Kerberos 認証を設定する

前提条件

Kerberos 認証を適切に設定するには、次の前提条件を満たす必要があります。

• Automation Suite のクラスターが Active Directory にアクセスできることを確認する
• Active Directory サービス アカウントを Kerberos 認証用に構成する
• 任意: SQL 認証の前提条件

Automation Suite のクラスターが Active Directory にアクセスできることを確認する

Kerberos 認証を構成する前に、Automation Suite のクラスターが Active Directory にアクセスできることを IT 管理者も交えて確認してください。

次の要件を満たす必要があります。

• Automation Suite のクラスターは、Active Directory ドメインと同じネットワーク上にある必要があります。

• Automation Suite のクラスターが Active Directory のドメイン名を解決できるように、ネットワークの DNS を適切に設定する必要があります。

  注:

  Automation Suite のクラスターが Active Directory の domain names を解決できることは、非常に重要です。これは、ホスト マシン上で nslookup <AD domain name> を実行することで確認できます。

Active Directory サービス アカウントを Kerberos 認証用に構成する

Kerberos の既定の keytab とユーザー名パラメーターを生成する

オプション 1: スクリプトを実行する (推奨)

1. Windows ドメインに参加しているマシンで、Active Directory 管理者アカウントでログインします。
2. keytab-creator.ps1 スクリプトを管理者として実行します。
3. スクリプトに次の値を入力します。
   1. Service Fabric FQDN です。例: uipath-34i5ui35f.westeurope.cloudapp.azure.com
   2. AD domain FQDN です。例: TESTDOMAIN.LOCAL
   3. Active Directory ユーザー アカウント。既存のアカウント (sAMAccountName など) を使用するか、スクリプトで新しいアカウントを作成できます。

出力ファイルに、Kerberos の設定に必要な <KERB_DEFAULT_USERNAME> パラメーターと <KERB_DEFAULT_KEYTAB> パラメーターが含まれています。

オプション 2: 手動

Active Directory 管理者に Active Directory のユーザー アカウントを問い合わせて、次の手順でそのアカウントの <KERB_DEFAULT_USERNAME> と <KERB_DEFAULT_KEYTAB> を取得します。

1. Active Directory サーバーで、新しいユーザー アカウントを作成します。アカウントが既に存在する場合は、手順 2 に進みます。

   1. In the Active Directory Users and Computers console, right-click the Users folder, click New, and then select User.
   2. ユーザー アカウントの作成を完了します。

2. ユーザー アカウントを右クリックして、[プロパティ] を選択します。

3. [アカウント] タブに移動し、[アカウント オプション] で [このアカウントで Kerberos AES 256 ビット暗号化をサポートする] を選択します。

4. Important: The keytab generated in the next steps will become invalid if the AD user's password is expired or updated. Moreover, using @ in the password can result in an incorrect keytab, leading to Kerberos authentication and validation failures. Consider checking Password never expires under Account options for this AD user account or avoid using @ in your password. Alternatively, you can update the password when it is about to expire and generate a new keytab.

5. 注:

   SPN の keytab ファイルを生成するには、管理者アクセス権で PowerShell を開き、次のコマンドを実行します。

   ktpass -princ HTTP/<Service Fabric FQDN>@<AD FQDN in cap> -pass <AD user's password> -mapuser <AD NetBIOS name in cap>\<AD user name> -pType KRB5_NT_PRINCIPAL -out <output file path> -crypto AES256-SHA1
   

   一部のフィールドは大文字で指定する必要があります。例:

   ktpass -princ HTTP/[e-mail] -pass pwd123 -mapuser TESTDOMAIN\aduser -pType KRB5_NT_PRINCIPAL -out c:\krb5.keytab -crypto AES256-SHA1 -setpass
   

   注:

   To update the keytab for Automation Suite, run the command with the -setpass option. The first time you generate the keytab, you must run the command as a domain administrator. This is required because the command updates the service account’s SPN. For later updates, you can run the command as the domain user if the SPN mapping hasn’t changed.

   keytab の生成後、ユーザー ログオン名が HTTP/<Service Fabric FQDN>に変わります。この値は、ArgoCD UI の UiPath® アプリにおける、global.kerberosAuthConfig.adUserName パラメーターの <KERB_DEFAULT_USERNAME> フィールドに使用します。

6. 生成された keytab ファイルを Base64 でエンコードします。PowerShell を開き、次のコマンドを実行します。

   [Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<path to the generated keytab file>"))
   

7. エンコードされた keytab ファイルを保存します。このファイルは、UiPath® クラスターを Kerberos 用に構成する際に使用します。手順 6 の値を <KERB_DEFAULT_KEYTAB> と呼ぶことにします。

任意: SQL 認証の前提条件

Windows 統合認証/Kerberos を使用して SQL に接続するように UiPath クラスターを構成するには、次の追加手順を実行する必要があります。

• SQL Server は Active Directory ドメインに参加している必要があります。
• Automation Suite のクラスターは、SQL Server と同じネットワーク上にある必要があります。
• Automation Suite のクラスターは、Active Directory と SQL Server のドメイン名を解決できます。
• Active Directory ユーザーは、SQL Server へのアクセス権と DB 権限を持つ必要があります。

SQL Server Management Studio で新しいログインを作成するには、次の手順を実行します。

1. [オブジェクト エクスプローラ] パネルで [セキュリティ] > [ログイン] に移動します。

2. [ログイン] フォルダーを右クリックして [新しいログイン] を選択します。[ログイン - 新規作成] ウィンドウが表示されます。

3. [Windows 認証] オプションを選択します。ウィンドウが適切に更新されます。

   

4. [ログイン名] フィールドに、サービス アカウントとして使用するユーザー ドメインを入力します。

5. [既定の言語] リストから [English] を選択します。

   重要:

   [既定の言語] が [英語] に設定されていることを確認してください。そうでない場合、Web サイトは開始できず、Orchestrator がインストールされているコンピューター上のイベント ビューアーに、「varchar データ型から datetime データ型へ変換した結果、値が範囲外になりました」というエラー メッセージが表示されます。

6. [OK] をクリックします。設定が保存されます。

サービス アカウントが既に作成され、SQL Server の [セキュリティ] > [ログイン] セクションに追加されている場合、SQL アカウントの [既定の言語] が [英語] に設定されていることを確認してください。英語に設定されていない場合は、適切に変更します。

SQL データベースに接続するユーザーに db_owner ユーザー マッピング ロールを付与する必要があります。以下のスクリーンショットをご覧ください。

セキュリティの制限により UiPath ログインで db_owner ユーザー マッピング ロールが使用できない場合、次の権限を付与します。

• db_datareader

• db_datawriter

• db_ddladmin

• dbo スキーマに対する EXECUTE 権限

  

EXECUTE 権限は、GRANT EXECUTE SQL コマンドを用いて次のように付与する必要があります。

USE UiPath
GO
GRANT EXECUTE ON SCHEMA::dbo TO [domain\user]
GO

UiPath アプリケーションで Active Directory ユーザー アカウントを使用して SQL に Integrated Security=True で接続する場合は、次のように、各 UiPath アプリケーションに対して一意の keytab を作成する必要があります。これは、そのアプリケーションの <KERB_APP_KEYTAB> として参照されます。

Kerberos アプリケーションの keytab とユーザー名パラメーターを生成する

オプション 1: スクリプトを実行する (推奨)

1. service-keytab-creator.ps1 スクリプトを実行します。
2. スクリプトに次の値を入力します。
   1. AD domain FQDN です。例: TESTDOMAIN.LOCAL
   2. Active Directory ユーザー アカウントのユーザー名とパスワード。たとえば、Active Directory ユーザー アカウント sAMAccountName とそのパスワードです。

出力ファイルには、Kerberos で必要な <KERB_APP_USERNAME> パラメーターと <KERB_APP_KEYTAB> パラメーターが含まれます。

オプション 2: 手動

次のスクリプトを手動で実行します。

# Generate keytab file and output it in the desired path
ktpass /princ <AD username>@<AD domain in cap> /pass <AD user password> /ptype KRB5_NT_PRINCIPAL /crypto AES256-SHA1 /out <path to keytab file> -setpass

# Converts AD user's keytab file to base 64
[Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<path to the generated keytab file>"))

値 <AD username> は、<KERB_APP_KEYTAB> に対応する <KERB_APP_USERNAME> になります。

Automation Suite を Kerberos クライアントとして構成する

このセクションでは、Automation Suite を LDAP または SQL アクセス用の Kerberos クライアントとして構成する方法について説明します。

<KERB_DEFAULT_KEYTAB> を使用して、次のいずれかの方法で Automation Suite を Kerberos クライアントとして構成します。

• 対話型インストーラーを介して Kerberos 認証を構成する

• cluster_config.json を介して Kerberos 認証を構成する

• CLI ツールを介して Kerberos 認証を更新する

  注:

  さまざまなサービスを専用の Active Directory アカウントで実行されるように設定し、SQL にその Active Directory アカウントとしてアクセスする場合は、ad_username をその <KERB_APP_USERNAME> で指定し、user_keytab をサービスの構成セクションで <KERB_APP_KEYTAB> として指定できます。

対話型インストーラーを介して Kerberos 認証を構成する

1. Automation Suite のインストーラーを実行する際、デプロイ構成で Kerberos 認証を有効化するように指定します。

   ===============================================================================
                               Deployment configuration
   ===============================================================================
   
   Are you performing an evaluation/development/test/demo or a production deployment?
   [1] Production deployment (multi-node)
   [2] Evaluation/development/test/demo deployment (single-node)
   Enter your choice [2]: 2
   
   Will your deployment have access to Internet (online) or is it physically isolated from unsecured networks (air-gapped)?
   [1] Online
   [2] Air-gapped
   Enter your choice [1]: 1
   Enter the Automation Suite FQDN []: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   sfdev1868610-d053997f-lb.eastus.cloudapp.azure.comsfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   
   Would you like to enable Kerberos Auth? This will be used to connect to SQL Databases and Active Directory Lightweight Directory Adaptor if configured.
   [1] Yes
   [2] No
   
   Enter your choice [2]: 1
   

2. Kerberos 認証の入力パラメーターを指定します。

   注:

   これは、すべてのサービスに対する既定の Kerberos 認証設定です。サービスごとに異なる AD ユーザーを設定する場合は、インストールの後続の手順において、サービス固有の JSON オブジェクト内で値を指定できます。

   Specify the Active Directory domain for Kerberos Auth []:
   Specify the Ticket Granting Ticket lifetime (TGT) in hours between 8 and 168 for Kerberos Auth [8]:
   Specify the default Active Directory username for Kerberos Auth []:
   Specify the default Active Directory user's keytab for Kerberos Auth []:
   Specify the SQL server FQDN []:
   Specify the SQL server connection PORT [1433]:
   

   注:

   Active Directory ドメイン コントローラーには、既定のドメイン ポリシー内にユーザー チケットの最大有効期間に関する Kerberos 設定があります。ここで設定されているチケットの有効期間が、サーバー側の設定よりも長くなっていないことを確認してください。

   You must generate the keytab file (<KERB_DEFAULT_KEYTAB>) as described in the Prerequisites section and provide the base64 encoded value to the installer. Then, you must provide <KERB_DEFAULT_USERNAME> as a value for Active Directory username to the installer.

3. 次の例に示すとおり、インストール手順の残りの部分を実行します。

   Would you like the databases to be automatically provisioned for all the products you've selected?
   [1] Yes
   [2] No
   
   Enter your choice [1]: 1
   
   The following databases will be provisioned automatically:
   - Shared suite capabilities: AutomationSuite_Platform
   - Orchestrator: AutomationSuite_Orchestrator
   - Test Manager: AutomationSuite_Test_Manager
   - Insights: AutomationSuite_Insights
   - Automation Hub: AutomationSuite_Automation_Hub
   - Automation Ops: AutomationSuite_Automation_Ops
   - AI Center: AutomationSuite_AICenter
   - Document understanding: AutomationSuite_DU_Datamanager
   
   ===============================================================================
                               Current config values
   ===============================================================================
   Multi node: false
   Airgapped: false
   Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   Sql port: 1433
   Sql username:
   Sql password:
   Create sql databases: true
   Kerberos Auth enabled: true
   Kerberos Auth Active Directory domain: abcd.com
   Kerberos Auth TGT lifetime in hours: 8
   Kerberos Auth default Active Directory username: ad_user
   Kerberos Auth default user's keytab: XXXXXXXXX
   
   ✅ The cluster configuration file was generated at /tmp/UiPathAutomationSuite/cluster_config.json:
   
   [1] Continue installing with the default config
   [2] Edit the config
   [3] Go to the main menu
   
   For advanced settings, quit now and manually edit the config file.
   Once the configuration file is updated, run the deployment wizard again and follow the instructions.
   Would you like the databases to be automatically provisioned for all the products you've selected?
   [1] Yes
   [2] No
   
   Enter your choice [1]: 1
   
   The following databases will be provisioned automatically:
   - Shared suite capabilities: AutomationSuite_Platform
   - Orchestrator: AutomationSuite_Orchestrator
   - Test Manager: AutomationSuite_Test_Manager
   - Insights: AutomationSuite_Insights
   - Automation Hub: AutomationSuite_Automation_Hub
   - Automation Ops: AutomationSuite_Automation_Ops
   - AI Center: AutomationSuite_AICenter
   - Document understanding: AutomationSuite_DU_Datamanager
   
   ===============================================================================
                               Current config values
   ===============================================================================
   Multi node: false
   Airgapped: false
   Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   Sql port: 1433
   Sql username:
   Sql password:
   Create sql databases: true
   Kerberos Auth enabled: true
   Kerberos Auth Active Directory domain: abcd.com
   Kerberos Auth TGT lifetime in hours: 8
   Kerberos Auth default Active Directory username: ad_user
   Kerberos Auth default user's keytab: XXXXXXXXX
   
   ✅ The cluster configuration file was generated at /tmp/UiPathAutomationSuite/cluster_config.json:
   
   [1] Continue installing with the default config
   [2] Edit the config
   [3] Go to the main menu
   
   For advanced settings, quit now and manually edit the config file.
   Once the configuration file is updated, run the deployment wizard again and follow the instructions.
   

4. 任意: 以下に示すように構成を編集できます。

   ===============================================================================
                       Choose what setting you want to edit
   ===============================================================================
   [1] Multi node: false
   [2] Airgapped: false
   [3] Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   [4] Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   [5] Sql port: 1433
   [6] Sql username:
   [7] Sql password:
   [8] Create sql databases: true
   [9] Kerberos Auth enabled: true
   [10] Kerberos Auth Active Directory domain: abcd.com
   [11] Kerberos Auth TGT lifetime in hours
   [12] Kerberos Auth default Active Directory username: ad_user
   [13] Kerberos Auth default user's keytab: XXXXXXXXX===============================================================================
                       Choose what setting you want to edit
   ===============================================================================
   [1] Multi node: false
   [2] Airgapped: false
   [3] Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   [4] Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   [5] Sql port: 1433
   [6] Sql username:
   [7] Sql password:
   [8] Create sql databases: true
   [9] Kerberos Auth enabled: true
   [10] Kerberos Auth Active Directory domain: abcd.com
   [11] Kerberos Auth TGT lifetime in hours
   [12] Kerberos Auth default Active Directory username: ad_user
   [13] Kerberos Auth default user's keytab: XXXXXXXXX
   

Configuring Kerberos Authentication Via Cluster_config.json

1. cluster_config.json ファイルで、kerberos_auth_config.enabled パラメーターを true に設定します。
2. Kerberos を SQL アクセスに使用する場合、Integrated Security フラグを使用して、sql_connection_string_template、sql_connection_string_template_jdbc、および sql_connection_string_template_odbc を構成します。
3. サービスごとに異なる Active Directory ユーザーを設定する場合は、次の手順を実行します。

   1. サービス グループの JSON オブジェクトに ad_username と user_keytab を指定します。

   2. サービスの SQL 接続文字列を更新して、統合セキュリティを有効化します。 JSON オブジェクトは次のようになります。

      "<serviceGroupName>": {
          "kerberos_auth_config": {
            "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for this service group",
            "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for this service group"
          }
      }
      

      注:

      For the list of service group names, see Service groups and services.

4. After updating the cluster_config.json, run the installer script to update the configuration. For details, see Managing products.

Kerberos 認証を使用するための Orchestrator とプラットフォームの更新例

"kerberos_auth_config": {
    "enabled" : true,
    "ticket_lifetime_in_hour" : 8,
    "ad_domain": "PLACEHOLDER - INSERT ACTIVE DIRECTORY DOMAIN ",
    "default_ad_username": "PLACEHOLDER - INSERT KERB_DEFAULT_USERNAME",
    "default_user_keytab": "PLACEHOLDER - INSERT KERB_DEFAULT_KEYTAB"
  },
"sql_connection_string_template": "PLACEHOLDER",
"sql_connection_string_template_jdbc": "PLACEHOLDER",
"sql_connection_string_template_odbc": "PLACEHOLDER",
"orchestrator": {
    "sql_connection_str": "Server=tcp:sfdev1804627-c83f074b-sql.database.windows.net,1433;Initial Catalog=AutomationSuite_Orchestrator;Persist Security Info=False;Integrated Security=true;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Max Pool Size=100;",
    "kerberos_auth_config": {
      "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for Orchestrator",
      "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for Orchestrator"
    }
    "testautomation": {
      "enabled": true
    },
    "updateserver": {
      "enabled": true
    }
},
"platform": {
    "sql_connection_str": "Server=tcp:sfdev1804627-c83f074b-sql.database.windows.net,1433;Initial Catalog=AutomationSuite_Platform;Persist Security Info=False;Integrated Security=true;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Max Pool Size=100;",
    "kerberos_auth_config": {
      "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for platform",
      "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for platform"
    }
}

サービス グループとサービス

次の表に、利用可能なサービス グループと、各サービス グループに含まれるサービスのリストを示します。名前は、cluster_config.json ファイルと ArgoCD UI とで若干異なります。

サービスグループ名: cluster_config.json	ArgoCD のサービス グループ名	含まれるサービス
orchestrator	orchestrator	Orchestrator、Webhook
platform	platform	ID、ライセンス会計士 (LA)、監査、場所、License Resource Manager (LRM)、Organization Management Service (OMS)
discovery_group	discoverygroup	Automation Hub、Task Mining
test_manager	testmanager	Test Manager
automation_ops	automationops	Automation Ops
aicenter	aicenter	AI Center
documentunderstanding	documentunderstanding	Document Understanding
insights	insights	Insights
dataservice	dataservice	Data Service

CLI ツールを介して Kerberos 認証を更新する

To update Kerberos authentication via the CLI tool, see Updating Kerberos authentication.

Active Directory との連携を構成する

Automation Suite にログインするときに Kerberos 認証を使用するには、Automation Suite のホスト設定をさらに構成する必要があります。

Kerberos 認証を無効化する

Kerberos 認証を完全に削除する

Kerberos 認証を完全に削除するには、次の手順を実行します。

1. Kerberos を使用して Active Directory との連携を構成していた場合は、「Active Directory との連携を構成する」の手順に従って、Active Directory をユーザー名とパスワードのオプションで再構成します。
2. SQL 統合認証を使用していた場合は、ユーザー ID とパスワードを使用するように SQL 接続文字列を構成します。
3. 次の手順で Kerberos 認証を無効化します。
   1. Go to the ArgoCD UI, find the uipath application, click the APP DETAILS button in the top-left corner, and then navigate to the PARAMETERS tab.
   2. Click EDIT, and set global.kerberosAuthConfig.enabled to false.

SQL 統合認証を削除する

SQL 統合認証を削除するには、次の手順を実行します。

1. ユーザー ID とパスワードを使用するように SQL 接続文字列を構成します。
2. すべてのサービスで SQL 統合認証を無効化する場合は、すべての接続文字列を変更した後に、ArgoCD で global.kerberosAuthConfig.enabled を false に設定します。

Kerberos のトラブルシューティング

If you encounter any issues while configuring Kerberos, see Authentication troubleshooting.