAIN.LOCAL.
   3. Una cuenta de usuario de AD. Puedes usar una cuenta existente, como sAMAccountName, o puedes permitir que el script cree una nueva.

El archivo de salida contiene los parámetros <KERB_DEFAULT_USERNAME> y <KERB_DEFAULT_KEYTAB> requeridos por la configuración de Kerberos.

Opción 2: manualmente

Hable con su administrador de AD sobre la cuenta de usuario de AD, y recupere <KERB_DEFAULT_USERNAME> y <KERB_DEFAULT_KEYTAB> para dicha cuenta de la siguiente manera:

1. Cree una cuenta de usuario nuevo en su servidor AD. Si ya tiene una, continúe con el paso 2.

   1. En la consola Usuarios y equipos de Active Directory, abre el menú contextual de la carpeta Usuarios , selecciona Nuevo y luego selecciona Usuario.
   2. Termine de crear la cuenta de usuario.

2. Abre el menú contextual de la cuenta de usuario y selecciona Propiedades.

3. Vaya a la pestaña Cuenta y, en Opciones de cuenta, seleccione Esta cuenta admite cifrado AES de Kerberos de 256 bits.

4. Importante: El archivo keytab generado en los siguientes pasos dejará de ser válido si la contraseña de usuario de AD expira o se actualiza. Plantéese marcar La contraseña no caduca nunca en Opciones de cuenta para esta cuenta de usuario de AD. Como alternativa, puede actualizar la contraseña cuando esté a punto de caducar y generar un nuevo archivo keytab.

5. Para generar un archivo keytab para el SPN, abra PowerShell con acceso de administrador y ejecute el siguiente comando:

   ktpass -princ HTTP/<Service Fabric FQDN>@<AD FQDN in cap> -pass <AD user's password> -mapuser <AD NetBIOS name in cap>\<AD user name> -pType KRB5_NT_PRINCIPAL -out <output file path> -crypto AES256-SHA1
   

   Algunos campos deben especificarse en mayúsculas. Por ejemplo:

   ktpass -princ HTTP/[e-mail] -pass pwd123 -mapuser TESTDOMAIN\aduser -pType KRB5_NT_PRINCIPAL -out c:\krb5.keytab -crypto AES256-SHA1 -setpass
   

   Nota:

   Para actualizar keytab para Automation Suite, ejecuta el comando con la opción -setpass . La primera vez que generes el keytab, debes ejecutar el comando como administrador de dominio. Esto es necesario porque el comando actualiza el SPN de la cuenta de servicio. Para actualizaciones posteriores, puedes ejecutar el comando como usuario del dominio si la asignación de SPN no ha cambiado.

   Después de la generación del keytab, el nombre de inicio de sesión del usuario cambia a HTTP/<Service Fabric FQDN>. Utiliza este valor para el campo <KERB_DEFAULT_USERNAME> en default_ad_username en cluster_config.json de la siguiente manera:

   "kerberos_auth_config": {
         "enabled": true,
         "ticket_lifetime_in_hour": 8,
         "ad_domain": "AUTOSUITEAD.LOCAL",
         "default_ad_username": "HTTP/sfqakxxxx-ea.infra.uipath-dev.com",
         "default_user_keytab": "BQIAAAB9AAIxxxxxxxxxxxxxxxxxxGRCqh+yQ="
         "enable_integrated_sql_auth": true
   },
   

   Nota:

   El parámetro enable_integrated_sql_auth está establecido en true de forma predeterminada. Si quieres deshabilitar la autenticación Kerberos para SQL para todos los productos, debes establecer el parámetro en false.

6. Cifre el archivo keytab generado en Base64, abra PowerShell y ejecute el siguiente comando:

   [Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<path to the generated keytab file>"))
   

7. Guarde el archivo keytab codificado. Lo utilizará al configurar el clúster de UiPath® para Kerberos. A este valor del paso 6 lo vamos a llamar <KERB_DEFAULT_KEYTAB>.

Opcional: Requisitos previos de autenticación SQL

Para configurar el clúster de UiPath® para conectarse a SQL mediante la autenticación integrada de Windows o mediante Kerberos, necesita realizar una serie de pasos adicionales:

• El servidor SQL debe conectarse al dominio de AD.
• El clúster de Automation Suite debe estar en la misma red que el servidor SQL.
• El clúster de Automation Suite puede resolver los nombres de dominio de los servidores SQL y AD.
• El usuario de AD debe tener acceso a los permisos del servidor SQL y de la base de datos.

Para crear un nuevo inicio de sesión en SQL Server Management Studio, siga estos pasos:

a. En el panel Explorador de objetos, ve a Seguridad > Inicios de sesión.

b. Abre el menú contextual de la carpeta Inicios de sesión y selecciona Nuevo inicio de sesión. Se mostrará la ventana Inicio de sesión: nuevo .

c. Selecciona la opción Autenticación de Windows. La ventana se actualizará en consecuencia.

D. En el campo Nombre de inicio de sesión , introduce el dominio de usuario que deseas utilizar como cuenta de servicio.

e. En la lista de Idioma predeterminado, selecciona Inglés.

Importante:

Asegúrate de que el idioma predeterminado esté establecido en inglés. Si no es así, el sitio web no puede iniciarse y el Visor de eventos en el equipo en el que está instalado Orchestrator muestra el siguiente mensaje de error: The conversion of a varchar data type to a datetime data type resulted in an out of range value.

f. Selecciona Aceptar. Sus configuraciones se guardan.

Si la cuenta de servicio ya se ha creado y añadido a la sección Seguridad > Inicios de sesión de SQL Server, comprueba que el idioma predeterminado de esa cuenta SQL esté establecido en inglés. Si no lo está, realiza los ajustes necesarios.

Es necesario proporcionar al usuario que va a conectarse a la base de datos SQL el rol db_owner de asignación de usuarios, como se muestra en la siguiente captura de pantalla.

Si las restricciones de seguridad no te permiten utilizar el rol db_owner de asignación de usuarios con el inicio de sesión de UiPath®, concede los siguientes permisos:

• db_datareader

• db_datawriter

• db_ddladmin

• EXECUTE permiso en el esquema dbo

  

Debe otorgarse el permiso EXECUTE utilizando el comando GRANT EXECUTE de SQL, como se muestra a continuación:

USE UiPath
GO
GRANT EXECUTE ON SCHEMA::dbo TO [domain\)\)user]
GO

Si quiere que las aplicaciones de UiPath® utilicen cuentas exclusivas para conectarse a SQL mediante Integrated Security=True, necesitará crear un archivo keytab exclusivo para cada aplicación de UiPath®, tal como se indica a continuación. Para esta aplicación, se le denominará <KERB_APP_KEYTAB>.

Generar el keytab de la aplicación de Kerberos y los parámetros de nombre de usuario

Opción 1: ejecutando el script (recomendado)

1. Ejecuta el script service-keytab-creator.ps1.
2. Introduzca los siguientes valores en el script:
   1. AD domain FQDN. Por ejemplo, TESTDOMAIN.LOCAL.
   2. El nombre de usuario y la contraseña de una cuenta de usuario de AD. Por ejemplo, la cuenta de usuario de AD sAMAccountName y su contraseña.

El archivo de salida contiene los parámetros <KERB_APP_USERNAME> y <KERB_APP_KEYTAB> requeridos por Kerberos.

Opción 2: manualmente

Ejecuta el siguiente script manualmente:

# Generate keytab file and output it in the desired path 
ktpass /princ <AD username>@<AD domain in cap> /pass <AD user password> /ptype KRB5_NT_PRINCIPAL /crypto AES256-SHA1 /out <path to keytab file> -setpass 

# Converts AD user's keytab file to base 64 
[Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<path to the generated keytab file>"))

El valor <AD username> será el <KERB_APP_USERNAME> correspondiente a <KERB_APP_KEYTAB>.

Configurar Automation Suite como cliente de Kerberos

Esta sección explica cómo configurar Automation Suite como cliente de Kerberos para el acceso a LDAP o SQL.

Configure Automation Suite como cliente de Kerberos con <KERB_DEFAULT_KEYTAB> de alguna de las siguientes formas:

• Configurar la autenticación Kerberos mediante el instalador interactivo
• Configurar la autenticación Kerberos mediante cluster_config.json
  Nota:

  Actualmente, permitimos la configuración independiente de solo la autenticación de usuario estableciendo kerberos_auth_config.enabled en verdadero y kerberos_auth_config.enable_integrated_sql_auth en falso. La autenticación de SQL independiente aún no es compatible.

Configurar la autenticación Kerberos mediante el instalador interactivo

1. En el momento de ejecutar el instalador de Automation Suite, especifique que quiere activar la autenticación Kerberos en la configuración de la implementación:

   ===============================================================================
                               Deployment configuration
   ===============================================================================
   Are you performing an evaluation/development/test/demo or a production deployment?
   [1] Production deployment (multi-node)
   [2] Evaluation/development/test/demo deployment (single-node)
   Enter your choice [2]: 2
   Will your deployment have access to Internet (online) or is it physically isolated from unsecured networks (air-gapped)?
   [1] Online
   [2] Air-gapped
   Enter your choice [1]: 1
   Enter the Automation Suite FQDN []: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   sfdev1868610-d053997f-lb.eastus.cloudapp.azure.comsfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   Would you like to enable Kerberos Auth? This will be used to connect to SQL Databases and Active Directory Lightweight Directory Adaptor if configured.
   [1] Yes
   [2] No
   Enter your choice [2]: 1
   

2. Proporcione los parámetros de entrada para la autenticación Kerberos:
   Nota:

   Esta es la configuración predeterminada de la autenticación Kerberos para todos los servicios. Si quiere configurar un usuario de AD diferente para cada servicio, puede especificar los valores en el objeto JSON específico del servicio en un paso posterior durante la instalación.

   Specify the Active Directory domain for Kerberos Auth []: 
   Specify the Ticket Granting Ticket lifetime (TGT) in hours between 8 and 168 for Kerberos Auth [8]:
   Specify the default Active Directory username for Kerberos Auth []: 
   Specify the default Active Directory user's keytab for Kerberos Auth []: 
   Specify the SQL server FQDN []: 
   Specify the SQL server connection PORT [1433]:
   

   Nota:

   El controlador de dominio AD tiene la configuración Vigencia máxima del ticket de usuario Kerberos dentro de la Política de dominio predeterminada. Asegúrate de que la vigencia del ticket configurada aquí no sea mayor que la configuración del lado del servidor. Debes generar el archivo keytab (<KERB_DEFAULT_KEYTAB>) como se describe en la sección Requisitos previos y proporcionar el valor codificado en base64 al instalador. A continuación, debes proporcionar <KERB_DEFAULT_USERNAME> como valor para Active Directory username al instalador.

3. Complete el resto de la experiencia de instalación como se muestra en el siguiente ejemplo:

   Would you like the databases to be automatically provisioned for all the products you've selected?
   [1] Yes
   [2] No
   Enter your choice [1]: 1
   The following databases will be provisioned automatically:
   - Shared suite capabilities: AutomationSuite_Platform
   - Orchestrator: AutomationSuite_Orchestrator
   - Test Manager: AutomationSuite_Test_Manager
   - Insights: AutomationSuite_Insights
   - Automation Hub: AutomationSuite_Automation_Hub
   - Automation Ops: AutomationSuite_Automation_Ops
   - AI Center: AutomationSuite_AICenter
   - Document understanding: AutomationSuite_DU_Datamanager
   ===============================================================================
                               Current config values
   ===============================================================================
   Multi node: false
   Airgapped: false
   Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   Sql port: 1433
   Sql username:
   Sql password:
   Create sql databases: true
   Kerberos Auth enabled: true
   Kerberos Auth Active Directory domain: abcd.com
   Kerberos Auth TGT lifetime in hours: 8
   Kerberos Auth default Active Directory username: ad_user
   Kerberos Auth default user's keytab: XXXXXXXXX
   The cluster configuration file was generated at /tmp/UiPathAutomationSuite/cluster_config.json:
   [1] Continue installing with the default config
   [2] Edit the config
   [3] Go to the main menu
   For advanced settings, quit now and manually edit the config file.
   Once the configuration file is updated, run the deployment wizard again and follow the instructions.
   Would you like the databases to be automatically provisioned for all the products you've selected?
   [1] Yes
   [2] No
   Enter your choice [1]: 1
   The following databases will be provisioned automatically:
   - Shared suite capabilities: AutomationSuite_Platform
   - Orchestrator: AutomationSuite_Orchestrator
   - Test Manager: AutomationSuite_Test_Manager
   - Insights: AutomationSuite_Insights
   - Automation Hub: AutomationSuite_Automation_Hub
   - Automation Ops: AutomationSuite_Automation_Ops
   - AI Center: AutomationSuite_AICenter
   - Document understanding: AutomationSuite_DU_Datamanager
   ===============================================================================
                               Current config values
   ===============================================================================
   Multi node: false
   Airgapped: false
   Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   Sql port: 1433
   Sql username:
   Sql password:
   Create sql databases: true
   Kerberos Auth enabled: true
   Kerberos Auth Active Directory domain: abcd.com
   Kerberos Auth TGT lifetime in hours: 8
   Kerberos Auth default Active Directory username: ad_user
   Kerberos Auth default user's keytab: XXXXXXXXX
   The cluster configuration file was generated at /tmp/UiPathAutomationSuite/cluster_config.json:
   [1] Continue installing with the default config
   [2] Edit the config
   [3] Go to the main menu
   For advanced settings, quit now and manually edit the config file.
   Once the configuration file is updated, run the deployment wizard again and follow the instructions.
   

4. Opcional: puedes editar la configuración:

   ===============================================================================
                       Choose what setting you want to edit
   ===============================================================================
   [1] Multi node: false
   [2] Airgapped: false
   [3] Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   [4] Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   [5] Sql port: 1433
   [6] Sql username:
   [7] Sql password:
   [8] Create sql databases: true
   [9] Kerberos Auth enabled: true
   [10] Kerberos Auth Active Directory domain: abcd.com
   [11] Kerberos Auth TGT lifetime in hours
   [12] Kerberos Auth default Active Directory username: ad_user
   [13] Kerberos Auth default user's keytab: XXXXXXXXX===============================================================================
                       Choose what setting you want to edit
   ===============================================================================
   [1] Multi node: false
   [2] Airgapped: false
   [3] Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   [4] Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   [5] Sql port: 1433
   [6] Sql username:
   [7] Sql password:
   [8] Create sql databases: true
   [9] Kerberos Auth enabled: true
   [10] Kerberos Auth Active Directory domain: abcd.com
   [11] Kerberos Auth TGT lifetime in hours
   [12] Kerberos Auth default Active Directory username: ad_user
   [13] Kerberos Auth default user's keytab: XXXXXXXXX
   

Configurar la autenticación Kerberos a través de cluster_config.json

1. En el archivo cluster_config.json, establece el parámetro kerberos_auth_config.enabled como true.
2. Si quiere utilizar Kerberos para el acceso a SQL, configure sql_connection_string_template, sql_connection_string_template_jdbc y sql_connection_string_template_odbc con la marca Seguridad integrada.
   Nota:

   La autenticación Kerberos no es compatible exclusivamente con SQL. Para activar Kerberos con autenticación SQL, debes habilitar kerberos_auth_config. Esto también añade la autenticación de usuario.

3. Si quieres configurar un usuario de AD diferente por servicio, sigue los siguientes pasos:

   1. Especifica ad_username y user_keytab en el objeto JSON del grupo de servicios.

   2. Actualice la cadena de conexión SQL para el servicio para habilitar la seguridad integrada.

   3. El parámetro enabled se establece en true de forma predeterminada cuando la autenticación Kerberos está habilitada a nivel global. Si quieres deshabilitar la autenticación Kerberos para SQL para un producto específico, debes establecer enabled como false.

      El objeto JSON debe ser el siguiente:

      "<serviceGroupName>": {
         "kerberos_auth_config": {
           "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for this service group",
           "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for this service group",
           "enabled": true
         }
      }
      

      Nota:

      Para obtener la lista de nombres de grupos de servicios, consulta Grupos de servicios y servicios.

4. Después de actualizar cluster_config.json, ejecuta el script del instalador para actualizar la configuración. Para obtener más información, consulta Gestionar productos.

Nota:

Puedes utilizar este procedimiento para actualizar o rotar el keytab de Kerberos.

Ejemplo de actualización de Orchestrator y la plataforma para utilizar la autenticación Kerberos

  "kerberos_auth_config": {
    "enabled" : true,
    "ticket_lifetime_in_hour" : 8,
    "ad_domain": "PLACEHOLDER - INSERT ACTIVE DIRECTORY DOMAIN",
    "default_ad_username": "PLACEHOLDER - INSERT KERB_DEFAULT_USERNAME",
    "default_user_keytab": "PLACEHOLDER - INSERT KERB_DEFAULT_KEYTAB",
    "enable_integrated_sql_auth": true
  },
  "sql_connection_string_template": "PLACEHOLDER",
  "sql_connection_string_template_jdbc": "PLACEHOLDER",
  "sql_connection_string_template_odbc": "PLACEHOLDER",
  "orchestrator": {
    "sql_connection_str": "Server=tcp:sfdev1804627-c83f074b-sql.database.windows.net,1433;Initial Catalog=AutomationSuite_Orchestrator;Persist Security Info=False;Integrated Security=true;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Max Pool Size=100;",
    "kerberos_auth_config": {
      "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for Orchestrator",
      "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for Orchestrator",
      "enabled": true
    },
    "testautomation": {
      "enabled": true
    },
    "updateserver": {
      "enabled": true
    }
  },
  "platform": {
    "sql_connection_str": "Server=tcp:sfdev1804627-c83f074b-sql.database.windows.net,1433;Initial Catalog=AutomationSuite_Platform;Persist Security Info=False;Integrated Security=true;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Max Pool Size=100;",
    "kerberos_auth_config": {
      "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for platform",
      "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for platform",
      "enabled": true
    }
  }

Nota:

El parámetro enable_integrated_sql_auth está establecido en true de forma predeterminada. Si quieres deshabilitar la autenticación Kerberos para SQL para todos los productos, debes establecer este parámetro en false.

Grupos de servicios y servicios

La siguiente tabla enumera los grupos de servicios disponibles y los servicios que incluyen. Los nombres son ligeramente diferentes en el archivo cluster_config.json o en la interfaz de usuario de ArgoCD.

Nombre de grupo del servicio para cluster_config.json	Nombre del grupo de servicios para ArgoCD	Servicios incluidos
orchestrator	orchestrator	Orchestrator, Webhooks
platform	platform	Identidad, licencia contable (LA), auditoría, ubicación, administrador de recursos de licencia (LRM), servicio de gestión de la organización (OMS)
discovery_group	discoverygroup	Centro de automatización, Task Mining
test_manager	testmanager	Test Manager
automation_ops	automationops	Automation Ops
aicenter	aicenter	AI Center
documentunderstanding	documentunderstanding	Document Understanding
insights	insights	Insights
dataservice	dataservice	Data Service
asrobots	asrobots	Automation Suite Robots
processmining	processmining	Process Mining

Configurar la integración de Active Directory

Para la autenticación Kerberos que va a utilizarse al iniciar sesión en Automation Suite, debe realizar más ajustes en la configuración del host de Automation Suite.

Disabling Kerberos authentication

Removing Kerberos authentication completely

Para eliminar por completo la autenticación de Kerberos, siga los siguientes pasos:

1. Si utilizaste Kerberos para configurar la integración de AD, vuelve a configurar AD con la opción de nombre de usuario y contraseña siguiendo las instrucciones en Configurar la integración de Active Directory.
2. If you used SQL integrated authentication, configure the SQL connection strings to use User Id and Password.
3. Deshabilita la autenticación Kerberos. En el archivo cluster_config.json , establece el parámetro kerberos_auth_config.enabled en false y, a continuación, ejecuta el script del instalador para actualizar la configuración. Para obtener más información, consulta Gestionar productos.

Removing SQL integrated authentication

Para eliminar la autenticación integrada de SQL, siga los siguientes pasos:

1. Configure the SQL connection strings to use User Id and Password.
2. Si quieres deshabilitar la autenticación integrada de SQL para todos los servicios, en el archivo cluster_config.json , establece el parámetro kerberos_auth_config.enabled en false y luego ejecuta el script del instalador para actualizar la configuración. Para obtener más información, consulta Gestionar productos.

Resolución de problemas de Kerberos

Si tienes algún problema al configurar Kerberos, consulta Solución de problemas de autenticación.