資格情報プロキシを管理する

お使いのカスタム資格情報ストア用にプロキシを作成・管理することで、資格情報の安全性を個別に制御できます。

プロキシの種類

以下の 2 種類から選択できます。

• 接続状態のプロキシ (Orchestrator で管理) - ロボットが資格情報を要求すると、Orchestrator はプロキシから資格情報を取得し、ロボットに渡します。
  図 1. 接続状態のプロキシ アーキテクチャ
  

  

  
  
• 非接続のプロキシ (プロキシ サービスで管理) - ロボットが資格情報を要求すると、Orchestrator を経由せずにプロキシから直接取得されます。この種類のプロキシは、バージョン 23.10+ の Robot にのみ対応しています。
  図 2. 非接続のプロキシ アーキテクチャ
  重要:

  • 非接続の資格情報プロキシは、Enterprise - Advanced ライセンス プランでのみ利用できます。
  • 非接続のプロキシの資格情報を取得する場合に使用する必要がある最小バージョンは次のとおりです。プロキシ: 2.0.1、システム アクティビティ パッケージ: 24.3。

切断されたセットアップ

切断されたフレーバーの Orchestrator Credentials Proxy は、接続されている設定と同様に動作しますが、いくつかの重要な違いがあります。

appsettings.json ファイルで、プロキシが非接続モードで起動するように指定します。これを行うには、AppSettings でパラメーター CredentialsProxyType の値を Disconnectedに設定します。

これにより、プロキシは、起動時に少し異なる動作を行い、appsettings.json ファイルから Secure Store の構成を読み取るように指示されます。このパラメーターがない場合、または値が異なる場合、プロキシは接続モードで起動します。

appsettings.json ファイルで、プロキシが非接続モードで起動するように指定します。これを行うには、AppSettings] で CredentialsProxyType パラメーターの値を Disconnected に設定します。

{
...
  "AppSettings": {
  ...
    "CredentialsProxyType": "Disconnected",
  ...
  }
}

これにより、プロキシは、起動時に少し異なる動作を行い、appsettings.json ファイルから Secure Store の構成を読み取るように指示されます。このパラメーターがない場合、または値が異なる場合、プロキシは接続モードで起動します。

Secure Store の構成

各構成エントリには、次のものが含まれている必要があります。

• キー: ストアをリンクする際に Orchestrator で使用される一意の識別子です。これは、構成のリスト内で一意である必要があります。

• 種類: Secure Store の種類 (Azure Key Vault、BeyondTrust、CyberArk、HashiCorp Vault、InMemory など) です。

• コンテキスト: Secure Store の実装で必要なデータです。ストアの種類によって異なります。

次の Secure Store 構成をご覧ください。 例:

{
...
  "AppSettings": {
  ...
    "SecureStoreConfigurations": [
      {
        "Key": "SecureStoreKey1",
        "Type": "AzureKeyVault (read only)",
        "Context": {
          "KeyVaultUri": "{someUri}",
          "DirectoryId": "{someDirectoryId}",
          "ClientId": "{someClientId}",
          "ClientSecret": "{someClientSecret}"
        }
      },
      {
        "Key": "SecureStoreKey2",
        "Type": "BeyondTrust Password Safe - Managed Accounts",
        "Context": {
          "Hostname": "{someHost}",
          "APIRegistrationKey": "{someApiKey}",
          "APIRunAsUsername": "{someApiUsername}",
          "DefaultManagedSystemName": "",
          "SystemAccountDelimiter": "/",
          "ManagedAccountType": "system"
        }
      },
      {
        "Key": "InMemoryKey1",
        "Type": "InMemorySecureStore",
        "Context": {
        }
      }
    ]
  ...
  }
}

注:

SecureStoreConfigurations パラメーターは複数の設定の配列であるため、必要な数だけ設定できます。

Key値が一意である限り、同じ種類の複数の構成がサポートされます。

起動時の検証

非接続モードで実行している場合、プロキシは起動時に検証を行います。

• 必要な設定が appsettings.json に存在することを検証します。
• SecureStoreConfigurations にキーの重複がないことを確認します。
• すべての Type 値が有効であることを確認します。
• コンテナーの接続を検証します (ストアごとに ValidateContextAsync を呼び出します)。

プロキシ レベルの設定

一部のセキュリティで保護された資格情報ストアでは、ホスト レベルの構成が必要です。これは appsettings.Production.json で指定する必要があります。

• CyberArk: CLIPasswordSDKExePath、 UsePowerShellCLI、 AdditionalAllowedCharacters などの設定は AppSettings で定義する必要があります。

  {
  // ...
    "AppSettings": {
      "Plugins.SecureStores.CyberArk.CLIPasswordSDKExePath": "D:\\SomePath\\CLIPasswordSDK.exe",
      // ...
    }
    // ...
  }

• CyberArkCCP: Plugins.SecureStores.CyberArkCCP.KeyStorageFlags = "MachineKeySet" の設定が必要になる場合があります。

  {
  // ...
    "AppSettings": {
      "Plugins.SecureStores.CyberArkCCP.KeyStorageFlags": "MachineKeySet",
      // ...
    }
    // ...
  }

構成テストの例

以下の実用的な appsettings.Production.json の例をご覧ください。

例 1: 基本

BeyondTrust と Azure Key Vault を使用した構成:

{
  "Jwt": {
    "Keys": [
      "<YourKey>"
    ]
  },
  "AppSettings": {
    "CredentialsProxyType": "Disconnected",
    "SecureStoreConfigurations": [
      {
        "Key": "SecureStoreKey3",
        "Type": "BeyondTrust Password Safe - Team Passwords",
        "Context": {
          "Hostname": "<Hostname",
          "APIRegistrationKey": "<APIRegistrationKey",
          "APIRunAsUsername": "<Username>",
          "FolderPathPrefix": "/", // default is "/", but it can be changed to anything
          "FolderPasswordDelimiter": "/" // default is "/", but it can be changed to anything
        }
      }
    ]
  }
}

例 2: 追加のログと複数の構成

複数のコンテナーと高度なログが含まれます。

{
  "Logging": {
    "LogLevel": {
      "Default": "Trace",
      "Microsoft": "Warning",
      "Microsoft.Hosting.Lifetime": "Information",
      "Microsoft.AspNetCore.HttpLogging.HttpLoggingMiddleware": "Information"
    }
  },
  "Jwt": {
    "Keys": [ "<YourKey>" ]
  },
  "AppSettings": {
    "Plugins.SecureStores": "UiPath.Orchestrator.CyberArk.dll;UiPath.Orchestrator.AzureKeyVault.SecureStore.dll;UiPath.Orchestrator.SecureStore.CyberArkCCP.dll;UiPath.Orchestrator.SecureStore.HashiCorpVault.dll;UiPath.Orchestrator.SecureStore.ThycoticSecretServer.dll;UiPath.Orchestrator.SecureStore.BeyondTrust.dll;UiPath.Orchestrator.SecureStore.AWSSecretsManager.dll",
    "UseInMemorySecureStore": "true",
    "CredentialsProxyType": "Disconnected",
    "SkipValidateSecureStoreConfigurations": "false", // for Testing only; never to be shown to clients or used in prod
    "SecureStoreConfigurations": [
      // AzureKeyVault owned by <username>; contact for more info
      // Robot externalName: "<name>"
      // The expected value of this secret is "<name>"
      {
        "Key": "SecureStoreKey1",
        "Type": "AzureKeyVault (read only)",
        "Context": {
          "KeyVaultUri": "<VaultURL>",
          "DirectoryId": "<DirectoryID>",
          "ClientId": "<ClientID>",
          "ClientSecret": "<ClientSecret>"
        }
      },
      // In case this fails, check our internal documentation on checking if BeyondTrust is down
      // <InternalDocsURL>
      // Robot externalName: "<ExternalName>"
      {
        "Key": "SecureStoreKey2",
        "Type": "BeyondTrust Password Safe - Managed Accounts",
        "Context": {
          "Hostname": "<Hostname>",
          "APIRegistrationKey": "<APIRegistrationKey>",
          "APIRunAsUsername": "<Username>",
          "DefaultManagedSystemName": "",
          "SystemAccountDelimiter": "/",
          "ManagedAccountType": "system"
        }
      },
      // In case this fails, check our internal documentation on checking if BeyondTrust is down
      // <InternalDocsURL>
      // Robot externalName: "<ExternalName>"
      {
        "Key": "SecureStoreKey3",
        "Type": "BeyondTrust Password Safe - Team Passwords",
        "Context": {
          "Hostname": "<Hostname>",
          "APIRegistrationKey": "<APIRegistrationKey>",
          "APIRunAsUsername": "<Username>",
          "FolderPathPrefix": "/", // default is "/", but it can be changed to anything
          "FolderPasswordDelimiter": "/" // default is "/", but it can be changed to anything
        }
      },
      {
        // asset external name: Operating System-WinDomain
        // password: <password>
        "Key": "SecureStoreKey1",
        "Type": "CyberArk Conjur Cloud (read only)",
        "Context": {
          "ServiceUrl": "<ServiceURL>",
          "LoginName": "<LoginName>",
          "ApiKey": "<APIKey>",
          "VariableIdPrefix": "data/vault/Safe"
        }
      },
      // Must have an empty context
      // No values on startup; should add values using the endpoints before trying trying to get anything
      {
        "Key": "InMemoryKey1",
        "Type": "InMemorySecureStore",
        "Context": {
        }
      }
    ]
  }
}

例 3: カスタム ログのパスと InMemoryStore

{
  "NLog": {
    "throwConfigExceptions": true,
    "targets": {
      "logfile": {
        "type": "File",
        "maxArchiveFiles": 180,
        "fileName": "<FileName>",
        "layout": "${longdate} ${logger} ${message}${onexception:${newline}${exception:maxInnerExceptionLevel=10:format=shortType,message,stacktrace:separator=*:innerExceptionSeparator=&#xD;&#xA;&#x9;}}"
      }
    },
    "rules": [
      {
        "logger": "*",
        "minLevel": "Information",
        "writeTo": "logconsole,logfile,eventLog"
      }
    ]
  },
  "Logging": {
    "LogLevel": {
      "Default": "Information",
      "Microsoft.AspNetCore": "Warning"
    }
  },
  "Jwt": {
    "Keys": [
      "<YourKey>"
    ]
  },
  "AppSettings": {
    "Plugins.SecureStores": "UiPath.Orchestrator.CyberArk.dll;UiPath.Orchestrator.AzureKeyVault.SecureStore.dll;UiPath.Orchestrator.SecureStore.CyberArkCCP.dll;UiPath.Orchestrator.SecureStore.CyberArkConjur.dll;UiPath.Orchestrator.SecureStore.HashiCorpVault.dll;UiPath.Orchestrator.SecureStore.ThycoticSecretServer.dll;UiPath.Orchestrator.SecureStore.BeyondTrust.dll;UiPath.Orchestrator.SecureStore.AWSSecretsManager.dll",
    "UseInMemorySecureStore": "true",
    "CredentialsProxyType": "Disconnected",
    "SkipValidateSecureStoreConfigurations": "true",
    "SecureStoreConfigurations": [
      {
        "Key": "InMemoryKey1",
        "Type": "InMemorySecureStore",
        "Context": {}
      }
    ]
  }
}

資格情報プロキシを作成する

Orchestrator Credentials Proxy をインストールすると、カスタムの資格情報ストアを保持するカスタム プロキシを作成できます。

図 3. [資格情報プロキシを追加] ページ

このためには以下の手順に従います。

1. テナント レベルで、[資格情報] > [プロキシ] > [資格情報プロキシを追加] をクリックします。[資格情報プロキシを追加] ウィンドウが表示されます。
2. [接続状態のプロキシ (Orchestrator で管理)] または [非接続のプロキシ (プロキシ サービスで管理)] を選択します。
3. プロキシの名前を追加します。
4. Orchestrator Credentials Proxy の設定に含まれる仮想マシンに関連する URL を追加します。
5. キーを追加します。

   接続状態のプロキシでは、インストール方法に応じて、.msi インストーラーによって生成されるシークレット キー、または Jwt:Keys パラメーターが保持するキーのいずれかを使用します。

   非接続のプロキシの場合、これは非接続のプロキシのローカル設定ファイルのいずれかに既に存在するキーである必要があります。

   手順 4 および 5 で入力する情報により、お使いのカスタムの資格情報ストア プラグインが含まれているインストールと Orchestrator との間にリンクが作成されます。

6. [作成] をクリックします。

   その後、以下の手順に従って目的のストアを追加できます。

7. テナント レベルで、[資格情報] > [ストア] > [資格情報ストアを追加] をクリックします。
8. [プロキシ] リストから、先ほど作成したプロキシを選択します。
9. [種類] リストから、お使いのプラグインによって定義されたサードパーティの資格情報ストアを選択します。

資格情報プロキシを編集する

プロキシを編集するには、[その他のアクション] > [編集] をクリックします。[資格情報プロキシを編集] ページが表示され、必要に応じて名前、URL、またはキーを変更できます。

資格情報プロキシを削除する

プロキシを削除するには [その他のアクション] > [削除] を選択します。選択したプロキシが使用中の場合、影響を受けるロボットとアセットの数を示す警告ダイアログが表示されます。[はい] を選択して削除を確定するか、[いいえ] を選択して中止します。

図 4. [プロキシ] タブ