Como configurar a autenticação do Kerberos

Pré-requisitos

Para configurar com êxito a autenticação Kerberos, você deve atender aos seguintes pré-requisitos:

• Garantindo que o cluster do Automation Suite possa acessar seu AD
• Configurando a conta de serviço do AD para autenticação Kerberos
• Opcional: pré-requisitos de autenticação integrada do SQL

Garantindo que o cluster do Automation Suite possa acessar seu AD

Antes de configurar a autenticação Kerberos, trabalhe com seus administradores de TI para garantir que o cluster do Automation Suite possa acessar seu AD.

Os seguintes requisitos devem ser atendidos:

• O cluster do Automation Suite deve estar na mesma rede que o domínio do AD;

• O DNS deve ser configurado corretamente na rede para que o cluster do Automation Suite possa resolver os nomes de domínio do AD.

  Observação:

  É fundamental que o cluster do Automation Suite possa resolver o AD domain names. Você pode verificar se isso ocorre executando nslookup <AD domain name> na máquina do host.

Configurando a conta de serviço do AD para autenticação Kerberos

Gerando keytab padrão Kerberos e parâmetros de nome de usuário

Opção 1: por execução do script (recomendado)

1. Faça login com sua conta de administrador do AD em uma máquina ingressada no domínio do Windows.
2. Execute o script keytab-creator.ps1 como administrador.
3. Insira os seguintes valores no script:
   1. Service Fabric FQDN. Por exemplo, uipath-34i5ui35f.westeurope.cloudapp.azure.com.
   2. AD domain FQDN. Por exemplo, TESTDOMAIN.LOCAL.
   3. Uma conta de usuário do AD. Você pode usar uma conta existente, como sAMAccountName, ou pode permitir que o script crie uma nova.

O arquivo de saída contém os parâmetros <KERB_DEFAULT_USERNAME> e <KERB_DEFAULT_KEYTAB> exigidos pela configuração do Kerberos.

Opção 2: manualmente

Entre em contato com o administrador do AD para obter uma conta de usuário do AD e recupere <KERB_DEFAULT_USERNAME>e <KERB_DEFAULT_KEYTAB>para essa conta da seguinte forma:

1. Em seu AD Server, crie uma nova conta de usuário.Se você já tiver um, pule para a etapa 2.

   1. In the Active Directory Users and Computers console, right-click the Users folder, click New, and then select User.
   2. Termine de criar a conta de usuário.

2. Clique com o botão direito do mouse na conta de usuário e selecione Propriedades.

3. Vá para a guia Conta e, em seguida, em Opções de conta , selecione Esta conta suporta criptografia Kerberos AES de 256 bits .

4. Important: The keytab generated in the next steps will become invalid if the AD user's password is expired or updated. Moreover, using @ in the password can result in an incorrect keytab, leading to Kerberos authentication and validation failures. Consider checking Password never expires under Account options for this AD user account or avoid using @ in your password. Alternatively, you can update the password when it is about to expire and generate a new keytab.

5. Para gerar um arquivo keytab para o SPN, abra o PowerShell com acesso de administrador e execute o seguinte comando:

   ktpass -princ HTTP/<Service Fabric FQDN>@<AD FQDN in cap> -pass <AD user's password> -mapuser <AD NetBIOS name in cap>\<AD user name> -pType KRB5_NT_PRINCIPAL -out <output file path> -crypto AES256-SHA1
   

   Alguns campos devem ser especificados em maiúsculas. Por exemplo:

   ktpass -princ HTTP/[e-mail] -pass pwd123 -mapuser TESTDOMAIN\aduser -pType KRB5_NT_PRINCIPAL -out c:\krb5.keytab -crypto AES256-SHA1
   

   Observação:

   Após a geração do keytab, o nome de login do usuário muda para HTTP/<Service Fabric FQDN>. Use esse valor para o campo <KERB_DEFAULT_USERNAME> no parâmetro global.kerberosAuthConfig.adUserName do aplicativo UiPath® na interface gráfica do ArgoCD.

6. Codifique o arquivo keytab gerado em Base64, abra o PowerShell e execute o seguinte comando:

   [Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<path to the generated keytab file>"))
   

7. Salve o arquivo keytab codificado. Você o usará ao configurar o cluster UiPath® para Kerberos. Vamos chamar o valor a partir da etapa 6 <KERB_DEFAULT_KEYTAB>.

Opcional: pré-requisitos de autenticação integrada do SQL

Para configurar o cluster UiPath para se conectar ao SQL usando a autenticação integrada do Windows/Kerberos, você precisa realizar algumas etapas adicionais:

• o servidor SQL deve ingressar no domínio AD;
• o cluster do Automation Suite deve estar na mesma rede que o SQL Server;
• o cluster do Automation Suite pode resolver os nomes de domínio dos servidores AD e SQL;
• o usuário do AD deve ter acesso ao servidor SQL e permissões de banco de dados.

Para criar um novo login no SQL Server Management Studio, execute as seguintes etapas:

1. No painel Explorador de Objetos, navegue até Segurança > Login.

2. Clique com o botão direito do mouse na pasta Logins e selecione Novo Login. A janela Login — Novo será exibida.

3. Selecione a opção Autenticação do Windows. A janela é atualizada de acordo.

   

4. No campo Nome de login, digite o domínio de usuário que você deseja usar como uma conta de serviço.

5. Na lista Idioma padrão, selecione inglês.

   Importante:

   Certifique-se de que o Idioma Padrão esteja definido como inglês. Se não estiver, o site não pode iniciar e o Visualizador de Eventos no computador no qual o Orchestrator está instalado exibe a seguinte mensagem de erro: "a conversão de um tipo de dados varchar em um tipo de dados datetime resultou em um valor fora do intervalo".

6. Clique em OK. Suas configurações são salvas.

Se a conta de serviço já tiver sido criada e adicionada à seção Segurança > Logins do SQL Server, verifique se o Idioma Padrão dessa conta SQL está definido como inglês. Se não estiver, faça os ajustes necessários.

Você precisa fornecer ao usuário que se conecta ao banco de dados SQL a db_ownerfunção de mapeamento de usuário, como na captura de tela a seguir.

Se as restrições de segurança não permitem que você use a função de mapeamento de usuários db_owner com o login da UiPath, conceda as seguintes permissões:

• db_datareader

• db_datawriter

• db_ddladmin

• EXECUTEpermissão em dboesquema

  

A permissão EXECUTE deve ser concedida usando o comando SQL GRANT EXECUTE, da seguinte maneira:

USE UiPath
GO
GRANT EXECUTE ON SCHEMA::dbo TO [domain\)\)user]
GO

Se você quiser que os aplicativos UiPath usem contas de usuário AS para se conectar ao SQL usando Integrated Security=True, precisa criar um keytab exclusivo para cada aplicativo UiPath, como mostrado a seguir. Isso será referido como <KERB_APP_KEYTAB>para essa aplicação.

Geração do keytab e parâmetros de nomes de usuários do aplicativo Kerberos

Opção 1: executando o script (recomendado)

1. Execute o script service-keytab-creator.ps1.
2. Insira os seguintes valores no script:
   1. AD domain FQDN. Por exemplo, TESTDOMAIN.LOCAL.
   2. O nome de usuário e a senha de uma conta de usuário do AD. Por exemplo, a conta de usuário AD sAMAccountName e sua senha.

O arquivo de saída contém os parâmetros <KERB_APP_USERNAME> e <KERB_APP_KEYTAB> exigidos pelo Kerberos.

Opção 2: manualmente

Execute o seguinte script manualmente:

# Generate keytab file and output it in the desired path
ktpass /princ <AD username>@<AD domain in cap> /pass <AD user password> /ptype KRB5_NT_PRINCIPAL /crypto AES256-SHA1 /out <path to keytab file> -setpass

# Converts AD user's keytab file to base 64
[Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<path to the generated keytab file>"))

O valor <AD username>será o <KERB_APP_USERNAME>correspondente a <KERB_APP_KEYTAB>.

Configurando o Automation Suite como um cliente Kerberos

Esta seção explica como você pode configurar o Automation Suite como um cliente Kerberos para acesso LDAP ou SQL.

Com <KERB_DEFAULT_KEYTAB>, configure o Automation Suite como um cliente Kerberos de uma das seguintes maneiras:

• Configurando a autenticação Kerberos por meio do instalador interativo

• Configurando a autenticação Kerberos por meio de cluster_config.json

• Atualizando a autenticação Kerberos via ferramenta CLI

  Observação:

  Se você deseja configurar serviços diferentes para serem executados em sua própria conta do AD e acessar o SQL como essa conta do AD, você pode especificar ad_usernamecom <KERB_APP_USERNAME>, e user_keytabcomo<KERB_APP_KEYTAB> na seção de configuração do serviço.

Configurando a autenticação Kerberos por meio do instalador interativo

1. Ao executar o instalador do Automation Suite, especifique que deseja habilitar Autenticação Kerberos em Configuração de implantação :

   ===============================================================================
                               Deployment configuration
   ===============================================================================
   
   Are you performing an evaluation/development/test/demo or a production deployment?
   [1] Production deployment (multi-node)
   [2] Evaluation/development/test/demo deployment (single-node)
   Enter your choice [2]: 2
   
   Will your deployment have access to Internet (online) or is it physically isolated from unsecured networks (air-gapped)?
   [1] Online
   [2] Air-gapped
   Enter your choice [1]: 1
   Enter the Automation Suite FQDN []: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   sfdev1868610-d053997f-lb.eastus.cloudapp.azure.comsfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   
   Would you like to enable Kerberos Auth? This will be used to connect to SQL Databases and Active Directory Lightweight Directory Adaptor if configured.
   [1] Yes
   [2] No
   
   Enter your choice [2]: 1
   

2. Forneça os parâmetros de entrada para a autenticação Kerberos:

   Observação:

   Esta é a configuração de autenticação Kerberos padrão para todos os serviços. Se você quiser configurar um usuário AD diferente por serviço, poderá especificar os valores no objeto JSON específico do serviço em uma etapa posterior durante a instalação.

   Specify the Active Directory domain for Kerberos Auth []:
   Specify the Ticket Granting Ticket lifetime (TGT) in hours between 8 and 168 for Kerberos Auth [8]:
   Specify the default Active Directory username for Kerberos Auth []:
   Specify the default Active Directory user's keytab for Kerberos Auth []:
   Specify the SQL server FQDN []:
   Specify the SQL server connection PORT [1433]:
   

   Observação:

   O controlador de domínio do AD tem a configuração Vida útil máxima do tíquete do usuário do Kerberos dentro da Política de domínio padrão. Certifique-se de que o tempo de vida do ticket configurado aqui não seja maior que a configuração do lado do servidor.

   You must generate the keytab file (<KERB_DEFAULT_KEYTAB>) as described in the Prerequisites section and provide the base64 encoded value to the installer. Then, you must provide <KERB_DEFAULT_USERNAME> as a value for Active Directory username to the installer.

3. Conclua o restante da experiência de instalação conforme mostrado no exemplo a seguir:

   Would you like the databases to be automatically provisioned for all the products you've selected?
   [1] Yes
   [2] No
   
   Enter your choice [1]: 1
   
   The following databases will be provisioned automatically:
   - Shared suite capabilities: AutomationSuite_Platform
   - Orchestrator: AutomationSuite_Orchestrator
   - Test Manager: AutomationSuite_Test_Manager
   - Insights: AutomationSuite_Insights
   - Automation Hub: AutomationSuite_Automation_Hub
   - Automation Ops: AutomationSuite_Automation_Ops
   - AI Center: AutomationSuite_AICenter
   - Document understanding: AutomationSuite_DU_Datamanager
   
   ===============================================================================
                               Current config values
   ===============================================================================
   Multi node: false
   Airgapped: false
   Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   Sql port: 1433
   Sql username:
   Sql password:
   Create sql databases: true
   Kerberos Auth enabled: true
   Kerberos Auth Active Directory domain: abcd.com
   Kerberos Auth TGT lifetime in hours: 8
   Kerberos Auth default Active Directory username: ad_user
   Kerberos Auth default user's keytab: XXXXXXXXX
   
   ✅ The cluster configuration file was generated at /tmp/UiPathAutomationSuite/cluster_config.json:
   
   [1] Continue installing with the default config
   [2] Edit the config
   [3] Go to the main menu
   
   For advanced settings, quit now and manually edit the config file.
   Once the configuration file is updated, run the deployment wizard again and follow the instructions.
   Would you like the databases to be automatically provisioned for all the products you've selected?
   [1] Yes
   [2] No
   
   Enter your choice [1]: 1
   
   The following databases will be provisioned automatically:
   - Shared suite capabilities: AutomationSuite_Platform
   - Orchestrator: AutomationSuite_Orchestrator
   - Test Manager: AutomationSuite_Test_Manager
   - Insights: AutomationSuite_Insights
   - Automation Hub: AutomationSuite_Automation_Hub
   - Automation Ops: AutomationSuite_Automation_Ops
   - AI Center: AutomationSuite_AICenter
   - Document understanding: AutomationSuite_DU_Datamanager
   
   ===============================================================================
                               Current config values
   ===============================================================================
   Multi node: false
   Airgapped: false
   Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   Sql port: 1433
   Sql username:
   Sql password:
   Create sql databases: true
   Kerberos Auth enabled: true
   Kerberos Auth Active Directory domain: abcd.com
   Kerberos Auth TGT lifetime in hours: 8
   Kerberos Auth default Active Directory username: ad_user
   Kerberos Auth default user's keytab: XXXXXXXXX
   
   ✅ The cluster configuration file was generated at /tmp/UiPathAutomationSuite/cluster_config.json:
   
   [1] Continue installing with the default config
   [2] Edit the config
   [3] Go to the main menu
   
   For advanced settings, quit now and manually edit the config file.
   Once the configuration file is updated, run the deployment wizard again and follow the instructions.
   

4. Opcional: você pode editar a configuração, conforme mostrado abaixo:

   ===============================================================================
                       Choose what setting you want to edit
   ===============================================================================
   [1] Multi node: false
   [2] Airgapped: false
   [3] Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   [4] Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   [5] Sql port: 1433
   [6] Sql username:
   [7] Sql password:
   [8] Create sql databases: true
   [9] Kerberos Auth enabled: true
   [10] Kerberos Auth Active Directory domain: abcd.com
   [11] Kerberos Auth TGT lifetime in hours
   [12] Kerberos Auth default Active Directory username: ad_user
   [13] Kerberos Auth default user's keytab: XXXXXXXXX===============================================================================
                       Choose what setting you want to edit
   ===============================================================================
   [1] Multi node: false
   [2] Airgapped: false
   [3] Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   [4] Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   [5] Sql port: 1433
   [6] Sql username:
   [7] Sql password:
   [8] Create sql databases: true
   [9] Kerberos Auth enabled: true
   [10] Kerberos Auth Active Directory domain: abcd.com
   [11] Kerberos Auth TGT lifetime in hours
   [12] Kerberos Auth default Active Directory username: ad_user
   [13] Kerberos Auth default user's keytab: XXXXXXXXX
   

Configuring Kerberos Authentication Via Cluster_config.json

1. No arquivo cluster_config.json, defina o parâmetro kerberos_auth_config.enabled como true.
2. Se você quiser usar o Kerberos para acesso SQL, configure sql_connection_string_template, sql_connection_string_template_jdbc e sql_connection_string_template_odbc com a flag de segurança integrada.
3. Se você deseja configurar um usuário AD diferente por serviço, execute as seguintes etapas:

   1. Especifique ad_username e user_keytab no objeto JSON do grupo de serviço.

   2. Atualize a string de conexão SQL do serviço para habilitar a segurança integrada. O objeto JSON deve ser o seguinte:

      "<serviceGroupName>": {
          "kerberos_auth_config": {
            "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for this service group",
            "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for this service group"
          }
      }
      

      Observação:

      For the list of service group names, see Service groups and services.

4. After updating the cluster_config.json, run the installer script to update the configuration. For details, see Managing products.

Exemplo de atualização do Orchestrator e da plataforma para usar a autenticação Kerberos

"kerberos_auth_config": {
    "enabled" : true,
    "ticket_lifetime_in_hour" : 8,
    "ad_domain": "PLACEHOLDER - INSERT ACTIVE DIRECTORY DOMAIN ",
    "default_ad_username": "PLACEHOLDER - INSERT KERB_DEFAULT_USERNAME",
    "default_user_keytab": "PLACEHOLDER - INSERT KERB_DEFAULT_KEYTAB"
  },
"sql_connection_string_template": "PLACEHOLDER",
"sql_connection_string_template_jdbc": "PLACEHOLDER",
"sql_connection_string_template_odbc": "PLACEHOLDER",
"orchestrator": {
    "sql_connection_str": "Server=tcp:sfdev1804627-c83f074b-sql.database.windows.net,1433;Initial Catalog=AutomationSuite_Orchestrator;Persist Security Info=False;Integrated Security=true;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Max Pool Size=100;",
    "kerberos_auth_config": {
      "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for Orchestrator",
      "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for Orchestrator"
    }
    "testautomation": {
      "enabled": true
    },
    "updateserver": {
      "enabled": true
    }
},
"platform": {
    "sql_connection_str": "Server=tcp:sfdev1804627-c83f074b-sql.database.windows.net,1433;Initial Catalog=AutomationSuite_Platform;Persist Security Info=False;Integrated Security=true;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Max Pool Size=100;",
    "kerberos_auth_config": {
      "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for platform",
      "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for platform"
    }
}

Grupos de serviços e serviços

A tabela a seguir lista os grupos de serviços disponíveis e os serviços que eles incluem. Os nomes são ligeiramente diferentes no arquivo cluster_config.json ou na IU do ArgoCD.

Nome do grupo de serviços para cluster_config.json	Nome do grupo de serviço para ArgoCD	Serviços incluídos
orchestrator	orchestrator	Orchestrator, Webhooks
platform	platform	Identidade, Contador de Licenças (LA), Auditoria, Localização, Gerenciador de Recursos de Licenças (LRM), Serviço de Gerenciamento da Organização (OMS)
discovery_group	discoverygroup	Automation Hub, Task Mining
test_manager	testmanager	Test Manager
automation_ops	automationops	Automation Ops
aicenter	aicenter	AI Center
documentunderstanding	documentunderstanding	Document Understanding
insights	insights	Insights

Atualizando a autenticação Kerberos via ferramenta CLI

To update Kerberos authentication via the CLI tool, see Updating Kerberos authentication.

Configurando a integração do Active Directory

Para que a autenticação Kerberos seja usada ao fazer login no Automation Suite, você deve definir ainda mais as configurações de host do Automation Suite.

Disabling Kerberos authentication

Removing Kerberos authentication completely

Para remover completamente a autenticação Kerberos, execute as seguintes etapas:

1. Se você usou o Kerberos para configurar a integração do AD, reconfigure o AD com a opção nome de usuário e senha seguindo as instruções em Configuração da integração do Active Directory.
2. If you used SQL integrated authentication, configure the SQL connection strings to use User Id and Password.
3. Desative a autenticação Kerberos da seguinte maneira:
   1. Go to the ArgoCD UI, find the uipath application, click the APP DETAILS button in the top-left corner, and then navigate to the PARAMETERS tab.
   2. Click EDIT, and set global.kerberosAuthConfig.enabled to false.

Removing SQL integrated authentication

Para remover a autenticação integrada do SQL, execute as seguintes etapas:

1. Configure the SQL connection strings to use User Id and Password.
2. Se quiser desabilitar a autenticação integrada do SQL para todos os serviços, defina global.kerberosAuthConfig.enabled como false no ArgoCD após alterar todas as strings de conexão

Solução de problemas do Kerberos

If you encounter any issues while configuring Kerberos, see Authentication troubleshooting.