Identity Server のスクリプト

Identity Server にパブリッシュする

次の表で、Publish-IdentityServer.ps1 で使用できる全パラメーターについて説明します。

パラメーター	説明
-action	必須。開始するシナリオの種類を指定します。次のオプションを使用できます。 Deploy - クリーン インストールとして指定します。 Update - Identity Server インスタンスを更新中であることを指定します。
-azureAccountApplicationId	必須です。Azure のサービス プリンシパル ID。使用するサービス プリンシパルには、サブスクリプション範囲で App Service に対するコントリビューター ロールが割り当てられている必要があることに注意してください。
-azureAccountPassword	必須。サービス プリンシパル ID の Azure トークン パスワード。
-azureSubscriptionId	必須。Orchestrator をホストする App Service の Azure サブスクリプション ID。
-azureAccountTenantId	必須。Azure テナント ID。
-orchestratorUrl	必須です。Orchestrator インスタンスの URL です。
-identityServerUrl	必須。Identity Server の URL です。 重要: この URL には、Identity Server のアドレスとサフィックス /identity (小文字) を含める必要があります。例: https://[identity_server]/identity
-orchDetails	このパラメーターは以下の値を含むハッシュ テーブルです。 resourceGroupName - 必須です。Orchestrator の App Service を含む Azure リソース グループの名前。 appServiceName - 必須です。Orchestrator の Azure App Service の名前。 targetSlot - 必須です。Azure によって設定された App Service のターゲット スロット。
-identityServerDetails	このパラメーターは以下の値を含むハッシュ テーブルです。 resourceGroupName - 必須です。Identity Server の App Service を含む Azure リソース グループの名前。 appServiceName - 必須です。Identity Server の Azure App Service の名前。 targetSlot - 必須です。Azure によって設定された App Service のターゲット スロット。
-package	必須です。UiPath.IdentityServer.Web.zip アーカイブのフル パスまたは相対パスを指定します。
-cliPackage	必須です。UiPath.IdentityServer.Migrator.Cli.zip アーカイブのフル パスまたは相対パスを指定します。
-productionSlotName	任意です。Identity Server の App Service のデプロイ スロットが Azure で設定される既定の運用環境 App Service スロットと異なる場合にのみ使用できます。
-stopApplicationBeforePublish	任意です。存在する場合は、アプリケーションをデプロイ前に停止し、デプロイの完了後に起動します。
-unattended	任意です。存在する場合は、ユーザーの確認なしにデプロイが続行されます。
-tmpDirectory	任意です。必要なファイルをダウンロードおよび解凍するディレクトリの指定を有効化します。
-azureUSGovernmentLogin	任意です。このパラメーターは、米国政府機関のデプロイにのみ使用されます。

Publish-IdentityServer.ps1 スクリプトが初期デプロイまたは Identity Server の更新に使用されます。このスクリプトは、Web アプリで既にデータベースの接続文字列 DefaultConnection を設定済みであることを前提としています。

.\Publish-IdentityServer.ps1 `
    -action Deploy `
    -orchestratorUrl "<orchestrator_address>" `
    -identityServerUrl "https://<identity_server_URL>/identity" ` //  must be in lowercase
    -orchDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>";  targetSlot = "Production" } `
    -identityServerDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>"; targetSlot = "Production" } `
    -azureSubscriptionId "<subscription_id>" `
    -azureAccountTenantId "<azure_tenant_id>" `
    -azureAccountApplicationId "<azure_application_id>" `
    -azureAccountPassword "<azure_account_password>" `
    -package "UiPath.IdentityServer.Web.zip" `
    -cliPackage "UiPath.IdentityServer.Migrator.Cli.zip" `
    -stopApplicationBeforePublish `
    -unattended

重要: 上記スクリプトの実行後、初期デプロイを成功させるために以下の追加手順を実行する必要があります。

Identity Server のパブリッシュ後に次の手順を実行します。

1. Azure Portal に移動します。
2. Identity Server の App Service を選択します。
3. [証明書] メニューの [独自の証明書を利用する] に移動します。
4. 有効なパスワードを持つ秘密キー証明書の .pfx ファイルをアップロードします。
   注: この証明書はアクセス トークンと ID トークンに署名するために使用されます。

5. [構成] メニューで、以下のアプリケーションの設定を [アプリケーションの設定] 列に記載されているとおりに追加します。

   アプリケーション設定	値 (Value)	説明
   AppSettings__IdentityServerAddress	https://[identity_server]/identity	Identity Server のパブリック URL。 重要: この URL には Identity Server のアドレスとサフィックス /identity (小文字) を含める必要があります。
   AppSettings__SigningCredentialSettings__StoreLocation__Location	CurrentUser	これは CurrentUser を指し示す必要があります。
   AppSettings__SigningCredentialSettings__StoreLocation__Name	XXXXXXXXXXXXXXXXXXXXXXXXXXXX	以前にアップロードした証明書の拇印です。
   AppSettings__SigningCredentialSettings__StoreLocation__NameType	Thumbprint	前のフィールドの種類として「Thumbprint」を入力します。
   AppSettings__LoadBalancerSettings__UseRedis	true / false	データベースとして Redis を使用して、ロード バランサー経由で接続しているすべてのサーバーとの間でメッセージの配信とキャッシュ処理を行うには、true を入力します。マルチノードの場合、これは必須です。
   AppSettings__LoadBalancerSettings__RedisConnectionString	XXXXXXXXXXXX:XXXX,password=XXXXXX	Redis サーバーを設定するために必要な接続文字列です。サーバーの URL、パスワード、ポートを含みます。また、Orchestrator ノードと Redis サービスの間の SSL 暗号化接続を有効化することもできます。 注: AppSettings__LoadBalancerSettings__UseRedis が true に設定されている場合にのみ使用できます。
   AppSettings__LoadBalancerSettings__SlidingExpirationTimeInSeconds	秒数	キャッシュ内項目のスライド式有効期限です。この有効期限は、Redis キャッシュとメモリ内キャッシュの両方に適用されます。
   AppSettings__UseRedisStoreCache	true / false	OAuth クライアント データの Redis キャッシュを有効化するには、値を true に設定します。これは、対話型サインインを使用して短時間に大量のロボットを接続する際のパフォーマンスの問題を回避するのに役立ちます。このキャッシュは、AppSettings__LoadBalancerSettings で指定されたものと同じ Redis 接続文字列を使用します。 注: 外部アプリケーション機能を使用している場合、これは推奨されません。この設定ではクライアントをキャッシュし、外部アプリケーションへの更新は反映されないためです。
   App__Saml2ValidCertificateOnly	true/false	Azure Web アプリを介した Orchestrator のデプロイの場合は、このパラメーターを false に設定する必要があります。これは、SAML2 の信頼ストアに証明書を追加する必要があっても、Azure Web アプリでその操作が許可されていないためです。値を false に設定すると、証明書のチェックは無視されます。
   WEBSITE_LOAD_CERTIFICATES	XXXXXXXXXXXXXXXXXXXXXXXXXXXX	以前にアップロードした証明書の拇印の値です。
   WEBSITE_LOAD_USER_PROFILE	1	ユーザー プロファイル。

6. 変更を保存します。

詳細については、Microsoft Azure ドキュメントをご覧ください。

秘密キーの証明書を置き換える

秘密キーの証明書を新しい証明書に置き換える場合は、必ず次の手順に従ってください。

1. AppSettings__SigningCredentialSettings__StoreLocation__Name パラメーターと WEBSITE_LOAD_CERTIFICATES パラメーターの値を、新しい証明書の拇印に置き換えます。
2. Identity アプリ サービスを再起動します。
3. Orchestrator アプリ サービスを再起動します。

Identity Server へ移行する

次の表で、MigrateTo-IdentityServer.ps1 で使用できる全パラメーターについて説明します。

パラメーター	説明
-azureDetails	このパラメーターは以下の値を含むハッシュ テーブルです。 azureAccountApplicationId - 必須です。Azure のサービス プリンシパル ID。使用するサービス プリンシパルには、サブスクリプション範囲で App Service に対するコントリビューター ロールが割り当てられている必要があることに注意してください。 azureSubscriptionId - 必須です。Orchestrator をホストする App Service の Azure サブスクリプション ID。 azureAccountTenantId - 必須です。Azure テナント ID。 azureAccountPassword - 必須です。サービス プリンシパル ID の Azure トークン パスワード。
-orchDetails	このパラメーターは以下の値を含むハッシュ テーブルです。 resourceGroupName - 必須です。Orchestrator の App Service を含む Azure リソース グループの名前。 appServiceName - 必須です。Orchestrator の Azure App Service の名前。 targetSlot - 必須です。Azure によって設定された App Service のターゲット スロット。
-identityServerDetails	このパラメーターは以下の値を含むハッシュ テーブルです。 resourceGroupName - 必須です。Identity Server の App Service を含む Azure リソース グループの名前。 appServiceName - 必須です。Identity Server の Azure App Service の名前。 targetSlot - 必須です。Azure によって設定された App Service のターゲット スロット。
-identityServerUrl	必須。Identity Server のパブリック アドレス。 重要: この URL には Identity Server のアドレスとサフィックス /identity (小文字) を含める必要があります。例: https://[identity_server]/identity
-orchestratorUrl	必須。Orchestrator のパブリック アドレス。
-tmpDirectory	任意です。必要なファイルをダウンロードおよび解凍するディレクトリの指定を有効化します。
-hostAdminPassword	-action が Deploy に設定される新規デプロイの場合のみ必須。ホスト管理者のカスタム パスワードを指定します。パスワードは 8 文字以上にする必要があり、1 文字以上の英文字の小文字と 1 文字以上の数字を含める必要があります。
-isHostPassOneTime	任意です。ホスト管理者の初回ログイン時にパスワードを強制的にリセットさせることができます。このパラメーターを省略すると、ホスト管理者のパスワードはワンタイム パスワードにはなりません。
-defaultTenantAdminPassword	-action が Deploy に設定される新規デプロイの場合のみ必須。既定のテナント管理者のカスタム パスワードを指定します。パスワードは 8 文字以上にする必要があり、1 文字以上の英文字の小文字と 1 文字以上の数字を含める必要があります。
-isDefaultTenantPassOneTime	任意です。既定のテナント管理者の初回ログイン時にパスワードを強制的にリセットさせることができます。このパラメーターを省略すると、テナント管理者のパスワードはワンタイム パスワードにはなりません。

MigrateTo-IdentityServer.ps1 スクリプトは、Orchestrator から Identity Server にユーザー データを移行し、その両方の設定を行うために使用します。このスクリプトは Identity Server に対して Orchestrator の ID 権限を設定し、Identity Server 内で Orchestrator のクライアント構成を作成します。

このスクリプトは、Orchestrator と Identity Server が既にパブリッシュ済みであることを前提としています。

.\MigrateTo-IdentityServer.ps1 `
    -cliPackage "UiPath.IdentityServer.Migrator.Cli.zip" `
    -azureDetails @{azureSubscriptionId = "<subscription_id>"; azureAccountTenantId = "<azure_tenant_id>"; azureAccountApplicationId = "<azure_application_id>"; azureAccountPassword = "<azure_account_password>" } `
    -orchDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>";  targetSlot = "Production" } `
    -identityServerDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>"; targetSlot = "Production" } `
    -identityServerUrl "https://<identity_server_URL>/identity" ` // must be in lowercase
    -orchestratorUrl "https://<OrchestratorURL>" `
    -hostAdminPassword "12345qwert" `
    -defaultTenantAdminPassword "12345qwert"