Como configurar a autenticação do Kerberos

Referência para pré-requisitos de configuração de autenticação Kerberos e etapas de configuração para Automation Suite.

Pré-requisitos

Para configurar com êxito a autenticação Kerberos, você deve atender aos seguintes pré-requisitos:

• Garantindo que o cluster do Automation Suite possa acessar seu AD
• Configurando a conta de serviço do AD para autenticação Kerberos
• Opcional: pré-requisitos de autenticação SQL

Garantindo que o cluster do Automation Suite possa acessar seu AD

Antes de configurar a autenticação Kerberos, trabalhe com seus administradores de TI para garantir que o cluster do Automation Suite possa acessar seu AD.

Os seguintes requisitos devem ser atendidos:

• O cluster do Automation Suite deve estar na mesma rede que o domínio do AD;

• O DNS deve ser configurado corretamente na rede para que o cluster do Automation Suite possa resolver os nomes de domínio do AD.

  Observação:

  É fundamental que o cluster do Automation Suite possa resolver o AD domain names. Você pode verificar se isso ocorre executando nslookup <AD domain name> na máquina do host.

Configurando a conta de serviço do AD para autenticação Kerberos

Gerando keytab padrão Kerberos e parâmetros de nome de usuário

Opção 1: por execução do script (recomendado)

1. Faça login com sua conta de administrador do AD em uma máquina ingressada no domínio do Windows.

2. Execute o script keytab-creator.ps1 como administrador.

3. Insira os seguintes valores no script:

   1. Service Fabric FQDN. Por exemplo, uipath-34i5ui35f.westeurope.cloudapp.azure.com.
   2. AD domain FQDN. Por exemplo, TESTDOMAIN.LOCAL.
   3. Uma conta de usuário do AD. Você pode usar uma conta existente, como sAMAccountName, ou pode permitir que o script crie uma nova.

O arquivo de saída contém os parâmetros <KERB_DEFAULT_USERNAME> e <KERB_DEFAULT_KEYTAB> exigidos pela configuração do Kerberos.

Opção 2: manualmente

Entre em contato com o administrador do AD para obter uma conta de usuário do AD e recupere <KERB_DEFAULT_USERNAME>e <KERB_DEFAULT_KEYTAB>para essa conta da seguinte forma:

1. Em seu AD Server, crie uma nova conta de usuário.Se você já tiver um, pule para a etapa 2.

   1. No console Usuários e computadores do Active Directory, abra o menu de contexto para a pasta Usuários , selecione Novo e, então, selecione Usuário.
   2. Termine de criar a conta de usuário.

2. Abra o menu de contexto para a conta de usuário e selecione Propriedades.

3. Vá para a guia Conta e, em seguida, em Opções de conta , selecione Esta conta suporta criptografia Kerberos AES de 256 bits .

4. Importante: O keytab gerado nas próximas etapas se tornará inválido se a senha do usuário do AD expirar ou for atualizada. Considere selecionar A senha nunca expira em Opções de conta para esta conta de usuário do AD.Como alternativa, você pode atualizar a senha quando estiver prestes a expirar e gerar um novo keytab.

5. Para gerar um arquivo keytab para o SPN, abra o PowerShell com acesso de administrador e execute o seguinte comando:

   ktpass -princ HTTP/<Service Fabric FQDN>@<AD FQDN in cap> -pass <AD user's password> -mapuser <AD NetBIOS name in cap>\<AD user name> -pType KRB5_NT_PRINCIPAL -out <output file path> -crypto AES256-SHA1
   

   Alguns campos devem ser especificados em maiúsculas. Por exemplo:

   ktpass -princ HTTP/[e-mail] -pass pwd123 -mapuser TESTDOMAIN\aduser -pType KRB5_NT_PRINCIPAL -out c:\krb5.keytab -crypto AES256-SHA1 -setpass
   

   Observação:

   Para atualizar o keytab para o Automation Suite, execute o comando com a opção -setpass . Na primeira vez que você gerar o keytab, você deve executar o comando como um administrador de domínio. Isso é necessário porque o comando atualiza o SPN da conta de serviço. Para atualizações posteriores, você pode executar o comando como o usuário de domínio se o mapeamento do SPN não tiver sido alterado.

   Após a geração do keytab, o nome de login do usuário muda para HTTP/<Service Fabric FQDN>. Use esse valor para o campo <KERB_DEFAULT_USERNAME> no default_ad_username em cluster_config.json da seguinte forma:

   "kerberos_auth_config": {
         "enabled": true,
         "ticket_lifetime_in_hour": 8,
         "ad_domain": "AUTOSUITEAD.LOCAL",
         "default_ad_username": "HTTP/sfqakxxxx-ea.infra.uipath-dev.com",
         "default_user_keytab": "BQIAAAB9AAIxxxxxxxxxxxxxxxxxxGRCqh+yQ="
         "enable_integrated_sql_auth": true
   },
   

   Observação:

   O parâmetro enable_integrated_sql_auth é definido como true por padrão. Se você quiser desabilitar a autenticação Kerberos para SQL para todos os produtos, você deve definir o parâmetro como false.

6. Codifique o arquivo keytab gerado em Base64, abra o PowerShell e execute o seguinte comando:

   [Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<path to the generated keytab file>"))
   

7. Salve o arquivo keytab codificado. Você o usará ao configurar o cluster UiPath® para Kerberos. Vamos chamar o valor a partir da etapa 6 <KERB_DEFAULT_KEYTAB>.

Opcional: pré-requisitos de autenticação SQL

Para configurar o cluster UiPath® para conectar-se ao SQL usando a autenticação integrada do Windows/Kerberos, você precisa realizar algumas etapas adicionais:

• o servidor SQL deve ingressar no domínio AD;
• o cluster do Automation Suite deve estar na mesma rede que o SQL Server;
• o cluster do Automation Suite pode resolver os nomes de domínio dos servidores AD e SQL;
• o usuário do AD deve ter acesso ao servidor SQL e permissões de banco de dados.

Para criar um novo login no SQL Server Management Studio, execute as seguintes etapas:

a. No painel Explorador de Objetos, navegue até Segurança > Login.

b. Abra o menu de contexto para a pasta Logins e selecione Novo Login. A janela Login - Novo será exibida.

c. Selecione a opção Autenticação do Windows. A janela é atualizada de acordo.

d. No campo Nome de login , insira o domínio de usuário que você deseja usar como uma conta de serviço.

e. Na lista Idioma padrão, selecione inglês.

Importante:

Certifique-se de que o Idioma Padrão esteja definido como inglês. Se não estiver, o site não poderá ser iniciado e o Visualizador de Eventos no computador em que o Orchestrator está instalado exibirá a seguinte mensagem de erro: The conversion of a varchar data type to a datetime data type resulted in an out of range value.

f. Selecione OK. Suas configurações são salvas.

Se a conta de serviço já tiver sido criada e adicionada à seção Segurança > Logins do SQL Server, verifique se o Idioma Padrão dessa conta SQL está definido como inglês. Se não estiver, faça os ajustes necessários.

Você precisa fornecer ao usuário que se conecta ao banco de dados SQL a db_ownerfunção de mapeamento de usuário, como na captura de tela a seguir.

Se as restrições de segurança não permitirem que você use a função db_owner de mapeamento de usuários com o login da UiPath®, conceda as seguintes permissões:

• db_datareader
• db_datawriter
• db_ddladmin
• EXECUTEpermissão em dboesquema

A imagem a seguir mostra as permissões de banco de dados a conceder quando db_owner não pode ser usado.

A permissão EXECUTE deve ser concedida usando o comando SQL GRANT EXECUTE, da seguinte maneira:

USE UiPath
GO
GRANT EXECUTE ON SCHEMA::dbo TO [domain\)\)user]
GO

Se quiser que os aplicativos da UiPath® usem as contas de usuário exclusivas do AD para conectar-se ao SQL usando Integrated Security=True, você precisa criar um keytab exclusivo para cada aplicativo da UiPath®, da seguinte forma. Isso será mencionado como <KERB_APP_KEYTAB> para essa aplicação.

Geração do keytab e parâmetros de nomes de usuários do aplicativo Kerberos

Opção 1: por execução do script (recomendado)

1. Execute o script service-keytab-creator.ps1.

2. Insira os seguintes valores no script:

   1. AD domain FQDN. Por exemplo, TESTDOMAIN.LOCAL.
   2. O nome de usuário e a senha de uma conta de usuário do AD. Por exemplo, a conta de usuário AD sAMAccountName e sua senha.

O arquivo de saída contém os parâmetros <KERB_APP_USERNAME> e <KERB_APP_KEYTAB> exigidos pelo Kerberos.

Opção 2: manualmente

Execute o seguinte script manualmente:

# Generate keytab file and output it in the desired path 
ktpass /princ <AD username>@<AD domain in cap> /pass <AD user password> /ptype KRB5_NT_PRINCIPAL /crypto AES256-SHA1 /out <path to keytab file> -setpass 

# Converts AD user's keytab file to base 64 
[Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<path to the generated keytab file>"))

O valor <AD username>será o <KERB_APP_USERNAME>correspondente a <KERB_APP_KEYTAB>.

Configurando o Automation Suite como um cliente Kerberos

Esta seção explica como você pode configurar o Automation Suite como um cliente Kerberos para acesso LDAP ou SQL.

Com <KERB_DEFAULT_KEYTAB>, configure o Automation Suite como um cliente Kerberos de uma das seguintes maneiras:

• Configurando a autenticação Kerberos por meio do instalador interativo
• Configurando a autenticação Kerberos por meio de cluster_config.json
  Observação:

  No momento, permitimos configuração independente apenas da autenticação de usuários, definindo kerberos_auth_config.enabled como true e kerberos_auth_config.enable_integrated_sql_auth como false. A autenticação SQL independente ainda não é suportada.

Configurando a autenticação Kerberos por meio de cluster_config.json

1. No arquivo cluster_config.json, defina o parâmetro kerberos_auth_config.enabled como true.

2. Se você quiser usar o Kerberos para acesso SQL, configure sql_connection_string_template, sql_connection_string_template_jdbc e sql_connection_string_template_odbc com a flag de segurança integrada.

   Observação:

   A autenticação do Kerberos não é compatível exclusivamente com SQL. Para ativar o Kerberos com autenticação SQL, você deve habilitar kerberos_auth_config. Isso também adiciona a autenticação do usuário.

3. Se você deseja configurar um usuário AD diferente por serviço, execute as seguintes etapas:

   1. Especifique ad_username e user_keytab no objeto JSON do grupo de serviço.

   2. Atualize a string de conexão SQL do serviço para habilitar a segurança integrada.

   3. O parâmetro enabled é definido como true por padrão quando a autenticação do Kerberos está habilitada no nível global. Se quiser desabilitar a autenticação Kerberos para SQL para um produto específico, você deve definir enabled como false.

      O objeto JSON deve ser o seguinte:

      "<serviceGroupName>": {
          "kerberos_auth_config": {
            "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for this service group",
            "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for this service group",
            "enabled": true
          }
      }
      

      Observação:

      Para a lista de nomes de grupos de serviços, consulte Grupos e serviços de serviços.

4. Após atualizar o cluster_config.json, execute o script do instalador para atualizar a configuração. Para obter detalhes, consulte Gerenciamento de produtos.

   Observação:

   Você pode usar este procedimento para atualizar ou rotacionar o keytab do Kerberos.

Exemplo de atualização do Orchestrator e da plataforma para usar a autenticação Kerberos

  "kerberos_auth_config": {
    "enabled" : true,
    "ticket_lifetime_in_hour" : 8,
    "ad_domain": "PLACEHOLDER - INSERT ACTIVE DIRECTORY DOMAIN",
    "default_ad_username": "PLACEHOLDER - INSERT KERB_DEFAULT_USERNAME",
    "default_user_keytab": "PLACEHOLDER - INSERT KERB_DEFAULT_KEYTAB",
    "enable_integrated_sql_auth": true
  },
  "sql_connection_string_template": "PLACEHOLDER",
  "sql_connection_string_template_jdbc": "PLACEHOLDER",
  "sql_connection_string_template_odbc": "PLACEHOLDER",
  "orchestrator": {
    "sql_connection_str": "Server=tcp:sfdev1804627-c83f074b-sql.database.windows.net,1433;Initial Catalog=AutomationSuite_Orchestrator;Persist Security Info=False;Integrated Security=true;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Max Pool Size=100;",
    "kerberos_auth_config": {
      "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for Orchestrator",
      "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for Orchestrator",
      "enabled": true
    },
    "testautomation": {
      "enabled": true
    },
    "updateserver": {
      "enabled": true
    }
  },
  "platform": {
    "sql_connection_str": "Server=tcp:sfdev1804627-c83f074b-sql.database.windows.net,1433;Initial Catalog=AutomationSuite_Platform;Persist Security Info=False;Integrated Security=true;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Max Pool Size=100;",
    "kerberos_auth_config": {
      "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for platform",
      "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for platform",
      "enabled": true
    }
  }

Observação:

O parâmetro enable_integrated_sql_auth é definido como true por padrão. Se você quiser desabilitar a autenticação Kerberos para SQL para todos os produtos, você deve definir esse parâmetro como false.

Grupos de serviços e serviços

A tabela a seguir lista os grupos de serviços disponíveis e os serviços que eles incluem. Os nomes são ligeiramente diferentes no arquivo cluster_config.json ou na interface gráfica do ArgoCD.

Nome do grupo de serviços para cluster_config.json	Nome do grupo de serviço para ArgoCD	Serviços incluídos
orchestrator	orchestrator	Orchestrator, Webhooks
platform	platform	Identidade, Contador de Licenças (LA), Auditoria, Localização, Gerenciador de Recursos de Licenças (LRM), Serviço de Gerenciamento da Organização (OMS)
discovery_group	discoverygroup	Automation Hub
test_manager	testmanager	Test Manager
automation_ops	automationops	Automation Ops
aicenter	aicenter	AI Center
documentunderstanding	documentunderstanding	Document Understanding
insights	insights	Insights
dataservice	dataservice	Data Service
asrobots	asrobots	Automation Suite Robots
processmining	processmining	Process Mining

Configurando a integração do Active Directory

Para que a autenticação Kerberos seja usada ao fazer login no Automation Suite, você deve definir ainda mais as configurações de host do Automation Suite.

Disabling Kerberos authentication

Removing Kerberos authentication completely

Para remover completamente a autenticação Kerberos, execute as seguintes etapas:

1. Se você usou o Kerberos para configurar a integração do AD, reconfigure o AD com a opção nome de usuário e senha seguindo as instruções em Configuração da integração do Active Directory.
2. If you used SQL integrated authentication, configure the SQL connection strings to use User Id and Password.
3. Desabilitar a autenticação do Kerberos. No arquivo cluster_config.json , defina o parâmetro kerberos_auth_config.enabled como false e, em seguida, execute o script do instalador para atualizar a configuração. Para obter detalhes, consulte Gerenciamento de produtos.

Removing SQL integrated authentication

Para remover a autenticação integrada do SQL, execute as seguintes etapas:

1. Configure the SQL connection strings to use User Id and Password.
2. Se quiser desabilitar a autenticação integrada do SQL para todos os serviços, no arquivo cluster_config.json , defina o parâmetro kerberos_auth_config.enabled como false e execute o script do instalador para atualizar a configuração. Para obter detalhes, consulte Gerenciamento de produtos.

Solução de problemas do Kerberos

Se você encontrar algum problema ao configurar o Kerberos, consulte Solução de problemas de autenticação.