Configuración de clave de cifrado por inquilino

Es posible utilizar Key Vault de Microsoft Azure para cifrar cada tenant en tu instancia de Orchestrator con su propia clave única. Orchestrator utiliza Key Vault para almacenar y gestionar las claves de forma segura, garantizando la mejor segregación de tus datos entre tenants.

La instancia de Orchestrator instalada en Automation Suite puede aprovechar esta función, pero debe conectar la aplicación Orchestrator a Internet y a Azure Key Vault.

Información general

Se necesita autenticación de Orchestrator para utilizar Azure Key Vault a través de los Registros de aplicaciones. Los registros de aplicación pueden conceder una serie de privilegios a las aplicaciones.En nuestro caso, Orchestrator es la aplicación, y Azure Key Vault es el privilegio objetivo.

Primero deberás configurar el acceso a los registros de aplicaciones a Azure Key Vault.La autenticación de Orchestrator con registros de aplicaciones es posible utilizando la clave privada SSL de un certificado con la clave pública SSL cargada en los registros de aplicaciones. Después de configurar los registros de aplicaciones y Key Vault, debe introducir algunos cambios en el mapa de configuración orchestrator-customconfig utilizado en el clúster de Automation Suite y modificar los parámetros de ArgoCD pertinentes para la aplicación de Orchestrator desde la UI de ArgoCD. Una vez cumplidos estos criterios, Orchestrator puede utilizar Azure Key Vault para cifrar cada tenant.

Requisitos previos

• Tu propio Key Vault de Microsoft Azure
• Una instalación Orchestrator limpia en Automation Suite

• Un certificado SSL válido:

  • Certificado de clave privada: debe cargarse en Servicios de aplicacioness > Configuración SSL > Certificados de clave privada
  • Certificado de clave pública: debe cargarse en Registros de aplicaciones > Configuración > Claves > Claves públicas
• (Opcional) Un certificado autofirmado

Para convertir el .pfx archivo de certificado a base64, ejecute el siguiente comando:

• PowerShell: [convert]::ToBase64String((Get-Content -path "path_to_certificate" -Encoding byte))
• Shell: base64 [_path_to_certificate_]

Nota: Los usuarios no deben editar las claves de cifrado en Azure Key Vault, como habilitar o deshabilitar secretos o editar la fecha de activación y la fecha de caducidad. Si se deshabilita un secreto, los datos guardados por Orchestrator para ese tenant no se podrán desencriptar.

Pasos de registro de aplicaciones

Sigue los siguientes pasos en el panel Registros de aplicaciones del portal Azure:

1. Crea un nuevo registro de aplicaciones.
2. Copia el ID de aplicación (cliente) para usarlo más tarde.
3. Ve a Administrar > Certificados y Secretos y carga la clave de certificado SSL público mencionada en el requisito previo.

Pasos de Key Vault de Azure

En Azure Key Vault, haz lo siguiente:

1. Accede a la página Resumen de Key Vaults y copia el nombre de DNS para usarlo más tarde.
2. Ve a la página Key Vaults y selecciona Ajustes > Políticas de acceso.
3. Haz clic en Añadir política de acceso.
4. Desde el menú desplegable Configurar desde plantilla (opcional) selecciona Administración de clave, secreto y certificado.
5. Haz clic en Ninguna seleccionada en la sección Aplicación autorizada para habilitar el campo Seleccionar principal.
6. Escribe el nombre del registro de la aplicación, confirma que el ID de la aplicación es correcto, y selecciona esta principal.
7. Haz clic en Añadir.
   
   

   

   
   

Pasos de la configuración personalizada de Orchestrator

Introduzca los siguientes cambios en la configuración de Orchestrator:

1. Configure Azure Key Vault para la instancia de Orchestrator desde los parámetros de UI de ArgoCD:
   1. Copia el formulario base64 del certificado y proporciónalo como valor para el parámetro encryptionKeyPerTenant.certificateBase64.
   2. Copia la contraseña del certificado, de haberla, y proporciónala como un valor para el parámetro encryptionKeyPerTenant.certificatePassword.
   3. Copia el ID de aplicación de entrada (Cliente) de la página Registros de aplicaciones y establécelo como valor en el parámetro encryptionKeyPerTenant.clientId.
   4. Copia el ID del directorio (tenant) de tu organización de la página Registros de aplicaciones y proporciónalo como valor para el parámetro encryptionKeyPerTenant.directoryId.
   5. Copia el Nombre de DNS de la página Resumen de Key Vaults y establécelo como valor en el parámetro encryptionKeyPerTenant.vaultAddress.
   
   

   

   
   
2. Actualice la AppSettingssección del mapa de orchestrator-customconfigconfiguración como sigue para habilitar la función de clave de difrado por tenant:
   1. Establecer EncryptionKeyPerTenant.Enabled en true.
   2. Establecer EncryptionKeyPerTenant.KeyProvider en AzureKeyVault.
      Esto se puede hacer a través de la o actualizando el mapa de configuración con Lente.
3. Reinicie la implementación de Orchestrator Automation Suite desde el clúster para aplicar los cambios.

Nota: Si estás migrando de una instancia de Orchestrator independiente a Automation Suite, la configuración SMTP de Identity Server no está cifrada con la clave por tenant. Una vez completada la migración, asegúrese de volver a introducir la contraseña SMTP en el portal de Automation Suite.