Managing credential proxies

Puedes crear y administrar proxies para tus propios almacenes de credenciales personalizadas, lo que te permite controlar individualmente la seguridad de tus credenciales.

Tipos de proxy

Puedes elegir entre estos dos tipos:

• Proxy conectado (gestionado por Orchestrator): cuando un robot solicita credenciales, Orchestrator las recupera del proxy y las pasa al robot.
  Figura 1. Arquitectura de proxy conectada
  

  

  
  
• Proxy desconectado (gestionado por el servicio de proxy): cuando un robot solicita credenciales, se recuperan directamente del proxy, sin tener que pasar por Orchestrator. Este tipo solo es compatible con la versión 23.10+ de Robots.
  Figura 2. Arquitectura de proxy desconectada
  Importante:

  • El proxy de credenciales desconectado solo está disponible si estás en el plan de licencias Enterprise - Avanzado.
  • Si quieres recuperar las credenciales de proxy desconectadas, debes utilizar las siguientes versiones mínimas: 2.0.1 para el proxy y 24.3 para el paquete de actividades del sistema.

Configuración desconectada

El proxy de credenciales de Orchestrator en la variante desconectada funciona de forma similar a la configuración conectada, con algunas diferencias clave.

Especifica en el archivo appsettings.json que el proxy debe iniciarse en su modo desconectado. Para hacer esto, bajo AppSettings establece el parámetro CredentialsProxyType con el valor Disconnected.

Esto le dirá al proxy que haga las cosas de forma un poco diferente al iniciar y que lea su configuración de almacén seguro en el archivo appsettings.json. Si falta el parámetro o el valor es diferente, el proxy se iniciará en su modo conectado.

Especifica en el archivo appsettings.json que el proxy debe iniciarse en su modo desconectado. Para hacer esto, bajo AppSettings establece el parámetro CredentialsProxyType con el valor Disconnected.

{
...
  "AppSettings": {
  ...
    "CredentialsProxyType": "Disconnected",
  ...
  }
}

Esto le dirá al proxy que haga las cosas de forma un poco diferente al iniciar y que lea su configuración de almacén seguro del archivoappsettings.json. Si falta el parámetro o el valor es diferente, el proxy se iniciará en su modo conectado.

Configuraciones de almacén seguro

Cada entrada de configuración debe contener:

• Clave: identificador exclusivo utilizado en Orchestrator al vincular almacenes. Esto debe ser único en la lista de configuraciones

• Tipo: el tipo de almacén seguro (como Azure Key Vault, BeyondTrust, CyberArk, HashiCorp Vault, InMemory y otros).

• Contexto: los datos que necesita la implementación de almacén seguro, que varían dependiendo del tipo de almacén.

Consulta el siguiente ejemplo de configuración de almacén seguro:

{
...
  "AppSettings": {
  ...
    "SecureStoreConfigurations": [
      {
        "Key": "SecureStoreKey1",
        "Type": "AzureKeyVault (read only)",
        "Context": {
          "KeyVaultUri": "{someUri}",
          "DirectoryId": "{someDirectoryId}",
          "ClientId": "{someClientId}",
          "ClientSecret": "{someClientSecret}"
        }
      },
      {
        "Key": "SecureStoreKey2",
        "Type": "BeyondTrust Password Safe - Managed Accounts",
        "Context": {
          "Hostname": "{someHost}",
          "APIRegistrationKey": "{someApiKey}",
          "APIRunAsUsername": "{someApiUsername}",
          "DefaultManagedSystemName": "",
          "SystemAccountDelimiter": "/",
          "ManagedAccountType": "system"
        }
      },
      {
        "Key": "InMemoryKey1",
        "Type": "InMemorySecureStore",
        "Context": {
        }
      }
    ]
  ...
  }
}

Nota:

El parámetro SecureStoreConfigurations es una matriz de configuraciones para que puedas tener tantas configuraciones como desees.

Se admiten varias configuraciones del mismo tipo, siempre que los valores Key sean únicos.

Validación de inicio

Al ejecutarse en modo desconectado, el proxy realiza la validación al iniciarse:

• Valida que existen las configuraciones necesarias en appsettings.json.
• Verifica que no se encuentren claves duplicadas en SecureStoreConfigurations.
• Confirma que todos los valores Type son válidos.
• Valida la conectividad de almacén (llamadas ValidateContextAsync para cada almacén).

Configuración de nivel de proxy

Algunos almacenes de credenciales seguros requieren configuración en el nivel de host que debe especificarse en appsettings.Production.json:

• CyberArk: configuraciones como CLIPasswordSDKExePath, UsePowerShellCLI y AdditionalAllowedCharacters deben definirse en AppSettings.

  {
  // ...
    "AppSettings": {
      "Plugins.SecureStores.CyberArk.CLIPasswordSDKExePath": "D:\\SomePath\\CLIPasswordSDK.exe",
      // ...
    }
    // ...
  }

• CyberArkCCP: puede requerir Plugins.SecureStores.CyberArkCCP.KeyStorageFlags = "MachineKeySet".

  {
  // ...
    "AppSettings": {
      "Plugins.SecureStores.CyberArkCCP.KeyStorageFlags": "MachineKeySet",
      // ...
    }
    // ...
  }

Ejemplos de prueba de configuración

Consulta los siguientes ejemplos prácticos appsettings.Production.json.

Ejemplo 1: básico

Configuración con BeyondTrust y Azure Key Vault:

{
  "Jwt": {
    "Keys": [
      "<YourKey>"
    ]
  },
  "AppSettings": {
    "CredentialsProxyType": "Disconnected",
    "SecureStoreConfigurations": [
      {
        "Key": "SecureStoreKey3",
        "Type": "BeyondTrust Password Safe - Team Passwords",
        "Context": {
          "Hostname": "<Hostname",
          "APIRegistrationKey": "<APIRegistrationKey",
          "APIRunAsUsername": "<Username>",
          "FolderPathPrefix": "/", // default is "/", but it can be changed to anything
          "FolderPasswordDelimiter": "/" // default is "/", but it can be changed to anything
        }
      }
    ]
  }
}

Ejemplo 2: registros adicionales y varias configuraciones

Incluye varios almacenes y registro avanzado.

{
  "Logging": {
    "LogLevel": {
      "Default": "Trace",
      "Microsoft": "Warning",
      "Microsoft.Hosting.Lifetime": "Information",
      "Microsoft.AspNetCore.HttpLogging.HttpLoggingMiddleware": "Information"
    }
  },
  "Jwt": {
    "Keys": [ "<YourKey>" ]
  },
  "AppSettings": {
    "Plugins.SecureStores": "UiPath.Orchestrator.CyberArk.dll;UiPath.Orchestrator.AzureKeyVault.SecureStore.dll;UiPath.Orchestrator.SecureStore.CyberArkCCP.dll;UiPath.Orchestrator.SecureStore.HashiCorpVault.dll;UiPath.Orchestrator.SecureStore.ThycoticSecretServer.dll;UiPath.Orchestrator.SecureStore.BeyondTrust.dll;UiPath.Orchestrator.SecureStore.AWSSecretsManager.dll",
    "UseInMemorySecureStore": "true",
    "CredentialsProxyType": "Disconnected",
    "SkipValidateSecureStoreConfigurations": "false", // for Testing only; never to be shown to clients or used in prod
    "SecureStoreConfigurations": [
      // AzureKeyVault owned by <username>; contact for more info
      // Robot externalName: "<name>"
      // The expected value of this secret is "<name>"
      {
        "Key": "SecureStoreKey1",
        "Type": "AzureKeyVault (read only)",
        "Context": {
          "KeyVaultUri": "<VaultURL>",
          "DirectoryId": "<DirectoryID>",
          "ClientId": "<ClientID>",
          "ClientSecret": "<ClientSecret>"
        }
      },
      // In case this fails, check our internal documentation on checking if BeyondTrust is down
      // <InternalDocsURL>
      // Robot externalName: "<ExternalName>"
      {
        "Key": "SecureStoreKey2",
        "Type": "BeyondTrust Password Safe - Managed Accounts",
        "Context": {
          "Hostname": "<Hostname>",
          "APIRegistrationKey": "<APIRegistrationKey>",
          "APIRunAsUsername": "<Username>",
          "DefaultManagedSystemName": "",
          "SystemAccountDelimiter": "/",
          "ManagedAccountType": "system"
        }
      },
      // In case this fails, check our internal documentation on checking if BeyondTrust is down
      // <InternalDocsURL>
      // Robot externalName: "<ExternalName>"
      {
        "Key": "SecureStoreKey3",
        "Type": "BeyondTrust Password Safe - Team Passwords",
        "Context": {
          "Hostname": "<Hostname>",
          "APIRegistrationKey": "<APIRegistrationKey>",
          "APIRunAsUsername": "<Username>",
          "FolderPathPrefix": "/", // default is "/", but it can be changed to anything
          "FolderPasswordDelimiter": "/" // default is "/", but it can be changed to anything
        }
      },
      {
        // asset external name: Operating System-WinDomain
        // password: <password>
        "Key": "SecureStoreKey1",
        "Type": "CyberArk Conjur Cloud (read only)",
        "Context": {
          "ServiceUrl": "<ServiceURL>",
          "LoginName": "<LoginName>",
          "ApiKey": "<APIKey>",
          "VariableIdPrefix": "data/vault/Safe"
        }
      },
      // Must have an empty context
      // No values on startup; should add values using the endpoints before trying trying to get anything
      {
        "Key": "InMemoryKey1",
        "Type": "InMemorySecureStore",
        "Context": {
        }
      }
    ]
  }
}

Ejemplo 3: ruta de registro personalizada e InMemoryStore

{
  "NLog": {
    "throwConfigExceptions": true,
    "targets": {
      "logfile": {
        "type": "File",
        "maxArchiveFiles": 180,
        "fileName": "<FileName>",
        "layout": "${longdate} ${logger} ${message}${onexception:${newline}${exception:maxInnerExceptionLevel=10:format=shortType,message,stacktrace:separator=*:innerExceptionSeparator=&#xD;&#xA;&#x9;}}"
      }
    },
    "rules": [
      {
        "logger": "*",
        "minLevel": "Information",
        "writeTo": "logconsole,logfile,eventLog"
      }
    ]
  },
  "Logging": {
    "LogLevel": {
      "Default": "Information",
      "Microsoft.AspNetCore": "Warning"
    }
  },
  "Jwt": {
    "Keys": [
      "<YourKey>"
    ]
  },
  "AppSettings": {
    "Plugins.SecureStores": "UiPath.Orchestrator.CyberArk.dll;UiPath.Orchestrator.AzureKeyVault.SecureStore.dll;UiPath.Orchestrator.SecureStore.CyberArkCCP.dll;UiPath.Orchestrator.SecureStore.CyberArkConjur.dll;UiPath.Orchestrator.SecureStore.HashiCorpVault.dll;UiPath.Orchestrator.SecureStore.ThycoticSecretServer.dll;UiPath.Orchestrator.SecureStore.BeyondTrust.dll;UiPath.Orchestrator.SecureStore.AWSSecretsManager.dll",
    "UseInMemorySecureStore": "true",
    "CredentialsProxyType": "Disconnected",
    "SkipValidateSecureStoreConfigurations": "true",
    "SecureStoreConfigurations": [
      {
        "Key": "InMemoryKey1",
        "Type": "InMemorySecureStore",
        "Context": {}
      }
    ]
  }
}

Creación de un proxy de credenciales

Una vez que hayas instalado Credentials Proxy de Orchestrator, puedes crear un proxy personalizado, que contiene tus almacenes de credenciales personalizados.

Figura 3. Página Añadir Credentials Proxy

Para ello, sigue los siguientes pasos:

1. En el nivel de tenant, selecciona Credenciales > Proxies > Añadir Credentials Proxy. Se mostrará la ventana Añadir Credentials Proxy .
2. Elige Proxy conectado (gestionado por Orchestrator) o Proxy desconectado (gestionado por el servicio de proxy).
3. Agregue un nombre para su proxy.
4. Añade la URL perteneciente a la máquina virtual incluida en la configuración del proxy de credenciales de Orchestrator.
5. Añade la clave.
   Para el proxy conectado, dependiendo del método de instalación, esta es la clave secreta generada por el archivo .msi instalador, o el que contiene el parámetro Jwt:Keys .

   Para el proxy desconectado, debe ser una clave que ya existe en uno de los archivos de configuración local del proxy desconectado.

   La información que proporcionas en los pasos 4 y 5 crea el enlace entre Orchestrator y la instalación que contiene tus complementos de almacén de credenciales personalizados.

6. Selecciona Crear.

   A continuación, puedes añadir el almacén deseado de la siguiente manera:

7. En el nivel de tenant, selecciona Credenciales > Almacenes > Añadir almacén de credenciales para añadir un almacén de credenciales.
8. En la lista Proxy , seleccione el proxy que acaba de crear.
9. En la lista Tipo , selecciona el almacén de credenciales de terceros definido por tu complemento.
10. Proporciona la clave de configuración que coincida con la del archivo de configuración local del proxy.
    Nota:

    Para las configuraciones desconectadas, asegúrate de que las claves utilizadas en Orchestrator coinciden con las definidas en el archivo de configuración del proxy.

    Para las configuraciones conectadas, Orchestrator gestiona las configuraciones automáticamente.

Editing a credentials proxy

Para editar un proxy, haz clic en Más acciones > Editar. Se mostrará la página Editar proxy de credenciales , que te permite cambiar el nombre, la URL o la clave según sea necesario.

Eliminar un proxy de credenciales

Para eliminar un proxy, selecciona Más acciones > Eliminar. Si el proxy seleccionado está en uso, se mostrará un cuadro de diálogo de advertencia con el número de UiPath Robots y activos que se verán afectados. Selecciona Sí para confirmar la eliminación o No para abortar.

Figura 4. Pestaña Proxies