Como configurar a autenticação do Kerberos

Pré-requisitos

Para configurar com êxito a autenticação Kerberos, você deve atender aos seguintes pré-requisitos:

• Garantindo que o cluster do Automation Suite possa acessar seu AD
• Configurando a conta de serviço do AD para autenticação Kerberos
• Opcional: pré-requisitos de autenticação integrada do SQL

Garantindo que o cluster do Automation Suite possa acessar seu AD

Antes de configurar a autenticação Kerberos, trabalhe com seus administradores de TI para garantir que o cluster do Automation Suite possa acessar seu AD.

Os seguintes requisitos devem ser atendidos:

• O cluster do Automation Suite deve estar na mesma rede que o domínio do AD;

• O DNS deve ser configurado corretamente na rede para que o cluster do Automation Suite possa resolver os nomes de domínio do AD.

  Observação: é fundamental que o cluster do Automation Suite possa resolver o AD domain names. Você pode verificar se isso ocorre executando nslookup <AD domain name> na máquina do host.

Configurando a conta de serviço do AD para autenticação Kerberos

Gerando keytab padrão Kerberos e parâmetros de nome de usuário

Opção 1: por execução do script (recomendado)

1. Faça login com sua conta de administrador do AD em uma máquina ingressada no domínio do Windows.
2. Execute o script keytab-creator.ps1 como administrador.
3. Insira os seguintes valores no script:
   1. Service Fabric FQDN. Por exemplo, uipath-34i5ui35f.westeurope.cloudapp.azure.com.
   2. AD domain FQDN. Por exemplo, TESTDOMAIN.LOCAL.
   3. Uma conta de usuário do AD. Você pode usar uma conta existente, como sAMAccountName, ou pode permitir que o script crie uma nova.

O arquivo de saída contém os parâmetros <KERB_DEFAULT_USERNAME> e <KERB_DEFAULT_KEYTAB> exigidos pela configuração do Kerberos.

Opção 2: manualmente

Entre em contato com o administrador do AD para obter uma conta de usuário do AD e recupere <KERB_DEFAULT_USERNAME>e <KERB_DEFAULT_KEYTAB>para essa conta da seguinte forma:

1. Em seu AD Server, crie uma nova conta de usuário.Se você já tiver um, pule para a etapa 2.
   1. No console Usuários e computadores do Active Directory, clique com o botão direito do mouse na pasta Usuários, clique em Novo e, então, selecione Usuário.
   2. Termine de criar a conta de usuário.
2. Clique com o botão direito do mouse na conta de usuário e selecione Propriedades.
3. Vá para a guia Conta e, em seguida, em Opções de conta , selecione Esta conta suporta criptografia Kerberos AES de 256 bits .
4. Importante: o keytab gerado nas próximas etapas se tornará inválido se a senha do usuário do AD expirar ou for atualizada. Além disso, usar @ na senha pode resultar em um keytab incorreto, levando a falhas de autenticação e validação do Kerberos. Considere marcar A senha nunca expira em Opções de conta para esta conta de usuário do AD ou evite usar @ em sua senha. Como alternativa, você pode atualizar a senha quando ela estiver prestes a expirar e gerar um novo keytab.
5. Para gerar um arquivo keytab para o SPN, abra o PowerShell com acesso de administrador e execute o seguinte comando:

   ktpass -princ HTTP/<Service Fabric FQDN>@<AD FQDN in cap> -pass <AD user's password> -mapuser <AD NetBIOS name in cap>\<AD user name> -pType KRB5_NT_PRINCIPAL -out <output file path> -crypto AES256-SHA1

   Alguns campos devem ser especificados em maiúsculas. Por exemplo:

   ktpass -princ HTTP/[e-mail] -pass pwd123 -mapuser TESTDOMAIN\aduser -pType KRB5_NT_PRINCIPAL -out c:\krb5.keytab -crypto AES256-SHA1

   Observação: após a geração do keytab, o nome de login do usuário muda para HTTP/<Service Fabric FQDN>. Use esse valor para o campo <KERB_DEFAULT_USERNAME> no parâmetro global.kerberosAuthConfig.adUserName do aplicativo UiPath® na interface gráfica do ArgoCD.
6. Codifique o arquivo keytab gerado em Base64, abra o PowerShell e execute o seguinte comando:

   [Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<path to the generated keytab file>"))

7. Salve o arquivo keytab codificado. Você o usará ao configurar o cluster UiPath® para Kerberos. Vamos chamar o valor a partir da etapa 6 <KERB_DEFAULT_KEYTAB>.

Opcional: pré-requisitos de autenticação integrada do SQL

Para configurar o cluster UiPath para se conectar ao SQL usando a autenticação integrada do Windows/Kerberos, você precisa realizar algumas etapas adicionais:

• o servidor SQL deve ingressar no domínio AD;
• o cluster do Automation Suite deve estar na mesma rede que o SQL Server;
• o cluster do Automation Suite pode resolver os nomes de domínio dos servidores AD e SQL;
• o usuário do AD deve ter acesso ao servidor SQL e permissões de banco de dados.

Para criar um novo login no SQL Server Management Studio, execute as seguintes etapas:

1. No painel Explorador de Objetos, navegue até Segurança > Login.

2. Clique com o botão direito do mouse na pasta Logins e selecione Novo Login. A janela Login — Novo será exibida.

3. Selecione a opção Autenticação do Windows. A janela é atualizada de acordo.

   
   

   

   
   

4. No campo Nome de login, digite o domínio de usuário que você deseja usar como uma conta de serviço.

5. Na lista Idioma padrão, selecione inglês.

   Importante: certifique-se de que o idioma padrão esteja definido como inglês. Se não estiver, o site não pode iniciar e o Visualizador de Eventos no computador no qual o Orchestrator está instalado exibe a seguinte mensagem de erro: "a conversão de um tipo de dados varchar em um tipo de dados datetime resultou em um valor fora do intervalo".

6. Clique em OK. Suas configurações são salvas.

Se a conta de serviço já tiver sido criada e adicionada à seção Segurança > Logins do SQL Server, verifique se o Idioma Padrão dessa conta SQL está definido como inglês. Se não estiver, faça os ajustes necessários.

Você precisa fornecer ao usuário que se conecta ao banco de dados SQL a db_ownerfunção de mapeamento de usuário, como na captura de tela a seguir.

Se as restrições de segurança não permitem que você use a função de mapeamento de usuários db_owner com o login da UiPath, conceda as seguintes permissões:

• db_datareader
• db_datawriter
• db_ddladmin
• EXECUTEpermissão em dboesquema
  
  

  

  
  

A permissão EXECUTE deve ser concedida usando o comando SQL GRANT EXECUTE, da seguinte maneira:

USE UiPath
GO
GRANT EXECUTE ON SCHEMA::dbo TO [domain\)\)user]
GO

Se você quiser que os aplicativos UiPath usem contas de usuário AS para se conectar ao SQL usando Integrated Security=True, precisa criar um keytab exclusivo para cada aplicativo UiPath, como mostrado a seguir. Isso será referido como <KERB_APP_KEYTAB>para essa aplicação.

Geração do keytab e parâmetros de nomes de usuários do aplicativo Kerberos

Opção 1: executando o script (recomendado)

1. Execute o script service-keytab-creator.ps1.

2. Insira os seguintes valores no script:

   1. AD domain FQDN. Por exemplo, TESTDOMAIN.LOCAL.
   2. O nome de usuário e a senha de uma conta de usuário do AD. Por exemplo, a conta de usuário AD sAMAccountName e sua senha.

O arquivo de saída contém os parâmetros <KERB_APP_USERNAME> e <KERB_APP_KEYTAB> exigidos pelo Kerberos.

Opção 2: manualmente

Execute o seguinte script manualmente:

# Generate keytab file and output it in the desired path 
ktpass /princ <AD username>@<AD domain in cap> /pass <AD user password> /ptype KRB5_NT_PRINCIPAL /crypto AES256-SHA1 /out <path to keytab file> -setpass 

# Converts AD user's keytab file to base 64 
[Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<path to the generated keytab file>"))

O valor <AD username>será o <KERB_APP_USERNAME>correspondente a <KERB_APP_KEYTAB>.

Configurando o Automation Suite como um cliente Kerberos

Esta seção explica como você pode configurar o Automation Suite como um cliente Kerberos para acesso LDAP ou SQL.

Com <KERB_DEFAULT_KEYTAB>, configure o Automation Suite como um cliente Kerberos de uma das seguintes maneiras:

• Configurando a autenticação Kerberos por meio do instalador interativo
• Configurando a autenticação Kerberos por meio de cluster_config.json

• Atualizando a autenticação Kerberos via ferramenta CLI

  Observação: se você quiser configurar serviços diferentes para serem executados em sua própria conta AD e para acessarem o SQL com essa conta AD, você pode especificar ad_username com esse <KERB_APP_USERNAME>, e user_keytab como <KERB_APP_KEYTAB> na seção de configuração do serviço.

Configurando a autenticação Kerberos por meio do instalador interativo

1. Ao executar o instalador do Automation Suite, especifique que deseja habilitar Autenticação Kerberos em Configuração de implantação :

   ===============================================================================
                               Deployment configuration
   ===============================================================================
   
   Are you performing an evaluation/development/test/demo or a production deployment?
   [1] Production deployment (multi-node)
   [2] Evaluation/development/test/demo deployment (single-node)
   Enter your choice [2]: 2
   
   Will your deployment have access to Internet (online) or is it physically isolated from unsecured networks (air-gapped)?
   [1] Online
   [2] Air-gapped
   Enter your choice [1]: 1
   Enter the Automation Suite FQDN []: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   sfdev1868610-d053997f-lb.eastus.cloudapp.azure.comsfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   
   Would you like to enable Kerberos Auth? This will be used to connect to SQL Databases and Active Directory Lightweight Directory Adaptor if configured.
   [1] Yes
   [2] No
   
   Enter your choice [2]: 1

2. Forneça os parâmetros de entrada para a autenticação Kerberos:
   Observação: essa é a configuração de autenticação Kerberos padrão para todos os serviços. Se você quiser configurar um usuário AD diferente por serviço, poderá especificar os valores no objeto JSON específico do serviço em uma etapa posterior durante a instalação.

   Specify the Active Directory domain for Kerberos Auth []: 
   Specify the Ticket Granting Ticket lifetime (TGT) in hours between 8 and 168 for Kerberos Auth [8]:
   Specify the default Active Directory username for Kerberos Auth []: 
   Specify the default Active Directory user's keytab for Kerberos Auth []: 
   Specify the SQL server FQDN []: 
   Specify the SQL server connection PORT [1433]:

   Observação:

   O controlador de domínio do AD tem a configuração Vida útil máxima do tíquete do usuário do Kerberos dentro da Política de domínio padrão. Certifique-se de que o tempo de vida do ticket configurado aqui não seja maior que a configuração do lado do servidor.

   Você deve gerar o arquivo keytab (<KERB_DEFAULT_KEYTAB>) conforme descrito na seção Pré -requisitos e fornecer o valor codificado em base64 ao instalador. Em seguida, você deve fornecer <KERB_DEFAULT_USERNAME> como um valor para Active Directory username ao instalador.
3. Conclua o restante da experiência de instalação conforme mostrado no exemplo a seguir:

   Would you like the databases to be automatically provisioned for all the products you've selected?
   [1] Yes
   [2] No
   
   Enter your choice [1]: 1
   
   The following databases will be provisioned automatically:
   - Shared suite capabilities: AutomationSuite_Platform
   - Orchestrator: AutomationSuite_Orchestrator
   - Test Manager: AutomationSuite_Test_Manager
   - Insights: AutomationSuite_Insights
   - Automation Hub: AutomationSuite_Automation_Hub
   - Automation Ops: AutomationSuite_Automation_Ops
   - AI Center: AutomationSuite_AICenter
   - Document understanding: AutomationSuite_DU_Datamanager
   
   
   ===============================================================================
                               Current config values
   ===============================================================================
   Multi node: false
   Airgapped: false
   Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   Sql port: 1433
   Sql username:
   Sql password:
   Create sql databases: true
   Kerberos Auth enabled: true
   Kerberos Auth Active Directory domain: abcd.com
   Kerberos Auth TGT lifetime in hours: 8
   Kerberos Auth default Active Directory username: ad_user
   Kerberos Auth default user's keytab: XXXXXXXXX
   
   
   ✅ The cluster configuration file was generated at /tmp/UiPathAutomationSuite/cluster_config.json:
   
   [1] Continue installing with the default config
   [2] Edit the config
   [3] Go to the main menu
   
   For advanced settings, quit now and manually edit the config file.
   Once the configuration file is updated, run the deployment wizard again and follow the instructions.
   Would you like the databases to be automatically provisioned for all the products you've selected?
   [1] Yes
   [2] No
   
   Enter your choice [1]: 1
   
   The following databases will be provisioned automatically:
   - Shared suite capabilities: AutomationSuite_Platform
   - Orchestrator: AutomationSuite_Orchestrator
   - Test Manager: AutomationSuite_Test_Manager
   - Insights: AutomationSuite_Insights
   - Automation Hub: AutomationSuite_Automation_Hub
   - Automation Ops: AutomationSuite_Automation_Ops
   - AI Center: AutomationSuite_AICenter
   - Document understanding: AutomationSuite_DU_Datamanager
   
   
   ===============================================================================
                               Current config values
   ===============================================================================
   Multi node: false
   Airgapped: false
   Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   Sql port: 1433
   Sql username:
   Sql password:
   Create sql databases: true
   Kerberos Auth enabled: true
   Kerberos Auth Active Directory domain: abcd.com
   Kerberos Auth TGT lifetime in hours: 8
   Kerberos Auth default Active Directory username: ad_user
   Kerberos Auth default user's keytab: XXXXXXXXX
   
   
   ✅ The cluster configuration file was generated at /tmp/UiPathAutomationSuite/cluster_config.json:
   
   [1] Continue installing with the default config
   [2] Edit the config
   [3] Go to the main menu
   
   For advanced settings, quit now and manually edit the config file.
   Once the configuration file is updated, run the deployment wizard again and follow the instructions.

4. Opcional: você pode editar a configuração, conforme mostrado abaixo:

   ===============================================================================
                       Choose what setting you want to edit
   ===============================================================================
   [1] Multi node: false
   [2] Airgapped: false
   [3] Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   [4] Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   [5] Sql port: 1433
   [6] Sql username:
   [7] Sql password:
   [8] Create sql databases: true
   [9] Kerberos Auth enabled: true
   [10] Kerberos Auth Active Directory domain: abcd.com
   [11] Kerberos Auth TGT lifetime in hours
   [12] Kerberos Auth default Active Directory username: ad_user
   [13] Kerberos Auth default user's keytab: XXXXXXXXX===============================================================================
                       Choose what setting you want to edit
   ===============================================================================
   [1] Multi node: false
   [2] Airgapped: false
   [3] Automation Suite FQDN: sfdev1868610-d053997f-lb.eastus.cloudapp.azure.com
   [4] Sql server FQDN: sfdev1868610-d053997f-sql.database.windows.net
   [5] Sql port: 1433
   [6] Sql username:
   [7] Sql password:
   [8] Create sql databases: true
   [9] Kerberos Auth enabled: true
   [10] Kerberos Auth Active Directory domain: abcd.com
   [11] Kerberos Auth TGT lifetime in hours
   [12] Kerberos Auth default Active Directory username: ad_user
   [13] Kerberos Auth default user's keytab: XXXXXXXXX

Configurando a autenticação Kerberos por meio de cluster_config.json

1. No arquivo cluster_config.json, defina o parâmetro kerberos_auth_config.enabled como true.
2. Se você quiser usar o Kerberos para acesso SQL, configure sql_connection_string_template, sql_connection_string_template_jdbc e sql_connection_string_template_odbc com a flag de segurança integrada.
3. Se você deseja configurar um usuário AD diferente por serviço, execute as seguintes etapas:
   1. Especifique ad_username e user_keytab no objeto JSON do grupo de serviço.
   2. Atualize a string de conexão SQL do serviço para habilitar a segurança integrada. O objeto JSON deve ser o seguinte:

      "<serviceGroupName>": {
          "kerberos_auth_config": {
            "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for this service group",
            "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for this service group"
          }
      }

      Observação: para obter a lista de nomes de grupos de serviços, consulte Grupos de serviços e serviços
4. Após atualizar o cluster_config.json, execute o script do instalador para atualizar a configuração. Para obter mais detalhes, consulte Gerenciamento dos produtos.

Exemplo de atualização do Orchestrator e da plataforma para usar a autenticação Kerberos

"kerberos_auth_config": {
    "enabled" : true, 
    "ticket_lifetime_in_hour" : 8, 
    "ad_domain": "PLACEHOLDER - INSERT ACTIVE DIRECTORY DOMAIN ",
    "default_ad_username": "PLACEHOLDER - INSERT KERB_DEFAULT_USERNAME",
    "default_user_keytab": "PLACEHOLDER - INSERT KERB_DEFAULT_KEYTAB"
  },
"sql_connection_string_template": "PLACEHOLDER",
"sql_connection_string_template_jdbc": "PLACEHOLDER",
"sql_connection_string_template_odbc": "PLACEHOLDER",
"orchestrator": {
    "sql_connection_str": "Server=tcp:sfdev1804627-c83f074b-sql.database.windows.net,1433;Initial Catalog=AutomationSuite_Orchestrator;Persist Security Info=False;Integrated Security=true;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Max Pool Size=100;",
    "kerberos_auth_config": {
      "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for Orchestrator",
      "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for Orchestrator"
    }
    "testautomation": {
      "enabled": true
    },
    "updateserver": {
      "enabled": true
    }
},
"platform": {
    "sql_connection_str": "Server=tcp:sfdev1804627-c83f074b-sql.database.windows.net,1433;Initial Catalog=AutomationSuite_Platform;Persist Security Info=False;Integrated Security=true;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Max Pool Size=100;",
    "kerberos_auth_config": {
      "ad_username": "PLACEHOLDER - INSERT KERB_APP_USERNAME for platform",
      "user_keytab": "PLACEHOLDER - INSERT KERB_APP_KEYTAB for platform"
    }
}

Grupos de serviços e serviços

A tabela a seguir lista os grupos de serviços disponíveis e os serviços que eles incluem. Os nomes são ligeiramente diferentes no arquivo cluster_config.json ou na IU do ArgoCD.

Nome do grupo de serviço para cluster_config.json	Nome do grupo de serviço para ArgoCD	Serviços incluídos
orchestrator	orchestrator	Orchestrator, Webhooks
platform	platform	Identidade, Contador de Licenças (LA), Auditoria, Localização, Gerenciador de Recursos de Licenças (LRM), Serviço de Gerenciamento da Organização (OMS)
discovery_group	discoverygroup	Automation Hub, Task Mining
test_manager	testmanager	Test Manager
automation_ops	automationops	Automation Ops
aicenter	aicenter	AI Center
documentunderstanding	documentunderstanding	Document Understanding
insights	insights	Insights

Atualizando a autenticação Kerberos via ferramenta CLI

Para atualizar a autenticação Kerberos por meio da ferramenta CLI, consulte Atualizando a autenticação Kerberos.

Configurando a integração do Active Directory

Para que a autenticação Kerberos seja usada ao fazer login no Automation Suite, você deve definir ainda mais as configurações de host do Automation Suite.

Disabling Kerberos authentication

Removing Kerberos authentication completely

Para remover completamente a autenticação Kerberos, execute as seguintes etapas:

1. Se você usou o Kerberos para configurar a integração do AD, reconfigure o AD com a opção de nome de usuário e senha seguindo as instruções em Configurando a integração do Active Directory.
2. Se você usou a autenticação integrada SQL, configure as strings de conexão SQL para usar User Id e Password.
3. Desative a autenticação Kerberos da seguinte maneira:
   1. Vá para a interface do usuário do ArgoCD, encontre o aplicativo uipath, clique no botão DETALHES DO APLICATIVO no canto superior esquerdo e, em seguida, navegue até a aba PARÂMETROS.
   2. Clique em EDITARe defina global.kerberosAuthConfig.enabled como false.

Removing SQL integrated authentication

Para remover a autenticação integrada do SQL, execute as seguintes etapas:

1. Configure as strings de conexão SQL para usar User Id e Password.
2. Se quiser desabilitar a autenticação integrada do SQL para todos os serviços, defina global.kerberosAuthConfig.enabled como false no ArgoCD após alterar todas as strings de conexão

Solução de problemas do Kerberos

Se você encontrar algum problema ao configurar o Kerberos, consulte Solução de problemas de autenticação.