Gestion des magasins d'identifiants

Ajoutez et configurez des magasins d'informations d'identification tiers dans Orchestrator pour une gestion sécurisée des informations d'identification.

Création d'un magasin d'identifiants

Important :

Les magasins d'informations d'identification tiers ne sont disponibles que si vous utilisez le plan de licence Enterprise - Advanced pour le Flex Pricing Plan, ou Enterprise ou Application Test Enterprise pour le Unified Pricing Plan.

1. Sélectionnez Ajouter un magasin d'informations d'identification sur la page Informations d'identification , dans la section Magasins . La boîte de dialogue Ajouter un magasin d'informations d'identification s'affiche.
2. Dans le menu déroulant Proxy, sélectionnez le proxy souhaité. L’option Local contient tous les magasins intégrés à Orchestrator. Toutes les autres options disponibles constituent des proxys que vous créez sur la page Ajouter des informations d’identification (Add Credentials Proxy) En tant que tel, vous pouvez également avoir :
   • Un proxy connecté : ceci est géré par Orchestrator, ce qui signifie qu’Orchestrator récupère les informations d’identification du proxy et les transmet au robot.
   • Un proxy déconnecté : ceci n’est pas géré par Orchestrator, ce qui signifie que les informations d’identification sont récupérées directement à partir du proxy avant d’être transmises au robot.
3. Dans la liste déroulante Type (Type), sélectionnez le magasin sécurisé qui est utilisé.

Lors de l'utilisation de Credential Proxy connecté, si ce champ est vide, aucun plug-in valide n'est configuré.

Remarque :

Si aucun plug-in valide n’a été configuré, ce champ restera vide.

4. Les étapes suivantes varient en fonction du magasin d'informations d'identification que vous souhaitez créer. Vos options sont les suivantes :

   • Base de données Orchestrator

     Remarque :

     Vous ne pouvez disposez que d'un seul magasin de base de données Orchestrator.

   • CyberArk® Conjur Cloud

   • Azure Key Vault : choisissez entre Azure Key Vault et Azure Key Vault (lecture seule) (Azure Key Vault (read-only))

   • HashiCorp Vault : choisissez entre HashiCorp Vault et HashiCorp (lecture seule) (HashiCorp (read-only))

   • BeyondTrust : choisissez entre Comptes gérés sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts) et Mots de passe d'équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords)

   • Thycotic Secret Server

   • Delinea Secret Server (lecture seule)

   • AWS Secrets Manager – Choisissez entre AWS Secrets Manager et AWS Secrets Manager (lecture seule)

   • Google Secret Manager – Choix entre Google Secret Manager et Google Secret Manager (lecture seule)

Base de données Orchestrator

Cliquez sur Créer (Create) : les magasins de base de données Orchestrator ne disposent d'aucune propriété configurable.

CyberArk CCP

Remarque :

CyberArk a été renommé Idira après son acquisition par Palette Alto Networks. L'interface utilisateur, les clés de configuration et les noms de type de magasin d'informations d'identification d'Orchestrator continuent de référencer CyberArk.

Remarque :

Un magasin CyberArk configuré dans plusieurs locataires à l’aide du même Identifiant d’application, Coffre-fort et Nom de dossier autorisera l’accès aux informations d’identification stockées entre les locataires. Pour maintenir la sécurité et l’isolation au niveau des locataires, assurez-vous que différentes configurations sont utilisées pour chaque magasin CyberArk de locataire.

1. Dans le champ Nom , entrez un nom pour le nouveau magasin d'identifiants.
2. Dans le champ ID d'application (App ID), entrez l'ID d'application de l'instance d'Orchestrator à partir de l'interface PVWA (Password Vault Web Access) de CyberArk®. Pour plus d'informations, reportez-vous ici. Voir ici pour plus de détails.
3. Dans le champ CyberArk Safe, entrez le nom du coffre défini dans l'interface PVWA de CyberArk®. Pour plus d'informations, reportez-vous ici. Voir ici pour plus de détails.
4. Dans le champ Dossier CyberArk (CyberArk Folder), entrez l’emplacement auquel CyberArk® conserve vos informations d’identification.
5. Dans le champ URL du fournisseur central d’informations d’identification (Central Credential Provider URL), entrez l’adresse du fournisseur central d’informations d’identification.
6. Dans le champ Nom du service Web (Web Service Name), saisissez le nom du service Web du fournisseur central d'informations d'identification. Si vous laissez ce champ vide, le nom par défaut est utilisé : AIMWebService .
7. Le certificat client doit être configuré lorsque l'application CyberArk utilise la méthode d'authentification du certificat client. L'entrée attendue est un fichier .pfx qui stocke la clé privée et la clé publique du certificat. Le certificat client doit être installé sur la machine sur laquelle CyberArk CCP AIMWebservice est déployé.
   Remarque :

   Le certificat client est utilisé par les informations d'identification CyberArk fournies pour authentifier l'application définie dans le magasin d'informations d'identification Orchestrator. Consultez la documentation officielle de CyberArk pour plus de détails sur les méthodes d'authentification des applications. Le certificat client est un fichier au format binaire PKCS12 qui stocke la ou les clés publiques de la chaîne de certificats et la clé privée. CyberArk CCP utilise des clés de certificat 2048-bits. Si le certificat client dispose d'un encodage Base 64, exécutez la commande certutil suivante pour le décoder au format binaire : certutil -decode client_certificate_encoded.pfx client_certificate.pfx

8. Dans le champ Mot de passe du certificat client (Client Certificate Password), entrez le mot de passe du certificat client.
9. Le Certificat de racine de serveur (Server Root Certificate) doit être configuré lorsqu'un certificat CA racine auto-signé est utilisé par CyberArk CCP AIMWebService pour les requêtes HTTP entrantes. Il est utilisé dans la validation de la chaîne de certificats d'établissement de liaison HTTPS TLS. L'entrée attendue est un fichier .crt ou .cer qui stocke la clé publique du certificat CA racine.
10. L'option Autoriser l'authentification de l'utilisateur du SE s'affiche uniquement lorsque la valeur du paramètre Plugins.SecureStores.CyberArkCCP.EnableOsUserAuthentication est définie sur true. L’option permet de s’authentifier en utilisant les informations d’identification de l’utilisateur actuellement connecté à la machine Orchestrator.
    Remarque :

    Veillez à établir une infrastructure adéquate en procédant aux modifications nécessaires dans IIS pour Orchestrator et CyberArk.

11. Sélectionnez Créer. Votre nouveau magasin d'identifiants est prêt à l'emploi.

Image 1. Page Ajouter un magasin d'identifiants

CyberArk Conjur (lecture seule)

Astuce :

Par rapport à CyberArk Conjur Cloud (en lecture seule), ce magasin d'informations d'identification prend en charge une méthode d'authentification supplémentaire, Jwt. Vous pouvez également utiliser ce plug-in pour CyberArk Secrets Manager SaaS et CyberArk Secrets Manager auto-hébergé. Cela vous permet d'intégrer des fournisseurs d'identité et d'utiliser l'authentification basée sur jeton pour renforcer la sécurité et la flexibilité.

Remarque :

Un plugin CyberArk Conjur configuré avec le même ID d'application, le même coffre et le même nom de dossier pour tous les locataires permet un accès Credential inter-locataires.Pour maintenir la sécurité et l’isolement au niveau du locataire, veillez à utiliser des configurations différentes pour chaque locataire du magasin CyberArk® Conjur.

1. Dans le champ Nom , entrez un nom pour le nouveau magasin d'identifiants.
2. Dans le champ URL de l'appareil, ajoutez votre URL CyberArk privée.
   Remarque :

   Si vous utilisez CyberArk Secrets Manager SaaS, incluez /api à la fin de l'URL (par exemple : https://[your-company-name].secretsmgr.cyberark.cloud/api). Si vous utilisez CyberArk Secrets Manager Self-Hosted, utilisez le DNS configuré.

3. Dans le champ Compte, incluez le nom du compte.La valeur par défaut est conjur.
4. Dans le champ Type d'authentification , choisissez l'authentification souhaitée dans la liste déroulante.
   • CléAPI: authentifiez-vous à l’aide de la clé API du gestionnaire de clés secrètes associée à l’ID utilisateur.
   • JWT: authentifiez-vous à l'aide d'un jeton Web JSON (JWT). Cette méthode permet une authentification sécurisée et basée sur des jetons sans nécessiter de clé API, idéale pour les environnements utilisant des informations d'identification de courte durée.
   1. Si vous sélectionnez ApiKey comme type d'authentification, configurez les champs suivants :
      • Nom de connexion: copiez le nom complet de la charge de travail de CyberArk Secrets Manager et collez-le dans Orchestrator au format host/data/<Workload_name> .
      • API key: ajoutez la clé API générée lors de la création de la charge de travail. Si vous avez oublié votre clé API, vous pouvez toujours en générer une nouvelle à partir du gestionnaire de clés secrètes ; veillez à la modifier également dans Orchestrator.
   2. Si vous sélectionnez Jwt comme type d'authentification, configurez les champs suivants :
      • ID de service JWT: copiez l’ID de service à partir du champ Authentifications dans CyberArk Secrets Manager.
      • URL du jeton du fournisseur d'identité: copiez l'URL du jeton du fournisseur d'identité. Vous pouvez utiliser UiPath Identity Server (par exemple, https://cloud.uipath.com/identity_/connect/token) ou un fournisseur d'identité externe.
      • ID client: copiez l'ID client défini dans le fournisseur d'identité.
      • Clé secrète du client: copiez la clé secrète du client définie dans le fournisseur d’identité.
      • Étendue: indiquez l'étendue du magasin d'identifiants configuré. Par exemple, vous pouvez utiliser OR.Assets.Read pour vérifier toutes les ressources stockées dans Orchestrator.
5. Dans le champ facultatif ID hôte copiez la charge de travail CyberArk utilisée.
6. Dans le champ facultatif Préfixe de l'ID de variable, saisissez un préfixe à ajouter au chemin de variable auquel vous souhaitez accéder. Par exemple : data/vault/<Safe_Name>.
   Remarque :

   Le préfixe est ajouté au champ Nom externe du Robot ou de la ressource lors de l'utilisation d'un dispositif de stockage. Par exemple, si vous utilisez le préfixe /data/vault/Safe_Name et le nom externe Machine, les variables lues seront /data/vault/Safe_Name/Machine/username et /data/vault/Safe_Name/Machine/password.

CyberArk Conjur Cloud (lecture seule)

Remarque :

Un magasin CyberArk Conjur Cloud, s’il est configuré avec le même ID d’application, le même coffre-fort et le même nom de dossier pour tous les locataires, permettra d’accéder aux informations d’identification entre les locataires. Pour maintenir la sécurité et l’isolement au niveau du locataire, veillez à utiliser des configurations différentes pour chaque locataire du magasin CyberArk® Conjur Cloud.

1. Dans le champ Nom , entrez un nom pour le nouveau magasin d'identifiants.
2. Dans le champ URL de CyberArk Conjur Cloud, ajoutez votre URL CyberArk privée (ex. : https://[your-company-name].secretsmgr.cyberark.cloud).
3. Dans le champ Nom de connexion , copiez le nom complet de la charge de travail de CyberArk Conjur Cloud et collez-le dans Orchestrator au format host/data/<Workload_name> .
4. Dans le champ Clé API, ajoutez la clé API générée lors de la création de la charge de travail. Si vous avez oublié votre clé API, vous pouvez toujours en générer une nouvelle à partir de Conjur Cloud ; veillez à la modifier également dans Orchestrator.
5. Dans le champ facultatif Préfixe de l'ID de variable, saisissez un préfixe à ajouter au chemin de variable auquel vous souhaitez accéder. Par exemple : data/vault/<Safe_Name>.
   Remarque :

   Le préfixe est ajouté au champ Nom externe du Robot ou de la ressource lors de l'utilisation d'un dispositif de stockage. Par exemple, si vous utilisez le préfixe /data/vault/Safe_Name et le nom externe Machine, les variables lues seront /data/vault/Safe_Name/Machine/username et /data/vault/Safe_Name/Machine/password.

Azure Key Vault

Les magasins d’informations d’identification Azure Key Vault utilisent l’authentification de type RBAC . Choisissez entre l'authentification par clé d'accès ou principal de service.

Azure Key Vault - Authentification par clé d'accès

Après avoir créé un principal de service, procédez comme suit :

1. Dans le champ Nom , entrez un nom pour le nouveau magasin d'identifiants.
2. Dans le champ URI de Key Vault (Key Vault Uri), entrez l'adresse d'Azure Key Vault. Il s'agit de https://<vault_name>.vault.azure.net/.
3. Dans le champ ID de répertoire (Directory ID), entrez l’ID de répertoire indiqué dans le portail Azure.

Figure 2. ID de répertoire

4. Dans le champ ID de client (Client Id), saisissez l’ID d’application à partir de la section Enregistrement d'applications Azure AD (Azure AD App Registrations) dans laquelle l’application Orchestrator a été enregistrée.
5. Dans le champ Clé secrète du client (Client Secret), saisissez la clé secrète nécessaire à l'authentification du compte client renseigné à l'étape précédente.
6. Sélectionnez Créer. Votre nouveau magasin d'identifiants est prêt à l'emploi.

Figure 3. Page Ajouter un magasin d'identifiants

Important :

Dans Automation Cloud Secteur Public et Test Cloud Secteur Public, vous pouvez uniquement utiliser un Azure Key Vault hébergé par Azure Government.

Remarque :

Lorsque vous accédez à Azure Key Vault à partir d’un cloud différent du cloud public, vous devez définir la variable d’environnement AZURE_AUTHORITY_HOST sur la valeur correspondante (c’est-à-dire "AZURE_AUTHORITY_HOST": "https://login.microsoftonline.us/"). Pour en savoir plus sur les valeurs, consultez la documentation Authentification Microsoft Entra et cloud nationaux - Plateforme d’identité Microsoft (Microsoft Entra authentication & nationaux clouds) .

Azure Key Vault - Authentification de Service-Principal

L’authentification principale du service (application Entra) utilise une connexion Integration Services pour gérer les informations d’identification en toute sécurité.

Prérequis :

• Un principal de service Entra (inscription d’application) avec accès à Azure Key Vault
• Une connexion Integration Services configurée pour votre principal de service Azure
• Le principal du service doit disposer du rôle Key Vault Secrets Administrator ou Key Vault Administrator sur votre Azure Key Vault

1. Dans le champ Nom , entrez un nom pour le nouveau magasin d'identifiants.
2. Dans le champ URI de Key Vault , entrez l'adresse d'Azure Key Vault (https://<vault_name>.vault.azure.net/).
3. Dans le champ Type d'authentification , sélectionnez Service principal (si disponible via Integration Services).
4. Dans le champ Connexion , sélectionnez ou créez une connexion Integration Services configurée pour votre principal de service Azure.
5. Sélectionnez Créer.

Résultat: votre nouveau magasin d'identifiants est prêt à l'emploi.

Remarque :

Service-principal authentication requires that Integration Services (uipath-microsoft-azure connector) is configured in your environment. For connection setup details, see Cloud provider setup.

HashiCorp Vault

1. Dans le champ Type, sélectionnez HashiCorp Vault ou HashiCorp Vault (lecture seule) (HashiCorp Vault (read-only)) comme magasin d'informations d'identification.

2. Dans le champ Nom (Name), spécifiez un nom pour le magasin d'informations d'identification HashiCorp Vault.

3. In the Vault Uri field, enter the base address of the HashiCorp Vault HTTP API, including the scheme and the port, for example https://vault.example.com:8200. Do not append a path — Orchestrator builds the API paths itself.

4. Dans le champ Type d'authentification (Authentication Type), indiquez votre méthode d'authentification préférée. Selon l’option que vous choisissez, vous devez configurer des champs supplémentaires :

   • AppRole : il s'agit de la méthode d'authentification recommandée. Si vous choisissez cette option, assurez-vous de configurer également les champs suivants :
     • Role Id – Indicate the role ID to use with the AppRole authentication method.
     • Secret Id – Enter the secret ID to use with the AppRole authentication type. If the AppRole issues secret IDs with a time-to-live or a use limit, the credential store stops working once the value expires.
   • NomUtilisateurMotDePasse (UsernamePassword) : si vous sélectionnez cette option, assurez-vous de configurer également les champs suivants :
     • Nom d'utilisateur (Username) : entrez le nom d'utilisateur à utiliser avec UsernamePassword.
     • Mot de passe (Password) : indiquez le mot de passe à utiliser avec le type d'authentification UsernamePassword.
   • LDAP : si vous sélectionnez cette option, assurez-vous de configurer également les champs suivants :
     • Nom d'utilisateur : spécifiez le nom d'utilisateur à utiliser avec le type d'authentification LDAP.
     • Mot de passe (Password) : indiquez le mot de passe à utiliser avec le type d'authentification LDAP.
   • Jeton : si vous sélectionnez cette option, assurez-vous de configurer également le champ suivant :
     • Token – Enter the token to use with the Token authentication type. Orchestrator does not renew this token, so the credential store stops working once the token's lease ends. Choose AppRole for anything other than a short-lived test. This authentication type ignores the Authentication Mount Path field.
   • KerberosUserPassword and KerberosDefaultCredentials – Offered only where the Kerberos protocol is enabled for the plugin. If you choose one of these options, make sure to also configure the following fields:
     • Username – Required for KerberosUserPassword only.
     • Password – Required for KerberosUserPassword only.
     • Kerberos fully qualified SPN – Required for both KerberosUserPassword and KerberosDefaultCredentials. Enter the service principal name of the HashiCorp Vault service, for example HTTP/vault.example.com. Orchestrator uses it to request the Kerberos ticket.

5. Optionally, in the Authentication Mount Path field, specify the mount point of the authentication method, relative to auth/. Do not include the auth/ prefix. Set it only when the method is mounted elsewhere, for example when the same method is mounted twice with different configurations.

   If you leave this field empty, it defaults to the name of the authentication method, such as approle or userpass.

6. In the Secrets Engine field, select the secrets engine that holds the credentials:

   • KeyValueV1 and KeyValueV2 – available for both HashiCorp Vault and HashiCorp Vault (read-only).
   • ActiveDirectory, OpenLDAP, and LDAP – available only for HashiCorp Vault (read-only).

7. In the Secrets Engine Mount Path field, enter the mount point of the secrets engine, exactly as vault secrets list reports it, without the trailing slash. Do not include data, metadata, or any part of the secret path. If you leave it empty, it defaults to kv for KeyValueV1, kv-v2 for KeyValueV2, ad for ActiveDirectory, openldap for OpenLDAP, and ldap for LDAP.

8. In the Data Path field, enter the path prefix inside the mount, under which the credential store reads and writes every secret. Do not repeat the mount path and do not include data. The ActiveDirectory, OpenLDAP, and LDAP engines ignore this field, because they address credentials by role name alone.

9. Dans le champ Namespace, spécifiez l'espace de noms à utiliser. Uniquement disponible dans HashiCorp Vault Enterprise.

10. For the (Ldap) Use Dynamic Credentials option, select True (dynamic) or False (static) to switch between dynamic and static credentials. This option applies only to the LDAP secrets engine. The default option is False.

11. Sélectionnez Créer. Votre nouveau magasin d'identifiants est prêt à l'emploi.

Figure 4. Ajouter un magasin d'identifiants

HashiCorp Vault secret path resolution

With the KeyValueV1 and KeyValueV2 engines, Orchestrator does not read the Data Path verbatim. It assembles the path of each secret from three parts: the secrets engine mount point, the data path, and the name of the individual secret.

• KeyValueV2 — <Secrets Engine Mount Path>/data/<Data Path>/<secret name>
• KeyValueV1 — <Secrets Engine Mount Path>/<Data Path>/<secret name>

The data/ segment in the KeyValueV2 path is inserted by Orchestrator, the same way the vault kv commands insert it. Never include it in Secrets Engine Mount Path or Data Path.

The secret name identifies one asset or one robot account:

InformationsIdentification	Secret name
Asset of type Credential or Secret	The asset value's External Name, or the asset name when no external name is set.
Unattended robot credentials	The robot account's External Name, or <machine>\<username> when no external name is set. Set an external name to avoid a secret name that contains a backslash.

To derive the two path values from a Vault path you can already read, split that path at the mount point. If vault secrets list reports the mount uipath/kv/, and vault kv get uipath/kv/orchestrator/assets/SAPCredentials returns your secret, then Secrets Engine Mount Path is uipath/kv, Data Path is orchestrator/assets, and SAPCredentials is the asset's external name.

Because this is a KeyValueV2 engine, those values resolve to the API path uipath/kv/data/orchestrator/assets/SAPCredentials. The Vault policy attached to the authentication method must grant read on uipath/kv/data/orchestrator/assets/*. HashiCorp Vault additionally needs create, update, and delete on the same path, plus delete on uipath/kv/metadata/orchestrator/assets/* to clean up the test secret it writes when it validates the store.

A common mistake is to enter the full Vault path in both fields — Secrets Engine Mount Path as uipath/kv/data/orchestrator and Data Path as uipath/kv/data. That resolves to uipath/kv/data/orchestrator/data/uipath/kv/data/SAPCredentials, which no policy matches. Vault answers 403 Forbidden, and Orchestrator reports that the operation is not authorized.

Directory service engines

The ActiveDirectory, OpenLDAP, and LDAP engines work differently. They do not hold arbitrary key-value secrets, so Orchestrator asks the engine for a credential by role name and reads the password from the engine's own response. Leave Data Path empty and set the asset value's or robot account's External Name to the Vault role name. Orchestrator adds the engine's own path segment:

Secrets engine	Resolved path
Active Directory	<Secrets Engine Mount Path>/creds/<External Name>
OpenLDAP	<Secrets Engine Mount Path>/static-cred/<External Name>
LDAP, with (Ldap) Use Dynamic Credentials set to False	<Secrets Engine Mount Path>/static-cred/<External Name>
LDAP, with (Ldap) Use Dynamic Credentials set to True	<Secrets Engine Mount Path>/creds/<External Name>

For example, with an OpenLDAP engine mounted at secrets/ldap/corp and a Vault role named svc-uipath-robot, set Secrets Engine Mount Path to secrets/ldap/corp, leave Data Path empty, and set the robot account's External Name to svc-uipath-robot. Orchestrator then reads secrets/ldap/corp/static-cred/svc-uipath-robot.

Remarque :

Creating a HashiCorp Vault (read-only) store does not test the connection, because a connectivity check would require a broader policy than reading secrets. A path or permission error surfaces only when a robot or an asset first requests a credential. HashiCorp Vault does test the connection, by writing, reading, and removing a secret named UIPATH-TEST-SECRET-HASHICORP-VAULT under the configured data path.

For a disconnected Orchestrator Credentials Proxy, the same values go into the SecureStoreConfigurations section of the proxy's appsettings.Production.json file, under the SecretsEngineMountPath and DataPath keys.

BeyondTrust

1. Dans le champ Type, sélectionnez l'une des options suivantes :
   • Comptes gérés sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts)
   • Mots de passe d'équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords)
2. Dans le champ Nom (Name), spécifiez le nom du magasin d'informations d'identification BeyondTrust.
3. Dans le champ URL de l'hôte BeyondTrust (BeyondTrust Host URL), indiquez l'URL de votre instance de Secret Server.
4. Dans le champ Clé d'enregistrement API (API Registration Key), indiquez la valeur de la clé d'enregistrement API de BeyondTrust.
5. Dans le champ Exécution d'API en tant que nom d'utilisateur (API Run As Username), spécifiez le nom d'utilisateur BeyondTrust sous lequel vous souhaitez exécuter les appels.

Comptes gérés sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts)

Si vous avez choisi Comptes gérés, sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts), effectuez les étapes suivantes :

1. Dans le champ Nom du système géré par défaut, vous pouvez également indiquer le nom du système géré par la solution de mots de passe sécurisés BeyondTrust Password Safe. Ce champ servira de Nom de système de secours dans l’éventualité où le champ Nom externe de la ressource Orchestrator ne contient pas de préfixe de Nom de système.
2. Dans le champ Délimiteur système/compte (System-Account Delimiter), entrez le délimiteur utilisé pour séparer le nom du système et le nom du compte dans la ressource Orchestrator.
3. Dans le champ Type de compte géré , sélectionnez l'option Saisir du compte à récupérer à partir de BeyondTrust:
   • système : renvoie les comptes locaux
   • lié à un domaine (domainlinked) : renvoie les comptes des domaines liés au système
4. Sélectionnez Créer. Votre nouveau magasin d'identifiants est prêt à l'emploi.
   Remarque :

   Le nom du système doit être spécifié dans le magasin d’informations d’identification au format SystemName ou dans le champ Nom externe de la ressource Orchestrator au format SystemName/AccountName.

Mots de passe d'équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords)

Si vous avez choisi Mots de passe d’équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords), effectuez les étapes suivantes :

1. Dans le champ Préfixe du chemin d'accès au dossier (Folder Path Prefix), indiquez un préfixe du chemin d'accès au dossier par défaut. Il sera ajouté devant toutes les valeurs de ressources Orchestrator.
2. Dans le champ Délimiteur de dossier/compte (Folder / Account Delimiter), entrez le délimiteur utilisé pour séparer le chemin d'accès du titre dans les ressources Orchestrator.
3. Sélectionnez Créer. Votre nouveau magasin d'identifiants est prêt à l'emploi.

Figure 5. Ajouter un magasin d'identifiants

Thycotic Secret Server

Important :

Le magasin Thycotic Secret Server est remplacé par le nouveau magasin Delinea Secret Server (lecture seule) . Les deux intégrations partagent le même SDK sous-jacent et le même mécanisme d'intégration basé sur des règles, ce qui facilite la migration des magasins d'informations d'identification Thycotic existants vers le nouveau magasin Delinea. Nous vous encourageons fortement à migrer les magasins d'informations d'identification Thycotic existants vers la nouvelle intégration Delinea.

1. Dans le champ Type, sélectionnez Thycotic Secret Server.
2. Dans le champ Nom , entrez un nom pour le nouveau magasin d'identifiants.
3. Dans le champ URL de Secret Server (Secret Server URL), indiquez l'URL de votre instance Secret Server.
4. Dans le champ Nom de la règle (Rule Name), indiquez le nom de la règle d'intégration du client.
5. Dans le champ Clé de la règle (Rule Key), vous pouvez également indiquer la clé de la règle d'intégration. Bien que cette étape soit facultative, nous vous recommandons d'indiquer la Clé de la règle (Rule Key) pour une sécurité améliorée.
6. Dans le champ Champ du nom d'utilisateur (Username Field), indiquez le nom du champ de données dynamique du champ Modèle Secret (Secret Template) à partir duquel Orchestrator extraira le nom d'utilisateur lors de la récupération d'une ressource à partir du Thycotic Secret Server.
7. Dans le champ Champ du mot de passe (Password Field), indiquez le nom du slug du champ Modèle Secret (Secret Template) à partir duquel Orchestrator extraira le mot de passe lors de la récupération d'une ressource à partir du Thycotic Secret Server.
   Remarque :

   Vous pouvez trouver le nom du champ de données dynamique du champ Modèle Secret dans Admin > Modèle Secret (Secret Template) > Modèle (Template) > Champs (Fields).

Figure 6. Ajouter un magasin dʹidentifiants

Lorsqu'une ressource ou un robot est créé dans Orchestrator, il est lié à une clé secrète préexistante à l'aide du nom externe. Dans ce cas, il s’agit de l’ID secret réel du Thycotic Secret Server.

Vous pouvez trouver l'ID secret dans l'itinéraire. Dans l'exemple suivant, la valeur utilisée comme entrée est 5 et le chemin est https://uipath.secretservercloud.com/app/#/secrets/5/general.

Figure 7. ID de secret

Delinea Secret Server (lecture seule)

Remarque :

Delinea Secret Server (lecture seule) est un magasin d'informations d'identification en lecture seule. Orchestrator peut récupérer les valeurs de ressources et les informations d'identification des robots à partir de celui-ci, mais ne peut pas créer, mettre à jour ou supprimer des secrets. Pour connaître les prérequis et la configuration côté Delinea, vérifiez la section Intégration de Delinea Secret Server sur la page Intégration des magasins d'informations d'identification .

1. Dans le champ Type , sélectionnez Delinea Secret Server (lecture seule).
2. Dans le champ Nom , entrez un nom pour le nouveau magasin d'identifiants.
3. Dans le champ URL du serveur de la plate-forme , indiquez l'URL de votre plate-forme Delinea (par exemple, https://<tenant>.delinea.app).
4. Dans le champ URL de Secret Server , indiquez l'URL de Secret Server (par exemple, https://<tenant>.secretservercloud.eu). Pour récupérer l'URL de Secret Server, accédez à la page de connexion Secret Server dans votre locataire Delinea.
   Remarque :

   Pendant la migration en cours de la plateforme de Delinea, à la fois l' URL de Platform Server et l' URL de Secret Server sont requises.

5. Dans le champ Nom de la règle , indiquez le nom de la règle d'intégration du client SDK créée dans Delinea.
6. Dans le champ Clé de la règle , vous pouvez également indiquer la clé d'intégration de la règle. Laissez ce champ vide si l’option Exiger la clé d'intégration n’a pas été activée dans Delinea. Bien que cette étape soit facultative, nous vous recommandons d'indiquer la Clé de la règle pour une sécurité améliorée.
7. Dans le champ Champ du nom d'utilisateur , indiquez le nom du champ de données dynamique du champ Modèle Secret à partir duquel Orchestrator extraira le nom d'utilisateur lors de la récupération d'une ressource à partir de Delinea Secret Server (par exemple, username).
8. Dans le champ Champ du mot de passe , indiquez le nom du slug du champ Modèle Secret à partir duquel Orchestrator extraira le mot de passe lors de la récupération d'une ressource à partir de Delinea Secret Server (par exemple, password).
   Remarque :

   Vous pouvez trouver le nom du champ de données dynamique du champ Modèle Secret dans Admin > Modèle Secret (Secret Template) > Modèle (Template) > Champs (Fields).

Lorsqu’une ressource ou un robot est créé dans Orchestrator, il est lié à un secret préexistant à l’aide du nom externe. Dans ce cas, il s'agit de l' ID du secret numérique de Delinea Secret Server, visible dans l'URL du secret (par exemple, 42). Les noms de chaîne ne sont pas pris en charge.

AWS Secrets Manager

1. Dans le champ Type, sélectionnez AWS Secrets Manager ou AWS Secrets Manager (lecture seule). Le choix entre la version en lecture seule et la version en lecture-écriture dépend de vos autorisations de politique IAM.
2. Dans le champ Nom , entrez un nom pour le nouveau magasin d'identifiants.
3. Dans le champ Clé d'accès ( Access Key ), ajoutez l'ID de clé d'accès disponible dans l'onglet Informations d' identification de sécurité de votre page d'utilisateur AWS IAM.
4. Dans le champ Clé secrète (Secret Key ), ajoutez l'ID de clé secrète qui vous a été fourni lorsque vous avez créé le compte d'utilisateur AWS IAM.
5. Dans le champ Region (Région), ajoutez la région dans laquelle vous souhaitez que vos secrets soient stockés, telle qu'affichée dans votre compte AWS.

Figure 8. Ajouter un magasin d'identifiants

Si vous souhaitez utiliser AWS Secrets Manager ), vous devez d'abord créer vos informations d'identification de ressource ou de Robot dans AWS Secrets Manager.

Google Secret Manager

Utilisez cette procédure pour ajouter Google Secret Manager ou Google Secret Manager (lecture seule) à Orchestrator.

1. Accédez à la page Locataire dans Orchestrator.
2. Sélectionnez Identifiants et accédez à l'onglet Magasins.
3. Sélectionnez Ajouter un magasin d'informations d'identification.
4. Choisissez Google Secret Manager ou Google Secret Manager (lecture seule) dans le menu déroulant Type.
5. Saisissez un nom pour votre magasin d'informations d'identification.
6. Dans le champ ID de projet Google Cloud , saisissez l' ID de projet de votre projet Google Cloud.
7. Dans le champ Clé de compte de service json, téléchargez le fichier JSON téléchargé à l'étape précédente.
8. Sélectionnez Créer.
   Important :

   • Lors de la récupération d'une ressource à partir d'un magasin d'informations d'identification Google Secret Manager (lecture-écriture ou lecture seule), la dernière version secrète est toujours récupérée. Assurez-vous que la dernière version est correcte.
   • Si la dernière version secrète est désactivée, la récupération échouera.Assurez-vous que la dernière version secrète est activée.

Modification d'un magasin d'identifiants

Accédez à Magasins (Locataire (Tenant) > Informations d’identification > Magasins), et à partir du menu Autres actions (More Actions) du magasin désiré, sélectionnez Modifier (Edit) La fenêtre Modifier le magasin d'informations d’identification (Edit Credential Store) s’affiche.

Remarque :

Le magasin Base de données (Orchestrator Database) ne dispose pas de propriétés modifiables.

Définition d'un magasin d'identifiants par défaut

Lorsque vous utilisez au moins 2 magasins d'identifiants, vous avez la possibilité de sélectionner le magasin par défaut utilisé pour les Robots et les actifs. Le même magasin peut être utilisé par défaut pour les deux, ou vous pouvez sélectionner un autre magasin par défaut pour chacun.

Pour sélectionner un magasin par défaut, dans le menu Autres actions (More Actions), sélectionnez Définir comme magasin par défaut des robots (Set as robots default store) et/ou Définir comme magasin par défaut des actifs (Set as assets default store).

Remarque :

La modification du magasin par défaut ne modifie pas la configuration d'un Robot ou d'une ressource existante. Elle contrôle uniquement ce qui apparaît présélectionné dans la liste déroulante Magasins d'informations d'identification (Credential Stores) lors de la création de Robots ou de ressources. Les Robots et les ressources obtiennent toujours leurs mots de passe du magasin qui a été utilisé lors de leur création. Pour modifier le magasin d'informations d'identification d'un Robot ou d'une ressource donné(e), vous devez le modifier au niveau du Robot ou de la ressource.

Suppression d'un magasin d'identifiants

Pour supprimer un magasin d'identifiants, sélectionnez Supprimer (Remove) dans le menu Autres actions (More Actions) du magasin souhaité.

Si le magasin sélectionné est en cours d'utilisation, une boîte de dialogue d'avertissement s'affiche et répertorie le nombre de robots et d'actifs qui seront affectés. Cliquez sur Supprimer (Delete) pour confirmer la suppression ou sur Annuler (Cancel) pour abandonner. Notez qu'au moins un magasin d'identifiants doit être en permanence actif. Si un seul est présent, l'option de suppression ne s'affiche pas.

Remarque :

Un magasin d'identifiants désigné par défaut ne peut pas être supprimé. Vous devez d'abord sélectionner un autre magasin par défaut pour le type d'identifiants.