Credenciales de identidad federadas

Las credenciales de identidad federadas permiten que las aplicaciones OAuth externas se autentiquen con UiPath utilizando un token web JSON (JWT) emitido por un proveedor de identidad externo, en lugar de un secreto de cliente. Esto elimina la necesidad de almacenar, rotar y proteger los secretos de los clientes para la autenticación de máquina a máquina.

Las organizaciones que adopten un modelo de seguridad Zero Trust pueden utilizar credenciales federadas para autenticar aplicaciones OAuth a través de proveedores de identidad de confianza como Microsoft Entra ID, AWS o Google Cloud, sin gestionar secretos de larga duración.

Cómo funcionan las credenciales de identidad federada

1. La aplicación externa solicita un JWT del proveedor de identidades configurado.
2. El proveedor de identidades emite un JWT firmado que contiene las reclamaciones configuradas del emisor, la audiencia y el asunto.
3. La aplicación envía una solicitud de token al punto final del token de UiPath, presentando el JWT como un parámetro client_assertion .
4. UiPath obtiene las claves de firma públicas del proveedor de identidades de su punto final JWKS y valida la firma JWT, el emisor, la audiencia, el asunto y la caducidad.
5. Tras una validación correcta, UiPath emite un token de acceso con los mismos ámbitos y duración que el flujo de credenciales del cliente.

Campos de credenciales

Cada credencial federada define tres parámetros de validación de tokens:

Campo	Descripción
Emisor	El URI HTTPS del proveedor de identidad externo. Debe coincidir exactamente con la reclamación de JWT iss . UiPath verifica que el punto final JWKS del emisor es accesible al crear o actualizar la credencial.
Audiencia	Un único valor de cadena que debe aparecer en la reclamación JWT aud .
Asunto	Un valor que debe coincidir exactamente con la reclamación JWT sub .

Restricciones

• Los JWT deben utilizar el algoritmo de firma RS256 .
• Los JWT que superan los 8 KB se rechazan antes de la validación.
• Cada aplicación OAuth admite un máximo de 20 credenciales federadas.
• Los tokens de acceso emitidos a través de credenciales federadas tienen una duración de una hora.
• Para autenticarse desde varios sujetos o emisores, registra una credencial federada independiente para cada combinación.

Limitaciones

Lo siguiente no es compatible con esta versión:

• Algoritmos JWT distintos de RS256.
• Coincidencia de comodín para valores de emisor, audiencia o asunto.
• Múltiples valores de audiencia en una única credencial federada.

Temas relacionados

• Gestionar las credenciales de identidad federadas
• Aplicaciones OAuth
• Cliente externo: API de credenciales federadas