Scripts de Identity Server

Ejecuta el script Publish-IdentityServer.ps1 para la implementación inicial o la actualización de Identity Server.

Publicar en Identity Server

La tabla siguiente describe todos los parámetros que puedes usar con el script Publish-IdentityServer.ps1.

Parámetro	Descripción
-action	Mandatory. Indicates the type of scenario you want to start. Las siguientes opciones están disponibles: Deploy: especifica que se trata de una instalación limpia. Update: especifica que actualizas tu instancia de Identity Server.
-azureAccountApplicationId	Mandatory. The Azure service principal ID. Please note that the used service principal needs to be assigned the Contributor role to the app service at the subscription scope.
-azureAccountPassword	Obligatorio. La contraseña de token de Azure para el ID principal de servicio.
-azureSubscriptionId	Obligatorio. El ID de suscripción de Azure para el App Service que aloja Orchestrator.
-azureAccountTenantId	Obligatorio. El ID de tenant de Azure.
-orchestratorUrl	Obligatorio. La URL de la instancia de Orchestrator.
-identityServerUrl	Obligatorio. La URL de Identity Server. Important: The URL must contain the Identity Server address + the suffix /identity in lowercase. Ejemplo: https://[identity_server]/identity
-resourceCatalogUrl	Obligatorio. La URL del recurso Catálogo.
-orchDetails	Este parámetro es una tabla hash que contiene los siguientes valores: resourceGroupName: Obligatorio. El nombre del grupo de recursos de Azure que contiene Orchestrator App Service. appServiceName: Obligatorio. El nombre de Orchestrator Azure App Service. targetSlot: Obligatorio. La ranura del servicio de aplicaciones de destino establecida por Azure.
-identityServerDetails	Este parámetro es una tabla hash que contiene los siguientes valores: resourceGroupName: Obligatorio. El nombre del grupo de recursos de Azure que contiene el servicio de aplicaciones de Identity Server. appServiceName: Obligatorio. El nombre del servicio de aplicaciones de Azure del Identity Server. targetSlot: Obligatorio. La ranura del servicio de aplicaciones de destino establecida por Azure.
-package	Obligatorio. Indica la ruta completa o relativa del archivo UiPath.IdentityServer.Web.zip.
-cliPackage	Obligatorio. Indica la ruta completa o relativa del archivo UiPath.IdentityServer.Migrator.Cli.zip.
-productionSlotName	Opcional. Solo puede utilizarse si la ranura de la implementación de servicio de aplicaciones de Identity Server es distinta a la ranura del servicio de aplicaciones predeterminado de producción establecida por Azure.
-stopApplicationBeforePublish	Opcional. Si está presente, detiene la aplicación antes de su implementación y la inicia después de que esta finalice.
-unattended	Opcional. Si está presente, la implementación continúa sin confirmación del usuario.
-tmpDirectory	Opcional. Habilita la especificación de un directorio donde se descargan y descomprimen los archivos necesarios.
-noAzureAuthentication	Optional. Allows you to publish to the Azure App Service by relying on your own user identity, without having to create a service principal. If this parameter is used, the UseServicePrincipal parameter set (which includes items such as the Azure application ID, password, subscription ID, and tenant ID) are no longer necessary.

El script Publish-IdentityServer.ps1 se usa para la implementación inicial o la actualización de Identity Server. El script supone que la aplicación web ya tiene configurada la cadena de conexión de la base de datos DefaultConnection.

.\Publish-IdentityServer.ps1 `
    -action Deploy `
    -orchestratorUrl "<orchestrator_address>" `
    -identityServerUrl "https://<identity_server_url>/identity" ` // must be in lowercase
    -resourceCatalogUrl "<resource_catalog_address>" `
    -orchDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>";  targetSlot = "Production" } `
    -identityServerDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>"; targetSlot = "Production" } `
    -azureSubscriptionId "<subscription_id>" `
    -azureAccountTenantId "<azure_tenant_id>" `
    -azureAccountApplicationId "<azure_application_id>" `
    -azureAccountPassword "<azure_account_password>" `
    -package "UiPath.IdentityServer.Web.zip" `
    -cliPackage "UiPath.IdentityServer.Migrator.Cli.zip" `
    -stopApplicationBeforePublish `
    -unattended

Importante:

Después de ejecutar el script anterior, comprueba que realizas los pasos adicionales que se indican a continuación para una correcta implementación inicial.

Después de publicar Identity Server, realiza los siguientes pasos:

1. Dirígete al portal de Azure.
2. Selecciona tu Servicio de aplicaciones de Identity Server.
3. En el menú Certificados, ve a Traer tus propios certificados.
4. Carga un archivo de certificado de clave privada .pfx con una contraseña válida.
   Nota:

   Este certificado se utiliza para firmar los tokens de acceso y los tokens de ID.

5. En el menú de Configuración, añade los siguientes ajustes de la aplicación exactamente como se describe en la columna Configuración de aplicaciones:

Configuración de la aplicación	Valor	Descripción
AppSettings__IdentityServerAddress	https://[identity_server]/identity	La URL pública de Identity Server. Importante: La URL debe contener la dirección de Identity Server + el sufijo /identity en minúsculas.
AppSettings__SigningCredentialSettings__StoreLocation__Location	Usuario actual	Esta debe señalar a CurrentUser.
AppSettings__SigningCredentialSettings__StoreLocation__Name	XXXXXXXXXXXXXXXXXXXXXXXXXX	La huella digital del certificado que has cargado anteriormente.
AppSettings__SigningCredentialSettings__StoreLocation__NameType	Thumbprint	Enter Thumbprint como el tipo del campo anterior.
AppSettings__LoadBalancerSettings__RedisConnectionString	XXXXXXXXXXXX:XXXX,password=XXXXXX	The connection string needed to set up your Redis server, which contains the URL of the server, the password, and the port. You can also enable SSL encrypted connections between the Orchestrator nodes and the Redis service.
AppSettings__LoadBalancerSettings__SlidingExpirationTimeInSeconds	Número de segundos	The sliding expiration time of an item inside the cache. This expiration time applies to both Redis Cache and InMemory Cache.
AppSettings__RedisSettings__UseRedisStoreCache	true / false	Establece su valor como true to enable Redis caching of OAuth client data. This helps prevent performance issues when using Interactive Sign In to connect a large number of robots in a short amount of time. This cache uses the same Redis connection string specified in the AppSettings__LoadBalancerSettings Nota: Esto no se recomienda si utilizas la característica Aplicaciones externas, ya que esta configuración almacena en caché a los clientes y las actualizaciones de las aplicaciones externas no se reflejarán.
AppSettings__RedisSettings__UseRedisStoreClientCache	true / false	Set its value to true to enable Redis caching for first-party clients (UiPath applications) or third-party clients (external applications). If you have a large-scale deployment, it is recommended to enable this flag.
App__Saml2ValidCertificateOnly	true / false	Para las implementaciones de Orchestrator a través de una aplicación web de Azure, este parámetro debe establecerse en false . This is because SAML2 requires certificates to be added to its trust store, but Azure web apps do not allow this action. Setting the value to false significa que se omite la comprobación de certificado.
WEBSITE_LOAD_CERTIFICATES	XXXXXXXXXXXXXXXXXXXXXXXXXX	El valor de la huella digital del certificado que has cargado anteriormente.
WEBSITE_LOAD_USER_PROFILE	1	El perfil de usuario.
-azureUSGovernmentLogin	Opcional. Este parámetro solo se utiliza para las implementaciones del gobierno de los Estados Unidos.

6.

Guarda los cambios.

Consulta más información en la documentación de Microsoft Azure.

Reemplazar el certificado de clave privada

Al reemplazar un certificado de clave privada por uno nuevo, asegúrate de seguir estos pasos:

1. Reemplaza los valores de los parámetros AppSettings__SigningCredentialSettings__StoreLocation__Name y WEBSITE_LOAD_CERTIFICATES por la huella digital del nuevo certificado.
2. Reinicia el servicio de la aplicación Identity.
3. Reinicia el servicio de aplicación de Orchestrator.

Migra a Identity Server

La siguiente tabla describe todos los parámetros que se pueden utilizar con MigrateTo-IdentityServer.ps1.

Parámetro	Descripción
-cliPackage	Mandatory . Indica la ruta completa o relativa del archivo UiPath.IdentityServer.Migrator.Cli.zip.
-azureDetails	Este parámetro es una tabla hash que contiene los siguientes valores: azureAccountApplicationId - Mandatory. The Azure service principal ID. Please note that the used service principal needs to be assigned the Contributor role to the app service at the subscription scope. azureSubscriptionId: Obligatorio. El ID de suscripción de Azure para el App Service que aloja Orchestrator. azureAccountTenantId: Obligatorio. El ID de tenant de Azure. azureAccountPassword: Obligatorio. La contraseña de token de Azure para el ID principal de servicio.
-orchDetails	Este parámetro es una tabla hash que contiene los siguientes valores: resourceGroupName: Obligatorio. El nombre del grupo de recursos de Azure que contiene Orchestrator App Service. appServiceName: Obligatorio. El nombre de Orchestrator Azure App Service. targetSlot: Obligatorio. La ranura del servicio de aplicaciones de destino establecida por Azure.
-identityServerDetails	Este parámetro es una tabla hash que contiene los siguientes valores: resourceGroupName: Obligatorio. El nombre del grupo de recursos de Azure que contiene el servicio de aplicaciones de Identity Server. appServiceName: Obligatorio. El nombre del servicio de aplicaciones de Azure del Identity Server. targetSlot: Obligatorio. La ranura del servicio de aplicaciones de destino establecida por Azure.
-identityServerUrl	Obligatorio. La dirección pública de Identity Server. Important: The URL must contain the address of Identity Server + the suffix /identity in lowercase. Ejemplo: https://[identity_server]/identity
-orchestratorUrl	Obligatorio. La dirección pública del Orchestrator.
-tmpDirectory	Opcional. Habilita la especificación de un directorio donde se descargan y descomprimen los archivos necesarios.
-hostAdminPassword	Obligatorio solo para implementaciones nuevas, cuando-action is set to Deploy . Specify a custom password for the host administrator. Please note that passwords have to be least 8 characters long, and must have at least one lowercase character and at least one digit.
-isHostPassOneTime	Optional. Enables you to enforce a password reset on the first login for the host administrator. If this parameter is omitted, the host admin password is not a one-time password.
-defaultTenantAdminPassword	Obligatorio solo para implementaciones nuevas, cuando-action is set to Deploy . Specify a custom password for the default tenant administrator. Please note that passwords have to be least 8 characters long, and must have at least one lowercase character and at least one digit.
-isDefaultTenantPassOneTime	Optional. Enables you to enforce a password reset on the first login for the default tenant administrator. If this parameter is omitted, the tenant admin password is not a one-time password.
-noAzureAuthentication	Optional. Allows you to publish to the Azure App Service by relying on your own user identity, without having to create a service principal. If this parameter is used, the UseServicePrincipal parameter set (which includes items such as the Azure application ID, password, subscription ID, and tenant ID) are no longer necessary.

El script MigrateTo-IdentityServer.ps1 se utiliza para migrar los datos de usuario desde Orchestrator a Identity Server y establecer las configuraciones para ambos. Establece Identity Server como la autoridad de identidad de Orchestrator y crea la configuración de cliente para Orchestrator en Identity Server.

El script supone que ya se han publicado Orchestrator e Identity Server.

.\MigrateTo-IdentityServer.ps1 `
    -cliPackage "UiPath.IdentityServer.Migrator.Cli.zip" `
    -azureDetails @{azureSubscriptionId = "<subscription_id>"; azureAccountTenantId = "<azure_tenant_id>"; azureAccountApplicationId = "<azure_application_id>"; azureAccountPassword = "<azure_account_password>" } `
    -orchDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>";  targetSlot = "Production" } `
    -identityServerDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>"; targetSlot = "Production" } `
    -identityServerUrl "https://<identity_server_url>/identity" ` // must be in lowercase
    -orchestratorUrl "https://<OrchestratorURL>" `
    -hostAdminPassword "12345qwert" `
    -defaultTenantAdminPassword "12345qwert"