Configurar la autenticación Kerberos

Requisitos previos

Para configurar correctamente la autenticación Kerberos, debe cumplir los siguientes requisitos previos:

• Garantizar que el clúster de Automation Suite pueda acceder a su AD
• Configurar la cuenta del servicio AD para la autenticación Kerberos
• Opcional: Requisitos previos de autenticación SQL

Garantizar que el clúster de Automation Suite pueda acceder a su AD

Antes de configurar la autenticación Kerberos, consulte a los administradores de TI si el clúster de Automation Suite puede acceder a su instancia de AD.

Deben cumplirse los siguientes requisitos:

• El clúster de Automation Suite debe estar en la misma red que el dominio de AD.

• El DNS debe configurarse correctamente en la red para que el clúster de Automation Suite pueda resolver los nombres de dominio de AD.

  Nota:

  Es de vital importancia que el clúster de Automation Suite pueda resolver el AD domain names. Puede verificarlo ejecutando nslookup <AD domain name> en la máquina host.

Configurar la cuenta del servicio AD para la autenticación Kerberos

Generación de parámetros de keytab y nombre de usuario predeterminados de Kerberos

Opción 1: ejecutando el script (recomendado)

1. Inicia sesión con tu cuenta de administrador de AD en una máquina unida a un dominio de Windows.
2. Ejecuta el script keytab-creator.ps1 como administrador.
3. Introduzca los siguientes valores en el script:
   1. Service Fabric FQDN. Por ejemplo, uipath-34i5ui35f.westeurope.cloudapp.azure.com.
   2. AD domain FQDN. Por ejemplo, TESTDOMAIN.LOCAL.
   3. Una cuenta de usuario de AD. Puedes usar una cuenta existente, como sAMAccountName, o puedes permitir que el script cree una nueva.

El archivo de salida contiene los parámetros <KERB_DEFAULT_USERNAME> y <KERB_DEFAULT_KEYTAB> requeridos por la configuración de Kerberos.

Opción 2: manualmente

Hable con su administrador de AD sobre la cuenta de usuario de AD, y recupere <KERB_DEFAULT_USERNAME> y <KERB_DEFAULT_KEYTAB> para dicha cuenta de la siguiente manera:

1. Cree una cuenta de usuario nuevo en su servidor AD. Si ya tiene una, continúe con el paso 2.

   1. In the Active Directory Users and Computers console, right-click the Users folder, click New, and then select User.
   2. Termine de crear la cuenta de usuario.

2. Haga clic con el botón derecho en la cuenta de usuario y seleccione Propiedades.

3. Vaya a la pestaña Cuenta y, en Opciones de cuenta, seleccione Esta cuenta admite cifrado AES de Kerberos de 256 bits.

4. Important: The keytab generated in the next steps will become invalid if the AD user's password is expired or updated. Moreover, using @ in the password can result in an incorrect keytab, leading to Kerberos authentication and validation failures. Consider checking Password never expires under Account options for this AD user account or avoid using @ in your password. Alternatively, you can update the password when it is about to expire and generate a new keytab.

5. Nota:

   Para generar un archivo keytab para el SPN, abra PowerShell con acceso de administrador y ejecute el siguiente comando:

   ktpass -princ HTTP/<Service Fabric FQDN>@<AD FQDN in cap> -pass <AD user's password> -mapuser <AD NetBIOS name in cap>\<AD user name> -pType KRB5_NT_PRINCIPAL -out <output file path> -crypto AES256-SHA1
   

   Algunos campos deben especificarse en mayúsculas. Por ejemplo:

   ktpass -princ HTTP/[e-mail] -pass pwd123 -mapuser TESTDOMAIN\aduser -pType KRB5_NT_PRINCIPAL -out c:\krb5.keytab -crypto AES256-SHA1 -setpass
   

   Nota:

   To update the keytab for Automation Suite, run the command with the -setpass option. The first time you generate the keytab, you must run the command as a domain administrator. This is required because the command updates the service account’s SPN. For later updates, you can run the command as the domain user if the SPN mapping hasn’t changed.

   Después de la generación del keytab, el nombre de inicio de sesión del usuario cambia a HTTP/<Service Fabric FQDN>. Utiliza este valor para el campo <KERB_DEFAULT_USERNAME> en el parámetro global.kerberosAuthConfig.adUserName de la aplicación UiPath® en la interfaz de usuario de ArgoCD.

6. Cifre el archivo keytab generado en Base64, abra PowerShell y ejecute el siguiente comando:

   [Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<path to the generated keytab file>"))
   

7. Guarde el archivo keytab codificado. Lo utilizará al configurar el clúster de UiPath® para Kerberos. A este valor del paso 6 lo vamos a llamar <KERB_DEFAULT_KEYTAB>.

Opcional: Requisitos previos de autenticación SQL

Para configurar el clúster de UiPath® para conectarse a SQL mediante la autenticación integrada de Windows o mediante Kerberos, necesita realizar una serie de pasos adicionales:

• El servidor SQL debe conectarse al dominio de AD.
• El clúster de Automation Suite debe estar en la misma red que el servidor SQL.
• El clúster de Automation Suite puede resolver los nombres de dominio de los servidores SQL y AD.
• El usuario de AD debe tener acceso a los permisos del servidor SQL y de la base de datos.

Para crear un nuevo inicio de sesión en SQL Server Management Studio, siga estos pasos:

a. En el panel Explorador de objetos, ve a Seguridad > Inicios de sesión.

b. Haz clic derecho en la carpeta Inicios de sesión y selecciona Nuevo inicio de sesión. Se mostrará así la ventana Inicio de sesión: nuevo.

c. Selecciona la opción Autenticación de Windows. La ventana se actualizará en consecuencia.

d. En el campo Nombre de inicio de sesión, escribe el dominio de usuario que quieres utilizar como una cuenta de servicio.

e. En la lista de Idioma predeterminado, selecciona Inglés.

Importante:

Asegúrate de que el idioma predeterminado esté establecido en inglés. Si no lo está, el sitio web no se podrá iniciar y el visor de eventos del equipo en el que Orchestrator está instalado mostrará el siguiente mensaje de error: "La conversión de un tipo de datos varchar a un tipo de datos datetime dio como resultado un valor de fuera de rango".

f. Selecciona Aceptar. Sus configuraciones se guardan.

Si la cuenta de servicio ya se ha creado y añadido a la sección Seguridad > Inicios de sesión de SQL Server, comprueba que el idioma predeterminado de esa cuenta SQL esté establecido en inglés. Si no lo está, realiza los ajustes necesarios.

Es necesario proporcionar al usuario que va a conectarse a la base de datos SQL el rol db_owner de asignación de usuarios, como se muestra en la siguiente captura de pantalla.

Si las restricciones de seguridad no te permiten utilizar el rol db_owner de asignación de usuarios con el inicio de sesión de UiPath®, concede los siguientes permisos:

• db_datareader

• db_datawriter

• db_ddladmin

• EXECUTE permiso en el esquema dbo

  

Debe otorgarse el permiso EXECUTE utilizando el comando GRANT EXECUTE de SQL, como se muestra a continuación:

USE UiPath
GO
GRANT EXECUTE ON SCHEMA::dbo TO [domain\)\)user]
GO

Si quiere que las aplicaciones de UiPath® utilicen cuentas exclusivas para conectarse a SQL mediante Integrated Security=True, necesitará crear un archivo keytab exclusivo para cada aplicación de UiPath®, tal como se indica a continuación. Para esta aplicación, se le denominará <KERB_APP_KEYTAB>.

Generar el keytab de la aplicación de Kerberos y los parámetros de nombre de usuario

Opción 1: ejecutando el script (recomendado)

1. Ejecuta el script service-keytab-creator.ps1.
2. Introduzca los siguientes valores en el script:
   1. AD domain FQDN. Por ejemplo, TESTDOMAIN.LOCAL.
   2. El nombre de usuario y la contraseña de una cuenta de usuario de AD. Por ejemplo, la cuenta de usuario de AD sAMAccountName y su contraseña.

El archivo de salida contiene los parámetros <KERB_APP_USERNAME> y <KERB_APP_KEYTAB> requeridos por Kerberos.

Opción 2: manualmente

Ejecuta el siguiente script manualmente:

# Generate keytab file and output it in the desired path
ktpass /princ <AD username>@<AD domain in cap> /pass <AD user password> /ptype KRB5_NT_PRINCIPAL /crypto AES256-SHA1 /out <path to keytab file> -setpass

# Converts AD user's keytab file to base 64
[Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<path to the generated keytab file>"))

El valor <AD username> será el <KERB_APP_USERNAME> correspondiente a <KERB_APP_KEYTAB>.

Configurar Automation Suite como cliente de Kerberos

Esta sección explica cómo configurar Automation Suite como cliente de Kerberos para el acceso a LDAP o SQL.

Configure Automation Suite como cliente de Kerberos con <KERB_DEFAULT_KEYTAB> de alguna de las siguientes formas:

• Configurar la autenticación Kerberos mediante el instalador interactivo

• Configurar la autenticación Kerberos mediante cluster_config.json

• Actualizar la autenticación Kerberos mediante una herramienta CLI

  Nota:

  Si quiere configurar diferentes servicios para ejecutarse en su propia cuenta de AD y acceder a SQL como dicha cuenta de AD, puede especificar ad_username como <KERB_APP_USERNAME> y user_keytab como <KERB_APP_KEYTAB> en la sección de configuración del servicio.

Configurar la autenticación Kerberos mediante el instalador interactivo

1. En el momento de ejecutar el instalador de Automation Suite, especifique que quiere activar la autenticación Kerberos en la configuración de la implementación:

   ===============================================================================
                               Deployment configuration
   ===============================================================================
   Are you performing an evaluation/development/test/demo or a production deployment?
   [1] Production deployment (multi-node)
   [2] Evaluation/development/test/demo deployment (single-node)
   Enter your choice [2]: 2
   Will your deployment have access to Internet (online) or is it physically isolated from unsecured networks (air-gapped)?
   [1] Online
   [2] Air-gapped
   Enter your choice [1]: 1
   Enter the Automation Suite FQDN []: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   sfdev1868610-d053997f-lb.eastus.cloudapp.azure.comsfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   Would you like to enable Kerberos Auth? This will be used to connect to SQL Databases and Active Directory Lightweight Directory Adaptor if configured.
   [1] Yes
   [2] No
   Enter your choice [2]: 1
   

2. Proporcione los parámetros de entrada para la autenticación Kerberos:

   Nota:

   Esta es la configuración predeterminada de la autenticación Kerberos para todos los servicios. Si quiere configurar un usuario de AD diferente para cada servicio, puede especificar los valores en el objeto JSON específico del servicio en un paso posterior durante la instalación.

   Specify the Active Directory domain for Kerberos Auth []:
   Specify the Ticket Granting Ticket lifetime (TGT) in hours between 8 and 168 for Kerberos Auth [8]:
   Specify the default Active Directory username for Kerberos Auth []:
   Specify the default Active Directory user's keytab for Kerberos Auth []:
   Specify the SQL server FQDN []:
   Specify the SQL server connection PORT [1433]:
   

   Nota:

   El controlador de dominio de AD tiene el ajuste Vigencia máxima del vale de usuario de Kerberos en la Directiva predeterminada de dominio. Asegúrese de que la vigencia del vale configurada aquí no sea mayor que la de la configuración del servidor.

   You must generate the keytab file (<KERB_DEFAULT_KEYTAB>) as described in the Prerequisites section and provide the base64 encoded value to the installer. Then, you must provide <KERB_DEFAULT_USERNAME> as a value for Active Directory username to the installer.

3. Complete el resto de la experiencia de instalación como se muestra en el siguiente ejemplo:

   Would you like the databases to be automatically provisioned for all the products you've selected?
   [1] Yes
   [2] No
   Enter your choice [1]: 1
   The following databases will be provisioned automatically:
   - Shared suite capabilities: AutomationSuite_Platform
   - Orchestrator: AutomationSuite_Orchestrator
   - Test Manager: AutomationSuite_Test_Manager
   - Insights: AutomationSuite_Insights
   - Automation Hub: AutomationSuite_Automation_Hub
   - Automation Ops: AutomationSuite_Automation_Ops
   - AI Center: AutomationSuite_AICenter
   - Document understanding: AutomationSuite_DU_Datamanager
   ===============================================================================
                               Current config values
   ===============================================================================
   Multi node: false
   Airgapped: false
   Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   Sql port: 1433
   Sql username:
   Sql password:
   Create sql databases: true
   Kerberos Auth enabled: true
   Kerberos Auth Active Directory domain: abcd.com
   Kerberos Auth TGT lifetime in hours: 8
   Kerberos Auth default Active Directory username: ad_user
   Kerberos Auth default user's keytab: XXXXXXXXX
   The cluster configuration file was generated at /tmp/UiPathAutomationSuite/cluster_config.json:
   [1] Continue installing with the default config
   [2] Edit the config
   [3] Go to the main menu
   For advanced settings, quit now and manually edit the config file.
   Once the configuration file is updated, run the deployment wizard again and follow the instructions.
   Would you like the databases to be automatically provisioned for all the products you've selected?
   [1] Yes
   [2] No
   Enter your choice [1]: 1
   The following databases will be provisioned automatically:
   - Shared suite capabilities: AutomationSuite_Platform
   - Orchestrator: AutomationSuite_Orchestrator
   - Test Manager: AutomationSuite_Test_Manager
   - Insights: AutomationSuite_Insights
   - Automation Hub: AutomationSuite_Automation_Hub
   - Automation Ops: AutomationSuite_Automation_Ops
   - AI Center: AutomationSuite_AICenter
   - Document understanding: AutomationSuite_DU_Datamanager
   ===============================================================================
                               Current config values
   ===============================================================================
   Multi node: false
   Airgapped: false
   Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   Sql port: 1433
   Sql username:
   Sql password:
   Create sql databases: true
   Kerberos Auth enabled: true
   Kerberos Auth Active Directory domain: abcd.com
   Kerberos Auth TGT lifetime in hours: 8
   Kerberos Auth default Active Directory username: ad_user
   Kerberos Auth default user's keytab: XXXXXXXXX
   The cluster configuration file was generated at /tmp/UiPathAutomationSuite/cluster_config.json:
   [1] Continue installing with the default config
   [2] Edit the config
   [3] Go to the main menu
   For advanced settings, quit now and manually edit the config file.
   Once the configuration file is updated, run the deployment wizard again and follow the instructions.
   

4. Opcional: puedes editar la configuración:

   ===============================================================================
                       Choose what setting you want to edit
   ===============================================================================
   [1] Multi node: false
   [2] Airgapped: false
   [3] Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   [4] Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   [5] Sql port: 1433
   [6] Sql username:
   [7] Sql password:
   [8] Create sql databases: true
   [9] Kerberos Auth enabled: true
   [10] Kerberos Auth Active Directory domain: abcd.com
   [11] Kerberos Auth TGT lifetime in hours
   [12] Kerberos Auth default Active Directory username: ad_user
   [13] Kerberos Auth default user's keytab: XXXXXXXXX===============================================================================
                       Choose what setting you want to edit
   ===============================================================================
   [1] Multi node: false
   [2] Airgapped: false
   [3] Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   [4] Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   [5] Sql port: 1433
   [6] Sql username:
   [7] Sql password:
   [8] Create sql databases: true
   [9] Kerberos Auth enabled: true
   [10] Kerberos Auth Active Directory domain: abcd.com
   [11] Kerberos Auth TGT lifetime in hours
   [12] Kerberos Auth default Active Directory username: ad_user
   [13] Kerberos Auth default user's keytab: XXXXXXXXX
   

Configurar la autenticación Kerberos a través de cluster_config.json

1. En el archivo cluster_config.json, establece el parámetro kerberos_auth_config.enabled como true.
2. Si quiere utilizar Kerberos para el acceso a SQL, configure sql_connection_string_template, sql_connection_string_template_jdbc y sql_connection_string_template_odbc con la marca Seguridad integrada.
3. Si quieres configurar un usuario de AD diferente por servicio, sigue los siguientes pasos:

   1. Especifica ad_username y user_keytab en el objeto JSON del grupo de servicios.

   2. Actualice la cadena de conexión SQL para el servicio para habilitar la seguridad integrada.

      El objeto JSON debe ser el siguiente:

      "<serviceGroupName>": {
          "kerberos_auth_config": {
            "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for this service group",
            "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for this service group"
          }
      }
      

      Nota:

      For the list of service group names, see Service groups and services.

4. After updating the cluster_config.json, run the installer script to update the configuration. For details, see Managing products.

Ejemplo de actualización de Orchestrator y la plataforma para utilizar la autenticación Kerberos

"kerberos_auth_config": {
    "enabled" : true,
    "ticket_lifetime_in_hour" : 8,
    "ad_domain": "PLACEHOLDER - INSERT ACTIVE DIRECTORY DOMAIN ",
    "default_ad_username": "PLACEHOLDER - INSERT KERB_DEFAULT_USERNAME",
    "default_user_keytab": "PLACEHOLDER - INSERT KERB_DEFAULT_KEYTAB"
  },
"sql_connection_string_template": "PLACEHOLDER",
"sql_connection_string_template_jdbc": "PLACEHOLDER",
"sql_connection_string_template_odbc": "PLACEHOLDER",
"orchestrator": {
    "sql_connection_str": "Server=tcp:sfdev1804627-c83f074b-sql.database.windows.net,1433;Initial Catalog=AutomationSuite_Orchestrator;Persist Security Info=False;Integrated Security=true;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Max Pool Size=100;",
    "kerberos_auth_config": {
      "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for Orchestrator",
      "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for Orchestrator"
    }
    "testautomation": {
      "enabled": true
    },
    "updateserver": {
      "enabled": true
    }
},
"platform": {
    "sql_connection_str": "Server=tcp:sfdev1804627-c83f074b-sql.database.windows.net,1433;Initial Catalog=AutomationSuite_Platform;Persist Security Info=False;Integrated Security=true;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Max Pool Size=100;",
    "kerberos_auth_config": {
      "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for platform",
      "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for platform"
    }
}

Grupos de servicios y servicios

La siguiente tabla enumera los grupos de servicios disponibles y los servicios que incluyen. Los nombres son ligeramente diferentes en el archivo cluster_config.json o en la interfaz de usuario de ArgoCD.

Nombre de grupo del servicio para cluster_config.json	Nombre del grupo de servicios para ArgoCD	Servicios incluidos
orchestrator	orchestrator	Orchestrator, Webhooks
platform	platform	Identidad, licencia contable (LA), auditoría, ubicación, administrador de recursos de licencia (LRM), servicio de gestión de la organización (OMS)
discovery_group	discoverygroup	Centro de automatización, Task Mining
test_manager	testmanager	Test Manager
automation_ops	automationops	Automation Ops
aicenter	aicenter	AI Center
documentunderstanding	documentunderstanding	Document Understanding
insights	insights	Insights
dataservice	dataservice	Data Service
asrobots	asrobots	Automation Suite Robots
processmining	processmining	Process Mining

Actualizar la autenticación Kerberos mediante una herramienta CLI

To update Kerberos authentication via the CLI tool, see Updating Kerberos authentication.

Configurar la integración de Active Directory

Para la autenticación Kerberos que va a utilizarse al iniciar sesión en Automation Suite, debe realizar más ajustes en la configuración del host de Automation Suite.

Disabling Kerberos authentication

Removing Kerberos authentication completely

Para eliminar por completo la autenticación de Kerberos, siga los siguientes pasos:

1. Si utilizaste Kerberos para configurar la integración de AD, vuelve a configurar AD con la opción de nombre de usuario y contraseña siguiendo las instrucciones en Configurar la integración de Active Directory.
2. If you used SQL integrated authentication, configure the SQL connection strings to use User Id and Password.
3. Deshabilite la autenticación Kerberos de la siguiente manera:
   1. Go to the ArgoCD UI, find the uipath application, click the APP DETAILS button in the top-left corner, and then navigate to the PARAMETERS tab.
   2. Click EDIT, and set global.kerberosAuthConfig.enabled to false.

Removing SQL integrated authentication

Para eliminar la autenticación integrada de SQL, siga los siguientes pasos:

1. Configure the SQL connection strings to use User Id and Password.
2. Si desea deshabilitar la autenticación integrada de SQL para todos los servicios, establezca global.kerberosAuthConfig.enabled en false en ArgoCD después de cambiar todas las cadenas de conexión

Resolución de problemas de Kerberos

If you encounter any issues while configuring Kerberos, see Authentication troubleshooting.