Gerenciamento do certificado de assinatura UiPath para solicitações de autenticação SAML

No protocolo SAML, o provedor de serviço (SP) pode assinar solicitações de autenticação para confirmar sua origem e garantir que não sejam alteradas durante a transmissão. O SP usa uma chave privada (certificado de assinatura) para assinar a solicitação. O provedor de identidade (IdP) usa a chave pública correspondente (certificado de assinatura) para validar a assinatura.

Por padrão, a UiPath assina solicitações de autenticação SAML usando seu próprio certificado. A UiPath altera esse certificado com frequência. Se seu IdP não puder recuperar automaticamente o certificado atualizado do URL de metadados SAML da UiPath, você deve carregar manualmente o novo certificado em seu IdP cada vez que ele for alterado. Esse processo manual aumenta o risco de erros e interrupção do serviço.

Para reduzir esse esforço, você pode usar os pontos de extremidade da API de certificado SAML da UiPath para carregar seu próprio certificado de assinatura. Isso permite que você gerencie o certificado de assinatura por meio da automação. Depois de carregar um novo certificado, você também deve atualizar a chave pública correspondente em seu IdP para manter uma conexão válida e seguir as políticas de segurança de sua organização.

Quando você carrega um certificado de cliente, a UiPath substitui o certificado padrão no documento de metadados SAML. Então, a UiPath usa seu certificado para todas as ações de assinatura. Depois de carregar o certificado, atualize a chave pública correspondente em seu IdP para seguir as políticas de segurança de TI e conformidade da sua organização

Considerações

Antes de carregar seu próprio certificado de assinatura para a integração do SAML, certifique-se de levar em consideração os seguintes aspectos:

• Você é responsável por garantir que renove seus certificados autoassinados carregados antes que expirem.
• O upload de um novo certificado na UiPath substituirá o certificado existente no documento de metadados SAML da UiPath e também aquele carregado em seu IdP.

Pré-requisitos

Antes de carregar seu próprio certificado de assinatura para a integração do SAML, certifique-se de atender aos seguintes requisitos:

• É necessário configurar uma integração SAML para sua organização.
• Você precisa acessar o partitionGlobalId da sua organização.
  partitionGlobalId é a ID da organização.
• Você deve gerar um certificado que inclua uma chave privada no formato PEM.
• O arquivo PEM deve incluir o certificado e a chave privada.
• Você deve carregar o certificado público para seu IdP (por exemplo, PingOne) após você carregá-lo para sua organização da UiPath.
• Para carregar um certificado secundário, você deve primeiro carregar um certificado primário.

Etapas

Para gerar um certificado de assinatura personalizado e carregá-lo no Identity Server do UiPath, para suas integrações SAML existentes, siga estas etapas:

1. Gere um certificado autoassinado.

   Por exemplo, use os seguintes comandos do PowerShell OpenSSL para gerar um certificado autoassinado válido por um ano:

   openssl req -x509 -newkey rsa:2048 -nodes -keyout key.pem -out cert.pem -days 365 -subj "/CN=example.com"
   Get-Content key.pem, cert.pem | Set-Content full-cert.pem

   Esses comandos criam os seguintes objetos:

   • key.pem – chave privada
   • cert.pem – certificado
   • full-cert.pm – PEM combinado com chave privada e certificado
2. Carregue seu certificado primário usando a API PUT /https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/primary .
   Observação: o certificado se torna o certificado de assinatura principal para sua organização.
   Exemplo de resposta:

   {
     "partitionGlobalId": "GUID",
     "primaryCertificateId": int,
     "primaryCertificateThumbprint": "string",
     "secondaryCertificateId": null,
     "secondaryCertificateThumbprint": null
   }

3. (Opcional) Carregue um certificado secundário usando a API PUT /https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/secondary :
   Para minimizar a interrupção durante a rotação de certificados, o protocolo SAML permite que o IdP valide a assinatura em relação a qualquer certificado publicado nos metadados do provedor de serviço. Isso habilita você a:

   • Crie um novo certificado de assinatura.
   • Carregue-o para seu IdP como um certificado de verificação.
   • Alterne o certificado secundário para primário.
   • Exclua o certificado primário antigo.
   Exemplo de resposta

   {
     "partitionGlobalId": "GUID",
     "primaryCertificateId": int,
     "primaryCertificateThumbprint": "string",
     "secondaryCertificateId": int,
     "secondaryCertificateThumbprint": "string"
   }

4. (Opcional) Alterne o certificado secundário para primário, usando a API POST /https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/switch :

   A troca de certificados garante uma substituição ou renovação perfeita de certificados.

   Exemplo de resposta

   {
     "partitionGlobalId": "<Id>",
     "primaryCertificateId": 74268,
     "primaryCertificateThumbprint": "<Id>",
     "secondaryCertificateId": <Id>,
     "secondaryCertificateThumbprint": "<Id>"
   }

5. (Opcional) Verifique quais certificados estão configurados atualmente para sua organização usando a API GET /https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/certificates .

   Isso retorna as IDs e impressão digital dos certificados primários e secundários atuais.

   Essa etapa ajuda você a verificar sua configuração de certificados para garantir que o certificado correto esteja ativo no momento.

6. (Opcional) Exclua um certificado usando a API DELETE /https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/{certificateId} .

   A exclusão de certificados antigos ou não utilizados reduz os possíveis riscos de segurança.

   Observação: você não pode excluir o certificado primário se um certificado secundário ainda estiver presente.