Gestion des magasins d'identifiants

Ajoutez et configurez des magasins d'informations d'identification tiers dans Orchestrator pour une gestion sécurisée des informations d'identification.

Création d'un magasin d'identifiants

Important :

Les magasins d'informations d'identification tiers ne sont disponibles que si vous utilisez le plan de licence Enterprise - Advanced pour le Flex Pricing Plan, ou Enterprise ou Application Test Enterprise pour le Unified Pricing Plan.

1. Sélectionnez Ajouter un magasin d'informations d'identification sur la page Informations d'identification , dans la section Magasins . La boîte de dialogue Ajouter un magasin d'informations d'identification s'affiche.
2. Dans le menu déroulant Proxy, sélectionnez le proxy souhaité. L’option Local contient tous les magasins intégrés à Orchestrator. Toutes les autres options disponibles constituent des proxys que vous créez sur la page Ajouter des informations d’identification (Add Credentials Proxy) En tant que tel, vous pouvez également avoir :
   • Un proxy connecté : ceci est géré par Orchestrator, ce qui signifie qu’Orchestrator récupère les informations d’identification du proxy et les transmet au robot.
   • Un proxy déconnecté : ceci n’est pas géré par Orchestrator, ce qui signifie que les informations d’identification sont récupérées directement à partir du proxy avant d’être transmises au robot.
3. Dans la liste déroulante Type (Type), sélectionnez le magasin sécurisé qui est utilisé.

Lors de l'utilisation de Credential Proxy connecté, si ce champ est vide, aucun plug-in valide n'est configuré.

Remarque :

Si aucun plug-in valide n’a été configuré, ce champ restera vide.

4. Les étapes suivantes varient en fonction du magasin d'informations d'identification que vous souhaitez créer. Vos options sont les suivantes :

   • Base de données Orchestrator

     Remarque :

     Vous ne pouvez disposez que d'un seul magasin de base de données Orchestrator.

   • CyberArk® Conjur Cloud

   • Azure Key Vault : choisissez entre Azure Key Vault et Azure Key Vault (lecture seule) (Azure Key Vault (read-only))

   • HashiCorp Vault : choisissez entre HashiCorp Vault et HashiCorp (lecture seule) (HashiCorp (read-only))

   • BeyondTrust : choisissez entre Comptes gérés sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts) et Mots de passe d'équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords)

   • Thycotic Secret Server

   • Delinea Secret Server (lecture seule)

   • AWS Secrets Manager – Choisissez entre AWS Secrets Manager et AWS Secrets Manager (lecture seule)

   • Google Secret Manager – Choix entre Google Secret Manager et Google Secret Manager (lecture seule)

5. In the Folder access section, select which folders can use the store:

   • All folders – Any folder in this tenant can use these credentials. This is the default.
   • Selected folders only – Only the folders you assign the store to can use it. See Assigning credential stores to folders.
   Remarque :

   Complete the type-specific fields described in the following sections before you set Folder access.

Base de données Orchestrator

Cliquez sur Créer (Create) : les magasins de base de données Orchestrator ne disposent d'aucune propriété configurable.

CyberArk CCP

Remarque :

CyberArk a été renommé Idira après son acquisition par Palette Alto Networks. L'interface utilisateur, les clés de configuration et les noms de type de magasin d'informations d'identification d'Orchestrator continuent de référencer CyberArk.

Remarque :

Un magasin CyberArk configuré dans plusieurs locataires à l’aide du même Identifiant d’application, Coffre-fort et Nom de dossier autorisera l’accès aux informations d’identification stockées entre les locataires. Pour maintenir la sécurité et l’isolation au niveau des locataires, assurez-vous que différentes configurations sont utilisées pour chaque magasin CyberArk de locataire.

1. Dans le champ Nom , entrez un nom pour le nouveau magasin d'identifiants.
2. Dans le champ ID d'application (App ID), entrez l'ID d'application de l'instance d'Orchestrator à partir de l'interface PVWA (Password Vault Web Access) de CyberArk®. Pour plus d'informations, reportez-vous ici. Voir ici pour plus de détails.
3. Dans le champ CyberArk Safe, entrez le nom du coffre défini dans l'interface PVWA de CyberArk®. Pour plus d'informations, reportez-vous ici. Voir ici pour plus de détails.
4. Dans le champ Dossier CyberArk (CyberArk Folder), entrez l’emplacement auquel CyberArk® conserve vos informations d’identification.
5. Dans le champ URL du fournisseur central d’informations d’identification (Central Credential Provider URL), entrez l’adresse du fournisseur central d’informations d’identification.
6. Dans le champ Nom du service Web (Web Service Name), saisissez le nom du service Web du fournisseur central d'informations d'identification. Si vous laissez ce champ vide, le nom par défaut est utilisé : AIMWebService .
7. Le certificat client doit être configuré lorsque l'application CyberArk utilise la méthode d'authentification du certificat client. L'entrée attendue est un fichier .pfx qui stocke la clé privée et la clé publique du certificat. Le certificat client doit être installé sur la machine sur laquelle CyberArk CCP AIMWebservice est déployé.
   Remarque :

   Le certificat client est utilisé par les informations d'identification CyberArk fournies pour authentifier l'application définie dans le magasin d'informations d'identification Orchestrator. Consultez la documentation officielle de CyberArk pour plus de détails sur les méthodes d'authentification des applications. Le certificat client est un fichier au format binaire PKCS12 qui stocke la ou les clés publiques de la chaîne de certificats et la clé privée. CyberArk CCP utilise des clés de certificat 2048-bits. Si le certificat client dispose d'un encodage Base 64, exécutez la commande certutil suivante pour le décoder au format binaire : certutil -decode client_certificate_encoded.pfx client_certificate.pfx

8. Dans le champ Mot de passe du certificat client (Client Certificate Password), entrez le mot de passe du certificat client.
9. Le Certificat de racine de serveur (Server Root Certificate) doit être configuré lorsqu'un certificat CA racine auto-signé est utilisé par CyberArk CCP AIMWebService pour les requêtes HTTP entrantes. Il est utilisé dans la validation de la chaîne de certificats d'établissement de liaison HTTPS TLS. L'entrée attendue est un fichier .crt ou .cer qui stocke la clé publique du certificat CA racine.
10. L'option Autoriser l'authentification de l'utilisateur du SE s'affiche uniquement lorsque la valeur du paramètre Plugins.SecureStores.CyberArkCCP.EnableOsUserAuthentication est définie sur true. L’option permet de s’authentifier en utilisant les informations d’identification de l’utilisateur actuellement connecté à la machine Orchestrator.
    Remarque :

    Veillez à établir une infrastructure adéquate en procédant aux modifications nécessaires dans IIS pour Orchestrator et CyberArk.

11. Sélectionnez Créer. Votre nouveau magasin d'identifiants est prêt à l'emploi.

Image 1. Page Ajouter un magasin d'identifiants

CyberArk Conjur (lecture seule)

Astuce :

Par rapport à CyberArk Conjur Cloud (en lecture seule), ce magasin d'informations d'identification prend en charge une méthode d'authentification supplémentaire, Jwt. Vous pouvez également utiliser ce plug-in pour CyberArk Secrets Manager SaaS et CyberArk Secrets Manager auto-hébergé. Cela vous permet d'intégrer des fournisseurs d'identité et d'utiliser l'authentification basée sur jeton pour renforcer la sécurité et la flexibilité.

Remarque :

Un plugin CyberArk Conjur configuré avec le même ID d'application, le même coffre et le même nom de dossier pour tous les locataires permet un accès Credential inter-locataires.Pour maintenir la sécurité et l’isolement au niveau du locataire, veillez à utiliser des configurations différentes pour chaque locataire du magasin CyberArk® Conjur.

1. Dans le champ Nom , entrez un nom pour le nouveau magasin d'identifiants.
2. Dans le champ URL de l'appareil, ajoutez votre URL CyberArk privée.
   Remarque :

   Si vous utilisez CyberArk Secrets Manager SaaS, incluez /api à la fin de l'URL (par exemple : https://[your-company-name].secretsmgr.cyberark.cloud/api). Si vous utilisez CyberArk Secrets Manager Self-Hosted, utilisez le DNS configuré.

3. Dans le champ Compte, incluez le nom du compte.La valeur par défaut est conjur.
4. Dans le champ Type d'authentification , choisissez l'authentification souhaitée dans la liste déroulante.
   • CléAPI: authentifiez-vous à l’aide de la clé API du gestionnaire de clés secrètes associée à l’ID utilisateur.
   • JWT: authentifiez-vous à l'aide d'un jeton Web JSON (JWT). Cette méthode permet une authentification sécurisée et basée sur des jetons sans nécessiter de clé API, idéale pour les environnements utilisant des informations d'identification de courte durée.
   1. Si vous sélectionnez ApiKey comme type d'authentification, configurez les champs suivants :
      • Nom de connexion: copiez le nom complet de la charge de travail de CyberArk Secrets Manager et collez-le dans Orchestrator au format host/data/<Workload_name> .
      • API key: ajoutez la clé API générée lors de la création de la charge de travail. Si vous avez oublié votre clé API, vous pouvez toujours en générer une nouvelle à partir du gestionnaire de clés secrètes ; veillez à la modifier également dans Orchestrator.
   2. Si vous sélectionnez Jwt comme type d'authentification, configurez les champs suivants :
      • ID de service JWT: copiez l’ID de service à partir du champ Authentifications dans CyberArk Secrets Manager.
      • URL du jeton du fournisseur d'identité: copiez l'URL du jeton du fournisseur d'identité. Vous pouvez utiliser UiPath Identity Server (par exemple, https://cloud.uipath.com/identity_/connect/token) ou un fournisseur d'identité externe.
      • ID client: copiez l'ID client défini dans le fournisseur d'identité.
      • Clé secrète du client: copiez la clé secrète du client définie dans le fournisseur d’identité.
      • Étendue: indiquez l'étendue du magasin d'identifiants configuré. Par exemple, vous pouvez utiliser OR.Assets.Read pour vérifier toutes les ressources stockées dans Orchestrator.
5. Dans le champ facultatif ID hôte copiez la charge de travail CyberArk utilisée.
6. Dans le champ facultatif Préfixe de l'ID de variable, saisissez un préfixe à ajouter au chemin de variable auquel vous souhaitez accéder. Par exemple : data/vault/<Safe_Name>.
   Remarque :

   Le préfixe est ajouté au champ Nom externe du Robot ou de la ressource lors de l'utilisation d'un dispositif de stockage. Par exemple, si vous utilisez le préfixe /data/vault/Safe_Name et le nom externe Machine, les variables lues seront /data/vault/Safe_Name/Machine/username et /data/vault/Safe_Name/Machine/password.

CyberArk Conjur Cloud (lecture seule)

Remarque :

Un magasin CyberArk Conjur Cloud, s’il est configuré avec le même ID d’application, le même coffre-fort et le même nom de dossier pour tous les locataires, permettra d’accéder aux informations d’identification entre les locataires. Pour maintenir la sécurité et l’isolement au niveau du locataire, veillez à utiliser des configurations différentes pour chaque locataire du magasin CyberArk® Conjur Cloud.

1. Dans le champ Nom , entrez un nom pour le nouveau magasin d'identifiants.
2. Dans le champ URL de CyberArk Conjur Cloud, ajoutez votre URL CyberArk privée (ex. : https://[your-company-name].secretsmgr.cyberark.cloud).
3. Dans le champ Nom de connexion , copiez le nom complet de la charge de travail de CyberArk Conjur Cloud et collez-le dans Orchestrator au format host/data/<Workload_name> .
4. Dans le champ Clé API, ajoutez la clé API générée lors de la création de la charge de travail. Si vous avez oublié votre clé API, vous pouvez toujours en générer une nouvelle à partir de Conjur Cloud ; veillez à la modifier également dans Orchestrator.
5. Dans le champ facultatif Préfixe de l'ID de variable, saisissez un préfixe à ajouter au chemin de variable auquel vous souhaitez accéder. Par exemple : data/vault/<Safe_Name>.
   Remarque :

   Le préfixe est ajouté au champ Nom externe du Robot ou de la ressource lors de l'utilisation d'un dispositif de stockage. Par exemple, si vous utilisez le préfixe /data/vault/Safe_Name et le nom externe Machine, les variables lues seront /data/vault/Safe_Name/Machine/username et /data/vault/Safe_Name/Machine/password.

Azure Key Vault

Les magasins d’informations d’identification Azure Key Vault utilisent l’authentification de type RBAC . Choisissez entre l'authentification par clé d'accès ou principal de service.

Azure Key Vault - Authentification par clé d'accès

Après avoir créé un principal de service, procédez comme suit :

1. Dans le champ Nom , entrez un nom pour le nouveau magasin d'identifiants.
2. Dans le champ URI de Key Vault (Key Vault Uri), entrez l'adresse d'Azure Key Vault. Il s'agit de https://<vault_name>.vault.azure.net/.
3. Dans le champ ID de répertoire (Directory ID), entrez l’ID de répertoire indiqué dans le portail Azure.

Figure 2. ID de répertoire

4. Dans le champ ID de client (Client Id), saisissez l’ID d’application à partir de la section Enregistrement d'applications Azure AD (Azure AD App Registrations) dans laquelle l’application Orchestrator a été enregistrée.
5. Dans le champ Clé secrète du client (Client Secret), saisissez la clé secrète nécessaire à l'authentification du compte client renseigné à l'étape précédente.
6. Sélectionnez Créer. Votre nouveau magasin d'identifiants est prêt à l'emploi.

Figure 3. Page Ajouter un magasin d'identifiants

Important :

Dans Automation Cloud Secteur Public et Test Cloud Secteur Public, vous pouvez uniquement utiliser un Azure Key Vault hébergé par Azure Government.

Remarque :

Lorsque vous accédez à Azure Key Vault à partir d’un cloud différent du cloud public, vous devez définir la variable d’environnement AZURE_AUTHORITY_HOST sur la valeur correspondante (c’est-à-dire "AZURE_AUTHORITY_HOST": "https://login.microsoftonline.us/"). Pour en savoir plus sur les valeurs, consultez la documentation Authentification Microsoft Entra et cloud nationaux - Plateforme d’identité Microsoft (Microsoft Entra authentication & nationaux clouds) .

Azure Key Vault - Authentification de Service-Principal

L’authentification principale du service (application Entra) utilise une connexion Integration Services pour gérer les informations d’identification en toute sécurité.

Prérequis :

• Un principal de service Entra (inscription d’application) avec accès à Azure Key Vault
• Une connexion Integration Services configurée pour votre principal de service Azure
• Le principal du service doit disposer du rôle Key Vault Secrets Administrator ou Key Vault Administrator sur votre Azure Key Vault

1. Dans le champ Nom , entrez un nom pour le nouveau magasin d'identifiants.
2. Dans le champ URI de Key Vault , entrez l'adresse d'Azure Key Vault (https://<vault_name>.vault.azure.net/).
3. Dans le champ Type d'authentification , sélectionnez Service principal (si disponible via Integration Services).
4. Dans le champ Connexion , sélectionnez ou créez une connexion Integration Services configurée pour votre principal de service Azure.
5. Sélectionnez Créer.

Résultat: votre nouveau magasin d'identifiants est prêt à l'emploi.

Remarque :

L'authentification principale du service nécessite qu'Integration Services (connecteur uipath-microsoft-azure) soit configuré dans votre environnement. Pour plus de détails sur la configuration de la connexion, consultez Configuration du fournisseur de cloud.

HashiCorp Vault

1. Dans le champ Type, sélectionnez HashiCorp Vault ou HashiCorp Vault (lecture seule) (HashiCorp Vault (read-only)) comme magasin d'informations d'identification.

2. Dans le champ Nom (Name), spécifiez un nom pour le magasin d'informations d'identification HashiCorp Vault.

3. Dans le champ URI du coffre , saisissez l’adresse de base de l’API HTTP HashiCorp Vault, y compris le schéma et le port. Par exemple, https://vault.example.com:8200. Ne pas ajouter de chemin: Orchestrator crée lui-même les chemins d’accès à l’API.

4. Dans le champ Type d'authentification (Authentication Type), indiquez votre méthode d'authentification préférée. Selon l’option que vous choisissez, vous devez configurer des champs supplémentaires :

   • AppRole : il s'agit de la méthode d'authentification recommandée. Si vous choisissez cette option, assurez-vous de configurer également les champs suivants :
     • ID de rôle : indiquez l'ID de rôle à utiliser avec la méthode d'authentification AppRole.
     • ID du secret : entrez l'ID du secret à utiliser avec le type d'authentification AppRole. Si AppRole publie des ID de secret avec une durée de vie ou une limite d'utilisation, le magasin d'informations d'identification cesse de fonctionner une fois la valeur expirée.
   • NomUtilisateurMotDePasse (UsernamePassword) : si vous sélectionnez cette option, assurez-vous de configurer également les champs suivants :
     • Nom d'utilisateur (Username) : entrez le nom d'utilisateur à utiliser avec UsernamePassword.
     • Mot de passe (Password) : indiquez le mot de passe à utiliser avec le type d'authentification UsernamePassword.
   • LDAP : si vous sélectionnez cette option, assurez-vous de configurer également les champs suivants :
     • Nom d'utilisateur : spécifiez le nom d'utilisateur à utiliser avec le type d'authentification LDAP.
     • Mot de passe (Password) : indiquez le mot de passe à utiliser avec le type d'authentification LDAP.
   • Jeton : si vous sélectionnez cette option, assurez-vous de configurer également le champ suivant :
     • Jeton : entrez le jeton à utiliser avec le type d'authentification Jeton. Orchestrator ne renouvelle pas ce jeton. Le magasin d'informations d'identification cesse donc de fonctionner une fois le contrat du jeton terminé. Choisissez AppRole pour autre chose qu'un test éphémère. Ce type d’authentification ignore le champ Point de montage de l’authentification .
   • KerberosUserPassword et KerberosDefaultCredentials : proposés uniquement lorsque le protocole Kerberos est activé pour le plug-in. Si vous choisissez l’une de ces options, veillez à configurer également les champs suivants:
     • Nom d'utilisateur – Requis uniquement pour KerberosUserPassword .
     • Mot de passe – Requis uniquement pour KerberosUserPassword .
     • SPN complet Kerberos : requis à la fois pour KerberosUserPassword et KerberosDefaultCredentials. Saisissez le nom principal du service HashiCorp Vault, par exemple HTTP/vault.example.com. Orchestrator l’utilise pour demander le ticket Kerberos.

5. Dans le champ Point de montage de l’authentification , vous pouvez également indiquer le point de montage de la méthode d’authentification, par rapport à auth/. N'incluez pas le préfixe auth/. Définissez ce paramètre uniquement lorsque la méthode est montée ailleurs, par exemple lorsque la même méthode est montée deux fois avec des configurations différentes.

   Si vous laissez ce champ vide, la valeur par défaut sera le nom de la méthode d'authentification, par exemple approle ou userpass.

6. Dans le champ Moteur des secrets , sélectionnez le moteur des secrets qui contient les informations d’identification:

   • KeyValueV1 et KeyValueV2 : disponibles pour HashiCorp Vault et HashiCorp Vault (lecture seule).
   • ActiveDirectory, OpenLDAP et LDAP : disponibles uniquement pour HashiCorp Vault (lecture seule) (HashiCorp Vault).

7. Dans le champ Point de montage du moteur des clés secrètes , saisissez le point de montage du moteur de secrets, exactement comme le signale vault secrets list , sans la barre oblique finale. N'incluez pas data, metadata ou toute partie du chemin secret. Si vous le laissez vide, la valeur par défaut est kv pour KeyValueV1, kv-v2 pour KeyValueV2, ad pour ActiveDirectory, openldap pour OpenLDAP et ldap pour LDAP.

8. Dans le champ Chemin de données , entrez le préfixe du chemin à l'intérieur du montage, sous lequel le magasin d'informations d'identification lit et écrit chaque secret. Ne répétez pas le chemin de montage et n’incluez pas data. Les moteurs ActiveDirectory, OpenLDAP et LDAPS ignorent ce champ, car ils adressent les identifiants par nom de rôle seul.

9. Dans le champ Namespace, spécifiez l'espace de noms à utiliser. Uniquement disponible dans HashiCorp Vault Enterprise.

10. Pour l’option Utiliser les informations d’identification dynamiques ( Use Dynamic Credentials) , sélectionnez Vrai (dynamique) ou Faux (statique) pour basculer entre les informations d’identification dynamiques et statiques. Cette option s'applique uniquement au moteur de secrets LDAP . L'option par défaut est Faux.

11. Sélectionnez Créer. Votre nouveau magasin d'identifiants est prêt à l'emploi.

Figure 4. Ajouter un magasin d'identifiants

Résolution du chemin secret de HashiCorp Vault

Avec les moteurs KeyValueV1 et KeyValueV2 , Orchestrator ne lit pas l'élément textuel du chemin de données . Il assemble le chemin d'accès de chaque clé secrète à partir de trois parties: le point de montage du moteur des clés secrètes, le chemin d'accès aux données et le nom de la clé secrète individuelle.

• KeyValueV2 — <Secrets Engine Mount Path>/data/<Data Path>/<secret name>
• KeyValueV1 — <Secrets Engine Mount Path>/<Data Path>/<secret name>

Le segment data/ du chemin KeyValueV2 est inséré par Orchestrator, de la même manière que les commandes vault kv l'inséreront. Ne l'incluez jamais dans le chemin de montage du moteur des clés secrètes ni dans le chemin de données.

Le nom du secret identifie une ressource ou un compte Robot:

InformationsIdentification	Secret name
Ressource de type Credential (Informations d'identification) ou Secret	Nom externe de la valeur de la ressource ou nom de la ressource lorsqu'aucun nom externe n'est défini.
Identifiants de l'Unattended Robot	Le nom externe du compte Robot, ou <machine>\<username> lorsqu'aucun nom externe n'est défini. Définissez un nom externe pour éviter un nom de secret qui contient une barre oblique inverse.

Pour dériver les deux valeurs de chemin d'un chemin de coffre que vous pouvez déjà lire, divisez ce chemin au niveau du point de montage. Si vault secrets list signale le montage uipath/kv/ et vault kv get uipath/kv/orchestrator/assets/SAPCredentials renvoie votre clé secrète, le Chemin de montage du moteur des clés secrètes est uipath/kv, le Chemin d'accès aux données est orchestrator/assets et SAPCredentials est le nom externe de la ressource.

Comme il s'agit d'un moteur KeyValueV2 , ces valeurs se résolvent vers le chemin d'accès API uipath/kv/data/orchestrator/assets/SAPCredentials. La stratégie Vault associée à la méthode d’authentification doit accorder read sur uipath/kv/data/orchestrator/assets/*. HashiCorp Vault a en outre besoin de create, update et delete sur le même chemin, plus delete sur uipath/kv/metadata/orchestrator/assets/* pour nettoyer la clé secrète de test qu’il écrit lors de la validation du magasin.

Une erreur courante consiste à saisir le chemin complet du coffre dans les deux champs - Chemin de montage du moteur des clés secrètes comme uipath/kv/data/orchestrator et Chemin de données comme uipath/kv/data. Cela se résout vers uipath/kv/data/orchestrator/data/uipath/kv/data/SAPCredentials, auquel aucune stratégie ne correspond. Vault répond 403 Forbidden, et Orchestrator signale que l'opération n'est pas autorisée.

Moteurs du service d'annuaire

Les moteurs ActiveDirectory, OpenLDAP et LDAPS fonctionnent différemment. Ils ne détiennent pas de secrets à valeur de clé arbitraire. Orchestrator demande donc au moteur des informations d’identification par nom de rôle et lit le mot de passe à partir de la propre réponse du moteur. Laissez CheminDonnées vide et définissez le Nom externe de la valeur de la ressource ou du compte Robot sur le nom du rôle du coffre. Orchestrator ajoute le segment de chemin du moteur:

Secrets engine	Chemin résolu
Active Directory	<Secrets Engine Mount Path>/creds/<External Name>
OpenLDAP	<Secrets Engine Mount Path>/static-cred/<External Name>
LDAP, avec Utiliser les informations d’identification dynamiques défini sur False	<Secrets Engine Mount Path>/static-cred/<External Name>
LDAP, avec (Ldap) Utiliser les informations d’identification dynamiques défini sur True	<Secrets Engine Mount Path>/creds/<External Name>

Par exemple, avec un moteur OpenLDAP monté sur secrets/ldap/corp et un rôle Vault nommé svc-uipath-robot, définissez le Point de montage du moteur des Clés secrètes sur secrets/ldap/corp, laissez Chemin de données vide et définissez le Nom externe du compte Robot sur svc-uipath-robot. Orchestrator lit ensuite secrets/ldap/corp/static-cred/svc-uipath-robot.

Remarque :

La création d’un magasin HashiCorp Vault (lecture seule) ne teste pas la connexion, car une vérification de la connectivité nécessiterait une politique plus large que la lecture des secrets. Une erreur de chemin ou d'autorisation n'apparaît que lorsqu'un robot ou une ressource demande d'abord des informations d'identification. HashiCorp Vault teste la connexion en écrivant, en lisant et en supprimant une clé secrète nommée UIPATH-TEST-SECRET-HASHICORP-VAULT sous le chemin de données configuré.

Pour un Orchestrator Credentials Proxy déconnecté, les mêmes valeurs se trouvent dans la section SecureStoreConfigurations du fichier appsettings.Production.json du proxy, sous les clés SecretsEngineMountPath et DataPath .

BeyondTrust

1. Dans le champ Type, sélectionnez l'une des options suivantes :
   • Comptes gérés sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts)
   • Mots de passe d'équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords)
2. Dans le champ Nom (Name), spécifiez le nom du magasin d'informations d'identification BeyondTrust.
3. Dans le champ URL de l'hôte BeyondTrust (BeyondTrust Host URL), indiquez l'URL de votre instance de Secret Server.
4. Dans le champ Clé d'enregistrement API (API Registration Key), indiquez la valeur de la clé d'enregistrement API de BeyondTrust.
5. Dans le champ Exécution d'API en tant que nom d'utilisateur (API Run As Username), spécifiez le nom d'utilisateur BeyondTrust sous lequel vous souhaitez exécuter les appels.

Comptes gérés sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts)

Si vous avez choisi Comptes gérés, sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts), effectuez les étapes suivantes :

1. Dans le champ Nom du système géré par défaut, vous pouvez également indiquer le nom du système géré par la solution de mots de passe sécurisés BeyondTrust Password Safe. Ce champ servira de Nom de système de secours dans l’éventualité où le champ Nom externe de la ressource Orchestrator ne contient pas de préfixe de Nom de système.
2. Dans le champ Délimiteur système/compte (System-Account Delimiter), entrez le délimiteur utilisé pour séparer le nom du système et le nom du compte dans la ressource Orchestrator.
3. Dans le champ Type de compte géré , sélectionnez l'option Saisir du compte à récupérer à partir de BeyondTrust:
   • système : renvoie les comptes locaux
   • lié à un domaine (domainlinked) : renvoie les comptes des domaines liés au système
4. Sélectionnez Créer. Votre nouveau magasin d'identifiants est prêt à l'emploi.
   Remarque :

   Le nom du système doit être spécifié dans le magasin d’informations d’identification au format SystemName ou dans le champ Nom externe de la ressource Orchestrator au format SystemName/AccountName.

Mots de passe d'équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords)

Si vous avez choisi Mots de passe d’équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords), effectuez les étapes suivantes :

1. Dans le champ Préfixe du chemin d'accès au dossier (Folder Path Prefix), indiquez un préfixe du chemin d'accès au dossier par défaut. Il sera ajouté devant toutes les valeurs de ressources Orchestrator.
2. Dans le champ Délimiteur de dossier/compte (Folder / Account Delimiter), entrez le délimiteur utilisé pour séparer le chemin d'accès du titre dans les ressources Orchestrator.
3. Sélectionnez Créer. Votre nouveau magasin d'identifiants est prêt à l'emploi.

Figure 5. Ajouter un magasin d'identifiants

Thycotic Secret Server

Important :

Le magasin Thycotic Secret Server est remplacé par le nouveau magasin Delinea Secret Server (lecture seule) . Les deux intégrations partagent le même SDK sous-jacent et le même mécanisme d'intégration basé sur des règles, ce qui facilite la migration des magasins d'informations d'identification Thycotic existants vers le nouveau magasin Delinea. Nous vous encourageons fortement à migrer les magasins d'informations d'identification Thycotic existants vers la nouvelle intégration Delinea.

1. Dans le champ Type, sélectionnez Thycotic Secret Server.
2. Dans le champ Nom , entrez un nom pour le nouveau magasin d'identifiants.
3. Dans le champ URL de Secret Server (Secret Server URL), indiquez l'URL de votre instance Secret Server.
4. Dans le champ Nom de la règle (Rule Name), indiquez le nom de la règle d'intégration du client.
5. Dans le champ Clé de la règle (Rule Key), vous pouvez également indiquer la clé de la règle d'intégration. Bien que cette étape soit facultative, nous vous recommandons d'indiquer la Clé de la règle (Rule Key) pour une sécurité améliorée.
6. Dans le champ Champ du nom d'utilisateur (Username Field), indiquez le nom du champ de données dynamique du champ Modèle Secret (Secret Template) à partir duquel Orchestrator extraira le nom d'utilisateur lors de la récupération d'une ressource à partir du Thycotic Secret Server.
7. Dans le champ Champ du mot de passe (Password Field), indiquez le nom du slug du champ Modèle Secret (Secret Template) à partir duquel Orchestrator extraira le mot de passe lors de la récupération d'une ressource à partir du Thycotic Secret Server.
   Remarque :

   Vous pouvez trouver le nom du champ de données dynamique du champ Modèle Secret dans Admin > Modèle Secret (Secret Template) > Modèle (Template) > Champs (Fields).

Figure 6. Ajouter un magasin dʹidentifiants

Lorsqu'une ressource ou un robot est créé dans Orchestrator, il est lié à une clé secrète préexistante à l'aide du nom externe. Dans ce cas, il s’agit de l’ID secret réel du Thycotic Secret Server.

Vous pouvez trouver l'ID secret dans l'itinéraire. Dans l'exemple suivant, la valeur utilisée comme entrée est 5 et le chemin est https://uipath.secretservercloud.com/app/#/secrets/5/general.

Figure 7. ID de secret

Delinea Secret Server (lecture seule)

Remarque :

Delinea Secret Server (lecture seule) est un magasin d'informations d'identification en lecture seule. Orchestrator peut récupérer les valeurs de ressources et les informations d'identification des robots à partir de celui-ci, mais ne peut pas créer, mettre à jour ou supprimer des secrets. Pour connaître les prérequis et la configuration côté Delinea, vérifiez la section Intégration de Delinea Secret Server sur la page Intégration des magasins d'informations d'identification .

1. Dans le champ Type , sélectionnez Delinea Secret Server (lecture seule).
2. Dans le champ Nom , entrez un nom pour le nouveau magasin d'identifiants.
3. Dans le champ URL du serveur de la plate-forme , indiquez l'URL de votre plate-forme Delinea (par exemple, https://<tenant>.delinea.app).
4. Dans le champ URL de Secret Server , indiquez l'URL de Secret Server (par exemple, https://<tenant>.secretservercloud.eu). Pour récupérer l'URL de Secret Server, accédez à la page de connexion Secret Server dans votre locataire Delinea.
   Remarque :

   Pendant la migration en cours de la plateforme de Delinea, à la fois l' URL de Platform Server et l' URL de Secret Server sont requises.

5. Dans le champ Nom de la règle , indiquez le nom de la règle d'intégration du client SDK créée dans Delinea.
6. Dans le champ Clé de la règle , vous pouvez également indiquer la clé d'intégration de la règle. Laissez ce champ vide si l’option Exiger la clé d'intégration n’a pas été activée dans Delinea. Bien que cette étape soit facultative, nous vous recommandons d'indiquer la Clé de la règle pour une sécurité améliorée.
7. Dans le champ Champ du nom d'utilisateur , indiquez le nom du champ de données dynamique du champ Modèle Secret à partir duquel Orchestrator extraira le nom d'utilisateur lors de la récupération d'une ressource à partir de Delinea Secret Server (par exemple, username).
8. Dans le champ Champ du mot de passe , indiquez le nom du slug du champ Modèle Secret à partir duquel Orchestrator extraira le mot de passe lors de la récupération d'une ressource à partir de Delinea Secret Server (par exemple, password).
   Remarque :

   Vous pouvez trouver le nom du champ de données dynamique du champ Modèle Secret dans Admin > Modèle Secret (Secret Template) > Modèle (Template) > Champs (Fields).

Lorsqu’une ressource ou un robot est créé dans Orchestrator, il est lié à un secret préexistant à l’aide du nom externe. Dans ce cas, il s'agit de l' ID du secret numérique de Delinea Secret Server, visible dans l'URL du secret (par exemple, 42). Les noms de chaîne ne sont pas pris en charge.

AWS Secrets Manager

1. Dans le champ Type, sélectionnez AWS Secrets Manager ou AWS Secrets Manager (lecture seule). Le choix entre la version en lecture seule et la version en lecture-écriture dépend de vos autorisations de politique IAM.
2. Dans le champ Nom , entrez un nom pour le nouveau magasin d'identifiants.
3. Dans le champ Clé d'accès ( Access Key ), ajoutez l'ID de clé d'accès disponible dans l'onglet Informations d' identification de sécurité de votre page d'utilisateur AWS IAM.
4. Dans le champ Clé secrète (Secret Key ), ajoutez l'ID de clé secrète qui vous a été fourni lorsque vous avez créé le compte d'utilisateur AWS IAM.
5. Dans le champ Region (Région), ajoutez la région dans laquelle vous souhaitez que vos secrets soient stockés, telle qu'affichée dans votre compte AWS.

Figure 8. Ajouter un magasin d'identifiants

Si vous souhaitez utiliser AWS Secrets Manager ), vous devez d'abord créer vos informations d'identification de ressource ou de Robot dans AWS Secrets Manager.

Google Secret Manager

Utilisez cette procédure pour ajouter Google Secret Manager ou Google Secret Manager (lecture seule) à Orchestrator.

1. Accédez à la page Locataire dans Orchestrator.
2. Sélectionnez Identifiants et accédez à l'onglet Magasins.
3. Sélectionnez Ajouter un magasin d'informations d'identification.
4. Choisissez Google Secret Manager ou Google Secret Manager (lecture seule) dans le menu déroulant Type.
5. Saisissez un nom pour votre magasin d'informations d'identification.
6. Dans le champ ID de projet Google Cloud , saisissez l' ID de projet de votre projet Google Cloud.
7. Dans le champ Clé de compte de service json, téléchargez le fichier JSON téléchargé à l'étape précédente.
8. Sélectionnez Créer.
   Important :

   • Lors de la récupération d'une ressource à partir d'un magasin d'informations d'identification Google Secret Manager (lecture-écriture ou lecture seule), la dernière version secrète est toujours récupérée. Assurez-vous que la dernière version est correcte.
   • Si la dernière version secrète est désactivée, la récupération échouera.Assurez-vous que la dernière version secrète est activée.

Modification d'un magasin d'identifiants

Accédez à Magasins (Locataire (Tenant) > Informations d’identification > Magasins), et à partir du menu Autres actions (More Actions) du magasin désiré, sélectionnez Modifier (Edit) La fenêtre Modifier le magasin d'informations d’identification (Edit Credential Store) s’affiche.

Remarque :

The only editable property of the Orchestrator Database store is Folder access.

Définition d'un magasin d'identifiants par défaut

Lorsque vous utilisez au moins 2 magasins d'identifiants, vous avez la possibilité de sélectionner le magasin par défaut utilisé pour les Robots et les actifs. Le même magasin peut être utilisé par défaut pour les deux, ou vous pouvez sélectionner un autre magasin par défaut pour chacun.

Pour sélectionner un magasin par défaut, dans le menu Autres actions (More Actions), sélectionnez Définir comme magasin par défaut des robots (Set as robots default store) et/ou Définir comme magasin par défaut des actifs (Set as assets default store).

Default stores are set once for the whole tenant; there is no per-folder default. If the default store has Folder access set to Selected folders only, creating a robot or an asset in a folder the store is not assigned to fails. See Credential store folder access.

Remarque :

La modification du magasin par défaut ne modifie pas la configuration d'un Robot ou d'une ressource existante. Elle contrôle uniquement ce qui apparaît présélectionné dans la liste déroulante Magasins d'informations d'identification (Credential Stores) lors de la création de Robots ou de ressources. Les Robots et les ressources obtiennent toujours leurs mots de passe du magasin qui a été utilisé lors de leur création. Pour modifier le magasin d'informations d'identification d'un Robot ou d'une ressource donné(e), vous devez le modifier au niveau du Robot ou de la ressource.

Suppression d'un magasin d'identifiants

Pour supprimer un magasin d'identifiants, sélectionnez Supprimer (Remove) dans le menu Autres actions (More Actions) du magasin souhaité.

Si le magasin sélectionné est en cours d'utilisation, une boîte de dialogue d'avertissement s'affiche et répertorie le nombre de robots et d'actifs qui seront affectés. Cliquez sur Supprimer (Delete) pour confirmer la suppression ou sur Annuler (Cancel) pour abandonner. Notez qu'au moins un magasin d'identifiants doit être en permanence actif. Si un seul est présent, l'option de suppression ne s'affiche pas.

Remarque :

Un magasin d'identifiants désigné par défaut ne peut pas être supprimé. Vous devez d'abord sélectionner un autre magasin par défaut pour le type d'identifiants.