Identity Server-Skripte

Veröffentlichen auf Identity Server

In der folgenden Tabelle sind alle Parameter beschrieben, die mit dem Skript Publish-IdentityServer.ps1 verwendet werden können.

Parameter	Beschreibung
`-action`	Obligatorisch. Gibt den Typ des Szenarios an, das Sie starten möchten. Die folgenden Optionen sind verfügbar: `Deploy` – gibt an, dass es sich um eine Neuinstallation handelt. `Update` – Gibt an, dass Sie Ihre Identity Server-Instanz aktualisieren.
`-azureAccountApplicationId`	Obligatorisch. Die ID des Azure-Dienstprinzipals. Bitte beachten Sie, dass dem verwendeten Dienstprinzipal die Rolle „Mitwirkender“ für den App-Dienst im Abonnement-Scope zugewiesen werden muss.
`-azureAccountPassword`	Obligatorisch. Das Azure-Tokenkennwort für die Dienstprinzipal-ID.
`-azureSubscriptionId`	Obligatorisch. Die Azure-Abonnement-ID für den App Service, der Orchestrator hostet.
`-azureAccountTenantId`	Obligatorisch. Die Azure-Mandanten-ID.
`-orchestratorUrl`	Obligatorisch. Die URL der Orchestrator-Instanz.
`-identityServerUrl`	Obligatorisch. Die URL des Identity Servers. Wichtig: Die URL muss die Identity Server-Adresse und das Suffix `/identity` in Kleinbuchstaben enthalten. Beispiel: `https://[identity_server]/identity`
`-orchDetails`	Dieser Parameter ist eine Hashtabelle, die die folgenden Werte enthält: `resourceGroupName` – Obligatorisch. Der Name der Azure-Ressourcengruppe, die den App-Dienst des Orchestrators enthält. `appServiceName` – Obligatorisch. Der Name des Azure App-Diensts des Orchestrators. `targetSlot` – Obligatorisch. Der von Azure festgelegte Ziel-App-Dienst-Slot.
`-identityServerDetails`	Dieser Parameter ist eine Hashtabelle, die die folgenden Werte enthält: `resourceGroupName` – Obligatorisch. Der Name der Azure-Ressourcengruppe, die den Identity Server App-Dienst enthält. `appServiceName` – Obligatorisch. Der Name des Azure App-Diensts des Identity Servers. `targetSlot` – Obligatorisch. Der von Azure festgelegte Ziel-App-Dienst-Slot.
`-package`	Obligatorisch. Geben Sie den vollständigen Pfad oder relativen Pfad des Archivs `UiPath.IdentityServer.Web.zip` an.
`-cliPackage`	Obligatorisch. Geben Sie den vollständigen Pfad oder relativen Pfad des Archivs `UiPath.IdentityServer.Migrator.Cli.zip` an.
`-productionSlotName`	Optional. Kann nur verwendet werden, wenn sich der Bereitstellungs-Slot des App Service für Identity Server von dem durch Azure festgelegten Standard-Produktionsslot von App-Service unterscheidet.
`-stopApplicationBeforePublish`	Optional. Wenn vorhanden, wird die Anwendung vor der Bereitstellung angehalten und nach Abschluss der Bereitstellung gestartet.
`-unattended`	Optional. Wenn vorhanden, wird die Bereitstellung ohne Benutzerbestätigung fortgesetzt.
`-tmpDirectory`	Optional: Ermöglicht das Festlegen eines Verzeichnisses, in dem benötigte Dateien heruntergeladen und entpackt werden.
`-noAzureAuthentication`	Optional. Ermöglicht Ihnen die Veröffentlichung im Azure App-Dienst, indem Sie sich auf Ihre eigene Benutzeridentität verlassen, ohne einen Dienstprinzipal erstellen zu müssen. Wenn dieser Parameter verwendet wird, ist der Parametersatz `UseServicePrincipal` (der Elemente wie die Azure Anwendungs-ID, das Kennwort, die Abonnement-ID und die Mandanten-ID enthält) nicht mehr erforderlich.
`-azureUSGovernmentLogin`	Optional. Dieser Parameter wird nur für Bereitstellungen der US-Regierung verwendet.

Das Skript Publish-IdentityServer.ps1 wird für die anfängliche Bereitstellung oder Aktualisierung von Identity Server verwendet. Das Skript geht davon aus, dass die Web-App bereits die Datenbankverbindungszeichenfolge DefaultConnection konfiguriert hat.

.\Publish-IdentityServer.ps1 `
    -action Deploy `
    -orchestratorUrl "<orchestrator_address>" `
    -identityServerUrl "https://<identity_server_url>/identity" ` // must be in lowercase
    -orchDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>";  targetSlot = "Production" } `
    -identityServerDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>"; targetSlot = "Production" } `
    -azureSubscriptionId "<subscription_id>" `
    -azureAccountTenantId "<azure_tenant_id>" `
    -azureAccountApplicationId "<azure_application_id>" `
    -azureAccountPassword "<azure_account_password>" `
    -package "UiPath.IdentityServer.Web.zip" `
    -cliPackage "UiPath.IdentityServer.Migrator.Cli.zip" `
    -stopApplicationBeforePublish `
    -unattended.\Publish-IdentityServer.ps1 `
    -action Deploy `
    -orchestratorUrl "<orchestrator_address>" `
    -identityServerUrl "https://<identity_server_url>/identity" ` // must be in lowercase
    -orchDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>";  targetSlot = "Production" } `
    -identityServerDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>"; targetSlot = "Production" } `
    -azureSubscriptionId "<subscription_id>" `
    -azureAccountTenantId "<azure_tenant_id>" `
    -azureAccountApplicationId "<azure_application_id>" `
    -azureAccountPassword "<azure_account_password>" `
    -package "UiPath.IdentityServer.Web.zip" `
    -cliPackage "UiPath.IdentityServer.Migrator.Cli.zip" `
    -stopApplicationBeforePublish `
    -unattended

Wichtig: Stellen Sie nach dem Ausführen des obigen Skripts sicher, dass Sie die unten aufgeführten zusätzlichen Schritte ausführen, um eine erfolgreiche Erstbereitstellung zu ermöglichen.

Führen Sie nach der Veröffentlichung von Identity Server die folgenden Schritte aus:

Wechseln Sie zum Azure-Portal.
Wählen Sie Ihren Identity Server-App-Service aus.
Wechseln Sie im Menü Zertifikate zu Eigene Zertifikate einbringen.
Laden Sie die .pfx-Zertifikatdatei eines privaten Schlüssels mit einem gültigen Kennwort hoch.

Hinweis: Dieses Zertifikat wird zum Signieren der Zugriffstoken und der ID-Token verwendet.

Fügen Sie unter dem Konfigurationsmenü die folgenden Anwendungseinstellungen genau wie in der Spalte Anwendungseinstellungen geschrieben hinzu:

Anwendungseinstellung	Wert	Beschreibung
`AppSettings__IdentityServerAddress`	https://[identity_server]/identity	Die öffentliche URL von Identity Server. Wichtig: Die URL muss die Adresse von Identity Server sowie das Suffix `/identity` in Kleinbuchstaben enthalten.
`AppSettings__SigningCredentialSettings__StoreLocation__Location`	CurrentUser	Dies muss auf CurrentUser verweisen.
`AppSettings__SigningCredentialSettings__StoreLocation__Name`	XXXXXXXXXXXXXXXXXXXXXXXXXXXXX	Der Fingerabdruckwert Ihres Zertifikats, das Sie zuvor hochgeladen haben.
`AppSettings__SigningCredentialSettings__StoreLocation__NameType`	`Thumbprint`	Geben Sie `Thumbprint` als Typ des vorherigen Felds ein.
`AppSettings__LoadBalancerSettings__RedisConnectionString`	`XXXXXXXXXXXX:XXXX,password=XXXXXX`	Ein Verbindungszeichenfolge, um Ihren Redis-Server einzurichten, und die die URL des Servers, das Kennwort und den mit Redis verwendeten Port enthält. Überdies besteht die Möglichkeit, mit SSL verschlüsselte Verbindungen zwischen den Orchestrator-Knoten und dem Redis-Dienst zu aktivieren.
`AppSettings__LoadBalancerSettings__SlidingExpirationTimeInSeconds`	Anzahl der Sekunden	Die gleitende Ablaufzeit eines Elements im Cache. Diese Ablaufzeit gilt sowohl für Redis Cache als auch für InMemory Cache.
`AppSettings__RedisSettings__UseRedisStoreCache`	`true`/`false`	Legen Sie den Wert auf `true` fest, um das Redis-Caching von OAuth-Clientdaten zu aktivieren. Dies verhindert Leistungsprobleme bei der Verwendung der interaktiven Anmeldung, um eine große Anzahl von Robotern in kurzer Zeit zu verbinden. Dieser Cache verwendet dieselbe Redis-Verbindungszeichenfolge, die in `AppSettings__LoadBalancerSettings` angegeben ist. Hinweis: Dies wird nicht empfohlen, wenn Sie die Funktion Externe Anwendungen verwenden, da diese Einstellung Clients zwischenspeichert und Aktualisierungen für externe Anwendungen nicht widergespiegelt werden.
`AppSettings__RedisSettings__UseRedisStoreClientCache`	`true`/`false`	Legen Sie den Wert auf „true“ fest, um das Redis-Caching für Erstanbieter-Clients (UiPath-Anwendungen) oder Drittanbieter-Clients (externe Anwendungen) zu aktivieren. Wenn Sie eine umfangreiche Bereitstellung haben, wird empfohlen, dieses Flag zu aktivieren.
`App__Saml2ValidCertificateOnly`	`true`/`false`	Für Orchestrator-Bereitstellungen über eine Azure Web-App muss dieser Parameter auf `false` festgelegt werden. Dies liegt daran, dass SAML2 erfordert, dass Zertifikate zu seinem Truststore hinzugefügt werden, aber Azure Web-Apps lassen diese Aktion nicht zu. Das Festlegen des Werts auf `false` bedeutet, dass die Zertifikatsprüfung umgangen wird.
`WEBSITE_LOAD_CERTIFICATES`	XXXXXXXXXXXXXXXXXXXXXXXXXXXXX	Der Fingerabdruckwert Ihres Zertifikats, das Sie zuvor hochgeladen haben.
`WEBSITE_LOAD_USER_PROFILE`	1	Das Benutzerprofil.

Speichern Sie die Änderungen.

Weitere Informationen finden Sie in der Microsoft Azure-Dokumentation.

Ersetzen des Zertifikats mit privatem Schlüssel

Wenn Sie ein Zertifikat mit privatem Schlüssel durch ein neues ersetzen, stellen Sie sicher, dass Sie die folgenden Schritte ausführen:

Ersetzen Sie die Werte der Parameter AppSettings__SigningCredentialSettings__StoreLocation__Name und WEBSITE_LOAD_CERTIFICATES durch den Fingerabdruck des neuen Zertifikats.
Starten Sie den Identitäts-App-Dienst neu.
Starten Sie den Orchestrator-App-Dienst neu.

Migrieren zu Identity Server

In der folgenden Tabelle sind alle Parameter beschrieben, die mit MigrateTo-IdentityServer.ps1 verwendet werden können.

Parameter	Beschreibung
`-cliPackage`	Obligatorisch. Geben Sie den vollständigen Pfad oder relativen Pfad des Archivs `UiPath.IdentityServer.Migrator.Cli.zip` an.
`-azureDetails`	Dieser Parameter ist eine Hashtabelle, die die folgenden Werte enthält: `azureAccountApplicationId` – Obligatorisch. Die ID des Azure-Dienstprinzipals. Bitte beachten Sie, dass dem verwendeten Dienstprinzipal die Rolle „Mitwirkender“ für den App-Dienst im Abonnementbereich zugewiesen werden muss. `azureSubscriptionId` – Obligatorisch. Die Azure-Abonnement-ID für den App-Dienst, der den Orchestrator hostet. `azureAccountTenantId` – Obligatorisch. Die Azure-Mandanten-ID. `azureAccountPassword` – Obligatorisch. Das Azure-Tokenkennwort für die Dienstprinzipal-ID.
`-orchDetails`	Dieser Parameter ist eine Hashtabelle, die die folgenden Werte enthält: `resourceGroupName` – Obligatorisch. Der Name der Azure-Ressourcengruppe, die den App-Dienst des Orchestrators enthält. `appServiceName` – Obligatorisch. Der Name des Azure App-Diensts des Orchestrators. `targetSlot` – Obligatorisch. Der von Azure festgelegte Ziel-App-Dienst-Slot.
`-identityServerDetails`	Dieser Parameter ist eine Hashtabelle, die die folgenden Werte enthält: `resourceGroupName` – Obligatorisch. Der Name der Azure-Ressourcengruppe, die den Identity Server App-Dienst enthält. `appServiceName` – Obligatorisch. Der Name des Azure App-Diensts des Identity Servers. `targetSlot` – Obligatorisch. Der von Azure festgelegte Ziel-App-Dienst-Slot.
`-identityServerUrl`	Obligatorisch. Die öffentliche Adresse von Identity Server. Wichtig: Die URL muss die Adresse von Identity Server sowie das Suffix `/identity` in Kleinbuchstaben enthalten. Beispiel: `https://[identity_server]/identity`
`-orchestratorUrl`	Obligatorisch. Die öffentliche Adresse von Orchestrator.
`-tmpDirectory`	Optional: Ermöglicht das Festlegen eines Verzeichnisses, in dem benötigte Dateien heruntergeladen und entpackt werden.
`-hostAdminPassword`	Nur für neue Bereitstellungen obligatorisch, wenn `-action` ist auf `Deploy`festgelegt. Geben Sie ein benutzerdefiniertes Kennwort für den Hostadministrator an. Bitte beachten Sie, dass Kennwörter mindestens 8 Zeichen lang sein müssen und mindestens einen Kleinbuchstaben und mindestens eine Ziffer enthalten müssen.
`-isHostPassOneTime`	Optional. Ermöglicht Ihnen, das Zurücksetzen eines Passworts nach dem ersten Anmelden des Host-Administrators zu erzwingen. Wenn Sie diesen Parameter weglassen, ist das Host-Administrator-Passwort nicht einmalig.
`-defaultTenantAdminPassword`	Nur für neue Bereitstellungen obligatorisch, wenn `-action` ist auf `Deploy`festgelegt. Geben Sie ein benutzerdefiniertes Kennwort für den standardmäßigen Mandantenadministrator an. Bitte beachten Sie, dass Kennwörter mindestens 8 Zeichen lang sein müssen und mindestens einen Kleinbuchstaben und mindestens eine Ziffer enthalten müssen.
`-isDefaultTenantPassOneTime`	Optional. Ermöglicht Ihnen, das Zurücksetzen eines Passworts nach dem ersten Anmelden des Host-Administrators zu erzwingen. Wenn Sie diesen Parameter weglassen, ist das Tenant-Administrator-Passwort nicht einmalig.
`-noAzureAuthentication`	Optional. Ermöglicht Ihnen die Veröffentlichung im Azure App-Dienst, indem Sie sich auf Ihre eigene Benutzeridentität verlassen, ohne einen Dienstprinzipal erstellen zu müssen. Wenn dieser Parameter verwendet wird, ist der Parametersatz `UseServicePrincipal` (der Elemente wie die Azure Anwendungs-ID, das Kennwort, die Abonnement-ID und die Mandanten-ID enthält) nicht mehr erforderlich.

Das Skript MigrateTo-IdentityServer.ps1 wird verwendet, um Benutzerdaten vom Orchestrator zum Identity Server zu migrieren und die Konfigurationen für beide festzulegen. Es überträgt die Identifikationsautorität des Orchestrators auf den Identity Server und erstellt die Clientkonfiguration für den Orchestrator im Identity Server.

Das Skript geht davon aus, dass Orchestrator und Identity Server bereits veröffentlicht wurden.

.\MigrateTo-IdentityServer.ps1 `
    -cliPackage "UiPath.IdentityServer.Migrator.Cli.zip" `
    -azureDetails @{azureSubscriptionId = "<subscription_id>"; azureAccountTenantId = "<azure_tenant_id>"; azureAccountApplicationId = "<azure_application_id>"; azureAccountPassword = "<azure_account_password>" } `
    -orchDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>";  targetSlot = "Production" } `
    -identityServerDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>"; targetSlot = "Production" } `
    -identityServerUrl "https://<identity_server_url>/identity" ` // must be in lowercase
    -orchestratorUrl "https://<OrchestratorURL>" `
    -hostAdminPassword "12345qwert" `
    -defaultTenantAdminPassword "12345qwert".\MigrateTo-IdentityServer.ps1 `
    -cliPackage "UiPath.IdentityServer.Migrator.Cli.zip" `
    -azureDetails @{azureSubscriptionId = "<subscription_id>"; azureAccountTenantId = "<azure_tenant_id>"; azureAccountApplicationId = "<azure_application_id>"; azureAccountPassword = "<azure_account_password>" } `
    -orchDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>";  targetSlot = "Production" } `
    -identityServerDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>"; targetSlot = "Production" } `
    -identityServerUrl "https://<identity_server_url>/identity" ` // must be in lowercase
    -orchestratorUrl "https://<OrchestratorURL>" `
    -hostAdminPassword "12345qwert" `
    -defaultTenantAdminPassword "12345qwert"