Considérations de déploiement et de configuration

Autorisations utilisateur et du Robot

Il y a deux menaces potentielles dont il faut se protéger lors de la configuration des autorisations utilisateur et du Robot dans Orchestrator : un utilisateur ou un développeur malveillant.

L'authentification entre Orchestrator et les robots est basée sur une clé partagée accessible uniquement par l'administrateur sur la machine Robot. Si l'utilisateur de la machine dispose de droits d'administration et peut accéder à cette clé, il pourra alors emprunter l'identité d'autres robots lors des appels à Orchestrator.

Pour atténuer les risques et l'impact potentiel d'un utilisateur malveillant, suivez ces instructions :

• Sur les machines configurées pour l'automatisation avec assistance, assurez-vous que les utilisateurs de cette machine ne disposent pas de droits d'administration.
• Limitez les autorisations du robot au minimum requis pour exécuter la ou les automatisations particulières.
• Dans les dossiers modernes, désactivez la création de robots pour les utilisateurs ayant des rôles d'administrateur ou d'autres rôles à privilèges élevés dans Orchestrator.

Un développeur malveillant pourrait déployer un processus qui, lorsqu'il est exécuté par un utilisateur ayant des autorisations de haut niveau dans Orchestrator, accorde à ce développeur un accès indésirable ou vole des données.

Pour atténuer les risques et l'impact potentiel d'un développeur malveillant, suivez ces instructions :

• Gardez le contrôle et la validation de tous les paquets déployés dans Orchestrator.
• Auditez les automatisations avant le déploiement en production (c'est-à-dire, Examen du code, analyse antivirus, etc.).
• Limitez les autorisations du robot au minimum requis pour exécuter la ou les automatisations particulières.
• Dans les dossiers modernes, désactivez la création de robots pour les utilisateurs ayant des rôles d'administrateur ou d'autres rôles à privilèges élevés dans Orchestrator.

Stratégie de mot de passe

La politique de mot de passe par défaut indique que tous les mots de passe utilisateur doivent contenir au moins 8 caractères et au moins une lettre et un chiffre. Cela peut être modifié et rendu plus complexe sur la page Paramètres (Settings), dans l'onglet Sécurité (Security). Pour plus d'informations, consultez la rubrique Description des paramètres.

Chiffrement du fichier UiPath.Orchestrator.dll.config

Encodez la section SecureAppSettings du fichier UiPath.Orchestrator.dll.config. Pour savoir comment procéder, consultez la section Cryptage UiPath.Orchestrator.dll.config Sections

Désactivation de la fonctionnalité Saisie semi-automatique dans votre navigateur

La fonctionnalité de saisie semi-automatique disponible dans la plupart des navigateurs Web n'est pas entièrement sécurisée. Pour s'assurer que personne ne découvre votre mot de passe de connexion à Orchestrator, nous vous recommandons de désactiver la fonctionnalité susmentionnée dans votre navigateur préféré.

Si vous utilisez Internet Explorer 11 :

1. Dans Internet Explorer, cliquez sur Outils & gt; Options Internet pour ouvrir la fenêtre Options Internet.
2. Dans l'onglet Contenu, sélectionnez Paramètres. La fenêtre Paramètres de la saisie semi-automatique s'affiche.
3. Décochez la case Noms d'utilisateur et mots de passe sur les formulaires.
4. Cliquez sur OK (OK). Vos paramètres sont enregistrés.

Modification du mot de passe de l'administrateur système par défaut

Modifiez le mot de passe de l'administrateur système par défaut (qui vous a été communiqué par notre équipe). Vous pouvez le faire en modifiant les informations du profil utilisateur. Pour plus d'informations, consultez Gestion des locataires.

Non-sélection de la case Mémoriser le mot de passe (Remember Me)

Lors de la première connexion à Orchestrator, ne cochez pas l'option Mémoriser le mot de passe (Remember Me). Cela permet de vous déconnecter de la session en cours à chaque fois.

Limitation de la période d'expiration de session des cookies

Par défaut, le cookie d'autorisation expire après 60 minutes. Vous pouvez limiter ce délai en modifiant la valeur du paramètre Auth.Cookie.Expire dans le fichier UiPath.Orchestrator.dll.config.

Utilisation des certificats SSL approuvés

Bien que l'implémentation d'une connexion HTTPS soit importante, la possession d'un certificat SSL provenant d'un fournisseur approuvé l'est tout autant.

En outre, vous pouvez supprimer la liaison HTTP :

1. Ouvrez IIS.
2. Dans le volet Connexions, accédez au dossier Sites.
3. Cliquez sur le site Orchestrator. Le volet Actions est mis à jour en conséquence.
4. Cliquez sur Liaisons. La fenêtre Liaisons de site s'affiche.
5. Cliquez sur la liaison HTTP, puis sur Remove (Supprimer). La liaison HTTP a été supprimée.

Ajout de Cache-Control

Nous recommandons d'ajouter des directives de mise en cache de sécurité afin de masquer des informations sensibles susceptibles de s'afficher dans les en-têtes HTTP. De préférence, toutes les réponses doivent retourner les en-têtes HTTP suivants :

Cache-control: no-store, no-cache, must-revalidate,private,s-maxage=0
Pragma: no-cache

Pour ajouter ces en-têtes, ajoutez-les simplement au fichier web.config, dans la section customHeaders, au format suivant :

<add name="Cache-control" value="s-maxage=0"/>