Configuración de clave de cifrado por inquilino

Es posible utilizar Key Vault de Microsoft Azure para cifrar cada tenant en tu instancia de Orchestrator con su propia clave única. Orchestrator utiliza Key Vault para almacenar y gestionar las claves de forma segura, garantizando la mejor segregación de tus datos entre tenants.

Orchestrator instalado en Microsoft Azure o en las instalaciones puede aprovechar esta característica, aunque la última requiere que conectes la instancia de Orchestrator a internet y Azure Key Vault.

Información general

Se necesita autenticación de Orchestrator para utilizar Azure Key Vault a través de los Registros de aplicaciones. Los registros de aplicación pueden conceder una serie de privilegios a las aplicaciones.En nuestro caso, Orchestrator es la aplicación, y Azure Key Vault es el privilegio objetivo.

Primero deberás configurar el acceso a los registros de aplicaciones a Azure Key Vault.La autenticación de Orchestrator con App Registrations es posible mediante la clave SSL privada disponible en Orchestrator Certificate Store y la clave SSL pública cargada en los registros de aplicaciones.Después de configurar los registros de aplicaciones y Key Vault, deberás realizar algunos cambios en el archivo de configuración de Orchestrator. Una vez cumplidos estos criterios, Orchestrator puede utilizar Azure Key Vault para cifrar cada inquilino.

Requisitos previos

• Tu propio Key Vault de Microsoft Azure
• Una instalación limpia de Orchestrator

• Un certificado SSL válido para tu instancia de Orchestrator:

  • Certificado de clave privada: debe cargarse en Servicios de aplicaciones > Configuración SSL > Certificados de clave privada y ser importado en la máquina de Orchestrator. Ten en cuenta que el dominio donde se generó e instaló el certificado tiene que coincidir con el dominio del usuario bajo el cual ejecutas Orchestrator.
  • Certificado de clave pública: debe cargarse en Registros de aplicaciones > Configuración > Claves > Claves públicas

• (Opcional) Un certificado autofirmado

  Nota: Los usuarios no deben editar las claves de cifrado en Azure Key Vault, como habilitar o deshabilitar secretos o editar la fecha de activación y la fecha de caducidad. Si se deshabilita un secreto, los datos guardados por Orchestrator para ese tenant no se podrán desencriptar.

Pasos de registro de aplicaciones

Sigue los siguientes pasos en el panel Registros de aplicaciones del portal Azure:

1. Crea un nuevo registro de aplicaciones.
2. Copia el ID de aplicación (cliente) para usarlo más tarde.
3. Ve a Administrar > Certificados y Secretos y carga la clave de certificado SSL público mencionada en el requisito previo.
4. Copia la Huella digital de este certificado para usarla más tarde.

Pasos de almacenamiento de credenciales

Si ejecutas Orchestrator bajo una Identidad de grupo de aplicaciones, sigue los siguientes pasos:

1. Importa el certificado de clave privado SSL en el Almacén de certificados personales de la máquina local.
2. Dale acceso a la clave privada a la Identidad de grupo de aplicaciones. Los siguientes pasos indican cómo hacerlo.
3. Abre MMC.
4. Ve a Archivo > Añadir/Eliminar complemento.
5. Selecciona Certificados y haz clic en Añadir > Cuenta de ordenador > Ordenador local.
6. Haz clic en Aceptar.
7. Ve hasta Certificados (Ordenador local) > Personal > Certificados, haz clic en Finalizar y luego en Aceptar.
8. En la ventana principal MMC, haz clic con el botón derecho en el certificado que te interesa, luego selecciona Todas las tareas > Administrar clave privada.
9. Haz clic en el botón Agregar.
10. En el campo Introduce los nombres de los objetos a seleccionar, introduce IIS AppPool\<AppPoolName>. Ejemplo: IIS AppPool\UiPath Orchestrator.
11. Adjudícale control completo.

Si ejecutas Orchestrator bajo una cuenta personalizada, sigue el siguiente paso:

1. Importa el certificado de clave privado SSL mencionado en los requisitos previos en el Almacén de certificados personal del usuario que ejecuta el proceso de Orchestrator.

Si tu Orchestrator es una instalación de Servicio de aplicaciones Azure, sigue el siguiente paso:

1. Importa el certificado de clave privado SSL mencionado en los requisitos previos en el Servicio de aplicaciones de Orchestrator > Configuración SSL > Certificados de clave privada .

Pasos de Key Vault de Azure

En Azure Key Vault, haz lo siguiente:

1. Accede a la página Resumen de Key Vaults y copia el nombre de DNS para usarlo más tarde.
2. Ve a la página Key Vaults y selecciona Ajustes > Políticas de acceso.
3. Haz clic en Añadir política de acceso.
4. Desde el menú desplegable Configurar desde plantilla (opcional) selecciona Administración de clave, secreto y certificado.
5. Haz clic en Ninguna seleccionada en la sección Aplicación autorizada para habilitar el campo Seleccionar principal.
6. Escribe el nombre del registro de la aplicación, confirma que el ID de la aplicación es correcto, y selecciona esta principal.
7. Haz clic en Añadir.
   
   

   

   
   

Pasos de UiPath.Orchestrator.dll.config

Realiza los siguientes cambios en el archivo UiPath.Orchestrator.dll.config de Orchestrator:

1. Abre el archivo UiPath.Orchestrator.dll.config de tu instancia de Orchestrator.
2. En la sección AppSettings, haz lo siguiente:
3. Configura el parámetro Database.EnableAutomaticMigrations en true. De lo contrario, todos los cambios posteriores al UiPath.Orchestrator.dll.configno tendrán efecto.
4. Establecer EncryptionKeyPerTenant.Enabled en true.
5. Establecer EncryptionKeyPerTenant.KeyProvider en AzureKeyVault.
6. Para Orchestrator utilizando Identidad del grupo de aplicaciones, establece CertificatesStoreLocation en LocalMachine.
7. En la sección secureAppSettings, haz lo siguiente:
8. Elimina o comenta la clave EncryptionKey.
9. Copia el ID de aplicación de entrada (Cliente) de la página Registros de aplicaciones y establécelo como valor en el parámetro Azure.KeyVault.ClientId. <add key="Azure.KeyVault.ClientId" value="ae11aa1a-1234-1234-a123-a12a12aaa1aa" />Ejemplo: .
   
   

   

   
   
10. Copia el ID del directorio (tenant) de tu organización de la página Registros de aplicaciones y proporciónalo como valor para el parámetro Azure.KeyVault.DirectoryId. Ejemplo: <add key="Azure.KeyVault.DirectoryId" value="d8353d2a-b153-4d17-8827-902c51f72357" />.
11. Copia la Huella dactilar de la página Registros de aplicaciones y establécela como valor en el parámetro Azure.KeyVault.CertificateThumbprint. Ejemplo: <add key="Azure.KeyVault.CertificateThumbprint" value="1234123412341234123412341234124312341234" />.
12. Copia el Nombre de DNS de la página Resumen de Key Vaults y establécelo como valor en el parámetro Azure.KeyVault.VaultAddress. Ejemplo: <add key="Azure.KeyVault.VaultAddress" value="https://CustomVaultName.vault.azure.net/" />.
13. Asegúrate de que todos los ajustes UiPath.Orchestrator.dll.config que has configurado en los pasos anteriores tienen valores coincidentes en appsettings.Production.json y appsettings.json del Servidor de identidad. Para más detalles, consulta Identity Server AppSettings.json.