Managing credential proxies

Você pode criar e gerenciar proxies para seus próprios armazenamentos de credenciais personalizados, permitindo controlar individualmente a segurança de suas credenciais.

Tipos de proxy

Você pode escolher entre esses dois tipos:

• Proxy conectado (Gerenciado pelo Orchestrator) - quando um robô solicita credenciais, o Orchestrator as recupera do proxy e as passa para o robô.
  Figura 1. Arquitetura de proxy conectada
  

  

  
  
• Proxy desconectado (Gerenciado pelo serviço de proxy) - quando um robô solicita credenciais, elas são recuperadas diretamente do proxy, sem precisar passar pelo Orchestrator. Esse tipo é compatível apenas com a versão 23.10+.
  Figura 2. Arquitetura de proxy desconectada
  Importante:

  • O credentials proxy desconectado só está disponível se você estiver no plano de licenciamento Enterprise - Advanced.
  • Se quiser recuperar credenciais de proxy desconectadas, você precisa usar as seguintes versões mínimas: 2.0.1 para o proxy e 24.3 para o pacote de atividades do sistema.

Configuração desconectada

O proxy de credenciais do Orchestrator na versão desconectada funciona de maneira semelhante à configuração conectada, com algumas diferenças importantes.

Especifique no arquivo appsettings.json que o proxy deve iniciar em seu modo desconectado. Para fazer isso em AppSettings , defina o parâmetro CredentialsProxyType com o valor Disconnected.

Isso dirá ao proxy para fazer as coisas de forma um pouco diferente na inicialização e para ler sua configuração de armazenamento seguro a partir do arquivo appsettings.json . Se o parâmetro estiver ausente ou o valor for diferente, o proxy iniciará no modo conectado.

Especifique no arquivo appsettings.json que o proxy deve iniciar em seu modo desconectado. Para fazer isso, sob AppSettings, defina o parâmetro CredentialsProxyType com o valor Disconnected .

{
...
  "AppSettings": {
  ...
    "CredentialsProxyType": "Disconnected",
  ...
  }
}

Isso dirá ao proxy para fazer as coisas de forma um pouco diferente na inicialização e para ler sua configuração de armazenamento seguro a partir do arquivo appsettings.json . Se o parâmetro estiver ausente ou o valor for diferente, o proxy começará no modo conectado.

Configurações de armazenamento seguro

Cada entrada de configuração deve conter:

• Chave: identificador exclusivo usado no Orchestrator ao vincular armazenamentos. Deve ser único na lista de configurações

• Tipo: o tipo de armazenamento seguro (como Azure Key Vault, BeyondTrust, CyberArk, HashiCorp Vault, InMemory e outros).

• Contexto: os dados necessários para a implementação de Armazenamento seguro, que variam de acordo com o tipo de armazenamento.

Verifique o seguinte exemplo de configuração de armazenamento seguro:

{
...
  "AppSettings": {
  ...
    "SecureStoreConfigurations": [
      {
        "Key": "SecureStoreKey1",
        "Type": "AzureKeyVault (read only)",
        "Context": {
          "KeyVaultUri": "{someUri}",
          "DirectoryId": "{someDirectoryId}",
          "ClientId": "{someClientId}",
          "ClientSecret": "{someClientSecret}"
        }
      },
      {
        "Key": "SecureStoreKey2",
        "Type": "BeyondTrust Password Safe - Managed Accounts",
        "Context": {
          "Hostname": "{someHost}",
          "APIRegistrationKey": "{someApiKey}",
          "APIRunAsUsername": "{someApiUsername}",
          "DefaultManagedSystemName": "",
          "SystemAccountDelimiter": "/",
          "ManagedAccountType": "system"
        }
      },
      {
        "Key": "InMemoryKey1",
        "Type": "InMemorySecureStore",
        "Context": {
        }
      }
    ]
  ...
  }
}

Observação:

O parâmetro SecureStoreConfigurations é um array de configurações para que você possa ter quantas configurações quiser.

Várias configurações do mesmo tipo são compatíveis, desde que os valores Key sejam exclusivos.

Validação de inicialização

Ao ser executado no modo desconectado, o proxy realiza a validação na inicialização:

• Valida que as configurações necessárias existem em appsettings.json.
• Verifica se nenhuma chave duplicada é encontrada em SecureStoreConfigurations.
• Confirma que todos os valores Type são válidos.
• Valida a conectividade do cofre (chama ValidateContextAsync para cada armazenamento).

Configurações do nível de proxy

Alguns armazenamentos de credenciais seguros exigem configuração no nível do host que precisa ser especificada em appsettings.Production.json:

• CyberArk: configurações como CLIPasswordSDKExePath, UsePowerShellCLI e AdditionalAllowedCharacters devem ser definidas em AppSettings.

  {
  // ...
    "AppSettings": {
      "Plugins.SecureStores.CyberArk.CLIPasswordSDKExePath": "D:\\SomePath\\CLIPasswordSDK.exe",
      // ...
    }
    // ...
  }

• CyberArkCCP: pode exigir Plugins.SecureStores.CyberArkCCP.KeyStorageFlags = "MachineKeySet".

  {
  // ...
    "AppSettings": {
      "Plugins.SecureStores.CyberArkCCP.KeyStorageFlags": "MachineKeySet",
      // ...
    }
    // ...
  }

Exemplos de teste de configuração

Verifique os seguintes exemplos práticos appsettings.Production.json .

Exemplo 1: básico

Configuração com BeyondTrust e Azure Key Vault:

{
  "Jwt": {
    "Keys": [
      "<YourKey>"
    ]
  },
  "AppSettings": {
    "CredentialsProxyType": "Disconnected",
    "SecureStoreConfigurations": [
      {
        "Key": "SecureStoreKey3",
        "Type": "BeyondTrust Password Safe - Team Passwords",
        "Context": {
          "Hostname": "<Hostname",
          "APIRegistrationKey": "<APIRegistrationKey",
          "APIRunAsUsername": "<Username>",
          "FolderPathPrefix": "/", // default is "/", but it can be changed to anything
          "FolderPasswordDelimiter": "/" // default is "/", but it can be changed to anything
        }
      }
    ]
  }
}

Exemplo 2: logs extras e várias configurações

Inclui vários cofres e registro em log avançado.

{
  "Logging": {
    "LogLevel": {
      "Default": "Trace",
      "Microsoft": "Warning",
      "Microsoft.Hosting.Lifetime": "Information",
      "Microsoft.AspNetCore.HttpLogging.HttpLoggingMiddleware": "Information"
    }
  },
  "Jwt": {
    "Keys": [ "<YourKey>" ]
  },
  "AppSettings": {
    "Plugins.SecureStores": "UiPath.Orchestrator.CyberArk.dll;UiPath.Orchestrator.AzureKeyVault.SecureStore.dll;UiPath.Orchestrator.SecureStore.CyberArkCCP.dll;UiPath.Orchestrator.SecureStore.HashiCorpVault.dll;UiPath.Orchestrator.SecureStore.ThycoticSecretServer.dll;UiPath.Orchestrator.SecureStore.BeyondTrust.dll;UiPath.Orchestrator.SecureStore.AWSSecretsManager.dll",
    "UseInMemorySecureStore": "true",
    "CredentialsProxyType": "Disconnected",
    "SkipValidateSecureStoreConfigurations": "false", // for Testing only; never to be shown to clients or used in prod
    "SecureStoreConfigurations": [
      // AzureKeyVault owned by <username>; contact for more info
      // Robot externalName: "<name>"
      // The expected value of this secret is "<name>"
      {
        "Key": "SecureStoreKey1",
        "Type": "AzureKeyVault (read only)",
        "Context": {
          "KeyVaultUri": "<VaultURL>",
          "DirectoryId": "<DirectoryID>",
          "ClientId": "<ClientID>",
          "ClientSecret": "<ClientSecret>"
        }
      },
      // In case this fails, check our internal documentation on checking if BeyondTrust is down
      // <InternalDocsURL>
      // Robot externalName: "<ExternalName>"
      {
        "Key": "SecureStoreKey2",
        "Type": "BeyondTrust Password Safe - Managed Accounts",
        "Context": {
          "Hostname": "<Hostname>",
          "APIRegistrationKey": "<APIRegistrationKey>",
          "APIRunAsUsername": "<Username>",
          "DefaultManagedSystemName": "",
          "SystemAccountDelimiter": "/",
          "ManagedAccountType": "system"
        }
      },
      // In case this fails, check our internal documentation on checking if BeyondTrust is down
      // <InternalDocsURL>
      // Robot externalName: "<ExternalName>"
      {
        "Key": "SecureStoreKey3",
        "Type": "BeyondTrust Password Safe - Team Passwords",
        "Context": {
          "Hostname": "<Hostname>",
          "APIRegistrationKey": "<APIRegistrationKey>",
          "APIRunAsUsername": "<Username>",
          "FolderPathPrefix": "/", // default is "/", but it can be changed to anything
          "FolderPasswordDelimiter": "/" // default is "/", but it can be changed to anything
        }
      },
      {
        // asset external name: Operating System-WinDomain
        // password: <password>
        "Key": "SecureStoreKey1",
        "Type": "CyberArk Conjur Cloud (read only)",
        "Context": {
          "ServiceUrl": "<ServiceURL>",
          "LoginName": "<LoginName>",
          "ApiKey": "<APIKey>",
          "VariableIdPrefix": "data/vault/Safe"
        }
      },
      // Must have an empty context
      // No values on startup; should add values using the endpoints before trying trying to get anything
      {
        "Key": "InMemoryKey1",
        "Type": "InMemorySecureStore",
        "Context": {
        }
      }
    ]
  }
}

Exemplo 3: caminho de log personalizado e InMemoryStore

{
  "NLog": {
    "throwConfigExceptions": true,
    "targets": {
      "logfile": {
        "type": "File",
        "maxArchiveFiles": 180,
        "fileName": "<FileName>",
        "layout": "${longdate} ${logger} ${message}${onexception:${newline}${exception:maxInnerExceptionLevel=10:format=shortType,message,stacktrace:separator=*:innerExceptionSeparator=&#xD;&#xA;&#x9;}}"
      }
    },
    "rules": [
      {
        "logger": "*",
        "minLevel": "Information",
        "writeTo": "logconsole,logfile,eventLog"
      }
    ]
  },
  "Logging": {
    "LogLevel": {
      "Default": "Information",
      "Microsoft.AspNetCore": "Warning"
    }
  },
  "Jwt": {
    "Keys": [
      "<YourKey>"
    ]
  },
  "AppSettings": {
    "Plugins.SecureStores": "UiPath.Orchestrator.CyberArk.dll;UiPath.Orchestrator.AzureKeyVault.SecureStore.dll;UiPath.Orchestrator.SecureStore.CyberArkCCP.dll;UiPath.Orchestrator.SecureStore.CyberArkConjur.dll;UiPath.Orchestrator.SecureStore.HashiCorpVault.dll;UiPath.Orchestrator.SecureStore.ThycoticSecretServer.dll;UiPath.Orchestrator.SecureStore.BeyondTrust.dll;UiPath.Orchestrator.SecureStore.AWSSecretsManager.dll",
    "UseInMemorySecureStore": "true",
    "CredentialsProxyType": "Disconnected",
    "SkipValidateSecureStoreConfigurations": "true",
    "SecureStoreConfigurations": [
      {
        "Key": "InMemoryKey1",
        "Type": "InMemorySecureStore",
        "Context": {}
      }
    ]
  }
}

Criação de um Credentials Proxy

Depois de instalar o Orchestrator Credentials Proxy, você pode criar um proxy personalizado, que mantém seus armazenamentos de credenciais personalizados.

Figura 3. página Adicionar Credentials Proxy

Para fazer isso, siga as etapas abaixo:

1. Ao nível do tenant, clique em Credenciais > Proxies > Adicionar Credentials Proxy. A janela Adicionar Credentials Proxy é exibida.
2. Escolha proxy conectado (Gerenciado pelo Orchestrator) ou proxy desconectado (Gerenciado pelo serviço de proxy).
3. Adicione um nome para seu proxy.
4. Adicione o URL pertencente à máquina virtual incluída na configuração do Orchestrator Credentials Proxy.
5. Adicione a chave.

   Para o proxy conectado, dependendo do método de instalação, esta é a chave secreta gerada pelo instalador .msi, ou aquela mantida pelo parâmetro Jwt:Keys.

   Para o proxy desconectado, esta deve ser uma chave que já exista em um dos arquivos de configuração local do proxy desconectado.

   As informações fornecidas nas etapas 4 e 5 criam o link entre o Orchestrator e a instalação que contém seus plugins de armazenamento de credenciais personalizados.

6. Clique em Criar.

   Você pode adicionar a loja desejada da seguinte maneira:

7. No nível do tenant, clique em Credenciais > Armazenamentos > Adicionar armazenamento de credenciais.
8. Na lista Proxy , selecione o proxy que você acabou de criar.
9. Na lista Tipo , selecione o armazenamento de credenciais de terceiros definido por seu plug-in.

Editing a credentials proxy

Para editar um proxy, clique em Mais ações > Editar. A página Edit Credentials Proxy é exibida, permitindo que você altere o nome, URL ou chave conforme necessário.

Como excluir um Credentials Proxy

Para excluir um proxy, selecione Mais ações > Remover. Se o proxy selecionado estiver em uso, será exibida uma caixa de diálogo de aviso, listando o número de robôs e ativos que serão afetados. Selecione Sim para confirmar a remoção ou Não para abortar.

Figura 4. Aba Proxies