Scripts Identity Server

Exécutez le script Publish-IdentityServer.ps1 pour le déploiement initial ou la mise à jour d'Identity Server.

Publier sur le serveur d'identité

La table suivante décrit tous les paramètres pouvant être utilisés avec le script Publish-IdentityServer.ps1.

Paramètre	Description
-action	Mandatory. Indicates the type of scenario you want to start. Les options suivantes sont disponibles : Deploy - indique qu'il s'agit d'une nouvelle installation. Update - indique que vous mettez à jour votre instance du Identity Server.
-azureAccountApplicationId	Mandatory. The Azure service principal ID. Please note that the used service principal needs to be assigned the Contributor role to the app service at the subscription scope.
-azureAccountPassword	Obligatoire. Mot de passe du jeton Azure pour l'ID de principal de service.
-azureSubscriptionId	Obligatoire. ID d'abonnement Azure pour l'application App Service qui héberge Orchestrator.
-azureAccountTenantId	Obligatoire. ID de locataire Azure.
-orchestratorUrl	Obligatoire. L'URL de l'instance Orchestrator.
-identityServerUrl	Obligatoire (Mandatory). L'URL de l'Identity Server. Important: The URL must contain the Identity Server address + the suffix /identity in lowercase. Exemple : https://[identity_server]/identity
-resourceCatalogUrl	Obligatoire (Mandatory). L'URL de la ressource. Catalogue.
-orchDetails	Ce paramètre est une table de hachage qui contient les valeurs suivantes : resourceGroupName - Obligatoire. Nom du groupe de ressources Azure qui contient l'application App Service d'Orchestrator. appServiceName - Obligatoire. Nom de l'application Azure App Service d'Orchestrator. targetSlot - Obligatoire. Créneau du service d'application cible fixé par Azure.
-identityServerDetails	Ce paramètre est une table de hachage qui contient les valeurs suivantes : resourceGroupName - Obligatoire. Nom du groupe de ressources Azure qui contient le service 'application Identity Server. appServiceName - Obligatoire. Nom du service d'application Azure d'Identity Server. targetSlot - Obligatoire. Créneau du service d'application cible fixé par Azure.
-package	Obligatoire. Indiquez le chemin complet ou le chemin relatif de l'archive UiPath.IdentityServer.Web.zip.
-cliPackage	Obligatoire. Indiquez le chemin complet ou le chemin relatif de l'archive UiPath.IdentityServer.Migrator.Cli.zip.
-productionSlotName	Facultatif. Il ne peut être utilisé que si l'emplacement de déploiement de l'application App Service du serveur d'identité est différent de l'emplacement par défaut de l'application App Service de production défini par Azure.
-stopApplicationBeforePublish	Facultatif. S’il est actif, il arrête l’application avant le déploiement et la démarre une fois le déploiement terminé.
-unattended	Facultatif. S'il est actif, le déploiement se poursuit sans confirmation de l'utilisateur.
-tmpDirectory	Facultatif. Permet de télécharger et de décompresser les spécifications d’un répertoire lorsque les fichiers nécessaires sont téléchargés et dézippés.
-noAzureAuthentication	Optional. Allows you to publish to the Azure App Service by relying on your own user identity, without having to create a service principal. If this parameter is used, the UseServicePrincipal parameter set (which includes items such as the Azure application ID, password, subscription ID, and tenant ID) are no longer necessary.

Le script Publish-IdentityServer.ps1 est utilisé pour le déploiement initial ou la mise à jour des Identity Server. Le script suppose que l’application web a déjà configuré la chaîne de connexion de la base de données DefaultConnection.

.\Publish-IdentityServer.ps1 `
    -action Deploy `
    -orchestratorUrl "<orchestrator_address>" `
    -identityServerUrl "https://<identity_server_url>/identity" ` // must be in lowercase
    -resourceCatalogUrl "<resource_catalog_address>" `
    -orchDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>";  targetSlot = "Production" } `
    -identityServerDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>"; targetSlot = "Production" } `
    -azureSubscriptionId "<subscription_id>" `
    -azureAccountTenantId "<azure_tenant_id>" `
    -azureAccountApplicationId "<azure_application_id>" `
    -azureAccountPassword "<azure_account_password>" `
    -package "UiPath.IdentityServer.Web.zip" `
    -cliPackage "UiPath.IdentityServer.Migrator.Cli.zip" `
    -stopApplicationBeforePublish `
    -unattended

Important :

Après avoir exécuté le script ci-dessus, assurez-vous d'effectuer les étapes supplémentaires énumérées ci-dessous pour réussir le déploiement initial.

Après avoir publié le serveur d'identité, suivez les étapes suivantes :

1. Rendez-vous sur votre portail Azure.
2. Sélectionnez le service d'application de votre serveur d'identité.
3. Dans le menu Certificats (Certificates), accédez à Apporter vos propres certificats (Bring your Own Certificates).
4. Téléchargez un fichier de certificat de clé privée .pfx avec un mot de passe valide.
   Remarque :

   Ce certificat sert à signer les jetons d’accès et les jetons d’identification.

5. Sous le menu Configuration, ajoutez les paramètres d’application suivants exactement comme écrit dans la colonne Paramètres de l’application :

Paramètre d’application	Valeur (Value)	Description
AppSettings__IdentityServerAddress	https://[identity_server]/identity	L'URL publique du serveur d'identité. Attention : L'URL doit contenir l'adresse du serveur d'identité + le suffixe /identity en minuscules.
AppSettings__SigningCredentialSettings__StoreLocation__Location	CurrentUser	Doit indiquer CurrentUser.
AppSettings__SigningCredentialSettings__StoreLocation__Name	XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXologie	Empreinte du certificat que vous avez téléchargé précédemment.
AppSettings__SigningCredentialSettings__StoreLocation__NameType	Thumbprint	Enter Thumbprint comme le type du champ précédent.
AppSettings__LoadBalancerSettings__RedisConnectionString	XXXXXXXXXXXX:XXXX,password=XXXXXX	The connection string needed to set up your Redis server, which contains the URL of the server, the password, and the port. You can also enable SSL encrypted connections between the Orchestrator nodes and the Redis service.
AppSettings__LoadBalancerSettings__SlidingExpirationTimeInSeconds	Nombre de secondes	The sliding expiration time of an item inside the cache. This expiration time applies to both Redis Cache and InMemory Cache.
AppSettings__RedisSettings__UseRedisStoreCache	true / false	Définir sa valeur sur true to enable Redis caching of OAuth client data. This helps prevent performance issues when using Interactive Sign In to connect a large number of robots in a short amount of time. This cache uses the same Redis connection string specified in the AppSettings__LoadBalancerSettings Remarque : Ceci n’est pas recommandé si vous utilisez la fonctionnalité Applications externes étant donné que ce paramètre met en cache les clients et que les mises à jour des Applications externes ne seront pas reflétées.
AppSettings__RedisSettings__UseRedisStoreClientCache	true / false	Set its value to true to enable Redis caching for first-party clients (UiPath applications) or third-party clients (external applications). If you have a large-scale deployment, it is recommended to enable this flag.
App__Saml2ValidCertificateOnly	true / false	Pour les déploiements Orchestrator via une application Web Azure, ce paramètre doit être défini sur false . This is because SAML2 requires certificates to be added to its trust store, but Azure web apps do not allow this action. Setting the value to false signifie que la vérification du certificat est ignorée.
WEBSITE_LOAD_CERTIFICATES	XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXologie	Valeur d’empreinte du certificat que vous avez téléchargé précédemment.
WEBSITE_LOAD_USER_PROFILE	1	Le profil de l'utilisateur.
-azureUSGovernmentLogin	Facultatif (Optional). Ce paramètre est uniquement utilisé pour les déploiements du gouvernement américain.

6.

Enregistrez les modifications.

Pour en savoir plus, recherchez plus de détails dans la documentation Microsoft Azure.

Remplacement du certificat de clé privée

Lorsque vous remplacez un certificat de clé privée par un nouveau, assurez-vous de suivre ces étapes :

1. Remplacez les valeurs des paramètres AppSettings__SigningCredentialSettings__StoreLocation__Name et WEBSITE_LOAD_CERTIFICATES par l’empreinte du nouveau certificat.
2. Redémarrez le service d’application Identity.
3. Redémarrez le service d’application Orchestrator.

Migrer vers le serveur d'identité

Le tableau suivant décrit tous les paramètres pouvant être utilisés avec MigrateTo-IdentityServer.ps1.

Paramètre	Description
-cliPackage	Mandatory . Indiquez le chemin complet ou le chemin relatif de l'archive UiPath.IdentityServer.Migrator.Cli.zip.
-azureDetails	Ce paramètre est une table de hachage qui contient les valeurs suivantes : azureAccountApplicationId - Mandatory. The Azure service principal ID. Please note that the used service principal needs to be assigned the Contributor role to the app service at the subscription scope. azureSubscriptionId - Obligatoire. ID d'abonnement Azure pour l'application App Service qui héberge Orchestrator. azureAccountTenantId - Obligatoire. Identifiants du locataire Azure. azureAccountPassword - Obligatoire. Mot de passe du jeton Azure pour l'ID principal du service.
-orchDetails	Ce paramètre est une table de hachage qui contient les valeurs suivantes : resourceGroupName - Obligatoire. Nom du groupe de ressources Azure qui contient l'application App Service d'Orchestrator. appServiceName - Obligatoire. Nom de l'application Azure App Service d'Orchestrator. targetSlot - Obligatoire. Créneau du service d'application cible fixé par Azure.
-identityServerDetails	Ce paramètre est une table de hachage qui contient les valeurs suivantes : resourceGroupName - Obligatoire. Nom du groupe de ressources Azure qui contient le service 'application Identity Server. appServiceName - Obligatoire. Nom du service d'application Azure d'Identity Server. targetSlot - Obligatoire. Créneau du service d'application cible fixé par Azure.
-identityServerUrl	Obligatoire. L'adresse publique du serveur d'identité. Important: The URL must contain the address of Identity Server + the suffix /identity in lowercase. Exemple : https://[identity_server]/identity
-orchestratorUrl	Obligatoire. L'adresse publique de l'Orchestrateur.
-tmpDirectory	Facultatif. Permet de télécharger et de décompresser les spécifications d’un répertoire lorsque les fichiers nécessaires sont téléchargés et dézippés.
-hostAdminPassword	Obligatoire uniquement pour les nouveaux déploiements, lorsque-action is set to Deploy . Specify a custom password for the host administrator. Please note that passwords have to be least 8 characters long, and must have at least one lowercase character and at least one digit.
-isHostPassOneTime	Optional. Enables you to enforce a password reset on the first login for the host administrator. If this parameter is omitted, the host admin password is not a one-time password.
-defaultTenantAdminPassword	Obligatoire uniquement pour les nouveaux déploiements, lorsque-action is set to Deploy . Specify a custom password for the default tenant administrator. Please note that passwords have to be least 8 characters long, and must have at least one lowercase character and at least one digit.
-isDefaultTenantPassOneTime	Optional. Enables you to enforce a password reset on the first login for the default tenant administrator. If this parameter is omitted, the tenant admin password is not a one-time password.
-noAzureAuthentication	Optional. Allows you to publish to the Azure App Service by relying on your own user identity, without having to create a service principal. If this parameter is used, the UseServicePrincipal parameter set (which includes items such as the Azure application ID, password, subscription ID, and tenant ID) are no longer necessary.

Le script MigrateTo-IdentityServer.ps1 est utilisé pour migrer les données utilisateur d'Orchestrator vers Identity Server et définir leurs configurations. Il définit l'autorité d'identité d'Orchestrator vers Identity Server et y crée la configuration client pour Orchestrator dans Identity Server.

Le script suppose qu'Orchestrator et le serveur d'identité ont déjà été publiés.

.\MigrateTo-IdentityServer.ps1 `
    -cliPackage "UiPath.IdentityServer.Migrator.Cli.zip" `
    -azureDetails @{azureSubscriptionId = "<subscription_id>"; azureAccountTenantId = "<azure_tenant_id>"; azureAccountApplicationId = "<azure_application_id>"; azureAccountPassword = "<azure_account_password>" } `
    -orchDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>";  targetSlot = "Production" } `
    -identityServerDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>"; targetSlot = "Production" } `
    -identityServerUrl "https://<identity_server_url>/identity" ` // must be in lowercase
    -orchestratorUrl "https://<OrchestratorURL>" `
    -hostAdminPassword "12345qwert" `
    -defaultTenantAdminPassword "12345qwert"