- Visão geral
- Segurança de dados e conformidade
- Organizações
- Tenants
- Licenciamento
- Contas e funções
- Aplicativos Externos
- Geração de logs
- Migrating to Automation Cloud™
ALE com chaves gerenciadas pelo cliente
Essa funcionalidade está disponível em todos os níveis do nosso plano de licenciamento Enterprise, incluindo o nível Standard.
Habilitar a chave tem implicações sérias no que diz respeito ao acesso aos dados. Se surgirem problemas importantes, você corre o risco de perder acesso aos seus dados.
Examine a tabela abaixo para ver alguns cenários problemáticos comuns e suas soluções.
|
Cenário |
Solução |
|---|---|
|
Suas credenciais para acessar o Azure Key Vault (AKV) expiraram ou foram excluídas. |
Se você ainda puder fazer login usando seu e-mail e senha (não SSO)... ... and if you are an organization administrator, you can update your credentials in the Encryption section of the Automation Cloud™ Admin page. ... e se você não for um Organization Administrator, poderá pedir, por meio de um ticket de suporte, para ser promovido a uma função Administrator; então você poderá atualizar suas credenciais na seção Criptografia da página Admin do Automation Cloud. Se você não puder mais fazer login, forneça sua ID da organização por meio de um ticket de suporte, e poderemos convidá-lo e promovê-lo como administrator. Então, você poderá atualizar suas credenciais na seção Criptografia da página Admin do Automation Cloud. Após você recuperar o acesso de login, recomendamos que você crie uma nova chave do AKV e um conjunto de credenciais e, depois, configure a chave gerenciada pelo cliente usando essas novas informações, garantindo, assim, que ninguém mais tenha acesso às suas credenciais. |
|
Sua chave do AKV expirou. |
Sua chave gerenciada pelo cliente ainda funcionará, mas recomendamos que você mude para uma nova chave. |
|
Sua chave do AKV foi excluída. |
Você pode restaurar sua chave do AKV no portal do Azure durante o período de retenção. |
|
Sua chave do AKV foi eliminada, mas ela tinha um backup. |
Você pode restaurar a chave no backup do portal do Azure. Por padrão, a chave restaurada tem a mesma ID da original, que você não deve alterar. |
|
Sua chave do AKV foi eliminada e ela não tinha um backup. |
AVISO:
There is no solution for this scenario. In this situation, your UiPath® customer data is lost. |
Além do TDE padrão no nível de armazenamento, certos serviços da Automation Cloud™ também empregam a Criptografia Implícita no Nível do Aplicativo (ALE). Isso significa que os dados são criptografados na camada do aplicativo antes de serem armazenados, fornecendo uma camada adicional de segurança.
Além disso, alguns serviços/recursos oferecem uma criptografia opcional orientada pelo usuário, conhecida como ALE opcional (Opt in). Isso dá a você a opção de decidir se esses serviços/recursos devem empregar ALE ou não. Para obter a lista de serviços ou recursos e os tipos de criptografia relevantes para eles, consulte a página dados criptografados em nossa documentação.
Para serviços com ALE, implícitos ou com opção de entrada, você tem a capacidade de escolher quem lida com a chave de criptografia. Isso pode ser gerenciado pela UiPath ou por você mesmo. Para ajudar nisso, o Azure Key Vault é compatível com o versionamento secreto, permitindo que você gere um segredo para ser usado na configuração de sua chave no nível de organização.
Após você habilitar a chave gerenciada pelo cliente, dados cujo backup foi feito anteriormente não serão recriptografados, e quaisquer backups existentes serão removidos após expirarem. Apenas novos dados são criptografados usando essa opção.
Na arquitetura de chaves gerenciadas pelo cliente, produtos ou serviços da plataforma do UiPath (como o UiPath Orchestrator ou o UiPath Identity Service) geralmente criptografam dados confidenciais do cliente antes de armazená-los. Quando é necessário o acesso aos dados, o produto ou serviço chama sua infraestrutura de gerenciamento de chaves para obter a chave de descriptografia. Isso proporciona a você controle sobre os dados criptografados no UiPath porque você tem a capacidade de se recusar a retornar a chave.
Esse processo envolve os seguintes componentes:
- O serviço de gerenciamento de chaves (KMS) - essa é a ferramenta interna da UiPath, desenvolvida para fins de criptografia com chaves.
- A chave de criptografia de dados (DEK ou KMS DEK) - usada para criptografar dados em texto simples. Em geral, a DEK é gerada pela KMS ou pelo cofre de chaves internos do UiPath e nunca é armazenado em nenhum outro lugar em texto não criptografado.
- A chave de criptografia de chaves (KEK) - usada para criptografar a DEK. O processo de criptografar uma chave é conhecido como envolvimento da chave. Em geral, a KEK é gerada por você, é armazenada em seu cofre de chaves e constitui a chave real gerenciada pelo cliente, que é controlada por seu serviço de gerenciamento de chaves.
- A chave de criptografia de dados (EDEK) - é a DEK que foi envolvida pela KEK. Em geral, essa chave é armazenada pelo provedor de serviços (como o Orchestrator); consequentemente, sempre que um serviço precisa acessar dados criptografados, o serviço chama o serviço de gerenciamento de chaves do cliente para obter a KEK necessária para descriptografar a EDEK e para produzir a DEK, que é usada, então, para descriptografar os dados.
- A chave interna do UiPath - é usada para criptografar colunas de dados incluindo a CMK e a KMS DEK.
Esse diagrama ilustra como os vários componentes envolvidos na habilitação de chaves gerenciadas pelo cliente funcionam em conjunto:
Habilitar a chave tem implicações sérias no que diz respeito ao acesso aos dados. Se surgirem problemas importantes, você corre o risco de perder acesso aos seus dados.
Para criar as credenciais necessárias e habilitar essa opção:
- Acesse Admin, clique no nome da organização no painel à esquerda e, então, clique em Segurança.A página Configurações de segurança será exibida.
Pode levar 15 minutos para propagar a nova chave gerenciada pelo cliente após sua criação. Isso ocorre devido a nosso cache interno, que impede que a mesma chave seja propagada repetidamente, por motivos de desempenho.
Com o Orchestrator, o ciclo de cache para recuperação de chaves externas é de uma hora de duração; além disso, o ciclo de cache para uso interno é de mais 15 minutos.
Depois de habilitar essa opção, você também poderá editar quaisquer detalhes relacionados à conexão. Para esse fim, clique em Editar conexão sob a opção Chave gerenciada pelo cliente e altere quaisquer informações conforme a necessidade.
É uma boa prática fazer um rodízio rotineiro de suas chaves, de modo a garantir a proteção contínua de seus dados criptografados contra quaisquer possíveis violações.
O autorrodízio pode ser configurado no Azure Key Vault, mas você ainda deve atualizar manualmente as informações das chaves gerenciadas pelo cliente para sua organização do Automation Cloud:
- Crie uma nova chave em seu Azure Key Vault atual ou em um novo cofre.
- Retorne à página Configurações de segurança para sua organização do Automation Cloud.
- Clique em Editar conexão em Chave gerenciada pelo cliente e, em seguida, adicione os detalhes da nova chave que você criou.
A rotação de chaves só funciona se a chave antiga e a nova chave ainda forem válidas.
Auditoria do rodízio de chaves: você pode ver quaisquer alterações nas chaves gerenciadas pelo cliente na página Auditoria no Orchestrator no nível do tenant.
Se seu plano Enterprise expirar, você receberá automaticamente um downgrade para o plano Free. Isso é o que você pode esperar em termos de criptografia de dados:
- A opção Chave gerenciada pelo cliente ainda está habilitada para você, mas ela está acinzentada na interface. Dessa forma, você não pode mais editar seus valores, como alterar os detalhes do cofre de chaves.
- Você pode mudar para a Chave gerenciada pelo UiPath (padrão), mas você não poderá reverter para a Chave gerenciada pelo cliente até seu plano receber um upgrade para Enterprise.
Você deve ter em mente alguns detalhes importantes antes de começar a usar chaves gerenciadas pelo cliente:
-
Após você começar a usar uma nova chave como parte do processo de rodízio de chaves, a antiga não poderá mais ser usada para acessar e criptografar dados. Portanto, é importante manter quaisquer chaves antigas no cofre de chaves, ou seja, para desabilitá-las em vez de excluí-las. Isso é especialmente importante em cenários de recuperação de desastres, onde o UiPath pode ter que reverter para um backup de uma versão mais antiga do banco de dados. Se esse backup usar uma de suas chaves antigas, você poderá fazer o rodízio delas para retomar o acesso aos dados.
Se você optar por remover uma chave, é importante que você use a funcionalidade exclusão reversível.
- Se você perder sua chave, você não poderá mais se conectar ao cofre. Portanto, você deve sempre criar um backup da chave no portal do Azure ou em um cofre de chaves seguro separado do Azure, de acordo com as políticas de segurança de sua organização.
- Se você estiver utilizando o Logon Único para acessar os serviços do UiPath Automation Cloud, você poderá considerar a criação de uma conta local para funcionar como uma conta para "quebrar o vidro". Como as informações do provedor de identidade externo são incluídas nos dados criptografados pela chave gerenciada pelo cliente, contas SSO estarão inacessíveis caso seu cofre de chaves se torne inacessível.
- Para fins de segurança, usuários que não possuem privilégios de administrator de nível superior não devem ter direitos de eliminação sobre a chave gerenciada pelo cliente.
-
Se você não quiser mais que o UiPath tenha acesso a seus dados, você poderá desabilitar a chave no Azure Key Vault, conforme mostrado na imagem abaixo:
Descubra mais sobre as ações de recuperação do Azure Key Vault.
