Gestion des magasins d'identifiants

Création d'un magasin d'identifiants

Cliquez sur Ajouter (Add) sur la page Magasins d'identifiants (Credential Stores). La boîte de dialogue Ajouter un nouveau magasin d'identifiants (Add New Credential Store) s'affiche.
Dans la liste déroulante Type, sélectionnez le magasin sécurisé qui est utilisé.
Les options disponibles dépendent des plug-ins activés.
Les étapes suivantes varieront si vous créez un magasin d'identifiants de base de données Orchestrator, CyberArk ou Azure Key Vault.
Créez une boutique à l'aide de l'une des plates-formes ci-dessous.

Base de données Orchestrator

Cliquez sur Créer (Create), les magasins de base de données Orchestrator ne disposent d'aucune propriété configurable.
Remarque : Vous ne pouvez disposez que d'un seul magasin de base de données Orchestrator.

CyberArk

Remarque : un magasin CyberArk configuré dans plusieurs locataires en utilisant le même ID d'application, le même coffre-fort et le même nom de dossier permettra l'accès aux informations d'identification stockées entre les locataires. Pour maintenir la sécurité et l'isolement au niveau du locataire, assurez-vous que différentes configurations sont utilisées pour le magasin CyberArk de chaque locataire.

Dans le champ Nom (Name), entrez un nom pour le nouveau magasin d'identifiants.
Dans le champ ID d'application (App ID), entrez l'ID d'application de l'instance d'Orchestrator à partir de l'interface PVWA (Password Vault Web Access) de CyberArk®. Pour plus d'informations, reportez-vous ici. Cliquez ici pour plus de détails.
Dans le champ CyberArk Safe, entrez le nom du coffre tel que défini dans l'interface PVWA de CyberArk®. Pour plus d'informations, reportez-vous ici. Cliquez ici pour plus de détails.
Dans le champ Dossier CyberArk (CyberArk Folder), entrez l’emplacement auquel CyberArk® conserve vos informations d’identification.
Cliquez sur Créer (Create). Votre nouveau magasin d'identifiants est prêt à l'emploi.

CyberArk CCP

Dans le champ Nom (Name), entrez un nom pour le nouveau magasin d'identifiants.
Dans le champ ID d'application (App ID), entrez l'ID d'application de l'instance d'Orchestrator à partir de l'interface PVWA (Password Vault Web Access) de CyberArk®. Pour plus d'informations, reportez-vous ici. Cliquez ici pour plus de détails.
Dans le champ CyberArk Safe, entrez le nom du coffre défini dans l'interface PVWA de CyberArk®. Pour plus d'informations, reportez-vous ici. Cliquez ici pour plus de détails.
Dans le champ Dossier CyberArk (CyberArk Folder), entrez l’emplacement auquel CyberArk® conserve vos informations d’identification.
Dans le champ URL du fournisseur central d’informations d’identification (Central Credential Provider URL), entrez l’adresse du fournisseur central d’informations d’identification.
Dans le champ Nom du service Web (Web Service Name), saisissez le nom du service Web du fournisseur central d'informations d'identification. Si vous laissez ce champ vide, le nom par défaut est utilisé : AIMWebService .
Le certificat client doit être configuré lorsque l’application CyberArk utilise la méthode d’authentification du certificat client. L’entrée attendue est un fichier .pfx qui stocke la clé privée et la clé publique du certificat. Le certificat client doit être installé sur la machine sur laquelle CyberArk CCP AIMWebservice est déployé.

Remarque :
Le certificat client est utilisé par les informations d’identification CyberArk fournies pour authentifier l’application définie dans le magasin d’informations d’identification Orchestrator. Consultez la documentation officielle de CyberArk pour plus de détails sur les méthodes d’authentification des applications.

Le certificat client est un fichier au format binaire PKCS12 qui stocke la ou les clés publiques de la chaîne de certificats et la clé privée.

Si le certificat client dispose d'un encodage Base 64, exécutez la commande certutil suivante pour le décoder au format binaire :

certutil -decode client_certificate_encoded.pfx client_certificate.pfx

Dans le champ Mot de passe du certificat client (Client Certificate Password), entrez le mot de passe du certificat client.
Le Certificat de racine de serveur (Server Root Certificate) doit être configuré lorsqu'un certificat CA racine auto-signé est utilisé par CyberArk CCP AIMWebService pour les requêtes HTTP entrantes. Il est utilisé dans la validation de la chaîne de certificats d'établissement de liaison HTTPS TLS. L'entrée attendue est un fichier .crt qui stocke la clé publique du certificat CA racine.
Cliquez sur Créer (Create). Votre nouveau magasin d'identifiants est prêt à l'emploi.

Azure Key Vault

Les magasins d'informations d'identification Key Vault utilisent l'authentification de type RBAC. Après avoir créé un principal de service, procédez comme suit :

1. Dans le champ Nom (Name), entrez un nom pour le nouveau magasin d'identifiants.

2. Dans le champ URI de Key Vault (Key Vault Uri), entrez l'adresse d'Azure Key Vault. Ici https://<vault_name>.vault.azure.net/.

3. Dans le champ ID de répertoire (Directory ID), entrez l’ID de répertoire indiqué dans le portail Azure.

4. Dans le champ ID de client (Client Id), saisissez l’ID d’application à partir de la section Enregistrement d'applications Azure AD (Azure AD App Registrations) dans laquelle l’application Orchestrator a été enregistrée.

5. Dans le champ Clé secrète du client (Client Secret), saisissez la clé secrète nécessaire à l'authentification du compte client renseigné à l'étape précédente.

6. Cliquez sur Créer (Create). Votre nouveau magasin d'identifiants est prêt à l'emploi.

Modification d'un magasin d'identifiants

Accédez à Magasins d’informations d’identification (Credential Stores) (Locataire (Tenant) > Magasins d’informations d’identification (Credential Stores)), et à partir du menu Autres actions (More Actions) du magasin désiré, sélectionnez Modifier (Edit). La fenêtre Modifier le magasin d'informations d’identification (Edit Credential Store) s’affiche.

Remarque : Le magasin Base de données (Orchestrator Database) ne dispose pas de propriétés modifiables.

Définition d'un magasin d'identifiants par défaut

Lorsque vous utilisez au moins 2 magasins d'identifiants, vous avez la possibilité de sélectionner le magasin par défaut utilisé pour les Robots et les actifs. Le même magasin peut être utilisé par défaut pour les deux, ou vous pouvez sélectionner un autre magasin par défaut pour chacun.

Pour sélectionner un magasin par défaut depuis le menu Autres actions (More Actions), sélectionnez Définir comme magasin par défaut des robots (Set as robots default store) et/ou Définir comme magasin par défaut des actifs (Set as assets default store).

La modification du magasin par défaut ne modifie pas la configuration d'un Robot ou d'une ressource existante. Elle contrôle uniquement ce qui apparaît présélectionné dans la liste déroulante Magasins d'informations d'identification (Credential Stores) lors de la création de Robots ou de ressources. Les Robots et les ressources obtiennent toujours leurs mots de passe du magasin qui a été utilisé lors de leur création. Pour modifier le magasin d'informations d'identification d'un Robot ou d'une ressource donné(e), vous devez le modifier au niveau du Robot ou de la ressource.

Suppression d'un magasin d'identifiants

Pour supprimer un magasin d'identifiants, sélectionnez Supprimer (Remove) dans le menu Autres actions (More Actions) du magasin souhaité.

Si le magasin sélectionné est en cours d'utilisation, une boîte de dialogue d'avertissement s'affiche et répertorie le nombre de robots et d'actifs qui seront affectés. Cliquez sur Supprimer (Delete) pour confirmer la suppression ou sur Annuler (Cancel) pour abandonner. Notez qu'au moins un magasin d'identifiants doit être en permanence actif. Si un seul est présent, l'option de suppression ne s'affiche pas.

Remarque : Un magasin d'identifiants désigné par défaut ne peut pas être supprimé. Vous devez d'abord sélectionner un autre magasin par défaut pour le type d'identifiants.

À cette page