Configuración de clave de cifrado por inquilino

Es posible utilizar Key Vault de Microsoft Azure para cifrar cada tenant en tu instancia de Orchestrator con su propia clave única. Orchestrator utiliza Key Vault para almacenar y gestionar las claves de forma segura, garantizando la mejor segregación de tus datos entre tenants.

La instancia de Orchestrator instalada en Automation Suite puede aprovechar esta función, pero debe conectar la aplicación Orchestrator a Internet y a Azure Key Vault.

Información general

Se necesita autenticación de Orchestrator para utilizar Azure Key Vault a través de los Registros de aplicaciones. Los registros de aplicación pueden conceder una serie de privilegios a las aplicaciones.En nuestro caso, Orchestrator es la aplicación, y Azure Key Vault es el privilegio objetivo.

Primero deberás configurar el acceso a los registros de aplicaciones a Azure Key Vault.La autenticación de Orchestrator con registros de aplicaciones es posible utilizando la clave privada SSL de un certificado con la clave pública SSL cargada en los registros de aplicaciones. Después de configurar los registros de aplicaciones y Key Vault, debe introducir algunos cambios en el mapa de configuración orchestrator-customconfig utilizado en el clúster de Automation Suite y modificar los parámetros de ArgoCD pertinentes para la aplicación de Orchestrator desde la UI de ArgoCD. Una vez cumplidos estos criterios, Orchestrator puede utilizar Azure Key Vault para cifrar cada tenant.

Requisitos previos

• Tu propio Key Vault de Microsoft Azure
• Una instalación Orchestrator limpia en Automation Suite
• Un certificado SSL válido:
  • Certificado de clave privada: debe cargarse en Servicios de aplicacioness > Configuración SSL > Certificados de clave privada
  • Certificado de clave pública: debe cargarse en Registros de aplicaciones > Configuración > Claves > Claves públicas
• (Opcional) Un certificado autofirmado

Para convertir el archivo de certificado .pfx a base64, ejecuta el siguiente comando:

• PowerShell: [convert]::ToBase64String((Get-Content -path "path_to_certificate" -Encoding byte))
• Shell: base64 [_path_to_certificate_]
  Nota:

  Las claves de cifrado no se pueden editar por los usuarios desde el lado Key Vault de Azure, como habilitar/deshabilitar secretos o editar la fecha de activación y de caducidad. Si se deshabilita un secreto, los datos guardados por Orchestrator para ese tenant no se podrán desencriptar.

Pasos de registro de aplicaciones

Sigue los siguientes pasos en el panel Registros de aplicaciones del portal Azure:

1. Crea un nuevo registro de aplicaciones.
2. Copia el ID de aplicación (cliente) para usarlo más tarde.
3. Ve a Administrar > Certificados y Secretos y carga la clave de certificado SSL público mencionada en el requisito previo.

Pasos de Key Vault de Azure

En Azure Key Vault, haz lo siguiente:

1. Accede a la página Resumen de Key Vaults y copia el nombre de DNS para usarlo más tarde.

2. Ve a la página Key Vaults y selecciona Ajustes > Políticas de acceso.

3. Selecciona Añadir política de acceso.

4. Desde el menú desplegable Configurar desde plantilla (opcional) selecciona Administración de clave, secreto y certificado.

5. Selecciona Ninguna seleccionada en la sección Aplicación autorizada para habilitar el campo Seleccionar principal .

6. Escribe el nombre del registro de la aplicación, confirma que el ID de la aplicación es correcto, y selecciona esta principal.

7. Selecciona Añadir.

   

Pasos de la configuración personalizada de Orchestrator

Introduzca los siguientes cambios en la configuración de Orchestrator:

1. Configure Azure Key Vault para la instancia de Orchestrator desde los parámetros de UI de ArgoCD:

   1. Copia el formulario base64 del certificado y proporciónalo como valor para el parámetro encryptionKeyPerTenant.certificateBase64.
   2. Copia la contraseña del certificado, de haberla, y proporciónala como un valor para el parámetro encryptionKeyPerTenant.certificatePassword.
   3. Copia el ID de la aplicación de entrada (cliente) de la página Registros de aplicaciones y proporciónalo como valor para el parámetro encryptionKeyPerTenant.clientId .
   4. Copia el ID de directorio (tenant) de tu organización de la página Registros de aplicaciones y proporciónalo como valor para el parámetro encryptionKeyPerTenant.directoryId .
   5. Copia el Nombre de DNS de la página Información general de Key Vaults y proporciónalo como valor para el parámetro encryptionKeyPerTenant.vaultAddress .
   

2. Actualice la AppSettingssección del mapa de orchestrator-customconfigconfiguración como sigue para habilitar la función de clave de difrado por tenant:

   1. Establecer EncryptionKeyPerTenant.Enabled en true.
   2. Establecer EncryptionKeyPerTenant.KeyProvider en AzureKeyVault.

Esto se puede hacer a través del o actualizando el mapa de configuración con Lens. 3. Reinicia la implementación de Orchestrator Automation Suite desde el clúster para aplicar los cambios.

Nota:

Si está migrando de una instancia de Orchestrator independiente a Automation Suite, la configuración sMTP de Identity Server no está cifada con la clave por tenant. Una vez completada la migración, asegúrese de volver a introducir la contraseña SMTP en el portal de Automation Suite.