ALE com chaves gerenciadas pelo cliente

Essa funcionalidade está disponível em todos os níveis do nosso plano de licenciamento Enterprise, incluindo o nível Standard.

AVISO:

Habilitar a chave tem implicações sérias no que diz respeito ao acesso aos dados. Se surgirem problemas importantes, você corre o risco de perder acesso aos seus dados.

A tabela a seguir descreve cenários problemáticos comuns e suas soluções.

Cenário	Solução
Suas credenciais para acessar o Azure Key Vault (AKV) expiraram ou foram excluídas.	Se você ainda puder fazer login usando seu e-mail e senha (não SSO)... ... e se você for um Organization Administrator, poderá atualizar suas credenciais na seção Criptografia da página Admin da organização. ... e se você não for um Organization Administrator, poderá pedir, por meio de um ticket de suporte, para ser promovido a uma função Administrator; então, você poderá atualizar suas credenciais na seção Criptografia da página Admin da organização. Se você não puder mais fazer login, forneça sua ID da organização por meio de um ticket de suporte, e poderemos convidá-lo e promovê-lo como administrator. Então, você poderá atualizar suas credenciais na seção Criptografia da página Admin da organização. Após você recuperar o acesso de login, recomendamos que você crie uma nova chave do AKV e um conjunto de credenciais e, depois, configure a chave gerenciada pelo cliente usando essas novas informações, garantindo, assim, que ninguém mais tenha acesso às suas credenciais.
Sua chave do AKV expirou.	Sua chave gerenciada pelo cliente ainda funcionará, mas recomendamos que você mude para uma nova chave.
Sua chave do AKV foi excluída.	Você pode restaurar sua chave do AKV no portal do Azure durante o período de retenção.
Sua chave do AKV foi eliminada, mas ela tinha um backup.	Você pode restaurar a chave no backup do portal do Azure. Por padrão, a chave restaurada tem a mesma ID da original, que você não deve alterar.
Sua chave do AKV foi eliminada e ela não tinha um backup.	AVISO: Não há solução para esse cenário. Nessa situação, os dados de seus clientes UiPath® foram perdidos.

Visão geral

Além do TDE padrão no nível de armazenamento, certos serviços também empregam a Criptografia Implícita no Nível do Aplicativo (ALE). Isso significa que os dados são criptografados na camada do aplicativo antes de serem armazenados, fornecendo uma camada adicional de segurança.

Além disso, alguns serviços/recursos oferecem uma criptografia opcional orientada pelo usuário, conhecida como ALE opcional (Opt in). Isso dá a você a opção de decidir se esses serviços/recursos devem empregar ALE ou não. Para obter a lista de serviços ou recursos e os tipos de criptografia relevantes para eles, consulte a página dados criptografados em nossa documentação.

Para serviços com ALE, implícitos ou com opção de entrada, você tem a possibilidade de escolher quem gerencia a chave de criptografia. Isso pode ser gerenciado pela UiPath ou por você mesmo. Para ajudar nisso, o Azure Key Vault é compatível com o versionamento secreto, permitindo que você gere um segredo para ser usado na configuração de sua chave no nível de organização.

Após você habilitar a chave gerenciada pelo cliente, dados cujo backup foi feito anteriormente não serão recriptografados, e quaisquer backups existentes serão removidos após expirarem. Apenas novos dados são criptografados usando essa opção.

Chaves gerenciadas pelo cliente explicadas

Na arquitetura de chaves gerenciadas pelo cliente, produtos ou serviços da plataforma do UiPath (como o UiPath Orchestrator ou o UiPath Identity Service) geralmente criptografam dados confidenciais do cliente antes de armazená-los. Quando é necessário o acesso aos dados, o produto ou serviço chama sua infraestrutura de gerenciamento de chaves para obter a chave de descriptografia. Isso proporciona a você controle sobre os dados criptografados no UiPath porque você tem a capacidade de se recusar a retornar a chave.

Esse processo envolve os seguintes componentes:

• O serviço de gerenciamento de chaves (KMS) - essa é a ferramenta interna da UiPath, desenvolvida para fins de criptografia com chaves.
• A chave de criptografia de dados (DEK ou KMS DEK) - usada para criptografar dados em texto simples. Em geral, a DEK é gerada pela KMS ou pelo cofre de chaves internos do UiPath e nunca é armazenado em nenhum outro lugar em texto não criptografado.
• A chave de criptografia de chaves (KEK) - usada para criptografar a DEK. O processo de criptografar uma chave é conhecido como envolvimento da chave. Em geral, a KEK é gerada por você, é armazenada em seu cofre de chaves e constitui a chave real gerenciada pelo cliente, que é controlada por seu serviço de gerenciamento de chaves.
• A chave de criptografia de dados (EDEK) - é a DEK que foi envolvida pela KEK. Em geral, essa chave é armazenada pelo provedor de serviços (como o Orchestrator); consequentemente, sempre que um serviço precisa acessar dados criptografados, o serviço chama o serviço de gerenciamento de chaves do cliente para obter a KEK necessária para descriptografar a EDEK e para produzir a DEK, que é usada, então, para descriptografar os dados.
• A chave interna do UiPath - é usada para criptografar colunas de dados incluindo a CMK e a KMS DEK.

Esse diagrama ilustra como os vários componentes envolvidos na habilitação de chaves gerenciadas pelo cliente funcionam em conjunto:

Habilitação da chave gerenciada pelo cliente

AVISO:

Habilitar a chave tem implicações sérias no que diz respeito ao acesso aos dados. Se surgirem problemas importantes, você corre o risco de perder acesso aos seus dados.

Para criar as credenciais necessárias e habilitar chaves gerenciadas pelo cliente, siga as seguintes etapas:

1. Crie as credenciais necessárias no Azure Key Vault.
   Observação:

   • O cofre de chaves pode ser criado em qualquer região, mas recomendamos que ele pertença à mesma região de sua organização.
   • O UiPath recebe acesso ao cofre de chaves usado para a chave gerenciada pelo cliente; portanto, recomendamos a criação de um cofre dedicado exclusivamente a essa finalidade.
   • Essa funcionalidade é compatível com qualquer tamanho de chave que possa ser configurado em um cofre de chaves.
   • Para executar Operações Criptográficas, você deve configurar as permissões Wrap Key e Unwrap Key . Essas permissões são obrigatórias, independentemente de você usar o Azure RBAC (Controle de Acesso Baseado em Funções) ou políticas de acesso a cofres de chaves para controlar o acesso aos recursos do Azure.
2. Faça login no Automation Cloud^TM como administrador da organização.
3. Acesse Admin, selecione o nome da organização no painel à esquerda e, então, selecione Segurança.
   A página Configurações de segurança será exibida.

   
   

   

   
   
4. Na seção Criptografia, em Tipo de criptografia, selecione Chave gerenciada pelo cliente.
   A janela Configuração da chave gerenciada pelo cliente será exibida.

   
5. Preencha os seguintes detalhes necessários, conforme definido no portal do Azure:

   • ID do diretório do Azure (tenant)

   • ID do aplicativo (cliente) do Azure, que é criado como parte do registro do aplicativo no Azure)

   • Segredo do cliente, que é criado como parte do registro do aplicativo no Azure, ou Certificado, que é criado no Azure Key Vault e carregado durante o registro do aplicativo no Azure

     Se você optar pelo Certificado, certifique-se de que ele esteja configurado corretamente conforme descrito em Configuração de um certificado do Azure Key Vault.

   • Identificador de chave da chave a ser usada como a chave gerenciada pelo cliente

     Importante: certifique-se de selecionar as opções de Envolver chave e Remover envolvimento da chave para permitir o uso desse item como uma chave gerenciada pelo cliente.
6. Selecione Testar e salvar.
   Uma mensagem de confirmação é exibida, informando que você configurou sua própria chave de criptografia.

   
   

   

   
   
   Se, em vez disso, você receber uma mensagem de erro, verifique suas credenciais e, em seguida, tente novamente.

Observação:

Pode levar 15 minutos para propagar a nova chave gerenciada pelo cliente após sua criação. Isso ocorre devido a nosso cache interno, que impede que a mesma chave seja propagada repetidamente, por motivos de desempenho.

Com o Orchestrator, o ciclo de cache para recuperação de chaves externas é de uma hora de duração; além disso, o ciclo de cache para uso interno é de mais 15 minutos.

Configuração de um certificado do Azure Key Vault para a UiPath

Esta seção descreve as etapas de alto nível para configuração com um certificado. Você também pode usar um segredo do cliente. Para obter mais detalhes sobre como configurar certificados, consulte Configurando e recuperando um certificado do Azure Key Vault na documentação da Microsoft. Siga estas etapas de alto nível para configurar um certificado:

1. Faça logon no Azure Key Vault e navegue até a seção Certificados .

2. Crie um certificado com o Assunto como CN=uipath.com e o Tipo de conteúdo como PEM .

   

3. Após a criação, baixe o certificado no formato PFX/PEM.

4. Abra o arquivo .pem com um editor de texto. Deve consistir em duas seções: BEGIN PRIVATE KEY/END PRIVATE KEY e BEGIN CERTIFICATE/END CERTIFICATE.
5. Crie um novo arquivo .pem contendo apenas as linhas entre BEGIN CERTIFICATE e END CERTIFICATE.
6. No portal do Azure, localize a guia Certificados e segredos em seu Registro de aplicativos e carregue o novo arquivo .pem .
7. Como parte da configuração do Automation Cloud^TM , você precisa adicionar todo o conteúdo do certificado .pem baixado do Azure Key Vault no campo Segredo do cliente ou certificado .
   Observação:

   O tamanho máximo permitido para certificados é 10 KB.

Editando a Chave gerenciada pelo Cliente

Depois de habilitar essa opção, você também poderá editar quaisquer detalhes relacionados à conexão. Para esse fim, selecione Editar conexão na opção Chave gerenciada pelo cliente e altere quaisquer informações conforme a necessidade.

Rodízio de chaves

É uma boa prática fazer um rodízio rotineiro de suas chaves, de modo a garantir a proteção contínua de seus dados criptografados contra quaisquer possíveis violações.

O autorrodízio pode ser configurado no Azure Key Vault, mas você ainda deve atualizar manualmente as informações das chaves gerenciadas pelo cliente para sua organização do Automation Cloud^TM :

1. Crie uma nova chave em seu Azure Key Vault atual ou em um novo cofre.
2. Retorne à página Configurações de segurança para sua organização do Automation Cloud^TM .
3. Selecione Editar conexão em Chave gerenciada pelo cliente e, em seguida, adicione os detalhes da nova chave que você criou.

A rotação de chaves só funciona se a chave antiga e a nova chave ainda forem válidas.

Auditoria do rodízio de chaves: você pode notar quaisquer alterações nas chaves gerenciadas pelo cliente na página Auditoria no Orchestrator no nível de tenant.

Downgrade do licenciamento

Se seu plano Enterprise expirar, você receberá automaticamente um downgrade para o plano Free. Isso é o que você pode esperar em termos de criptografia de dados:

• A opção Chave gerenciada pelo cliente ainda está habilitada para você, mas ela está acinzentada na interface. Dessa forma, você não pode mais editar seus valores, como alterar os detalhes do cofre de chaves.
• Você pode mudar para a Chave gerenciada pelo UiPath (padrão), mas você não poderá reverter para a Chave gerenciada pelo cliente até seu plano receber um upgrade para Enterprise.

Melhores práticas para usar chaves gerenciadas pelo cliente

Você deve ter em mente alguns detalhes importantes antes de começar a usar chaves gerenciadas pelo cliente:

• Após você começar a usar uma nova chave como parte do processo de rodízio de chaves, a antiga não poderá mais ser usada para acessar e criptografar dados. Portanto, é importante manter quaisquer chaves antigas no cofre de chaves, ou seja, para desabilitá-las em vez de excluí-las. Isso é especialmente importante em cenários de recuperação de desastres, onde o UiPath pode ter que reverter para um backup de uma versão mais antiga do banco de dados. Se esse backup usar uma de suas chaves antigas, você poderá fazer o rodízio delas para retomar o acesso aos dados.

  Se você optar por remover uma chave, é importante que você use a funcionalidade exclusão reversível.

• Se você perder sua chave, você não poderá mais se conectar ao cofre. Portanto, você deve sempre criar um backup da chave no portal do Azure ou em um cofre de chaves seguro separado do Azure, de acordo com as políticas de segurança de sua organização.
• Se você estiver utilizando o Logon Único para acessar os serviços do UiPath, você poderá considerar a criação de uma conta local para funcionar como uma conta para "quebrar o vidro". Como as informações do provedor de identidade externo são incluídas nos dados criptografados pela chave gerenciada pelo cliente, contas SSO estarão inacessíveis caso seu cofre de chaves se torne inacessível.
• Para fins de segurança, usuários que não possuem privilégios de administrator de nível superior não devem ter direitos de eliminação sobre a chave gerenciada pelo cliente.

• Se você não quiser mais que o UiPath tenha acesso a seus dados, você poderá desabilitar a chave no Azure Key Vault, conforme mostrado na imagem a seguir:

  
  

  

  
  

  Descubra mais sobre as ações de recuperação do Azure Key Vault.