SAML 認証要求用の UiPath 署名証明書を管理する

Automation Suite の Test Cloud (プライベート) で SAML 認証要求用の UiPath 署名証明書を管理します。必要な設定と結果が含まれます。

SAML プロトコルでは、サービス プロバイダー (SP) は認証要求に署名して、その発信元を確認し、送信中に変更されないようにすることができます。SPは、秘密鍵(署名証明書)を使用して要求に署名します。ID プロバイダー (IdP) は、一致する公開キー (署名証明書) を使用して署名を検証します。

既定では、UiPath は自身の証明書を使用して SAML 認証要求に署名します。UiPath はこの証明書を頻繁に変更します。IdP が UiPath の SAML メタデータ URL から更新された証明書を自動的に取得できない場合は、証明書が変更されるたびに IdP に新しい証明書を手動でアップロードする必要があります。この手動プロセスでは、エラーやサービスの中断のリスクが高まります。

この手間を減らすために、UiPath の SAML 証明書 API エンドポイントを使用して独自の署名証明書をアップロードできます。これにより、オートメーションによって署名証明書を管理できるようになります。新しい証明書をアップロードしたら、有効な接続を維持し、組織のセキュリティ ポリシーに準拠するため、IdP の対応する公開キーも更新する必要があります。

顧客証明書をアップロードすると、UiPath は SAML メタデータ ドキュメントの既定の証明書を置き換えます。その後、UiPath はすべての署名アクションに証明書を使用します。証明書をアップロードしたら、IdP 内の一致する公開キーを更新して、組織の IT セキュリティおよびコンプライアンス ポリシーに従います

考慮事項

SAML 連携用に独自の署名証明書をアップロードする前に、以下の点を考慮してください。

• アップロードした自己署名証明書は、有効期限が切れる前に更新する責任はユーザーの責任です。
• UiPath で新しい証明書をアップロードすると、UiPath SAML メタデータ ドキュメント内の既存の証明書と IdP にアップロードされた証明書が上書きされます。

前提条件

SAML 連携用に独自の署名証明書をアップロードする前に、次の要件を満たしていることを確認してください。

• 組織に対して SAML 連携を構成する必要があります。
• 組織の partitionGlobalIdへのアクセス権が必要です。

partitionGlobalId は組織 ID です。

• PEM 形式の秘密キーを含む証明書を生成する必要があります。
• PEM ファイルには、証明書と秘密キーの両方が含まれている必要があります。
• 公開証明書を UiPath 組織にアップロードした後、IdP (例: PingOne) に公開証明書をアップロードする必要があります。
• セカンダリ証明書をアップロードするには、まずプライマリ証明書をアップロードする必要があります。

手順

カスタム署名証明書を生成し、UiPath の Identity Server にアップロードするには、既存の SAML 連携のために次の手順を実行します。

1. 自己署名証明書を生成します。たとえば、次の OpenSSL PowerShell コマンドを使用して、1 年間有効な自己署名証明書を生成します。

   openssl req -x509 -newkey rsa:2048 -nodes -keyout key.pem -out cert.pem -days 365 -subj "/CN=example.com"
   Get-Content key.pem, cert.pem | Set-Content full-cert.pem
   

これらのコマンドは、次のオブジェクトを作成します。

• key.pem – 秘密キー
• cert.pem – 証明書
• full-cert.pm – PEMと秘密鍵および証明書の組み合わせ

2. PUT /https://{yourDomain}/{organizationName}/identity_/SamlCertificate/primary API を使用してプライマリ証明書をアップロードします。
   注:

   証明書は、組織のプライマリ署名証明書になります。

応答の例:

{
  "partitionGlobalId": "GUID",
  "primaryCertificateId": int,
  "primaryCertificateThumbprint": "string",
  "secondaryCertificateId": null,
  "secondaryCertificateThumbprint": null
}

3. (オプション) PUT /https://{yourDomain}/{organizationName}/identity_/SamlCertificate/secondary API を使用してセカンダリ証明書をアップロードする: 証明書のローテーション中の中断を最小限に抑えるために、SAML プロトコルを使用すると、IdP はサービス プロバイダーのメタデータで公開されている証明書に対して署名を検証できます。これにより次のことが可能になります。
   • 新しい署名証明書を作成します。
   • これを検証証明書として IdP にアップロードします。
   • セカンダリ証明書をプライマリ証明書に切り替えます。
   • 古いプライマリ証明書を削除します。

応答の例

{
  "partitionGlobalId": "GUID",
  "primaryCertificateId": int,
  "primaryCertificateThumbprint": "string",
  "secondaryCertificateId": int,
  "secondaryCertificateThumbprint": "string"
}

4. (オプション) POST /https://{yourDomain}/{organizationName}/identity_/SamlCertificate/switch API を使用してセカンダリ証明書をプライマリ証明書に切り替えます。証明書を切り替えると、証明書の置換または更新がシームレスに行えます。

応答の例

{
  "partitionGlobalId": "<Id>",
  "primaryCertificateId": 74268,
  "primaryCertificateThumbprint": "<Id>",
  "secondaryCertificateId": <Id>,
  "secondaryCertificateThumbprint": "<Id>"
}

5. (オプション) GET /https://{yourDomain}/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/certificates API を使用して、組織に対して現在設定されている証明書を確認します。これにより、現在のプライマリおよびセカンダリの証明書の ID と拇印が返されます。この手順は、証明書の設定を確認して、適切な証明書が現在アクティブであることを確認できます。
6. (オプション) DELETE /https://{yourDomain}/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/{certificateId} API を使用して証明書を削除します。古い証明書や未使用の証明書を削除すると、潜在的なセキュリティ リスクが軽減されます。
   注:

   セカンダリ証明書がまだ存在する場合、プライマリ証明書は削除できません。