Kerberos 認証を設定する

前提条件

Kerberos 認証を適切に設定するには、次の前提条件を満たす必要があります。

• Automation Suite のクラスターが Active Directory にアクセスできることを確認する
• Active Directory サービス アカウントを Kerberos 認証用に構成する
• 任意: SQL 統合認証の前提条件

Automation Suite のクラスターが Active Directory にアクセスできることを確認する

Kerberos 認証を構成する前に、Automation Suite のクラスターが Active Directory にアクセスできることを IT 管理者も交えて確認してください。

次の要件を満たす必要があります。

• Automation Suite のクラスターは、Active Directory ドメインと同じネットワーク上にある必要があります。

• Automation Suite のクラスターが Active Directory のドメイン名を解決できるように、ネットワークの DNS を適切に設定する必要があります。

  注: Automation Suite のクラスターが Active Directory の domain names を解決できることは、非常に重要です。これは、ホスト マシン上で nslookup <AD domain name> を実行することで確認できます。

Active Directory サービス アカウントを Kerberos 認証用に構成する

Kerberos の既定の keytab とユーザー名パラメーターを生成する

オプション 1: スクリプトを実行する (推奨)

1. Windows ドメインに参加しているマシンで、Active Directory 管理者アカウントでログインします。
2. keytab-creator.ps1 スクリプトを管理者として実行します。
3. スクリプトに次の値を入力します。
   1. Service Fabric FQDN です。例: uipath-34i5ui35f.westeurope.cloudapp.azure.com
   2. AD domain FQDN です。例: TESTDOMAIN.LOCAL
   3. Active Directory ユーザー アカウント。既存のアカウント (sAMAccountName など) を使用するか、スクリプトで新しいアカウントを作成できます。

出力ファイルに、Kerberos の設定に必要な <KERB_DEFAULT_USERNAME> パラメーターと <KERB_DEFAULT_KEYTAB> パラメーターが含まれています。

オプション 2: 手動

Active Directory 管理者に Active Directory のユーザー アカウントを問い合わせて、次の手順でそのアカウントの <KERB_DEFAULT_USERNAME> と <KERB_DEFAULT_KEYTAB> を取得します。

1. Active Directory サーバーで、新しいユーザー アカウントを作成します。アカウントが既に存在する場合は、手順 2 に進みます。
   1. [Active Directory ユーザーとコンピューター] コンソールで、[Users] フォルダーを右クリックして [新規作成] をクリックし、[ユーザー] を選択します。
   2. ユーザー アカウントの作成を完了します。
2. ユーザー アカウントを右クリックして、[プロパティ] を選択します。
3. [アカウント] タブに移動し、[アカウント オプション] で [このアカウントで Kerberos AES 256 ビット暗号化をサポートする] を選択します。
4. 重要: 次の手順で生成する keytab は、Active Directory ユーザーのパスワードの有効期限が切れるか更新されると無効になります。 さらに、パスワードに @ を使用すると、keytab が正しくなくなり、Kerberos 認証や検証が失敗する可能性があります。 この Active Directory ユーザー アカウントの [アカウント オプション ] で [ パスワードを無期限 にする] をオンにするか、パスワードに@ を使用しないようにすることを検討してください。または、有効期限が近付いたときにパスワードを更新し、新しいkeytabを生成することもできます。
5. SPN の keytab ファイルを生成するには、管理者アクセス権で PowerShell を開き、次のコマンドを実行します。

   ktpass -princ HTTP/<Service Fabric FQDN>@<AD FQDN in cap> -pass <AD user's password> -mapuser <AD NetBIOS name in cap>\<AD user name> -pType KRB5_NT_PRINCIPAL -out <output file path> -crypto AES256-SHA1

   一部のフィールドは大文字で指定する必要があります。例:

   ktpass -princ HTTP/[e-mail] -pass pwd123 -mapuser TESTDOMAIN\aduser -pType KRB5_NT_PRINCIPAL -out c:\krb5.keytab -crypto AES256-SHA1

   注: keytab の生成後、ユーザー ログオン名が HTTP/<Service Fabric FQDN> に変わります。この値は、ArgoCD UI の UiPath® アプリにおける、global.kerberosAuthConfig.adUserName パラメーターの <KERB_DEFAULT_USERNAME> フィールドに使用します。
6. 生成された keytab ファイルを Base64 でエンコードします。PowerShell を開き、次のコマンドを実行します。

   [Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<path to the generated keytab file>"))

7. エンコードされた keytab ファイルを保存します。このファイルは、UiPath® クラスターを Kerberos 用に構成する際に使用します。手順 6 の値を <KERB_DEFAULT_KEYTAB> と呼ぶことにします。

任意: SQL 統合認証の前提条件

Windows 統合認証/Kerberos を使用して SQL に接続するように UiPath クラスターを構成するには、次の追加手順を実行する必要があります。

• SQL Server は Active Directory ドメインに参加している必要があります。
• Automation Suite のクラスターは、SQL Server と同じネットワーク上にある必要があります。
• Automation Suite のクラスターは、Active Directory と SQL Server のドメイン名を解決できます。
• Active Directory ユーザーは、SQL Server へのアクセス権と DB 権限を持つ必要があります。

SQL Server Management Studio で新しいログインを作成するには、次の手順を実行します。

1. [オブジェクト エクスプローラ] パネルで [セキュリティ] > [ログイン] に移動します。

2. [ログイン] フォルダーを右クリックして [新しいログイン] を選択します。[ログイン - 新規作成] ウィンドウが表示されます。

3. [Windows 認証] オプションを選択します。ウィンドウが適切に更新されます。

   
   

   

   
   

4. [ログイン名] フィールドに、サービス アカウントとして使用するユーザー ドメインを入力します。

5. [既定の言語] リストから [English] を選択します。

   重要: [既定の言語] が [English] に設定されていることを確認してください。英語でない場合 Web サイトは起動できず、Orchestrator がインストールされているコンピューター上のイベント ビューアーに、データ型が変換できなかったことを示す次のエラー メッセージが表示されます。「The conversion of a varchar data type to a datetime data type resulted in an out of range value」

6. [OK] をクリックします。設定が保存されます。

サービス アカウントが既に作成され、SQL Server の [セキュリティ] > [ログイン] セクションに追加されている場合、SQL アカウントの [既定の言語] が [英語] に設定されていることを確認してください。英語に設定されていない場合は、適切に変更します。

SQL データベースに接続するユーザーに db_owner ユーザー マッピング ロールを付与する必要があります。以下のスクリーンショットをご覧ください。

セキュリティの制限により UiPath ログインで db_owner ユーザー マッピング ロールが使用できない場合、次の権限を付与します。

• db_datareader
• db_datawriter
• db_ddladmin
• dbo スキーマに対する EXECUTE 権限
  
  

  

  
  

EXECUTE 権限は、GRANT EXECUTE SQL コマンドを用いて次のように付与する必要があります。

USE UiPath
GO
GRANT EXECUTE ON SCHEMA::dbo TO [domain\)\)user]
GO

UiPath アプリケーションで AS ユーザー アカウントを使用して SQL に Integrated Security=True で接続する場合は、次のように、各 UiPath アプリケーションに対して一意の keytab を作成する必要があります。これは、そのアプリケーションの <KERB_APP_KEYTAB> として参照されます。

Kerberos アプリケーションの keytab とユーザー名パラメーターを生成する

オプション 1: スクリプトを実行する (推奨)

1. service-keytab-creator.ps1 スクリプトを実行します。

2. スクリプトに次の値を入力します。

   1. AD domain FQDN です。例: TESTDOMAIN.LOCAL
   2. Active Directory ユーザー アカウントのユーザー名とパスワード。たとえば、Active Directory ユーザー アカウント sAMAccountName とそのパスワードです。

出力ファイルには、Kerberos で必要な <KERB_APP_USERNAME> パラメーターと <KERB_APP_KEYTAB> パラメーターが含まれます。

オプション 2: 手動

次のスクリプトを手動で実行します。

# Generate keytab file and output it in the desired path 
ktpass /princ <AD username>@<AD domain in cap> /pass <AD user password> /ptype KRB5_NT_PRINCIPAL /crypto AES256-SHA1 /out <path to keytab file> -setpass 

# Converts AD user's keytab file to base 64 
[Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<path to the generated keytab file>"))

値 <AD username> は、<KERB_APP_KEYTAB> に対応する <KERB_APP_USERNAME> になります。

Automation Suite を Kerberos クライアントとして構成する

このセクションでは、Automation Suite を LDAP または SQL アクセス用の Kerberos クライアントとして構成する方法について説明します。

<KERB_DEFAULT_KEYTAB> を使用して、次のいずれかの方法で Automation Suite を Kerberos クライアントとして構成します。

• 対話型インストーラーを介して Kerberos 認証を構成する
• cluster_config.json を介して Kerberos 認証を構成する

• CLI ツールを介して Kerberos 認証を更新する

  注: さまざまなサービスを専用の Active Directory アカウントで実行されるように設定し、SQL にその Active Directory アカウントとしてアクセスする場合は、ad_username をその <KERB_APP_USERNAME> で指定し、user_keytab をサービスの構成セクションで <KERB_APP_KEYTAB> として指定できます。

対話型インストーラーを介して Kerberos 認証を構成する

1. Automation Suite のインストーラーを実行する際、デプロイ構成で Kerberos 認証を有効化するように指定します。

   ===============================================================================
                               Deployment configuration
   ===============================================================================
   
   Are you performing an evaluation/development/test/demo or a production deployment?
   [1] Production deployment (multi-node)
   [2] Evaluation/development/test/demo deployment (single-node)
   Enter your choice [2]: 2
   
   Will your deployment have access to Internet (online) or is it physically isolated from unsecured networks (air-gapped)?
   [1] Online
   [2] Air-gapped
   Enter your choice [1]: 1
   Enter the Automation Suite FQDN []: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   sfdev1868610-d053997f-lb.eastus.cloudapp.azure.comsfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   
   Would you like to enable Kerberos Auth? This will be used to connect to SQL Databases and Active Directory Lightweight Directory Adaptor if configured.
   [1] Yes
   [2] No
   
   Enter your choice [2]: 1

2. Kerberos 認証の入力パラメーターを指定します。
   注: これは、すべてのサービスに対する既定の Kerberos 認証設定です。サービスごとに異なる AD ユーザーを設定する場合は、インストールの後続の手順において、サービス固有の JSON オブジェクト内で値を指定できます。

   Specify the Active Directory domain for Kerberos Auth []: 
   Specify the Ticket Granting Ticket lifetime (TGT) in hours between 8 and 168 for Kerberos Auth [8]:
   Specify the default Active Directory username for Kerberos Auth []: 
   Specify the default Active Directory user's keytab for Kerberos Auth []: 
   Specify the SQL server FQDN []: 
   Specify the SQL server connection PORT [1433]:

   注:

   Active Directory ドメイン コントローラーには、既定のドメイン ポリシー内にユーザー チケットの最大有効期間に関する Kerberos 設定があります。ここで設定されているチケットの有効期間が、サーバー側の設定よりも長くなっていないことを確認してください。

   「前提条件」のセクションの説明に従って keytab ファイル (<KERB_DEFAULT_KEYTAB>) を生成し、Base64 でエンコードされた値をインストーラーに指定する必要があります。その後、<KERB_DEFAULT_USERNAME> を Active Directory username の値としてインストーラーに指定する必要があります。
3. 次の例に示すとおり、インストール手順の残りの部分を実行します。

   Would you like the databases to be automatically provisioned for all the products you've selected?
   [1] Yes
   [2] No
   
   Enter your choice [1]: 1
   
   The following databases will be provisioned automatically:
   - Shared suite capabilities: AutomationSuite_Platform
   - Orchestrator: AutomationSuite_Orchestrator
   - Test Manager: AutomationSuite_Test_Manager
   - Insights: AutomationSuite_Insights
   - Automation Hub: AutomationSuite_Automation_Hub
   - Automation Ops: AutomationSuite_Automation_Ops
   - AI Center: AutomationSuite_AICenter
   - Document understanding: AutomationSuite_DU_Datamanager
   
   
   ===============================================================================
                               Current config values
   ===============================================================================
   Multi node: false
   Airgapped: false
   Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   Sql port: 1433
   Sql username:
   Sql password:
   Create sql databases: true
   Kerberos Auth enabled: true
   Kerberos Auth Active Directory domain: abcd.com
   Kerberos Auth TGT lifetime in hours: 8
   Kerberos Auth default Active Directory username: ad_user
   Kerberos Auth default user's keytab: XXXXXXXXX
   
   
   ✅ The cluster configuration file was generated at /tmp/UiPathAutomationSuite/cluster_config.json:
   
   [1] Continue installing with the default config
   [2] Edit the config
   [3] Go to the main menu
   
   For advanced settings, quit now and manually edit the config file.
   Once the configuration file is updated, run the deployment wizard again and follow the instructions.
   Would you like the databases to be automatically provisioned for all the products you've selected?
   [1] Yes
   [2] No
   
   Enter your choice [1]: 1
   
   The following databases will be provisioned automatically:
   - Shared suite capabilities: AutomationSuite_Platform
   - Orchestrator: AutomationSuite_Orchestrator
   - Test Manager: AutomationSuite_Test_Manager
   - Insights: AutomationSuite_Insights
   - Automation Hub: AutomationSuite_Automation_Hub
   - Automation Ops: AutomationSuite_Automation_Ops
   - AI Center: AutomationSuite_AICenter
   - Document understanding: AutomationSuite_DU_Datamanager
   
   
   ===============================================================================
                               Current config values
   ===============================================================================
   Multi node: false
   Airgapped: false
   Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   Sql port: 1433
   Sql username:
   Sql password:
   Create sql databases: true
   Kerberos Auth enabled: true
   Kerberos Auth Active Directory domain: abcd.com
   Kerberos Auth TGT lifetime in hours: 8
   Kerberos Auth default Active Directory username: ad_user
   Kerberos Auth default user's keytab: XXXXXXXXX
   
   
   ✅ The cluster configuration file was generated at /tmp/UiPathAutomationSuite/cluster_config.json:
   
   [1] Continue installing with the default config
   [2] Edit the config
   [3] Go to the main menu
   
   For advanced settings, quit now and manually edit the config file.
   Once the configuration file is updated, run the deployment wizard again and follow the instructions.

4. 任意: 以下に示すように構成を編集できます。

   ===============================================================================
                       Choose what setting you want to edit
   ===============================================================================
   [1] Multi node: false
   [2] Airgapped: false
   [3] Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   [4] Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   [5] Sql port: 1433
   [6] Sql username:
   [7] Sql password:
   [8] Create sql databases: true
   [9] Kerberos Auth enabled: true
   [10] Kerberos Auth Active Directory domain: abcd.com
   [11] Kerberos Auth TGT lifetime in hours
   [12] Kerberos Auth default Active Directory username: ad_user
   [13] Kerberos Auth default user's keytab: XXXXXXXXX===============================================================================
                       Choose what setting you want to edit
   ===============================================================================
   [1] Multi node: false
   [2] Airgapped: false
   [3] Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   [4] Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   [5] Sql port: 1433
   [6] Sql username:
   [7] Sql password:
   [8] Create sql databases: true
   [9] Kerberos Auth enabled: true
   [10] Kerberos Auth Active Directory domain: abcd.com
   [11] Kerberos Auth TGT lifetime in hours
   [12] Kerberos Auth default Active Directory username: ad_user
   [13] Kerberos Auth default user's keytab: XXXXXXXXX

cluster_config.json を介して Kerberos 認証を構成する

1. cluster_config.json ファイルで、kerberos_auth_config.enabled パラメーターを true に設定します。
2. Kerberos を SQL アクセスに使用する場合、Integrated Security フラグを使用して、sql_connection_string_template、sql_connection_string_template_jdbc、および sql_connection_string_template_odbc を構成します。
3. サービスごとに異なる Active Directory ユーザーを設定する場合は、次の手順を実行します。
   1. サービス グループの JSON オブジェクトに ad_username と user_keytab を指定します。
   2. サービスの SQL 接続文字列を更新して、統合セキュリティを有効化します。 JSON オブジェクトは次のようになります。

      "<serviceGroupName>": {
          "kerberos_auth_config": {
            "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for this service group",
            "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for this service group"
          }
      }

      注: サービス グループ名のリストについては、「サービス グループとサービス」をご覧ください。
4. cluster_config.json を更新したら、インストーラー スクリプトを実行して構成を更新します。詳しい手順については、「製品を管理する」をご覧ください。

Kerberos 認証を使用するための Orchestrator とプラットフォームの更新例

"kerberos_auth_config": {
    "enabled" : true, 
    "ticket_lifetime_in_hour" : 8, 
    "ad_domain": "PLACEHOLDER - INSERT ACTIVE DIRECTORY DOMAIN ",
    "default_ad_username": "PLACEHOLDER - INSERT KERB_DEFAULT_USERNAME",
    "default_user_keytab": "PLACEHOLDER - INSERT KERB_DEFAULT_KEYTAB"
  },
"sql_connection_string_template": "PLACEHOLDER",
"sql_connection_string_template_jdbc": "PLACEHOLDER",
"sql_connection_string_template_odbc": "PLACEHOLDER",
"orchestrator": {
    "sql_connection_str": "Server=tcp:sfdev1804627-c83f074b-sql.database.windows.net,1433;Initial Catalog=AutomationSuite_Orchestrator;Persist Security Info=False;Integrated Security=true;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Max Pool Size=100;",
    "kerberos_auth_config": {
      "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for Orchestrator",
      "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for Orchestrator"
    }
    "testautomation": {
      "enabled": true
    },
    "updateserver": {
      "enabled": true
    }
},
"platform": {
    "sql_connection_str": "Server=tcp:sfdev1804627-c83f074b-sql.database.windows.net,1433;Initial Catalog=AutomationSuite_Platform;Persist Security Info=False;Integrated Security=true;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Max Pool Size=100;",
    "kerberos_auth_config": {
      "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for platform",
      "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for platform"
    }
}

サービス グループとサービス

次の表に、利用可能なサービス グループと、各サービス グループに含まれるサービスのリストを示します。名前は、cluster_config.json ファイルと ArgoCD UI とで若干異なります。

cluster_config.json のサービス グループ名	ArgoCD のサービス グループ名	含まれるサービス
orchestrator	orchestrator	Orchestrator、Webhook
platform	platform	ID、ライセンス会計士 (LA)、監査、場所、License Resource Manager (LRM)、Organization Management Service (OMS)
discovery_group	discoverygroup	Automation Hub、Task Mining
test_manager	testmanager	Test Manager
automation_ops	automationops	Automation Ops
aicenter	aicenter	AI Center
documentunderstanding	documentunderstanding	Document Understanding
insights	insights	Insights

CLI ツールを介して Kerberos 認証を更新する

CLI ツールを介して Kerberos 認証を更新するには、「Updating Kerberos authentication」をご覧ください。

Active Directory との連携を構成する

Automation Suite にログインするときに Kerberos 認証を使用するには、Automation Suite のホスト設定をさらに構成する必要があります。

Kerberos 認証を無効化する

Kerberos 認証を完全に削除する

Kerberos 認証を完全に削除するには、次の手順を実行します。

1. Kerberos を使用して Active Directory との連携を構成していた場合は、「Active Directory との連携を構成する」の手順に従って、Active Directory をユーザー名とパスワードのオプションで再構成します。
2. SQL 統合認証を使用していた場合は、ユーザー ID とパスワードを使用するように SQL 接続文字列を構成します。
3. 次の手順で Kerberos 認証を無効化します。
   1. ArgoCD UI に移動して uipath アプリケーションを見つけ、左上隅の [APP DETAILS] ボタンをクリックしてから、[PARAMETERS] タブに移動します。
   2. [EDIT] をクリックして、global.kerberosAuthConfig.enabled を false に設定します。

SQL 統合認証を削除する

SQL 統合認証を削除するには、次の手順を実行します。

1. ユーザー ID とパスワードを使用するように SQL 接続文字列を構成します。
2. すべてのサービスで SQL 統合認証を無効化する場合は、すべての接続文字列を変更した後に、ArgoCD で global.kerberosAuthConfig.enabled を false に設定します。

Kerberos のトラブルシューティング

Kerberos の構成中に問題が発生した場合は、「認証のトラブルシューティング」をご覧ください。