Acerca de Identity Server

UiPath® Identity Server es el servicio de autenticación de Orchestrator independiente. Proporciona autenticación segura y emisión de tokens para Orchestrator y sus portales de gestión. Identity Server implementa los estándares OAuth 2.0 y OpenID Connect y se integra con los sistemas de identidad empresarial como Active Directory. Consulta el siguiente diagrama para entender cómo funciona Identity Server en Orchestrator independiente.

Figura 1. Diagrama de Identity Server

Rol dentro de Orchestrator

Identity Server es responsable de:

• Autenticar usuarios y aplicaciones que acceden a Orchestrator
• Emisión de tokens de acceso e identidad
• Compatibilidad con flujos OAuth 2.0 y OpenID Connect
• Integración con proveedores de identidad externos (por ejemplo, Active Directory, proveedores SAML)
• Habilitar el inicio de sesión único (SSO)
• Asegurar la comunicación entre Orchestrator y el portal de gestión de identidades

Orchestrator y sus portales de gestión dependen de Identity Server para la autenticación.

Flujo de autenticación en Orchestrator

1. Autenticación de usuario

Cuando un usuario accede a Orchestrator o al Portal de gestión de identidad:

• La solicitud se redirige a Identity Server.
• Identity Server valida al usuario contra:
  • Cuentas locales, o
  • Proveedores de identidad externos (por ejemplo, Active Directory, SAML).
• Tras la autenticación correcta, Identity Server emite un token de seguridad.

2. Acceso basado en tokens

Después de la autenticación:

• Se emite un token de acceso OAuth.
• El token acompaña a las solicitudes posteriores a Orchestrator.
• Orchestrator valida el token.
• La autorización se determina en función de los roles y permisos. Identity Server gestiona la autenticación. Orchestrator aplica la autorización.

Integración de Active Directory y Kerberos

En entornos unidos a un dominio, Orchestrator independiente admite la autenticación basada en Kerberos:

• El cliente resuelve el nombre de host de Orchestrator mediante DNS.
• El cliente obtiene un vale de concesión de vales (TGT) de Kerberos de Active Directory.
• El cliente solicita un ticket de servicio para el nombre principal de servicio (SPN) configurado.
• El servidor web de IIS valida el ticket de Kerberos.
• Identity Server procesa la identidad autenticada y emite un token de plataforma.

Esto permite un inicio de sesión único sin problemas en entornos empresariales de Windows.

Consideraciones de alta disponibilidad

En implementaciones multinodo:

• Identity Server se ejecuta en varios nodos detrás de un equilibrador de carga.
• Los clientes acceden a Orchestrator e Identity Server a través de un nombre de host de equilibrador de carga compartido.
• Redis se utiliza para almacenar en caché los datos del cliente OAuth y el estado de la sesión en todos los nodos, lo que garantiza una autenticación coherente en todo el clúster.
• El nombre principal del servicio (SPN) debe coincidir con el nombre de host del equilibrador de carga cuando se utiliza Kerberos.
• Al cambiar de una configuración de nodo único a una configuración multinodo, la URL pública de Identity Server debe actualizarse en la base de datos y en el archivo UiPath.Orchestrator.dll.config.

Autenticación de aplicaciones externas

Orchestrator admite el acceso seguro para:

• Aplicaciones externas
• Integraciones de API
• Comunicación de robot a Orchestrator

Las aplicaciones se autentican utilizando flujos OAuth compatibles (como ROPC) y reciben tokens de Identity Server.

Modelo de seguridad

Orchestrator independiente utiliza un modelo de autenticación centralizado:

• Identity Server realiza la autenticación.
• Orchestrator aplica la autorización.
• El acceso basado en tokens protege las API y la IU de Orchestrator.
• La integración con proveedores de identidad externos (Active Directory, SAML) admite los requisitos de seguridad de la empresa.