Gestion des magasins d'identifiants

Création d'un magasin d'identifiants

1. Cliquez sur Ajouter (Add) sur la page Magasins d'identifiants (Credential Stores). La boîte de dialogue Ajouter un nouveau magasin d'identifiants (Add New Credential Store) s'affiche.

2. Dans la liste déroulante Type (Type), sélectionnez le magasin sécurisé qui est utilisé.

   The available options depend upon which plugins have been enabled.

3. Les étapes suivantes varieront si vous créez un magasin d'identifiants de base de données Orchestrator, CyberArk ou Azure Key Vault.

4. Créez une boutique à l'aide de l'une des plates-formes ci-dessous.

Base de données Orchestrator

1. Cliquez sur Créer (Create), les magasins de base de données Orchestrator ne disposent d'aucune propriété configurable.

   Remarque :

   Vous ne pouvez disposez que d'un seul magasin de base de données Orchestrator.

CyberArk

Remarque :

Un magasin CyberArk configuré dans plusieurs locataires à l’aide du même Identifiant d’application, Coffre-fort et Nom de dossier autorisera l’accès aux informations d’identification stockées entre les locataires. Pour maintenir la sécurité et l’isolation au niveau des locataires, assurez-vous que différentes configurations sont utilisées pour chaque magasin CyberArk de locataire.

1. Dans le champ Nom (Name), entrez un nom pour le nouveau magasin d'identifiants.

2. Dans le champ ID d'application (App ID), entrez l'ID d'application de l'instance d'Orchestrator à partir de l'interface PVWA (Password Vault Web Access) de CyberArk®. Pour plus d'informations, reportez-vous ici. Voir ici pour plus de détails.

3. In the CyberArk Safe field, enter the safe name as defined in the CyberArk® PVWA. See here for details.

4. Dans le champ Dossier CyberArk (CyberArk Folder), entrez l’emplacement auquel CyberArk® conserve vos informations d’identification.

5. Cliquez sur Créer (Create). Votre nouveau magasin d'identifiants est prêt à l'emploi.

   

CyberArk CCP

Remarque :

Un magasin CyberArk configuré dans plusieurs locataires à l’aide du même Identifiant d’application, Coffre-fort et Nom de dossier autorisera l’accès aux informations d’identification stockées entre les locataires. Pour maintenir la sécurité et l’isolation au niveau des locataires, assurez-vous que différentes configurations sont utilisées pour chaque magasin CyberArk de locataire.

1. Dans le champ Nom (Name), entrez un nom pour le nouveau magasin d'identifiants.

2. Dans le champ ID d'application (App ID), entrez l'ID d'application de l'instance d'Orchestrator à partir de l'interface PVWA (Password Vault Web Access) de CyberArk®. Pour plus d'informations, reportez-vous ici. Voir ici pour plus de détails.

3. In the CyberArk Safe field, enter the safe name defined in the CyberArk® PVWA. See here for details.

4. Dans le champ Dossier CyberArk (CyberArk Folder), entrez l’emplacement auquel CyberArk® conserve vos informations d’identification.

5. Dans le champ URL du fournisseur central d’informations d’identification (Central Credential Provider URL), entrez l’adresse du fournisseur central d’informations d’identification.

6. Dans le champ Nom du service Web (Web Service Name), saisissez le nom du service Web du fournisseur central d'informations d'identification. Si vous laissez ce champ vide, le nom par défaut est utilisé : AIMWebService .

7. Le certificat client doit être configuré lorsque l'application CyberArk utilise la méthode d'authentification du certificat client. L'entrée attendue est un fichier .pfx qui stocke la clé privée et la clé publique du certificat. Le certificat client doit être installé sur la machine sur laquelle CyberArk CCP AIMWebservice est déployé.

   Remarque :

   The client certificate is used by CyberArk credential provided to authenticate the application defined in Orchestrator credential store. See the official CyberArk documentation for details on application authentication methods.

   Le certificat client est un fichier au format binaire PKCS12 qui stocke la ou les clés publiques de la chaîne de certificats et la clé privée.

   Si le certificat client dispose d'un encodage Base 64, exécutez la commande certutil suivante pour le décoder au format binaire :

   certutil -decode client_certificate_encoded.pfx client_certificate.pfx

• Dans le champ Mot de passe du certificat client (Client Certificate Password), entrez le mot de passe du certificat client.

• The Server Root Certificate needs to be configured when a self signed Root CA certificate is used by the CyberArk CCP AIMWebService for incoming HTTP requests. It is used in HTTPS TLS handshake certificate chain validation. The expected input is a .crt file which stores the root CA certificate public key.

• Cliquez sur Créer (Create). Votre nouveau magasin d'identifiants est prêt à l'emploi.

  

Azure Key Vault

Les magasins d'informations d'identification Key Vault utilisent l'authentification de type RBAC . Après avoir créé un principal de service, procédez comme suit :

1. Dans le champ Nom (Name), entrez un nom pour le nouveau magasin d'identifiants.

2. Dans le champ URI de Key Vault (Key Vault Uri), entrez l'adresse d'Azure Key Vault. Il s'agit de https://<vault_name>.vault.azure.net/.

3. Dans le champ ID de répertoire (Directory ID), entrez l’ID de répertoire indiqué dans le portail Azure.

4. Dans le champ ID de client (Client Id), saisissez l’ID d’application à partir de la section Enregistrement d'applications Azure AD (Azure AD App Registrations) dans laquelle l’application Orchestrator a été enregistrée.

5. Dans le champ Clé secrète du client (Client Secret), saisissez la clé secrète nécessaire à l'authentification du compte client renseigné à l'étape précédente.

6. Cliquez sur Créer (Create). Votre nouveau magasin d'identifiants est prêt à l'emploi.

Modification d'un magasin d'identifiants

Accédez à Magasins d’informations d’identification (Credential Stores) (Locataire (Tenant) > Magasins d’informations d’identification (Credential Stores)), et à partir du menu Autres actions (More Actions) du magasin désiré, sélectionnez Modifier (Edit). La fenêtre Modifier le magasin d'informations d’identification (Edit Credential Store) s’affiche.

Remarque :

Le magasin Base de données (Orchestrator Database) ne dispose pas de propriétés modifiables.

Définition d'un magasin d'identifiants par défaut

Lorsque vous utilisez au moins 2 magasins d'identifiants, vous avez la possibilité de sélectionner le magasin par défaut utilisé pour les Robots et les actifs. Le même magasin peut être utilisé par défaut pour les deux, ou vous pouvez sélectionner un autre magasin par défaut pour chacun.

Pour sélectionner un magasin par défaut depuis le menu Autres actions (More Actions), sélectionnez Définir comme magasin par défaut des robots (Set as robots default store) et/ou Définir comme magasin par défaut des actifs (Set as assets default store).

Remarque :

La modification du magasin par défaut ne modifie pas la configuration d'un Robot ou d'une ressource existante. Elle contrôle uniquement ce qui apparaît présélectionné dans la liste déroulante Magasins d'informations d'identification (Credential Stores) lors de la création de Robots ou de ressources. Les Robots et les ressources obtiennent toujours leurs mots de passe du magasin qui a été utilisé lors de leur création. Pour modifier le magasin d'informations d'identification d'un Robot ou d'une ressource donné(e), vous devez le modifier au niveau du Robot ou de la ressource.

Suppression d'un magasin d'identifiants

Pour supprimer un magasin d'identifiants, sélectionnez Supprimer (Remove) dans le menu Autres actions (More Actions) du magasin souhaité.

Si le magasin sélectionné est en cours d'utilisation, une boîte de dialogue d'avertissement s'affiche et répertorie le nombre de robots et d'actifs qui seront affectés. Cliquez sur Supprimer (Delete) pour confirmer la suppression ou sur Annuler (Cancel) pour abandonner. Notez qu'au moins un magasin d'identifiants doit être en permanence actif. Si un seul est présent, l'option de suppression ne s'affiche pas.

Remarque :

Un magasin d'identifiants désigné par défaut ne peut pas être supprimé. Vous devez d'abord sélectionner un autre magasin par défaut pour le type d'identifiants.