Intégration des magasins d'identifiants

CyberArk® CCP integration

Le fournisseur d’identifiants central (Central Credential Provide ou CCP) est la méthode sans agent utilisée pour l’intégration à CyberArk. Il permet à UiPath® de récupérer des informations sensibles telles que les informations d’identification du Robot depuis un coffre-fort sans déployer d’agent sur le serveur. Un certificat client est nécessaire pour garantir la récupération sécurisée des informations d’identification.

Avant de commencer à utiliser les magasins d'identifiants CyberArk® CCP dans Orchestrator, vous devez d'abord configurer l'application correspondante et les paramètres du coffre-fort dans l'interface PVWA (Password Vault Web Access) de CyberArk®.

Prérequis

• Un réseau permettant l’interconnectivité entre le service Orchestrator et le serveur CyberArk.
• Le fournisseur central d’informations d’identification CyberArk® doit être installé sur une machine qui autorise les connexions HTTP.
• CyberArk® Enterprise Password Vault

Pour plus d'informations sur l'installation et la configuration des applications CyberArk®, consultez leur page officielle.

Création d'une application Orchestrator

1. Dans l'interface PVWA de CyberArk®, connectez-vous avec un utilisateur qui dispose des autorisations de gestion des applications (l'autorisation de gestion des utilisateurs est requise).
2. Dans l'onglet Applications, cliquez sur Ajouter une application (Add Application). La fenêtre Ajouter un package (Add Package) s'affiche.

Figure 1. Fenêtre Ajouter une application

3. Dans la fenêtre Ajouter une application (Add Application), spécifiez les informations suivantes :
   • Champ Nom (Name) : un nom personnalisé pour l'application, tel qu'Orchestrator.
   • Description : une brève description pour vous aider à spécifier la fonction de la nouvelle application.
   • Emplacement (Location) : le chemin de l'application dans la hiérarchie du coffre. Si un emplacement n'est pas spécifié, l'application est ajoutée dans le même emplacement que le créateur de cette application.
4. Sélectionnez Ajouter (Add). L'application est ajoutée et ses détails s'affichent sur la page Détails de l'application (Application Details).
5. Cochez la case Autoriser les restrictions d’authentification étendues (Allow extended authentication restrictions).

Méthode d’authentification prise en charge :

• Certificats clients : le certificat client utilisé pour l'authentification CyberArk doit être supérieur ou égal à 2048 bits

6. Configure la méthode d’authentification. Par exemple, dans l'onglet Authentification, sélectionnez Ajouter > Numéro de série du certificat, puis ajoutez l'identifiant unique du certificat client, utilisé pour authentifier l'application effectuant la demande auprès de CCP.

Figure 2. Numéro de série du certificat

Création d'un coffre-fort Orchestrator

Les coffres-forts sont nécessaires à une meilleure gestion de vos comptes. En outre, vous pouvez ajouter des membres du coffre-fort pour garantir une autorisation adéquate. CyberArk® recommande l'ajout d'un fournisseur d'identifiants (utilisateur qui dispose des droits d'accès complets aux identifiants, peut en ajouter et les gérer) et de l'application créée auparavant en tant que membres du coffre-fort. Ce dernier permet à Orchestrator de rechercher et de récupérer les mots de passe stockés dans le coffre-fort.

1. Dans l'onglet Stratégies (Policies), sous la section Contrôle d'accès (Coffre-fort) (Access Control (Safe)), cliquez sur Ajouter un coffre-fort (Add Safe). La page Ajouter un coffre-fort (Add Safe) s'affiche.

Figure 3. Page Ajouter un coffre

2. Remplissez les champs Nom du coffre-fort (Safe Name) et Description.
3. Cliquez sur Enregistrer (Save). La fenêtre Détails du coffre-fort (Safe Details) s'affiche.

Figure 4. Fenêtre Détails du coffre

4. Dans la section Membres (Members), cliquez sur Ajouter un membre (Add Member). La fenêtre Ajouter un membre de coffre-fort (Add Safe Member) s'affiche.

Figure 5. Fenêtre des membres

5. Recherchez l'application créée auparavant (étapes 2-6) et sélectionnez les autorisations suivantes correspondantes :
   • Afficher les membres du coffre-fort (View Safe Members)
   • Récupérer des comptes (Retrieve accounts)
   • Répertorier les comptes (List accounts)
   • Accéder au coffre-fort sans confirmation (Access Safe without Confirmation) : uniquement si vous utilisez un environnement à double contrôle et un PIM-PSM v7.2 ou antérieur.

Si vous installez plusieurs fournisseurs d'informations d’identification pour cette intégration, il est recommandé de créer un groupe pour eux et de l'ajouter au coffre-fort une seule fois avec l’autorisation ci-dessus.

Figure 6. Fenêtre Ajouter un membre sécurisé

6. Cliquez sur Ajouter. Votre intégration est terminée et vous pouvez commencer à enregistrer les magasins d'identifiants CyberArk® dans Orchestrator. Pour plus de détails sur le stockage des identifiants du Robot, reportez-vous ici.

CyberArk® Conjur (lecture seule)

Astuce :

Par rapport à CyberArk Conjur Cloud (en lecture seule), ce magasin d'informations d'identification prend en charge une méthode d'authentification supplémentaire, Jwt. Vous pouvez également utiliser ce plug-in pour CyberArk Secrets Manager SaaS et CyberArk Secrets Manager auto-hébergé. Cela vous permet d'intégrer des fournisseurs d'identité et d'utiliser l'authentification basée sur jeton pour renforcer la sécurité et la flexibilité.

Vous pouvez utiliser ce plugin à la fois pour CyberArk Secrets Manager - SaaS et CyberArk Secrets Manager, Self-Hosted. Elle permet aux organisations de sécuriser l’accès non humain aux clés secrètes et d’éliminer le problème du « secret zéro ». Pour utiliser le plug-in CyberArk® Conjur (en lecture seule) dans Orchestrator, vous devez configurer les paramètres du coffre correspondants dans l'interface CyberArk® Privilege.

Prérequis

• Un réseau qui permet l'interconnectivité entre les machines Orchestrator et le serveur CyberArk®.
• Un utilisateur CyberArk® Privilege avec accès à la création d'utilisateurs et de coffres.
• Un utilisateur CyberArk® Privilege disposant des autorisations d'accès aux coffres requis et de la capacité de créer des charges de travail.

Pour de plus amples informations sur la configuration des applications CyberArk®, consultez la documentation officielle.

Créer un coffre-fort Orchestrator pour le stockage des informations d'identification

1. Dans l’interface CyberArk® Privilege Cloud, connectez-vous avec un compte disposant des autorisations de gestion des applications (l’autorisation de gestion des utilisateurs est requise).
2. À côté du Portail utilisateur, sélectionnez Accueil.
3. Dans Privilege Cloud, sélectionnez Politiques, puis Coffres-forts, puis Créer un coffre-fort. Ajoutez alors les informations suivantes :
   1. À l'étape Définir les propriétés, ajoutez un nom personnalisé pour le coffre et sélectionnez Suivant.
   2. À l'étape Sélectionner les membres, sélectionnez les utilisateurs des composants système pour Source, recherchez Conjur Sync, sélectionnez l'utilisateur Conjur Cloud, puis sélectionnez Suivant.
   3. À l’étape Définir les autorisations du coffre-fort, sélectionnez Complètes pour les Autorisations prédéfinies, puis sélectionnez Créer un coffre-fort.
4. Le nouveau coffre-fort s'affiche désormais dans les Politiques après avoir sélectionné Coffres-forts.

Créer un compte et une charge de travail pour accéder aux informations d'identification

Pour accéder aux coffres que vous avez créés dans CyberArk®, vous avez également besoin d'un compte dans Privilege Cloud et d'une charge de travail dans Secrets Manager.

1. Dans Privilege Cloud, sélectionnez Comptes, puis Ajouter un compte. Ensuite :
   1. À l’étape Sélectionner le type de système, sélectionnez Windows, puis Compte de domaine Windows, et sélectionnez un coffre-fort existant.
   2. À l’étape Définir les propriétés du compte, renseignez les champs Adresse, Nom d’utilisateur et Mot de passe.
   3. Activez l’option Personnaliser le nom du compte, si vous souhaitez ajouter un nom personnalisé à ce compte.
      Remarque :

      Lorsqu’une ressource ou un robot est créé dans Orchestrator, il est lié à un secret existant à l’aide du nom externe. Veillez à ce que le nom de compte généré ou personnalisé dans Orchestrator soit défini dans le champ Nom externe, qui devra correspondre aux informations du compte CyberArk®. Par exemple, le format data/vault/OrchestratorQA/companyname-john.doe/username représente un nom de compte personnalisé tandis que le format data/vault/OrchestratorQA/Operating System-WinDomain-adress-test (1)/address représente un nom de compte généré.

2. Une fois que vous avez créé un coffre et un compte, accédez au service Secrets Manager, sélectionnez Charges de travail, puis Créer une charge de travail.
   1. À l’étape Type de charge de travail, sélectionnez Autre.
   2. À l'étape Détails de la charge de travail, entrez un nom personnalisé pour la charge de travail dans le champ Nom et sélectionnez les données pour le champ Branch.
   3. Sous Authentification, sélectionnez Jwt dans le menu déroulant Type d'authentification.
   4. À l’étape Accès aux coffres-forts, sélectionnez le coffre-fort que vous avez créé.
   5. Vérifiez le résumé de votre configuration, puis sélectionnez Terminé.
   6. Vous pouvez copier la clé API, puis sélectionner Terminé.

Pour obtenir des instructions sur la façon d’enregistrer les clés secrètes, consultez la page suivante :

• Storing Robot credentials in CyberArk

CyberArk® Conjur Cloud (lecture seule)

CyberArk® Secrets Manager - SaaS est une solution basée sur SaaS et indépendante du cloud pour la gestion des secrets.Elle permet aux organisations de sécuriser l’accès non humain aux clés secrètes et d’éliminer le problème du « secret zéro ». Pour utiliser le plug-in CyberArk® Conjur Cloud (en lecture seule) dans Orchestrator, vous devez configurer les paramètres du coffre correspondants dans l'interface CyberArk® Privilege Cloud.

Prérequis

• Un réseau qui permet l'interconnectivité entre les machines Orchestrator et le serveur CyberArk®.
• Un utilisateur de CyberArk® Privilege Cloud disposant d’un accès à la création d’utilisateurs et de coffres-forts.
• Un utilisateur de CyberArk® Privilege Cloud avec les autorisations d’accès aux coffres-forts concernés et la possibilité de créer des charges de travail.

Pour de plus amples informations sur la configuration des applications CyberArk® Secrets Manager - SaaS, consultez leur documentation officielle.

Créer un coffre-fort Orchestrator pour le stockage des informations d'identification

1. Dans l’interface CyberArk® Privilege Cloud, connectez-vous avec un compte disposant des autorisations de gestion des applications (l’autorisation de gestion des utilisateurs est requise).
2. À côté du Portail utilisateur, sélectionnez Accueil.
3. Dans Privilege Cloud, sélectionnez Politiques, puis Coffres-forts, puis Créer un coffre-fort. Ajoutez alors les informations suivantes :
   1. À l'étape Définir les propriétés, ajoutez un nom personnalisé pour le coffre et sélectionnez Suivant.
   2. À l'étape Sélectionner les membres, sélectionnez les utilisateurs des composants système pour Source, recherchez Conjur Sync, sélectionnez l'utilisateur Conjur Cloud, puis sélectionnez Suivant.
   3. À l’étape Définir les autorisations du coffre-fort, sélectionnez Complètes pour les Autorisations prédéfinies, puis sélectionnez Créer un coffre-fort.
4. Le nouveau coffre-fort s'affiche désormais dans les Politiques après avoir sélectionné Coffres-forts.

Créer un compte et une charge de travail pour accéder aux informations d'identification

Pour accéder aux coffres que vous avez créés dans CyberArk®, vous avez également besoin d'un compte dans Privilege Cloud et d'une charge de travail dans Secrets Manager.

1. Dans Privilege Cloud, sélectionnez Comptes, puis Ajouter un compte. Ensuite :
   1. À l’étape Sélectionner le type de système, sélectionnez Windows, puis Compte de domaine Windows, et sélectionnez un coffre-fort existant.
   2. À l’étape Définir les propriétés du compte, renseignez les champs Adresse, Nom d’utilisateur et Mot de passe.
   3. Activez l’option Personnaliser le nom du compte, si vous souhaitez ajouter un nom personnalisé à ce compte.
      Remarque :

      Lorsqu’une ressource ou un robot est créé dans Orchestrator, il est lié à un secret existant à l’aide du nom externe. Veillez à ce que le nom de compte généré ou personnalisé dans Orchestrator soit défini dans le champ Nom externe, qui devra correspondre aux informations du compte CyberArk®. Par exemple, le format data/vault/OrchestratorQA/companyname-john.doe/username représente un nom de compte personnalisé tandis que le format data/vault/OrchestratorQA/Operating System-WinDomain-adress-test (1)/address représente un nom de compte généré.

2. Une fois que vous avez créé un coffre et un compte, accédez au service Secrets Manager, sélectionnez Charges de travail, puis Créer une charge de travail.
   1. À l’étape Type de charge de travail, sélectionnez Autre.
   2. À l’étape Détails de la charge de travail, saisissez un nom personnalisé pour la charge de travail dans le champ Nom, puis sélectionnez données pour le champ Emplacement.
   3. Sous Authentification, sélectionnez Clé API.
   4. À l’étape Accès aux coffres-forts, sélectionnez le coffre-fort que vous avez créé.
   5. Vérifiez le résumé de votre configuration, puis sélectionnez Terminé.
   6. Vous pouvez copier la clé API, puis sélectionner Terminé.

Pour obtenir des instructions sur la façon d’enregistrer les clés secrètes, consultez la page suivante :

• Storing Robot credentials in CyberArk

Azure Key Vault integration

Azure Key Vault est un plug-in que vous pouvez utiliser comme magasin d'informations d'identification avec Orchestrator.

Deux plug-ins sont inclus :

• Azure Key Vault : plug-in de lecture-écriture (les clés secrètes sont créées via Orchestrator)
• Azure Key Vault (lecture seule) : plug-in en lecture seule (vous devez enregistrer les clés secrètes directement dans le coffre)

Prérequis

• Les magasins d'identifiants Azure Key Vault utilisent l’authentification basée sur les rôles Azure (RBAC). Affectez le rôle approprié principal du service associé à l’enregistrement de votre application en fonction du type de magasin d'identifiants :
  • Pour les magasin d'identifiants en lecture-écriture, affectez le rôle Key Vault Secrets Officer.
  • Pour les magasins d'identifiants en lecture seule, affectez le rôle Key Vault Secrets User.
• In Automation Cloud Public Sector and Test Cloud Public Sector, you can only use an Azure Key Vault that is hosted by Azure Government.

Configuration

Dans le volet Inscription d'applications (App Registrations) du portail Azure, suivez ces étapes :

1. Créez une nouvelle inscription d’application.
2. Copiez l'ID d’application (client) (Application (Client) ID) pour une utilisation ultérieure.
3. Accédez à Gérer (Manage) > Certificats et clés secrètes (Certificates & Secrets) > Nouvelle clé secrète du client (v) et ajoutez une nouvelle clé secrète du client. Notez l'expiration que vous avez choisie et créez une nouvelle clé secrète au préalable.
4. Copiez la valeur de la clé secrète pour une utilisation ultérieure.

Dans Azure Key Vault, suivez ces étapes :

1. Accédez à la page Présentation (Overview) de Key Vault et copiez l' URI du coffre (Vault URI) et l' ID d'annuaire (Directory ID) pour une utilisation ultérieure.
2. Sélectionnez Contrôle d’accès (IAM) dans le menu à gauche.
3. Sélectionnez Ajouter, puis sélectionnez Ajouter une affectation de rôle.
4. Sélectionnez l’un des rôles suivants en fonction de votre type de magasin d'identifiants :
   • Key Vault Secrets Officer pour les magasins d'identifiants en lecture-écriture.
   • Key Vault Secrets User pour les magasins d'identifiants en lecture seule.
5. Affectez le rôle au principal du service associé à l’enregistrement de votre application.
6. Sélectionnez Examiner + affecter pour enregistrer l’affectation de rôle.

Utiliser Azure Key Vault (lecture seule)

Lors de l'utilisation du plug-in Azure Key Vault (lecture seule), l'administrateur Vault est responsable de l'enregistrement correct des clés secrètes qu'Orchestrator utilisera. Le format dans lequel ces clés secrètes doivent être enregistrées diffère entre les types de clés secrètes (ressource ou mot de passe du Robot) et entre les moteurs secrets.

Pour obtenir des instructions sur la façon d'enregistrer les clés secrètes, consultez les éléments suivants :

• Stockage des informations d'identification de l'Unattended Robot dans HashiCorp Vault (lecture seule)
• Stockage des ressources dans Azure Key Vault (lecture seule)

Intégration de HashiCorp Vault

HashiCorp Vault est un plug-in que vous pouvez utiliser comme magasin d'informations d'identification avec Orchestrator.

Deux plug-ins sont inclus :

• HashiCorp Vault : plug-in en lecture-écriture (les clés secrètes sont créées via Orchestrator)
• HashiCorp Vault (lecture seule) : plug-in en lecture seule (vous devez enregistrer les clés secrètes directement dans le coffre)

Prérequis

• Un réseau qui permet l'interconnectivité entre le service Orchestrator et le serveur HashiCorp Vault :
  • Le port API utilisé par HashiCorp Vault pour les requêtes API doit être ouvert via n'importe quel pare-feu et accessible depuis Internet. Ce port est 8200 dans une installation standard.
  • If the customer's firewall does not allow connectivity from any internet IP, Orchestrator's IP addresses must be whitelisted. You can find an up-to-date list of IPs on the Orchestrator outbound IP addresses page.
• Vous devez configurer l'une des méthodes d'authentification prises en charge :
  • AppRole (recommandé)
  • UsernamePassword
  • LDAP
  • JetonDécouvrez comment configurer l'authentification.
• Vous devez configurer l'un des moteurs de secrets pris en charge :
  • KeyValueV1 : disponible pour HashiCorp Vault et HashiCorp Vault (lecture seule) (HashiCorp Vault (read-only))
  • KeyValueV2 : disponible pour HashiCorp Vault et HashiCorp Vault (lecture seule) HashiCorp Vault (read-only)
  • ActiveDirectory : disponible uniquement pour HashiCorp Vault (lecture seule) (HashiCorp Vault (read-only))
  • OpenLDAP : disponible uniquement pour HashiCorp Vault (lecture seule) (HashiCorp Vault (read-only))
• La méthode d'authentification choisie doit avoir une stratégie qui autorise les fonctionnalités suivantes sur le chemin d'accès où vous prévoyez de stocker vos clés secrètes :
  • Pour le plug-in HashiCorp Vault (lecture seule) (HashiCorp Vault (read-only)) : read
  • Pour le plug-in HashiCorp Vault : create , read , update , delete et éventuellement delete sur le chemin des métadonnées, si vous utilisez le moteur de secrets KeyValueV2 .

Configuration de l'intégration

Voici un exemple de configuration d'une version de développement de HashiCorp Vault, exécutée dans un conteneur Docker, à utiliser comme magasin d'informations d'identification avec Orchestrator. Les exemples doivent être adaptés à votre propre environnement. Veuillez consulter la documentation officielle de HashiCorp Vault pour plus de détails.

Configuration de l'authentification

Pour commencer à créer et à lire des clés secrètes, vous devez d'abord configurer la méthode d'authentification en suivant ces étapes :

1. Ouvrez un shell à l'intérieur du conteneur :

   docker exec -it dev-vault sh
   

2. Connectez-vous en tant que racine. Assurez-vous que le jeton racine est affiché dans les journaux pour définir une variable d'environnement en exécutant la commande suivante :

   export VAULT_TOKEN=s.hA7RJ5lBqSnKUPd8nrQBaK1f
   

3. Vérifiez l'état du coffre en exécutant la commande suivante :

   vault status
   

4. Ajoutez une clé secrète factice pour Orchestrator dans le magasin KV :

   vault kv put secret/applications/orchestrator/testSecret Value=123456
   

5. Accordez à Orchestrator l'accès au chemin d'accès secret/applications/orchestrator créé. Pour cela, vous devez d'abord créer une stratégie de lecture et d'écriture pour ce chemin d'accès et tous ses sous-chemins d'accès en exécutant la commande suivante :

   cat <<EOF | vault policy write orchestrator-policy -
   path "secret/data/applications/orchestrator/*" {
     capabilities = ["create", "read", "update", "delete"]
   }
   path "secret/metadata/applications/orchestrator/*" {
     capabilities = ["delete"]
   }
   EOF
   

   Remarque :

   When using a KeyValueV2 secrets engine, secrets are written and fetched at path <mount>/data/<secret-path>, as opposed to <mount>/<secret-path> in KeyValueV1. It does not change any of the CLI commands (i.e., you do not specify data in your path). However, it does change the policies, since capabilities are applied to the real path. In the previous example, the path is secret/data/applications/orchestrator/* since we are working with a KeyValueV2 secrets engine. If a KeyValueV1 were used, the path would have been secret/applications/orchestrator/*.

   La capacité de suppression au niveau du chemin d'accès des métadonnées n'est nécessaire que si vous voulez vous assurer qu'Orchestrator n'oublie aucune clé de test lors de la vérification de la connectivité. Si cette capacité n'est pas accordée, une clé sera créée et oubliée lors de la création du magasin d'informations d'identification dans Orchestrator.

6. Activez l'authentification à l'aide de la méthode d'authentification userpass, puis créez un utilisateur pour Orchestrator et attribuez la stratégie créée précédemment :

   vault auth enable userpass
   vault write auth/userpass/users/orchestrator password=123456 policies=orchestrator-policy
   

   Remarque :

   Orchestrator prend en charge plusieurs modes d'authentification. Consultez la documentation de HashiCorp Vault pour savoir comment les configurer.

7. Vérifiez que votre configuration est correcte en vous connectant et en essayant de lire la clé secrète créée précédemment :

   vault login -method=userpass username=orchestrator password=123456
   

Sortie de cette commande :

WARNING! The VAULT_TOKEN environment variable is set! This takes precedence
over the value set by this command. To use the value set by this command,
unset the VAULT_TOKEN environment variable or set it to the token displayed
below.
Success! You are now authenticated. The token information displayed below
is already stored in the token helper. You do NOT need to run "vault login"
again. Future Vault requests will automatically use this token.
Key                    Value
---                    -----
token                  s.nwombWQH3gGPDhJumRzxKqgI
token_accessor         aGJL6Pzc6fRRuP8d8tTjS2Kj
token_duration         768h
token_renewable        true
token_policies         ["default" "orchestrator-policy"]
identity_policies      []
policies               ["default" "orchestrator-policy"]
token_meta_username    orchestratorWARNING! The VAULT_TOKEN environment variable is set! This takes precedence
over the value set by this command. To use the value set by this command,
unset the VAULT_TOKEN environment variable or set it to the token displayed
below.
Success! You are now authenticated. The token information displayed below
is already stored in the token helper. You do NOT need to run "vault login"
again. Future Vault requests will automatically use this token.
Key                    Value
---                    -----
token                  s.nwombWQH3gGPDhJumRzxKqgI
token_accessor         aGJL6Pzc6fRRuP8d8tTjS2Kj
token_duration         768h
token_renewable        true
token_policies         ["default" "orchestrator-policy"]
identity_policies      []
policies               ["default" "orchestrator-policy"]
token_meta_username    orchestrator

8. Prenez ce jeton et définissez-le à la place du jeton racine, puis essayez de lire la clé secrète de test :

   export VAULT_TOKEN=s.nwombWQH3gGPDhJumRzxKqgI
   vault kv get secret/applications/orchestrator/testSecret
   

Sortie de cette commande :

====== Metadata ======
Key              Value
---              -----
created_time     2020-10-12T06:24:41.7827631Z
deletion_time    n/a
destroyed        false
version          1
=========== Data ===========
Key                    Value
---                    -----
supersecretpassword    123456====== Metadata ======
Key              Value
---              -----
created_time     2020-10-12T06:24:41.7827631Z
deletion_time    n/a
destroyed        false
version          1
=========== Data ===========
Key                    Value
---                    -----
supersecretpassword    123456

Remarque :

Vous pouvez également activer la méthode Orchestrator appRole en exécutant la commande suivante :

/ # vault auth enable approle
/ # vault write auth/approle/role/orchestrator policies=orchestrator-policy
/ # vault read auth/approle/role/orchestrator/role-id
/ # vault write -f auth/approle/role/orchestrator/secret-id

Vous disposerez alors d'un ID de rôle et d'un ID de secret à des fins de configuration dans Orchestrator.

Configuration du moteur de secrets Active Directory

Pour configurer le moteur de secrets Active Directory, suivez ces étapes :

1. Activez le moteur de secrets Active Directory en exécutant la commande suivante :

   vault secrets enable ad
   

2. Configurez les informations d'identification utilisées par HashiCorp Vault pour communiquer avec Active Directory afin de générer des mots de passe :

   vault write ad/config \
       binddn=$USERNAME \
       bindpass=$PASSWORD \
       url=ldaps://138.91.247.105 \
       userdn='dc=example,dc=com'
   

3. Configurez un rôle qui mappe un nom dans HashiCorp Vault à un compte dans Active Directory. Lorsque les applications demanderont des mots de passe, les paramètres de rotation des mots de passe seront gérés par ce rôle.

   vault write ad/roles/orchestrator service_account_name="[e-mail]"
   

4. Accordez à orchestrator l'accès à ses informations d'identification sur ad/creds/orchestrator à l'aide d'une méthode d'authentification, telle que AppRole.

   cat <<EOF | vault policy write orchestrator-policy -
   path "ad/creds/orchestrator" {
     capabilities = ["read"]
   }
   EOF
   

Utilisation de HashiCorp Vault (en lecture seule)

Lors de l'utilisation du plug-in HashiCorp Vault (lecture seule) (HashiCorp Vault (read-only)), l'administrateur Vault est responsable de l'enregistrement correct des clés secrètes utilisées par Orchestrator. Le format dans lequel ces clés secrètes doivent être enregistrées diffère entre les types de clés secrètes (ressource ou mot de passe du Robot) et entre les moteurs secrets.

Pour obtenir des instructions sur la façon d'enregistrer les clés secrètes, consultez les éléments suivants :

Stockage des informations d'identification de l'Unattended Robot dans HashiCorp Vault (lecture seule)

Stockage des ressources dans HashiCorp Vault (lecture seule)

Intégration BeyondTrust

L'intégration BeyondTrust est en lecture seule et se présente sous la forme de deux plug-ins au choix u: Comptes gérés sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts) et Mots de passe d'équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords).

Si Comptes gérés sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts) répond aux besoins des organisations avec des comptes locaux ou Active Directory, Mots de passe d'équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords) convient dans les scénarios où les informations d'identification de petits groupes doivent être stockées dans un environnement isolé.

La configuration des deux plug-ins est globalement identique, mais il existe également de légères différences. Cette page couvre les deux plug-ins.

Prérequis

• Une instance BeyondTrust Server Cloud ou une installation locale similaire
• Au-delà des informations d'identification Insight

Configuration de l'intégration

1. Connectez-vous à l'instance BeyondTrust Server Cloud ou à une installation locale similaire à l'aide de vos informations d'identification Beyond Insight.
2. Créez un Enregistrement d'API (API Registration) pour le groupe UiPath de comptes de service.

Figure 7. Créer un enregistrement d'API

3. Créez une Règle d'authentification (Authentication Rule) pour autoriser les connexions API entrantes depuis UiPath.

Figure 8. Créer une règle d'authentification

4. Créez un groupe pour le ou les comptes de service UiPath et ajoutez les fonctionnalités suivantes :
   • Compte sécurisé par mot de passe
   • Rôle sécurisé par mot de passe

Figure 9. Créer un nouveau groupe

5. Vous devez également attribuer des Règles intelligentes (Smart Rules) :
   • Les rôles Comptes gérés (Managed Accounts)/Lecture seule (Read-Only)/Demandeur (Requester) sont suffisants pour les demandes d'utilisateur standard
   • Pour l'accès ISA, le rôle Ressources /ISA (Assets/ISA) est nécessaire.

Figure 10. Affecter des règles intelligentes

6. Ajoutez l'enregistrement d'API au groupe.

Figure 11. Ajouter l'enregistrement de l'API au groupe

7. Créez un utilisateur et attribuez le groupe UiPath.

Figure 12. Créer un nouvel utilisateur

8. Les étapes suivantes varient selon que vous utilisez Comptes gérés sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts) ou Mots de passe d'équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords).

Comptes gérés sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts)

Si vous utilisez Comptes gérés sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts), effectuez les étapes suivantes :

1. Ajoutez vos comptes gérés sous Systèmes gérés (Managed Systems).

Figure 13. Page Systèmes gérés

2. Assurez-vous d'utiliser l'option API activée (API Enabled) pour vos comptes gérés.

Figure 14. Page Comptes gérés

Mots de passe d'équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords)

Si vous utilisez Mots de passe d'équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords), effectuez les étapes suivantes :

1. Accédez à la page Mots de passe d'équipe (Team Passwords).

Figure 15. Page Mots de passe d'équipe

2. Vous pouvez également créer un dossier.
3. Sélectionnez un dossier.
4. Utilisez l'option Créer des informations d'identification (Create New Credential).

Thycotic Secret Server integration

Remarque :

Thycotic a été renommé Delinea à la suite d’une fusion. Gardez cela à l’esprit lors de la configuration des intégrations de votre magasin d’informations d’identification.

Prérequis

• Une instance cloud de Thycotic Secret Server ou une installation locale.

Configuration de l'intégration

Important :

Assurez-vous de lire la documentation Delinea pour obtenir des informations à jour.

1. Connectez-vous à votre compte Secret Server.
2. Accédez à Administrateur (Admin) > Gestion des utilisateurs (User Management) et cliquez sur Créer un utilisateur (Create User). Cochez la case Compte d’application (Application Account) pour générer un compte d’application.
3. Accédez à Admin > Tout afficher ( See All ) > Outils et intégrations (Tools and Integrations ) > Gestion des clients SDK (SDK) et configurez une nouvelle règle d’intégration dans Intégration du client (Client Onboarding) . Notez le nom et la clé de la règle d'intégration.
4. Modifiez la règle d’intégration et attribuez le compte d’application créé à l’étape 2.
5. Assurez-vous que le compte d’application lié à la règle d’intégration dispose d’autorisations sur les clés secrètes consultées par Orchestrator. Vous pouvez attribuer le compte d’application à un groupe et accorder à ce groupe l’accès aux dossiers requis, ou lui accorder un accès explicite aux clés secrètes.

Intégration d'AWS Secrets Manager

À propos d'AWS Secrets Manager

AWS Secrets Manager est un outil qui peut être utilisé en tant que magasin d’informations d’identification dans Orchestrator.

Il dispose de deux plugins :

• AWS Secrets Manager
• AWS Secrets Manager (lecture seule)

Le plug-in que vous pouvez utiliser, à savoir en lecture seule ou en lecture-écriture, est dicté par vos autorisations de stratégie AWS Identity and Access Management (IAM).

Si vous choisissez d'utiliser le plug-in en lecture seule, vous devez lier une ressource à un ensemble d'informations d'identification déjà disponibles dans AWS Secrets Manager.

Prérequis

Pour utiliser ce service :

• Vous devez disposer d'un abonnement AWS.
• Vous devez créer une stratégie IAM spécifique à Secrets Manager, que vous attribuez au rôle ou à l'utilisateur IAM du compte.

Configuration

Pour intégrer AWS Secrets Manager à Orchestrator, vous avez besoin de la clé d'accès et de la clé secrète qui sont générées une fois que vous avez créé un compte AWS IAM.

• L' ID de clé d'accès se trouve dans l'onglet Identifiants de sécurité de votre compte AWS IAM.
• L’ID de la clé secrète n’est fourni qu’après la création du compte. Il est donc important de le copier pour une utilisation future. Si vous égarez ou oubliez l’ID de votre clé secrète, vous devez créer une autre clé d’accès, puis remplacer les informations nécessaires dans Orchestrator.

In addition to that, you need to check the region you set in your AWS account, as this is what you will enter in the Region field while configuring the new credential store.

Utilisation d'AWS Secrets Manager (lecture seule)

Lors de l'utilisation du plug-in AWS Secrets Manager (lecture seule) (AWS Secrets Manager (read only)), l'administrateur est responsable de l'enregistrement correct des clés secrètes utilisées par Orchestrator. Le format dans lequel ces clés secrètes doivent être enregistrées diffère entre les types de clés secrètes (ressource ou mot de passe du Robot) et entre les moteurs secrets.

Pour obtenir des instructions sur la façon d'enregistrer les clés secrètes, consultez les éléments suivants :

• Stockage des informations d'identification du robot Unattended dans AWS Secrets Manager (lecture seule)
• Stockage des ressources dans AWS Secrets Manager (lecture seule)

Google Secret Manager

Google Secret Manager est un plugin que vous pouvez utiliser comme magasin d'informations d'identification avec Orchestrator.

Deux plug-ins sont inclus :

• Google Secret Manager : un plugin de lecture-écriture qui vous permet de créer et de gérer des secrets directement depuis Orchestrator.
• Google Secret Manager (en lecture seule) : un plug-in en lecture seule qui vous permet uniquement d'utiliser les clés secrètes existantes. Les clés secrètes doivent être enregistrées directement dans Google Secret Manager.

Prérequis

Vous avez besoin d'un projet Google Cloud avec un composant Secret Manager pour connecter Orchestrator à Google Secret Manager.

Configurer l'intégration

Pour connecter Orchestrator à Google Secret Manager, procédez comme suit :

1. Activer l'API Secret Manager.
2. Créez un compte de service et générez une clé de compte de service.
3. Ajoutez un magasin d'informations d'identification Google Secret Manager dans Orchestrator.

Étape 1 : Activer l'API Secret Manager

1. Sélectionnez Sélectionner un projet pour accéder à la liste des projets et choisir le projet souhaité.
2. Dans la barre de recherche, recherchez Secret Manager et ouvrez Secret Manager dans la liste des résultats.
3. Sélectionnez Activer sous l'API Secret Manager.

Étape 2 : créer un compte de service et générer une clé de compte de service

1. Dans la barre de recherche, recherchez Comptes de service et ouvrez Comptes de service dans la liste des résultats.
2. Sélectionnez Créer un compte de service.
   1. Saisissez un nom pour le nouveau compte de service et sélectionnez Créer et continuer.
   2. Dans l'étape Autorisations (facultative), attribuez le rôle d'administrateur de secrets au nouveau compte de service.
   3. Sélectionnez Continuer, puis Terminé.
3. Dans la liste des comptes de service, sélectionnez le nouveau compte.
4. Accédez à l'onglet Clés.
5. Sélectionnez Ajouter une clé et Créer une nouvelle clé.
   1. Choisissez JSON.
   2. Sélectionnez Créer. À la fin de cette étape, un fichier JSON est téléchargé. Enregistrez ce fichier car vous en aurez besoin lors de la configuration du magasin d’informations d’identification.

Étape 3 : ajouter Google Secret Manager à Orchestrator

1. Accédez à la page Locataire dans Orchestrator.
2. Sélectionnez Identifiants et accédez à l'onglet Magasins.
3. Sélectionnez Ajouter un magasin d'informations d'identification.
4. Choisissez Google Secret Manager dans le menu déroulant Type.
5. Saisissez un nom pour votre magasin d'informations d'identification.
6. Dans le champ ID de projet Google Cloud, saisissez l'ID de projet de votre projet Google Cloud.
7. Dans le champ Clé de compte de service json, téléchargez le fichier JSON téléchargé à l'étape précédente.
8. Sélectionnez Créer.
   Important :

   • Lors de la récupération d'une ressource à partir d'un magasin d'informations d'identification Google Secret Manager (lecture-écriture ou lecture seule), la dernière version secrète est toujours récupérée. Assurez-vous que la dernière version est correcte.
   • Si la dernière version secrète est désactivée, la récupération échouera.Assurez-vous que la dernière version secrète est activée.

Utiliser Google Secret Manager

Lors de la création de ressources dans un magasin d'informations d'identification en lecture-écriture, les noms de ressources ne doivent contenir que des caractères anglais (A-Z, a-z), des chiffres (0-9), des tirets (-) et des traits de soulignement (_).

Les caractères non valides sont automatiquement remplacés par _.

Utilisation de Google Secret Manager (lecture seule)

Stockage des ressources dans un magasin d'informations d'identification en lecture seule

Lors du stockage d'une ressource de type Informations d’identification dans un magasin d'informations d'identification Google Secret Manager (lecture seule), vous devez créer le secret dans Secret Manager avec :

• Le nom de la ressource de la clé secrète doit correspondre exactement au nom externe configuré dans Google Secret Manager.
• Google Secret Manager peut uniquement contenir des lettres (A-Z, a-z), des chiffres (0-9), des tirets (-) et des traits de soulignement (_).
• La valeur secrète doit être enregistrée en tant que Version secrète avec la structure JSON suivante :

  {"Username": "user", "Password": "pass"}
  

Enregistrement des mots de passe de l'Unattended Robot

Lors du stockage d'un mot de passe Unattended Robot dans un magasin d’informations d’identification Google Secret Manager (lecture seule), vous devez créer la clé secrète dans Secret Manager avec :

• Le nom du secret doit correspondre au Nom externe de ce robot.
• Si aucun nom externe n'est configuré, le champ Nom d'utilisateur est utilisé à la place, avec des caractères non valides remplacés par _.
• La valeur secrète doit contenir uniquement le mot de passe du robot.