CyberArk® との連携

Orchestrator で CyberArk® 資格情報ストアの使用を開始する前に、まずCyberArk®PVWA (パスワード Vault Web アクセス) インターフェイスで対応するアプリケーションと安全な設定をセットアップする必要があります。

前提条件

• CyberArk® プラグインはここで説明しているように、Orchestrator UiPath.Orchestrator.dll.config ファイルで設定されています。
• CyberArk® Enterprise Password Vault® は、Orchestrator がインストールされたマシンと直接通信できるマシンにインストールする必要があります。

• CyberArk®AAM (Application Access Manager) は、Orchestrator と同じマシンにインストールする必要があります。マルチノード Orchestrator 構成の場合、AAM インスタンスを各 Orchestrator ノードにインストールする必要があります。

  注: UiPath.Orchestrator.dll.config ファイル内の既存の CyberArk® 構成で Orchestrator インスタンスをアップグレードする場合、これらの設定を持つ資格情報ストア CyberArk Robot Credentials がすべてのテナントに自動的に作成され、ロボットの既定のストアとして設定されます。既存のロボットは、この新しい資格情報ストアに移行されます。

CyberArk® アプリケーションのインストールと構成の詳細については、公式ページをご覧ください。

連携を構成する

CyberArk®PVWA から、次の手順を実行する必要があります。

1. Orchestrator インスタンス用のアプリケーションを作成して許可されたマシンを追加する。
2. セーフを作成しメンバーを追加することで、適切な権限を保証する。

Orchestrator アプリケーションを作成する

1. CyberArk® の PVWA で、アプリケーションを管理する権限を持つユーザーとしてログインします ([ユーザー管理] の認可が必要です)。
2. [Applications] タブで、[Add Application] をクリックします。[Add Application] ページが表示されます。
   
   

   

   
   
3. 次の情報を指定します。
   • [Name] フィールド - ユーザーが設定する、アプリケーション (Orchestrator など) の名前です。
   • [Description] - 新しいアプリケーションの目的を記載するための短い説明。
   • [Business owner] セクション - 任意です。アプリケーションのビジネス所有者に関する情報を追加します。
   • [Location] - Vault 階層内でのアプリケーションのパス。Location が指定されていない場合、アプリケーションはこのアプリケーションを作成しているユーザーと同じ場所に追加されます。
4. [追加] をクリックします。アプリケーションが追加され、その詳細が [Application Details] ページに表示されます。
5. [認証] タブで、[認証制限の拡張を許可する] チェック ボックスを選択します。

   サポートされている認証方法:

   • 許可されるマシン
   • OS ユーザー

   • パス

     パスによる認証を使用する際に CyberArk Vault から資格情報を取得するには、Plugins.SecureStores.CyberArk.UsePowerShellCLI のアプリ設定を有効化します。

6. 認証方法を設定します。たとえば、[Allowed Machines] タブで、[追加] をクリックします。[Add allowed machine] ウィンドウが表示されます。ここで、Orchestrator がインストールされているマシンの情報を追加してください。
7. [Address] フィールドに、マシンのアドレスを IP/hostname/DNS フォーマットを使って指定します。
8. [追加] をクリックします。IP アドレスが [許可されるマシン] タブに表示されます。この情報によって、資格情報プロバイダーは指定されたマシン上で動作するアプリケーションのみがそのパスワードにアクセスできることを確認できます。
9. 手順 6 ～ 8 を必要な回数実行し、AAM 資格情報プロバイダーがインストールされたすべてのミッドティアサーバーまたはすべてのエンドポイントが、許可されたサーバーに確実に含まれるようにします。これは、Orchestrator を複数のノードにインストールした場合などが該当します。

Orchestrator セーフを作成する

アカウントを管理しやすくするためにセーフが必要です。さらに、適切な認可を保証するためにセーフ メンバーを追加できます。CyberArk® では、資格情報プロバイダー (資格情報に対する権限をすべて所有していて、それらを追加したり管理したりできるユーザー) と以前に作成されたアプリケーションをセーフ メンバーとして追加することを推奨しています。後者により、セーフに保存されたパスワードを Orchestrator で検索して取得できるようになります。

1. [Policies] タブの [Access Control (Safe)] セクションで、[Add Safe] をクリックします。[Add Safe] ページが表示されます。
   
   

   

   
   
2. [Safe Name] フィールドと [Description] フィールドに入力します。
3. [Save] ボタンをクリックします。[Safe Details] ウィンドウが表示されます。
   
   

   

   
   
4. [Members] セクションで、[Add Member] をクリックします。[Add Safe Member] ウィンドウが表示されます。
5. 以前に作成されたアプリケーション (手順 2 - 5) を追加できるように検索します。
6. 資格情報プロバイダーを追加して、以下の権限を選択します。
   • View Safe Members
   • Retrieve accounts
   • List accounts

   • Access Safe without Confirmation - デュアル制御環境および v7.2 以前の PIM-PSM を使用している場合のみ。

     この連携に対して複数の資格情報プロバイダーをインストールしている場合は、それらのグループを作成して、そのグループを上記の認可手順により 1 回でセーフに追加することをお勧めします。

7. [Add] をクリックします。確認メッセージが [Add Safe Member] ウィンドウに表示されます。
8. 以前に作成されたアプリケーションを安全なメンバーとして、Retrieve accounts 権限で追加します。
9. [Add] をクリックします。確認メッセージが [Add Safe Member] ウィンドウに表示されます。

連携が完了し、Orchestrator で CyberArk® 資格情報ストアのプロビジョニングを開始できるようになりました。ロボットの資格情報を保存する方法の詳細については、こちらをご覧ください。