- Introdução
- Melhores práticas
- Tenant
- Sobre o contexto do tenant
- Pesquisa de recursos em um tenant
- Gerenciamento de robôs
- Conectar Robôs ao Orchestrator
- Armazenamento de credenciais do robô no CyberArk
- Armazenamento de senhas do Unattended Robot no Azure Key Vault (somente leitura)
- Armazenamento de credenciais do Unattended Robot no HashiCorp Vault (somente leitura)
- Armazenando credenciais de Unattended Robots no AWS Secrets Manager (somente leitura)
- Exclusão de sessões não assistidas desconectadas e não responsivas
- Autenticação do robô
- Autenticação de robôs com credenciais de cliente
- Auditar
- Integração de repositórios de credenciais
- Gerenciar armazenamentos de credenciais
- Cloud Robots
- Contexto de Pastas
- Automações
- Processos
- Trabalhos
- Apps
- Gatilhos
- Logs
- Monitoramento
- Filas
- Ativos
- Armazenar Buckets
- Test Suite - Orchestrator
- Serviço Catálogo de recursos
- Autenticação
- Integrações
- Robôs Clássicos
- Solução de problemas
Gerenciar armazenamentos de credenciais
Clique em Criar - os arquivos do banco de dados do Orchestrator não têm propriedades configuráveis.
- No campo Nome, digite um nome para o novo armazenamento de credenciais.
- No campo ID do aplicativo, insira o ID do aplicativo para sua instância do Orchestrator na interface do CyberArk® PVWA (Password Vault Web Access). Consulte aqui para mais detalhes.
- No campo CyberArk Safe, insira o nome seguro definido no CyberArk® PVWA. Consulte aqui para mais detalhes.
- No campo Pasta do CyberArk, insira o local no qual o CyberArk® armazena suas credenciais.
- No campo URL do Central Credential Provider, insira o endereço do Central Credential Provider.
- No campo Nome do serviço web, insira o serviço web do Central Credential Provider. Se você deixar esse campo vazio, o nome padrão será usado: AIMWebService.
-
O Certificado de Cliente precisa ser configurado quando o Aplicativo CyberArk usa o método de autenticação de certificado de cliente. A entrada esperada é um arquivo
.pfx
que armazena as chaves privada e pública do certificado. O certificado do cliente precisa ser instalado na máquina onde o CyberArk CCP AIMWebservice está implantado.Observação:O certificado do cliente é usado pela credencial do CyberArk fornecida para autenticar o aplicativo definido no repositório de credenciais do Orchestrator. Consulte a documentação oficial do CyberArk para obter detalhes sobre métodos de autenticação do aplicativo.
O certificado do cliente é um arquivo PKCS12 de formato binário que armazena a(s) chave(s) pública(s) da cadeia de certificados e a chave privada.
O CyberArk CCP usa chaves de certificado de 2048 bits.
Se o certificado do cliente estiver codificado na base 64, execute o seguinte comandocertutil
para decodificá-lo no formato binário:certutil -decode client_certificate_encoded.pfx client_certificate.pfx
- No campo Senha do certificado do cliente, insira a senha do certificado do cliente.
- O Certificado raiz do servidor precisa ser configurado quando um certificado raiz da CA autoassinado é usado pelo CyberArk CCP AIMWebService para solicitações HTTP de entrada. Ele é usado na validação de via dupla https TLS da cadeia de certificados. A entrada esperada é um arquivo
.crt
ou.cer
que armazena a chave pública do certificado raiz da CA. - A opção Permitir autenticação de usuário do sistema operacional só é exibida quando o valor do parâmetro
Plugins.SecureStores.CyberArkCCP.EnableOsUserAuthentication
é definido comotrue
. A opção permite a autenticação usando as credenciais do usuário atualmente conectado à máquina do Orchestrator.Observação: certifique-se de que a infraestrutura apropriada seja estabelecida fazendo as alterações necessárias no IIS para o Orchestrator e o CyberArk. - Selecione Criar. Seu novo armazenamento de credenciais está pronto para ser usado.
Um armazenamento do CyberArk Conjur Cloud configurado com o mesmo ID do aplicativo, cofre e nome da pasta em todos os tenants permite o acesso às credenciais entre tenants. Para manter a segurança e o isolamento no nível do tenant, certifique-se de usar configurações diferentes para cada tenant de armazenamento do CyberArk® Conjur Cloud.
Os armazenamentos de credenciais do Key Vault usam a autenticação do tipo RBAC. Após você ter criado uma entidade de serviço, execute estas etapas:
-
No campo Nome, digite um nome para o novo armazenamento de credenciais.
-
No campo Uri do cofre de chaves, insira o endereço do seu Azure Key Vault. É
https://<vault_name>.vault.azure.net/
. -
No campo ID do Diretório, insira a ID do diretório encontrado no portal do Azure.
-
No campo ID do cliente, insira o ID do aplicativo a partir de sua seção Registros de aplicativos do Azure AD onde o aplicativo do Orchestrator foi registrado.
-
No campo Segredo do cliente, insira o segredo necessário para autenticar a conta do cliente inserida na etapa anterior.
-
Clique em Criar. Seu novo armazenamento de credenciais está pronto para ser usado.
- No campo Tipo, selecione HashiCorp Vault ou HashiCorp Vault (somente leitura) como seu repositório de credenciais.
- No campo Nome, especifique um nome para o novo repositório de credenciais HashiCorp Vault.
- No campo Uri do Vault, indique o URI para a API HTTP do HashiCorp Vault.
-
No campo Tipo de autenticação, indique seu método de autenticação preferido. Dependendo da opção que escolher, você deve configurar campos adicionais:
-
AppRole — esse é o método de autenticação recomendado. Se escolher essa opção, certifique-se de configurar também os seguintes campos:
- ID da função — indique o ID da função a ser usada com o método de autenticação do AppRole
- ID do segredo — insira o ID do segredo a ser usado com o tipo de autenticação AppRole.
-
UsernamePassword– Se você selecionar essa opção, certifique-se de também configurar os seguintes campos:
- Nome de usuário — insira o nome de usuário a ser usado com o UsernamePassword.
- Senha — indique a senha a ser usada com o tipo de autenticação UsernamePassword.
-
Ldap – Se você selecionar essa opção, certifique-se de também configurar os seguintes campos:
- Nome de usuário — especifique o nome de usuário a ser usado com o tipo de autenticação LDAP.
- Senha — indique a senha a ser usada com o tipo de autenticação LDAP.
-
Token – Se você selecionar essa opção, certifique-se de também configurar o seguinte campo:
- Token — insira o token a ser usado com o tipo de autenticação do Token.
- No campo Secrets Engine, selecione o mecanismo de segredos a ser usado. Suas opções são:
- KeyValueV1
- KeyValueV2
- Active Directory
- OpenLDAP
- LDAP
-
-
No campo opcional Caminho de montagem de autenticação, você pode especificar um caminho de montagem personalizado. Você pode montar o mesmo método de autenticação com duas configurações diferentes, em dois caminhos diferentes.
- No campo Caminho de montagem do mecanismo de segredos, forneça o caminho do mecanismo de segredos. Se não for fornecido, os valores padrão são usados:
kv
para KeyValueV1,kv-v2
para KeyValueV2 ead
para o Active Directory. - No campo Caminho de dados, insira o prefixo do caminho a ser usado para todos os segredos armazenados.
- No campo Namespace, especifique o namespace a ser usado. Disponível apenas para o HashiCorp Vault Enterprise.
-
Para a opção (Ldap) Usar Credenciais Dinâmicas, selecione Verdadeiro (dinâmico) ou Falso (estático) para alternar entre credenciais dinâmicas e estáticas. A opção padrão é Falso.
-
Selecione Criar. Seu novo armazenamento de credenciais está pronto para ser usado.
-
No campo Tipo, selecione uma das seguintes opções:
- BeyondTrust Password Safe - Managed Accounts
- BeyondTrust Password Safe - Team Passwords
- No campo Nome, especifique o nome do repositório de credenciais do BeyondTrust.
- No campo URL do host do BeyondTrust, especifique o URL da sua instância do servidor de segredos.
- No campo Chave de registro de API, indique o valor da chave de registro da API do BeyondTrust.
-
No campo Nome de usuário para Executar a API, especifique o nome de usuário no qual você deseja executar as chamadas.
Se você escolheu BeyondTrust Password Safe - Contas gerenciadas, continue com as seguintes etapas:
- Opcionalmente, no campo Nome do sistema gerenciado padrão, indique o Nome do sistema gerenciado pelo BeyondTrust Password Safe. Esse campo serve como o Nome do sistema de reserva se o campo Nome externo do ativo do Orchestrator não contiver um prefixo Nome do sistema.
- No campo Delimitador de conta do sistema, insira o delimitador usado para dividir o nome do sistema do nome da conta no ativo do Orchestrator.
- No campo Tipo de conta gerenciado, selecione o tipo de conta a ser recuperado do BeyondTrust:
- system - retorna contas locais
- domainlinked - retorna contas de domínio vinculadas a sistemas
- Selecione Criar. Seu novo armazenamento de credenciais está pronto para ser usado.
SystemName
ou no campo Nome externo do ativo do Orchestrator no formato SystemName/AccountName
.
Se você escolheu BeyondTrust Password Safe - Team passwords, continue com as seguintes etapas:
-
Opcionalmente, no campo Prefixo do caminho da pasta, indique um prefixo de caminho de pasta padrão. Isso será adicionado na frente de todos os valores de ativo do Orchestrator.
- No campo Delimitador de pasta/conta, insira o delimitador usado para dividir o Caminho do Título no ativo do Orchestrator.
-
Selecione Criar. Seu novo armazenamento de credenciais está pronto para ser usado.
- No campo Tipo, selecione Thycotic Secret Server.
- No campo Nome, digite um nome para o novo armazenamento de credenciais.
- No Campo URL do Secret Server, especifique a URL da Instância do seu Secret Server.
- No campo Nome da regra, forneça o nome da regra de integração dos clientes.
- Ou então, no campo Chave da regra, indique a chave da regra de integração. Embora essa etapa seja opcional, recomendamos especificar a Chave da regra para maior segurança.
- No campo Nome de usuário, especifique o nome do campo de dados dinâmico do campo Modelo secreto do qual o Orchestrator puxará o nome de usuário ao recuperar um ativo do Thycotic Secret Server.
-
No campo Campo de senha, indique o nome do campo de dados dinâmico do campo Modelo secreto do qual o Orchestrator puxará a senha ao recuperar um ativo do Thycotic Secret Server.
Observação: você pode encontrar o nome do campo de dados dinâmico do campo Modelo secreto em Admin > Modelos secretos > Modelo > Campos.
Quando um ativo ou Robô é criado no Orchestrator, ele está vinculado a um segredo preexistente usando o Nome externo. Nesse caso, ele é o ID secreto real do Thycotic Secret Server.
5
.
- No campo Tipo, selecionar AWS Secrets Manager ou AWS Secrets Manager (somente leitura).
A escolha entre a versão somente leitura e a de leitura-escrita depende de suas permissões de política do IAM.
- No campo Nome, digite um nome para o novo armazenamento de credenciais.
- No campo Chave de acesso, adicione o ID da chave de acesso disponível na guia Credenciais de segurança de sua página do usuário do AWS IAM.
- No campo Chave secreta, adicione o ID da chave secreta que foi fornecida a você quando você criou a conta do usuário do AWS IAM.
- No campo Região, adicione a região na qual você gostaria que seus segredos fossem armazenados, como exibido em sua conta da AWS.
Se você quiser usar o AWS Secrets Manager (somente leitura), primeiro precisa criar seu ativo ou credenciais do robô no AWS Secrets Manager.
Navegue até Armazenamentos (Tenant > Credenciais > Armazenamentos) e, no menu Mais ações do armazenamento desejado, selecione Editar. A caixa de diálogo Editar armazenamento de credenciais é exibida.
Ao usar dois ou mais armazenamentos de credenciais, você tem a capacidade de selecionar qual é o armazenamento padrão usado para robôs e ativos. O mesmo armazenamento pode ser usado como padrão para ambos ou você pode selecionar um armazenamento padrão diferente para cada um.
Para selecionar um armazenamento padrão, no menu Mais ações, selecione Definir como armazenamento padrão de robôs e/ou Definir como armazenamento padrão de ativos.
Alterar o repositório padrão não muda uma configuração de robô ou ativo existente. Essa opção controla apenas o que aparece pré-selecionado no menu suspenso Repositório de credenciais ao criar novos robôs ou ativos. Robôs e ativos sempre obtém suas senhas do repositório que foi usado em sua criação. Para alterar o repositório de credenciais para um robô ou ativo específico, é necessário fazer essa mudança no nível do robô ou ativo.
Para excluir um armazenamento de credenciais, selecione Remover no menu Mais ações do armazenamento desejado.
Se o armazenamento selecionado estiver em uso, uma caixa de diálogo de aviso aparecerá listando o número de robôs e ativos que serão afetados. Clique em Excluir para confirmar a remoção ou em Cancelar para anular. Observe que você deve ter pelo menos um armazenamento de credenciais ativo todo o tempo.Se apenas um estiver presente, então não aparecerá a opção de excluir.
- Criação de um armazenamento de credenciais
- Banco de Dados do Orchestrator
- CyberArk CCP
- CyberArk Conjur Cloud (somente leitura)
- Azure Key Vault
- HashiCorp Vault
- BeyondTrust
- BeyondTrust Password Safe - Managed Accounts
- BeyondTrust Password Safe - Team Passwords
- Thycotic Secret Server
- AWS Secrets Manager
- Edição de um armazenamento de credenciais
- Definição de um armazenamento de credenciais padrão
- Exclusão de um armazenamento de credenciais