Intégration des magasins d'identifiants

Intégrer les magasins d’informations d’identification CyberArk à Orchestrator en configurant l’application PVWA et les paramètres du coffre

Intégration CyberArk®

Avant de commencer à utiliser les magasins d'identifiants CyberArk® dans Orchestrator, vous devez d'abord configurer l'application correspondante et les paramètres du coffre-fort dans l'interface PVWA (Password Vault Web Access) de CyberArk®.

Prérequis

• Le plug-in CyberArk® est défini dans votre fichier UiPath.Orchestrator.dll.config d'Orchestrator, comme décrit ici.
• CyberArk® Enterprise Password Vault doit être installé sur une machine qui peut communiquer directement avec celle sur laquelle Orchestrator est installé.
• CyberArk® AAM (Application Access Manager) doit être installé sur la même machine qu'Orchestrator. Pour les configurations d'Orchestrator multinœud, une instance d'AAM doit être installée sur chaque nœud Orchestrator.
  Remarque :

  Si vous mettez à niveau une instance d'Orchestrator avec une configuration de CyberArk® existante dans le fichier UiPath.Orchestrator.dll.config, un magasin d'identifiants CyberArk Robot Credentials contenant ces paramètres sera automatiquement créé dans tous les locataires et défini comme magasin par défaut pour les robots. Vos robots existants sont migrés vers ce nouveau magasin d'identifiants.

Pour plus d'informations sur l'installation et la configuration des applications CyberArk®, consultez leur page officielle.

Configuration de l'intégration

À partir de CyberArk® PVWA, vous devez effectuer les étapes suivantes :

1. Créer une application pour votre instance d'Orchestrator et ajouter les machines autorisées ;
2. Créer un coffre-fort et y ajouter des membres pour garantir les autorisations appropriées.

Création d'une application Orchestrator

1. Dans l'interface PVWA de CyberArk®, connectez-vous avec un utilisateur qui dispose des autorisations de gestion des applications (l'autorisation de gestion des utilisateurs est requise).

2. In the Applications tab, Select Add Application. The Add Application page is displayed.

   Figure 1. Page Ajouter une application

   

3. Spécifiez les informations suivantes :

   • Champ Nom (Name) : un nom personnalisé pour l'application, tel qu'Orchestrator.
   • Description : une brève description pour vous aider à spécifier la fonction de la nouvelle application.
   • Section Propriétaire d'entreprise (Business owner) : option facultative (optionally), ajoutez des informations sur le propriétaire d'entreprise de l'application.
   • Emplacement (Location) : le chemin de l'application dans la hiérarchie du coffre. Si un emplacement n'est pas spécifié, l'application est ajoutée dans le même emplacement que le créateur de cette application.

4. Sélectionnez Ajouter (Add). L'application est ajoutée et ses détails s'affichent sur la page Détails de l'application (Application Details).

5. Dans l'onglet Authentification (Authentication), cochez la case Autoriser les restrictions de l'authentification étendue (Allow extended authentication restrictions).

   Voir les méthodes d’authentification prises en charge

   • Machines autorisées

   • Utilisateur SE

   • Chemin d'accès

     Activez le paramètre d’application Plugins.SecureStores.CyberArk.UsePowerShellCLI pour récupérer les informations d’identification d’un coffre CyberArk lors de l’utilisation de l’Authentification du chemin d’accès.

6. Configure the authentication method. For example, in the Allowed Machines tab, Select Add. The Add allowed machine window is displayed. Here you should add information about the machine or machines on which Orchestrator is installed.

7. Dans le champ Adresse (Address), spécifiez l'adresse d'une machine à l'aide du format IP/hostname/DNS.

8. Select Add. The IP address is listed in the Allowed machines tab. This information enables the Credential Provider to ensure that only applications that run on the specified machines can access their passwords.

9. Effectuez les étapes 6 jusqu'à 8 autant de fois que nécessaire pour vous assurer que les serveurs autorisés incluent tous les serveurs de niveau intermédiaire ou tous les points de terminaison sur lesquels les fournisseurs d'identifiants AAM ont été installés. Ceci peut être le cas si vous avez installé Orchestrator sur plusieurs nœuds.

Création d'un coffre-fort Orchestrator

Les coffres-forts sont nécessaires à une meilleure gestion de vos comptes. En outre, vous pouvez ajouter des membres du coffre-fort pour garantir une autorisation adéquate. CyberArk® recommande l'ajout d'un fournisseur d'identifiants (utilisateur qui dispose des droits d'accès complets aux identifiants, peut en ajouter et les gérer) et de l'application créée auparavant en tant que membres du coffre-fort. Ce dernier permet à Orchestrator de rechercher et de récupérer les mots de passe stockés dans le coffre-fort.

1. In the Policies tab, under the Access Control (Safe) section, Select Add Safe. The Add Safe page is displayed.

   Figure 2. Page Ajouter un coffre

   

2. Remplissez les champs Nom du coffre-fort (Safe Name) et Description.

3. Select Save. The Safe Details window is displayed.

   Figure 3. Page Détails du coffre

   

4. In the Members section, Select Add Member. The Add Safe Member window is displayed.

5. Recherchez l'application créée auparavant (étapes 2-5) pour pouvoir l'ajouter.

6. Ajoutez un fournisseur d'identifiants, et sélectionnez les autorisations suivantes à cet effet :

   • Afficher les membres du coffre-fort (View Safe Members)

   • Récupérer des comptes (Retrieve accounts)

   • Répertorier les comptes (List accounts)

   • Accéder au coffre-fort sans confirmation : uniquement si vous utilisez un environnement à double contrôle et un PIM-PSM v7.2 ou antérieur.

     Si vous installez plusieurs fournisseurs d'informations d’identification pour cette intégration, il est recommandé de créer un groupe pour eux et de l'ajouter au coffre-fort une seule fois avec l’autorisation ci-dessus.

7. Select Add. A confirmation message is displayed in the Add Safe Member window.

8. Ajoutez l'application créée auparavant en tant que membre du coffre-fort, avec l'autorisation de récupération de comptes (Retrieve accounts).

9. Select Add. A confirmation message is displayed in the Add Safe Member window.

Votre intégration est terminée et vous pouvez commencer à enregistrer les magasins d'identifiants CyberArk® dans Orchestrator. Pour plus de détails sur le stockage des identifiants du Robot, reportez-vous ici.

CyberArk® CCP integration

Le fournisseur d’identifiants central (Central Credential Provide ou CCP) est la méthode sans agent utilisée pour l’intégration à CyberArk. Il permet à UiPath® de récupérer des informations sensibles telles que les informations d’identification du Robot depuis un coffre-fort sans déployer d’agent sur le serveur. Un certificat client est nécessaire pour garantir la récupération sécurisée des informations d’identification.

Avant de commencer à utiliser les magasins d'identifiants CyberArk® CCP dans Orchestrator, vous devez d'abord configurer l'application correspondante et les paramètres du coffre-fort dans l'interface PVWA (Password Vault Web Access) de CyberArk®.

Prérequis

• Un réseau permettant l’interconnectivité entre le service Orchestrator et le serveur CyberArk.
• Le fournisseur central d’informations d’identification CyberArk® doit être installé sur une machine qui autorise les connexions HTTP.
• CyberArk® Enterprise Password Vault

Pour plus d'informations sur l'installation et la configuration des applications CyberArk®, consultez leur page officielle.

Configuration de l'intégration

À partir de CyberArk® PVWA, vous devez effectuer les étapes suivantes :

1. Créer une application pour votre instance d’Orchestrator et ajouter les certificats client ;
2. Créer un coffre-fort et y ajouter des membres pour garantir les autorisations appropriées.

Création d'une application Orchestrator

1. Dans l'interface PVWA de CyberArk®, connectez-vous avec un utilisateur qui dispose des autorisations de gestion des applications (l'autorisation de gestion des utilisateurs est requise).

2. In the Applications tab, Select Add Application. The Add Application window is displayed.

   Figure 4. Fenêtre Ajouter une application

   

3. Dans la fenêtre Ajouter une application (Add Application), spécifiez les informations suivantes :

   • Champ Nom (Name) : un nom personnalisé pour l'application, tel qu'Orchestrator.
   • Description : une brève description pour vous aider à spécifier la fonction de la nouvelle application.
   • Emplacement (Location) : le chemin de l'application dans la hiérarchie du coffre. Si un emplacement n'est pas spécifié, l'application est ajoutée dans le même emplacement que le créateur de cette application.

4. Sélectionnez Ajouter (Add). L'application est ajoutée et ses détails s'affichent sur la page Détails de l'application (Application Details).

5. Cochez la case Autoriser les restrictions d’authentification étendues (Allow extended authentication restrictions).

   Méthode d’authentification prise en charge :

   • Machines autorisées
   • Utilisateur SE
   • Certificats clients : le certificat client utilisé pour l'authentification CyberArk doit être supérieur ou égal à 2048 bits

6. Configure la méthode d’authentification. Par exemple, dans l'onglet Authentification, sélectionnez Ajouter > Numéro de série du certificat, puis ajoutez l'identifiant unique du certificat client, utilisé pour authentifier l'application effectuant la demande auprès de CCP.

   Figure 5. Numéro de série du certificat

   

Création d'un coffre-fort Orchestrator

Les coffres-forts sont nécessaires à une meilleure gestion de vos comptes. En outre, vous pouvez ajouter des membres du coffre-fort pour garantir une autorisation adéquate. CyberArk® recommande l'ajout d'un fournisseur d'identifiants (utilisateur qui dispose des droits d'accès complets aux identifiants, peut en ajouter et les gérer) et de l'application créée auparavant en tant que membres du coffre-fort. Ce dernier permet à Orchestrator de rechercher et de récupérer les mots de passe stockés dans le coffre-fort.

1. In the Policies tab, under the Access Control (Safes) section, Select Add Safe. The Add Safe page is displayed.

   Image 6. Page Ajouter un coffre

   

2. Remplissez les champs Nom du coffre-fort (Safe Name) et Description.

3. Select Save. The Safe Details window is displayed.

   Figure 7. Fenêtre Détails du coffre

   

4. In the Members section, Select Add Member. The Add Safe Member window is displayed.

   Figure 8. Fenêtre Membres

   

5. Recherchez l'application créée auparavant (étapes 2-6) et sélectionnez les autorisations suivantes correspondantes :

   • Afficher les membres du coffre-fort (View Safe Members)

   • Récupérer des comptes (Retrieve accounts)

   • Répertorier les comptes (List accounts)

   • Accéder au coffre-fort sans confirmation (Access Safe without Confirmation) : uniquement si vous utilisez un environnement à double contrôle et un PIM-PSM v7.2 ou antérieur.

     Si vous installez plusieurs fournisseurs d'informations d’identification pour cette intégration, il est recommandé de créer un groupe pour eux et de l'ajouter au coffre-fort une seule fois avec l’autorisation ci-dessus.

     Figure 9. Fenêtre Ajouter un membre au coffre

   

6. Select Add. Your integration is complete, and you can begin provisioning CyberArk® credential stores in Orchestrator. For details on storing Robot credentials, see here.

Azure Key Vault integration

Azure Key Vault est un plug-in que vous pouvez utiliser comme magasin d'informations d'identification avec Orchestrator.

Deux plug-ins sont inclus :

• Azure Key Vault : plug-in de lecture-écriture (les clés secrètes sont créées via Orchestrator)
• Azure Key Vault (lecture seule) : plug-in en lecture seule (vous devez enregistrer les clés secrètes directement dans le coffre)

Prérequis

• Les magasins d'identifiants Azure Key Vault utilisent l’authentification basée sur les rôles Azure (RBAC). Affectez le rôle approprié principal du service associé à l’enregistrement de votre application en fonction du type de magasin d'identifiants :
  • Pour les magasin d'identifiants en lecture-écriture, affectez le rôle Key Vault Secrets Officer.
  • Pour les magasins d'identifiants en lecture seule, affectez le rôle Key Vault Secrets User.
• Le plug-in Key Vault est défini dans votre fichier UiPath.Orchestrator.dll.config d'Orchestrator, comme décrit dans le Coffre de mot de passe (Password Vault).
• Créez l'instance de Key Vault à utiliser avec Orchestrator dans votre compte Azure. Pour plus d'informations, reportez-vous à la documentation officielle de Microsoft ici.

Configuration

Dans le volet Inscription d'applications (App Registrations) du portail Azure, suivez ces étapes :

1. Créez une nouvelle inscription d’application.
2. Copiez l'ID d’application (client) (Application (Client) ID) pour une utilisation ultérieure.
3. Accédez à Gérer (Manage) > Certificats et clés secrètes (Certificates & Secrets) > Nouvelle clé secrète du client (v) et ajoutez une nouvelle clé secrète du client. Notez l'expiration que vous avez choisie et créez une nouvelle clé secrète au préalable.
4. Copiez la valeur de la clé secrète pour une utilisation ultérieure.

Dans Azure Key Vault, suivez ces étapes :

1. Accédez à la page Présentation (Overview) de Key Vault et copiez l' URI du coffre (Vault URI) et l' ID d'annuaire (Directory ID) pour une utilisation ultérieure.
2. Sélectionnez Contrôle d’accès (IAM) dans le menu à gauche.
3. Sélectionnez Ajouter, puis sélectionnez Ajouter une affectation de rôle.
4. Sélectionnez l’un des rôles suivants en fonction de votre type de magasin d'identifiants :

• Key Vault Secrets Officer pour les magasins d'identifiants en lecture-écriture.
• Key Vault Secrets User pour les magasins d'identifiants en lecture seule.

5. Affectez le rôle au principal du service associé à l’enregistrement de votre application.
6. Sélectionnez Examiner + affecter pour enregistrer l’affectation de rôle.

Utiliser Azure Key Vault (lecture seule)

Lors de l'utilisation du plug-in Azure Key Vault (lecture seule), l'administrateur Vault est responsable de l'enregistrement correct des clés secrètes qu'Orchestrator utilisera. Le format dans lequel ces clés secrètes doivent être enregistrées diffère entre les types de clés secrètes (ressource ou mot de passe du Robot) et entre les moteurs secrets.

Pour obtenir des instructions sur la façon d'enregistrer les clés secrètes, consultez les éléments suivants :

• Stockage des informations d'identification de l'Unattended Robot dans HashiCorp Vault (lecture seule)
• Stockage des ressources dans Azure Key Vault (lecture seule)

Intégration de HashiCorp Vault

HashiCorp Vault est un plug-in que vous pouvez utiliser comme magasin d'informations d'identification avec Orchestrator.

Deux plug-ins sont inclus :

• HashiCorp Vault : plug-in en lecture-écriture (les clés secrètes sont créées via Orchestrator)
• HashiCorp Vault (lecture seule) : plug-in en lecture seule (vous devez enregistrer les clés secrètes directement dans le coffre)

Prérequis

• Un réseau qui permet l'interconnectivité entre le service Orchestrator et le serveur HashiCorp Vault :
  • Le port API utilisé par HashiCorp Vault pour les requêtes API doit être ouvert via n'importe quel pare-feu et accessible depuis Internet. Ce port est 8200 dans une installation standard.
  • Si le pare-feu du client n'autorise pas la connectivité à partir d'une adresse IP Internet, les adresses IP d'Orchestrator doivent être ajoutées à la liste d'autorisation.
• Vous devez configurer l'une des méthodes d'authentification prises en charge :
  • AppRole (recommandé)
  • UsernamePassword
  • LDAP
  • JetonDécouvrez comment configurer l'authentification.
• Vous devez configurer l'un des moteurs de secrets pris en charge :
  • KeyValueV1 : disponible pour HashiCorp Vault et HashiCorp Vault (lecture seule) (HashiCorp Vault (read-only))
  • KeyValueV2 : disponible pour HashiCorp Vault et HashiCorp Vault (lecture seule) HashiCorp Vault (read-only)
  • ActiveDirectory : disponible uniquement pour HashiCorp Vault (lecture seule) (HashiCorp Vault (read-only))
  • OpenLDAP : disponible uniquement pour HashiCorp Vault (lecture seule) (HashiCorp Vault (read-only))
• La méthode d'authentification choisie doit avoir une stratégie qui autorise les fonctionnalités suivantes sur le chemin d'accès où vous prévoyez de stocker vos clés secrètes :
  • Pour le plug-in HashiCorp Vault (lecture seule) (HashiCorp Vault (read-only)) : read
  • Pour le plug-in HashiCorp Vault : create , read , update , delete et éventuellement delete sur le chemin des métadonnées, si vous utilisez le moteur de secrets KeyValueV2 .

Configuration de l'intégration

Voici un exemple de configuration d'une version de développement de HashiCorp Vault, exécutée dans un conteneur Docker, à utiliser comme magasin d'informations d'identification avec Orchestrator. Les exemples doivent être adaptés à votre propre environnement. Veuillez consulter la documentation officielle de HashiCorp Vault pour plus de détails.

Configuration de l'authentification

Pour commencer à créer et à lire des clés secrètes, vous devez d'abord configurer la méthode d'authentification en suivant ces étapes :

1. Ouvrez un shell à l'intérieur du conteneur :

   docker exec -it dev-vault sh
   

2. Connectez-vous en tant que racine. Assurez-vous que le jeton racine est affiché dans les journaux pour définir une variable d'environnement en exécutant la commande suivante :

   export VAULT_TOKEN=s.hA7RJ5lBqSnKUPd8nrQBaK1f
   

3. Vérifiez l'état du coffre en exécutant la commande suivante :

   vault status
   

4. Ajoutez une clé secrète factice pour Orchestrator dans le magasin KV :

   vault kv put secret/applications/orchestrator/testSecret Value=123456
   

5. Accordez à Orchestrator l'accès au chemin d'accès secret/applications/orchestrator créé. Pour cela, vous devez d'abord créer une stratégie de lecture et d'écriture pour ce chemin d'accès et tous ses sous-chemins d'accès en exécutant la commande suivante :

   cat <<EOF | vault policy write orchestrator-policy -
   path "secret/data/applications/orchestrator/*" {
     capabilities = ["create", "read", "update", "delete"]
   }
   path "secret/metadata/applications/orchestrator/*" {
     capabilities = ["delete"]
   }
   EOF
   

   Remarque :

   Lors de l'utilisation d'un moteur de secrets KeyValueV2, les clés secrètes sont écrites et récupérées via le chemin d'accès <mount>/data/<secret-path>, par opposition à <mount>/<secret-path> dans KeyValueV1. Cela ne change aucune des commandes CLI (c'est-à-dire que vous ne spécifiez pas de données dans votre chemin d'accès). Cependant, cela modifie les stratégies, puisque les capacités sont appliquées au chemin d'accès réel. Dans l'exemple précédent, le chemin d'accès est secret/data/applications/orchestrator/* puisque nous utilisons un moteur de secrets KeyValueV2. Si un moteur de secrets KeyValueV1 avait été utilisé, le chemin d'accès aurait été secret/applications/orchestrator/*. La capacité de suppression au niveau du chemin d'accès des métadonnées n'est nécessaire que si vous voulez vous assurer qu'Orchestrator n'oublie aucune clé de test lors de la vérification de la connectivité. Si cette capacité n'est pas accordée, une clé sera créée et oubliée lors de la création du magasin d'informations d'identification dans Orchestrator.

6. Activez l'authentification à l'aide de la méthode d'authentification userpass, puis créez un utilisateur pour Orchestrator et attribuez la stratégie créée précédemment :

   vault auth enable userpass
   vault write auth/userpass/users/orchestrator password=123456 policies=orchestrator-policy
   

   Remarque :

   Orchestrator prend en charge plusieurs modes d'authentification. Consultez la documentation de HashiCorp Vault pour savoir comment les configurer.

7. Vérifiez que votre configuration est correcte en vous connectant et en essayant de lire la clé secrète créée précédemment :

   vault login -method=userpass username=orchestrator password=123456
   

   Sortie de cette commande :

   WARNING! The VAULT_TOKEN environment variable is set! This takes precedence
   over the value set by this command. To use the value set by this command,
   unset the VAULT_TOKEN environment variable or set it to the token displayed
   below.
   Success! You are now authenticated. The token information displayed below
   is already stored in the token helper. You do NOT need to run "vault login"
   again. Future Vault requests will automatically use this token.
   Key                    Value
   ---                    -----
   token                  s.nwombWQH3gGPDhJumRzxKqgI
   token_accessor         aGJL6Pzc6fRRuP8d8tTjS2Kj
   token_duration         768h
   token_renewable        true
   token_policies         ["default" "orchestrator-policy"]
   identity_policies      []
   policies               ["default" "orchestrator-policy"]
   token_meta_username    orchestratorWARNING! The VAULT_TOKEN environment variable is set! This takes precedence
   over the value set by this command. To use the value set by this command,
   unset the VAULT_TOKEN environment variable or set it to the token displayed
   below.
   Success! You are now authenticated. The token information displayed below
   is already stored in the token helper. You do NOT need to run "vault login"
   again. Future Vault requests will automatically use this token.
   Key                    Value
   ---                    -----
   token                  s.nwombWQH3gGPDhJumRzxKqgI
   token_accessor         aGJL6Pzc6fRRuP8d8tTjS2Kj
   token_duration         768h
   token_renewable        true
   token_policies         ["default" "orchestrator-policy"]
   identity_policies      []
   policies               ["default" "orchestrator-policy"]
   token_meta_username    orchestrator
   

8. Prenez ce jeton et définissez-le à la place du jeton racine, puis essayez de lire la clé secrète de test :

   export VAULT_TOKEN=s.nwombWQH3gGPDhJumRzxKqgI
   vault kv get secret/applications/orchestrator/testSecret
   

   Sortie de cette commande :

====== Metadata ======
Key              Value
---              -----
created_time     2020-10-12T06:24:41.7827631Z
deletion_time    n/a
destroyed        false
version          1
=========== Data ===========
Key                    Value
---                    -----
supersecretpassword    123456====== Metadata ======
Key              Value
---              -----
created_time     2020-10-12T06:24:41.7827631Z
deletion_time    n/a
destroyed        false
version          1
=========== Data ===========
Key                    Value
---                    -----
supersecretpassword    123456

Remarque :

Vous pouvez également activer la méthode Orchestrator appRole en exécutant la commande suivante :

/ # vault auth enable approle
/ # vault write auth/approle/role/orchestrator policies=orchestrator-policy
/ # vault read auth/approle/role/orchestrator/role-id
/ # vault write -f auth/approle/role/orchestrator/secret-id

Vous disposerez alors d'un ID de rôle et d'un ID de secret à des fins de configuration dans Orchestrator.

Configuration du moteur de secrets Active Directory

Pour configurer le moteur de secrets Active Directory, suivez ces étapes :

1. Activez le moteur de secrets Active Directory en exécutant la commande suivante :

   vault secrets enable ad
   

2. Configurez les informations d'identification utilisées par HashiCorp Vault pour communiquer avec Active Directory afin de générer des mots de passe :

   vault write ad/config \
       binddn=$USERNAME \
       bindpass=$PASSWORD \
       url=ldaps://138.91.247.105 \
       userdn='dc=example,dc=com'
   

3. Configurez un rôle qui mappe un nom dans HashiCorp Vault à un compte dans Active Directory. Lorsque les applications demanderont des mots de passe, les paramètres de rotation des mots de passe seront gérés par ce rôle.

   vault write ad/roles/orchestrator service_account_name="[e-mail]"
   

4. Accordez à orchestrator l'accès à ses informations d'identification sur ad/creds/orchestrator à l'aide d'une méthode d'authentification, telle que AppRole.

   cat <<EOF | vault policy write orchestrator-policy -
   path "ad/creds/orchestrator" {
     capabilities = ["read"]
   }
   EOF
   

Utilisation de HashiCorp Vault (en lecture seule)

Lors de l'utilisation du plug-in HashiCorp Vault (lecture seule) (HashiCorp Vault (read-only)), l'administrateur Vault est responsable de l'enregistrement correct des clés secrètes utilisées par Orchestrator. Le format dans lequel ces clés secrètes doivent être enregistrées diffère entre les types de clés secrètes (ressource ou mot de passe du Robot) et entre les moteurs secrets.

Pour obtenir des instructions sur la façon d'enregistrer les clés secrètes, consultez les éléments suivants :

Stockage des informations d'identification de l'Unattended Robot dans HashiCorp Vault (lecture seule)

Stockage des ressources dans HashiCorp Vault (lecture seule)

Intégration BeyondTrust

L'intégration BeyondTrust est en lecture seule et se présente sous la forme de deux plug-ins au choix u: Comptes gérés sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts) et Mots de passe d'équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords).

Si Comptes gérés sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts) répond aux besoins des organisations avec des comptes locaux ou Active Directory, Mots de passe d'équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords) convient dans les scénarios où les informations d'identification de petits groupes doivent être stockées dans un environnement isolé.

La configuration des deux plug-ins est globalement identique, mais il existe également de légères différences. Cette page couvre les deux plug-ins.

Prérequis

• Une instance BeyondTrust Server Cloud ou une installation locale similaire
• Au-delà des informations d'identification Insight

Configuration de l'intégration

1. Connectez-vous à l'instance BeyondTrust Server Cloud ou à une installation locale similaire à l'aide de vos informations d'identification Beyond Insight.

2. Créez un Enregistrement d'API (API Registration) pour le groupe UiPath de comptes de service.

   Image 10. Créer un enregistrement d'API

   

3. Créez une Règle d'authentification (Authentication Rule) pour autoriser les connexions API entrantes depuis UiPath.

   Figure 11. Créer une règle d'authentification

   

4. Créez un groupe pour le ou les comptes de service UiPath et ajoutez les fonctionnalités suivantes :

   • Compte sécurisé par mot de passe

   • Rôle sécurisé par mot de passe

     Figure 12. Créer un nouveau groupe

     

5. Vous devez également attribuer des Règles intelligentes (Smart Rules) :

   • Les rôles Comptes gérés (Managed Accounts)/Lecture seule (Read-Only)/Demandeur (Requester) sont suffisants pour les demandes d'utilisateur standard

   • Pour l'accès ISA, le rôle Ressources /ISA (Assets/ISA) est nécessaire.

     Image 13. Affecter des règles intelligentes

     

6. Ajoutez l'enregistrement d'API au groupe.

   Image 14. Ajouter l'enregistrement de l'API au groupe

   

7. Créez un utilisateur et attribuez le groupe UiPath.

   Image 15. Créer un nouvel utilisateur

   

8. Les étapes suivantes varient selon que vous utilisez Comptes gérés sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts) ou Mots de passe d'équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords).

Comptes gérés sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts)

Si vous utilisez Comptes gérés sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Managed Accounts), effectuez les étapes suivantes :

1. Ajoutez vos comptes gérés sous Systèmes gérés (Managed Systems).

   Figure 16. Page Systèmes gérés

   

2. Assurez-vous d'utiliser l'option API activée (API Enabled) pour vos comptes gérés.

Figure 17. Page Comptes gérés

Mots de passe d'équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords)

Si vous utilisez Mots de passe d'équipe sécurisés par mot de passe BeyondTrust (BeyondTrust Password Safe - Team Passwords), effectuez les étapes suivantes :

1. Accédez à la page Mots de passe d'équipe (Team Passwords).

   Figure 18. Page Mots de passe d'équipe

   

2. Vous pouvez également créer un dossier.

3. Sélectionnez un dossier.

4. Utilisez l'option Créer des informations d'identification (Create New Credential).

Thycotic Secret Server integration

Remarque :

Thycotic a été renommé Delinea à la suite d’une fusion. Gardez cela à l’esprit lors de la configuration des intégrations de votre magasin d’informations d’identification.

Prérequis

• Une instance cloud de Thycotic Secret Server ou une installation locale.

Configuration de l'intégration

Important :

Assurez-vous de lire la documentation Delinea pour obtenir des informations à jour.

1. Connectez-vous à votre compte Secret Server.
2. Go to Admin > User Management and Select Create User. Select the Application Account checkbox to generate an application account.
3. Accédez à Admin > Tout afficher ( See All ) > Outils et intégrations (Tools and Integrations ) > Gestion des clients SDK (SDK) et configurez une nouvelle règle d’intégration dans Intégration du client (Client Onboarding) . Notez le nom et la clé de la règle d'intégration.
4. Modifiez la règle d’intégration et attribuez le compte d’application créé à l’étape 2.
5. Assurez-vous que le compte d’application lié à la règle d’intégration dispose d’autorisations sur les clés secrètes consultées par Orchestrator. Vous pouvez attribuer le compte d’application à un groupe et accorder à ce groupe l’accès aux dossiers requis, ou lui accorder un accès explicite aux clés secrètes.

Intégration d'AWS Secrets Manager

À propos d'AWS Secrets Manager

AWS Secrets Manager est un outil qui peut être utilisé en tant que magasin d’informations d’identification dans Orchestrator.

Il dispose de deux plugins :

• AWS Secrets Manager
• AWS Secrets Manager (lecture seule)

Le plug-in que vous pouvez utiliser, à savoir en lecture seule ou en lecture-écriture, est dicté par vos autorisations de stratégie AWS Identity and Access Management (IAM).

Si vous choisissez d'utiliser le plug-in en lecture seule, vous devez lier une ressource à un ensemble d'informations d'identification déjà disponibles dans AWS Secrets Manager.

Prérequis

Pour utiliser ce service :

• Vous devez disposer d'un abonnement AWS.
• Vous devez créer une stratégie IAM spécifique à Secrets Manager, que vous attribuez au rôle ou à l'utilisateur IAM du compte.

Configuration

Pour intégrer AWS Secrets Manager à Orchestrator, vous avez besoin de la clé d'accès et de la clé secrète qui sont générées une fois que vous avez créé un compte AWS IAM.

• L' ID de clé d'accès se trouve dans l'onglet Identifiants de sécurité de votre compte AWS IAM.
• L’ID de la clé secrète n’est fourni qu’après la création du compte. Il est donc important de le copier pour une utilisation future. Si vous égarez ou oubliez l’ID de votre clé secrète, vous devez créer une autre clé d’accès, puis remplacer les informations nécessaires dans Orchestrator.

De plus, vous devez vérifier la région que vous avez définie dans votre compte AWS, car c'est ce que vous saisirez dans le champ Région (Region) lors de la configuration du nouveau magasin d'informations d'identification.

Utilisation d'AWS Secrets Manager (lecture seule)

Lors de l'utilisation du plug-in AWS Secrets Manager (lecture seule) (AWS Secrets Manager (read only)), l'administrateur est responsable de l'enregistrement correct des clés secrètes utilisées par Orchestrator. Le format dans lequel ces clés secrètes doivent être enregistrées diffère entre les types de clés secrètes (ressource ou mot de passe du Robot) et entre les moteurs secrets.

Pour obtenir des instructions sur la façon d'enregistrer les clés secrètes, consultez les éléments suivants :

• Stockage des informations d'identification du robot Unattended dans AWS Secrets Manager (lecture seule)
• Stockage des ressources dans AWS Secrets Manager (lecture seule)