SAML 認証要求用の UiPath 署名証明書を管理する

SAML プロトコルでは、サービス プロバイダー (SP) は認証要求に署名して、その発信元を確認し、送信中に変更されないようにすることができます。SPは、秘密鍵(署名証明書)を使用して要求に署名します。ID プロバイダー (IdP) は、一致する公開キー (署名証明書) を使用して署名を検証します。

既定では、UiPath は自身の証明書を使用して SAML 認証要求に署名します。UiPath はこの証明書を頻繁に変更します。IdP が UiPath の SAML メタデータ URL から更新された証明書を自動的に取得できない場合は、証明書が変更されるたびに IdP に新しい証明書を手動でアップロードする必要があります。この手動プロセスでは、エラーやサービスの中断のリスクが高まります。

この手間を減らすために、UiPath の SAML 証明書 API エンドポイントを使用して独自の署名証明書をアップロードできます。これにより、オートメーションによって署名証明書を管理できるようになります。新しい証明書をアップロードしたら、有効な接続を維持し、組織のセキュリティ ポリシーに準拠するため、IdP の対応する公開キーも更新する必要があります。

顧客証明書をアップロードすると、UiPath は SAML メタデータ ドキュメントの既定の証明書を置き換えます。その後、UiPath はすべての署名アクションに証明書を使用します。証明書をアップロードしたら、IdP 内の一致する公開キーを更新して、組織の IT セキュリティおよびコンプライアンス ポリシーに従います

考慮事項

SAML 連携用に独自の署名証明書をアップロードする前に、以下の点を考慮してください。

• アップロードした自己署名証明書は、有効期限が切れる前に更新する責任はユーザーの責任です。
• UiPath で新しい証明書をアップロードすると、UiPath SAML メタデータ ドキュメント内の既存の証明書と IdP にアップロードされた証明書が上書きされます。

前提条件

SAML 連携用に独自の署名証明書をアップロードする前に、次の要件を満たしていることを確認してください。

• 組織に対して SAML 連携を構成する必要があります。

• 組織の partitionGlobalIdへのアクセス権が必要です。

  partitionGlobalId は組織 ID です。

• PEM 形式の秘密キーを含む証明書を生成する必要があります。

• PEM ファイルには、証明書と秘密キーの両方が含まれている必要があります。

• 公開証明書を UiPath 組織にアップロードした後、IdP (例: PingOne) に公開証明書をアップロードする必要があります。

• セカンダリ証明書をアップロードするには、まずプライマリ証明書をアップロードする必要があります。

手順

カスタム署名証明書を生成し、UiPath の Identity Server にアップロードするには、既存の SAML 連携のために次の手順を実行します。

1. 自己署名証明書を生成します。たとえば、次の OpenSSL PowerShell コマンドを使用して、1 年間有効な自己署名証明書を生成します。

   openssl req -x509 -newkey rsa:2048 -nodes -keyout key.pem -out cert.pem -days 365 -subj "/CN=example.com"
   Get-Content key.pem, cert.pem | Set-Content full-cert.pem
   

   これらのコマンドは、次のオブジェクトを作成します。

   • key.pem – 秘密キー
   • cert.pem – 証明書
   • full-cert.pm – PEMと秘密鍵および証明書の組み合わせ

2. PUT API を使用して、次のいずれかの URL でプライマリ証明書をアップロードします。

   • https://cloud.uipath.com/{organizationName}/identity_/SamlCertificate/primary
   • https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/primary
   • https://<customURL>.dedicated.uipath.com/{organizationName}/identity_/SamlCertificate/primary
   注:

   証明書は、組織のプライマリ署名証明書になります。

   応答の例:

   {
     "partitionGlobalId": "GUID",
     "primaryCertificateId": int,
     "primaryCertificateThumbprint": "string",
     "secondaryCertificateId": null,
     "secondaryCertificateThumbprint": null
   }
   

3. (オプション) PUT API を使用して、次のいずれかの URL にセカンダリ証明書をアップロードします。

   • https://cloud.uipath.com/{organizationName}/identity_/SamlCertificate/secondary
   • https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/secondary
   • https://<customURL>.dedicated.uipath.com/{organizationName}/identity_/SamlCertificate/secondary

   証明書のローテーション中の中断を最小限に抑えるために、SAML プロトコルを使用すると、IdP はサービスプロバイダーのメタデータで公開されている証明書に対して署名を検証できます。これにより次のことが可能になります。

   • 新しい署名証明書を作成します。
   • これを検証証明書として IdP にアップロードします。
   • セカンダリ証明書をプライマリ証明書に切り替えます。
   • 古いプライマリ証明書を削除します。

   応答の例:

   {
     "partitionGlobalId": "GUID",
     "primaryCertificateId": int,
     "primaryCertificateThumbprint": "string",
     "secondaryCertificateId": int,
     "secondaryCertificateThumbprint": "string"
   }
   

4. (任意) 以下のいずれかの URL で POST API を使用して、セカンダリ証明書をプライマリ証明書に切り替えます。

   • https://cloud.uipath.com/{organizationName}/identity_/SamlCertificate/switch
   • https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/switch
   • https://<customURL>.dedicated.uipath.com/{organizationName}/identity_/SamlCertificate/switch

   証明書を切り替えると、証明書の交換または更新がシームレスに行えます。

   応答の例:

   {
     "partitionGlobalId": "<Id>",
     "primaryCertificateId": 74268,
     "primaryCertificateThumbprint": "<Id>",
     "secondaryCertificateId": <Id>,
     "secondaryCertificateThumbprint": "<Id>"
   }
   

5. (任意) 以下のいずれかの URL で GET API を使用して、組織に対して現在設定されている証明書を検証します。

   • https://cloud.uipath.com/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/certificates
   • https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/certificates
   • https://<customURL>.dedicated.uipath.com/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/certificates

   これにより、現在のプライマリ証明書とセカンダリ証明書の ID と拇印が返されます。この手順により、証明書の設定を検証して、適切な証明書が現在アクティブであることを確認できます。

6. (任意) 以下のいずれかの URL で DELETE API を使用して証明書を削除します。

   • https://cloud.uipath.com/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/{certificateId}
   • https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/{certificateId}
   • https://<customURL>.dedicated.uipath.com/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/{certificateId}

   古い証明書や未使用の証明書を削除すると、潜在的なセキュリティ リスクが軽減されます。

   注:

   セカンダリ証明書がまだ存在する場合、プライマリ証明書は削除できません。