O proxy de credenciais do orquestrador

Você pode adicionar seus próprios armazenamentos de credenciais ao Orchestrator, para controlar independentemente a segurança de seus dados de conexão.

Para fazê-lo, você pode carregar seus plug-ins de armazenamento de credenciais desejados, na forma de arquivos .dll, para o serviço da Web Orchestrator Credentials Proxy. O kit de instalação contém todos os plug-ins compatíveis com o UiPath, mas você também pode desenvolver seus próprios arquivos .dll de plug-in para carregar. Esse serviço torna seus plugins disponíveis para o Orchestrator por meio de um proxy, que é criado no Orchestrator com base no URL público e na chave secreta gerada pelo proxy.

Instalação

O Orchestrator Credentials Proxy pode ser instalado por meio de um arquivo .msi instalador ou por meio de uma imagem do Docker fornecida pela UiPath.

Por meio do instalador .msi instalador

Pré-requisitos

O seguinte é necessário para poder usar o proxy:

• ASP.NET Core versões 3.1 ou 6.0.x
• IIS versão 8.0 ou superior

• Os seguintes recursos do Windows devem ser instalados:

  • IIS-DefaultDocument
  • IIS-HttpErrors
  • IIS-StaticContent
  • IIS-RequestFiltering
  • IIS-URLAuthorization
  • IIS-WindowsAuthentication
  • IIS-ASPNET45
  • IIS-ISAPIExtensions
  • IIS-ISAPIFilter
  • IIS-WebSockets
  • IIS-ApplicationInit
  • IIS-ManagementConsole

Requisitos de hardware e software

Requisitos de Hardware

Estes são os requisitos mínimos para executar o proxy em um Windows Server com IIS:

Núcleos da CPU	BATER
2	4GB

Requisitos de software

As seguintes versões do Windows Server são necessárias para instalar o proxy:

• 2012 R2
• 2016
• 2019
• 2022

Passos de instalação

Siga estas etapas para realizar a instalação:

1. Baixe o instalador do Credential Proxy do UiPath Orchestrator no Customer Portal.
2. Instale o proxy.

   Proxy conectado

   • URL pública - a URL do Orchestrator Credentials Proxy que é exposta publicamente

   • Certificado SSL - o Assunto ou Impressão digital do certificado SSL usado para proteger conexões com o Credentials Proxy do Orchestrator. Este é o certificado SSL instalado no computador ou servidor web que hospeda o proxy.

     Observe que deve ser válido para a URL pública.

   • Porta - a porta correspondente ao URL público
   • Chave secreta - (gerada automaticamente) a chave necessária para configurar um proxy personalizado na interface do orquestrador; certifique-se de copiá-lo para a área de transferência para uso futuro.

     Isso pode ser alterado manualmente e também é adequado para rotação de chave.

   Proxy desconectado

   Essa funcionalidade só estará disponível se você estiver no plano de licenciamento Enterprise - Advanced.

   • Certificado SSL - o certificado SSL usado para proteger conexões com o Orchestrator Credentials Proxy. Este é o certificado SSL instalado no computador ou servidor web que hospeda o proxy.

   • Porta - a porta correspondente ao URL

   • Chave secreta - (gerada automaticamente) a chave necessária para configurar um proxy personalizado na interface do orquestrador; certifique-se de copiá-lo para a área de transferência para uso futuro.

   Após a instalação, o parâmetro AppSettings.CredentialsProxyType" id="1"/> no arquivo appsettings.Production.json" id="2"/> é definido como Desconectado. É assim que o proxy detecta o tipo na inicialização.

Por meio da imagem do Docker

Informação preliminar

Todas as configurações do Credentials Proxy do Orchestrator que podem ser editadas estão disponíveis em seu arquivo appsettings.json. Os seguintes parâmetros são importantes na configuração inicial:

• Jwt:Keys - (inicialmente vazio) este array de strings é usado para configurar a autenticação do proxy. Isso constitui a chave secreta que você usará durante o processo de criação do proxy e que permite ao Orchestrator recuperar dados do proxy com êxito. Quaisquer valores inválidos são ignorados. Se nenhum valor válido for encontrado, o proxy não será iniciado.

  As chaves secretas devem estar em base64 e podem ser geradas usando um dos scripts do PowerShell abaixo.

  $bytes = [System.Security.Cryptography.RandomNumberGenerator]::GetBytes(64)
  $jwtSigningKey = [Convert]::ToBase64String($bytes);
  Write-Host $jwtSigningKey

O script acima gera 64 bytes aleatórios (usando SeccureRandom) e os converte em uma string base64.

[Byte[]] $bytes = 1..64
$rng = New-Object System.Security.Cryptography.RNGCryptoServiceProvider
$rng.GetBytes($bytes)
$jwtSigningKey = [Convert]::ToBase64String($bytes);
Write-Host $jwtSigningKey

• appSettings:Plugins.SecureStores - (inicialmente definido para os armazenamentos de credenciais padrão disponíveis no Orchestrator) esta é uma string CSV usada para especificar o que .dll os assemblies devem ser carregados do disco (de path/plugins) para permitir que armazenamentos seguros sejam usados pelo proxy. Adicionar assemblies inválidos à lista não interromperá a inicialização, mas você receberá erros de log ao tentar implantá-lo.
• appSettings:SigningCredentialSettings:FileLocation:SigningCredential:FilePath e appSettings:SigningCredentialSettings:FileLocation:SigningCredential:Password - (inicialmente oculto) para serem usados para criptografar os parâmetros Jwt:Keys e SecureStoreConfigurations:Context. Isso representa o caminho do arquivo para seu certificado de assinatura.
• appSettings:SigningCredentialSettings:StoreLocation:Name, appSettings:SigningCredentialSettings:StoreLocation:Location, appSettings:SigningCredentialSettings:StoreLocation:NameType - (inicialmente oculto) para ser usado para criptografar os parâmetros Jwt:Keys e SecureStoreConfigurations:Context.

Criptografando o parâmetro Jwt:Keys

Para adicionar uma camada extra de segurança, você pode criptografar os parâmetros Jwt:Keys e SecureStoreConfigurations:Context em seu arquivo appsettings.json.

Nota: Isso requer UiPath.ConfigProtector.exe versão 1.0.9 ou superior.

Configurando e executando a imagem do Docker

Para executar o Orchestrator Credentials Proxy usando o Docker, siga as etapas abaixo.

1. Baixe a imagem do Docker

   A imagem está disponível para download em http://registry.uipath.com/.

   Observe que a versão 1.0.0 suporta apenas o proxy conectado, enquanto a versão 2.0.0 também suporta o proxy desconectado.

   Use este comando para obter a imagem:

   $bytes = [System.Security.Cryptography.RandomNumberGenerator]::GetBytes(64);
   $jwtSigningKey = [Convert]::ToBase64String($bytes);
   docker run -e LICENSE_AGREEMENT=accept -e Jwt__Keys__0=$jwtSigningKey -p 8000:8080 registry.uipath.com/orchestrator-credentialsproxy:1.0.0

   Essa é a imagem UiPath padrão, que contém os armazenamentos de credenciais que já estão disponíveis em sua conta de nuvem. Você pode implantar a imagem no ambiente de nuvem da sua escolha.

   O comando acima também gera a chave secreta.

2. Crie sua própria imagem personalizada do Docker

   Você pode criar sua própria imagem do Docker, com assemblies adicionais, com base na imagem fornecida pelo UiPath e baixada na etapa 1. Fazer isso:

   1. Crie um novo Dockerfile (para fins de ilustração, vamos chamá-lo de CustomDockerfile) e adicione o seguinte a ele:

      FROM {docker-image-path}
      RUN rm -rf ./plugins 
      COPY --chown=1001:0 {path of your custom assemblies} ./plugins 
      ENTRYPOINT ["dotnet", "UiPath.OrchestratorCredentialsProxy.dll"]

      • Substitua {docker-image-path} pelo caminho para a imagem inicial do Docker, fornecido por UiPath.
      • Substitua {path of your custom assemblies} pelo caminho para seu próprio armazenamento de credenciais .dll arquivos.

      Descubra como o Visual Studio usa esse Dockerfile para criar suas imagens para uma depuração mais rápida.
   2. Gere a imagem do Docker usando este comando, que inclui o nome do Dockerfile recém-criado:

      docker build -f CustomDockerfile . -t customproxy

   3. Execute a imagem do Docker:

      docker run --publish 8000:8080 -e LICENSE_AGREEMENT="accept" -e Jwt__Keys__0=$jwtSigningKey -e appSettings__Plugins.SecureStores="{your-list-of-assemblies}" customproxy

      • Substitua {your-list-of-assemblies} pelo .dll arquivos dos armazenamentos de credenciais personalizados que você deseja adicionar ao Orchestrator.
      Para executar a imagem com um parâmetro Jwt:Keys :

      docker run --publish 8000:8080 -e LICENSE_AGREEMENT="accept" -e Jwt__Keys__0=$jwtSigningKey {docker-image-name}

      Para executar a imagem com vários parâmetros Jwt:Keys:

      docker run --publish 8000:8080 -e LICENSE_AGREEMENT="accept" -e Jwt__Keys__0==$jwtSigningKey" -e Jwt__Keys__1==$jwtSigningKey" -e Jwt__Keys__2==$jwtSigningKey ... {docker-image-name}

      • Substitua {docker-image-name} pelo nome que você definiu para sua imagem personalizada do Docker.

      Para executar a imagem com um valor personalizado para o parâmetro appSettings:Plugins.SecureStores (ou seja, com o armazenamento de credenciais desejado), substitua o conteúdo desse parâmetro por seu próprio armazenamento de credenciais .dll arquivos:

      docker run --publish 8000:8080 -e LICENSE_AGREEMENT="accept" -e Jwt__Keys__0=$jwtSigningKey -e appSettings__Plugins.SecureStores="UiPath.Orchestrator.CyberArk.dll;UiPath.Orchestrator.AzureKeyVault.SecureStore.dll" {docker-image-name}

   4. (Opcional) Teste a nova imagem do Docker
      Para testar sua imagem, acesse sua interface Swagger (http://localhost:8000/swagger/index.html) e verifique se os endpoints estão funcionando.

Configuração

A primeira etapa na configuração de seu proxy é adicionar quaisquer plugins .dll personalizados que você deseja usar na pasta C:\Program Files\UiPath\CredentialsProxy\plugins" id="1"/>.

As próximas etapas se aplicam apenas ao proxy desconectado, pois o proxy conectado não requer configuração dedicada.

Proxy desconectado

Esse tipo de proxy é completamente separado do Orchestrator, então você deve fornecer as informações relacionadas aos cofres de credenciais localmente, no arquivo de configuração appsettings.Production.json" id="1"/>, encontrado no seguinte local: C:\Program Files\UiPath\OrchestratorCredentialsProxy\appsettings.Production.json" id="2"/>.

Esses são os campos que precisam ser editados no referido arquivo, na seção AppSettings" id="1"/> > SecureStoreConfigurations" id="2"/>:

• Key" id="1"/> - a chave de identificador para a configuração
• Type" id="1"/> - o tipo de cofre de credenciais, conforme identificado no .dll arquivos configurados por meio do parâmetro Plugins.SecureStores" id="2"/> encontrado em appsettings.json" id="3"/> (consulte os exemplos abaixo)
• Context" id="1"/> - as informações de conectividade relacionadas à implementação de armazenamento seguro

Importante:

Depois de editar o arquivo de configuração, você precisa reiniciar o serviço a partir do IIS.

Exemplos de configuração

Esses são exemplos que você precisa adicionar ao arquivo de configuração appsettings.Production.json" id="1"/> para iniciar o proxy desconectado. Se você não fizer isso, o serviço não iniciará.

Escolha o exemplo apropriado com base em seu tipo de armazenamento de credenciais ou adicione vários armazenamentos de credenciais usando o último exemplo nesta página.

AWS Secrets Manager/AWS Secrets Manager (somente leitura)

"SecureStoreConfigurations": [
      {
        "Key": "<MyAwsStore>",
        "Type": "AWS Secrets Manager" / "AWS Secrets Manager (read only)",
        "Context": {
          "UseDefaultCredentials": "true",
          "AccessKey": "<AccessKey>",
          "SecretKey": "<SecretKey>",
          "Region": "<SelectedRegion>"
        }
      },
    ]

Azure Key Vault (somente leitura)

"SecureStoreConfigurations": [
      {
        "Key": "<MyAzureStore>",
        "Type": "AzureKeyVault (read only)",
        "Context": {
          "KeyVaultUri": "<KeyVaultUri>",
          "DirectoryId": "<DirectoryId>",
          "ClientId": "<ClientId>",
          "ClientSecret": "<ClientSecret>"
        }
      },
    ]

Importante:

Azure Key Vault (leitura/gravação) não é compatível.

BeyondTrust Password Safe - Managed Accounts

"SecureStoreConfigurations": [
      {
        "Key": "<MyBeyondTrustManagedAccountsSafe>",
        "Type": "BeyondTrust Password Safe - Managed Accounts",
        "Context": {
          "Hostname": "<HostName>",
          "APIRegistrationKey": "<ApiRegistrationKey>",
          "APIRunAsUsername": "<Username>",
          "DefaultManagedSystemName": "", // can be empty or a string
          "SystemAccountDelimiter": "/", // default account delimiter is "/", but it can be changed
          "ManagedAccountType": "<ManagedAccountType>" // expected value is one of "system", "domainlinked", "database", "cloud", "application"
        }
      },
    ]

BeyondTrust Password Safe - Team Passwords

"SecureStoreConfigurations": [
      {
        "Key": "<MyBeyondTrustTeamPasswordSafe>",
        "Type": "BeyondTrust Password Safe - Team Passwords",
        "Context": {
          "Hostname": "<HostName>",
          "APIRegistrationKey": "<ApiRegistrationKey>",
          "APIRunAsUsername": "<Username>",
          "FolderPathPrefix" : "/", // default delimiter is "/", but it can be changed
          "FolderPasswordDelimiter" : "/" // default delimiter is "/", but it can be changed
        }
      },
    ]

CyberArk - AIM

"SecureStoreConfigurations": [
      {
        "Key": "<MyCyberArk>",
        "Type": "CyberArk",
        "Context": {
          "ApplicationId": "<App_MyCyberArk>",
          "Safe": "<Passwords>",
          "Folder": "<MyFolder>"
        }
      },
    ]

CyberArk - CCP

"SecureStoreConfigurations": [
      {
        "Key": "<MyCyberArkCCPStore>",
        "Type": "CyberArkCCP",
        "Context": {
          "ApplicationId": "<ApplicationId>",
          "Safe": "<CyberArkSafe>",
          "Folder": "<CyberArkFolder>",
          "WebServiceUrl": "<CentralCredentialProviderUrl>",
          "WebServiceName": "<WebServiceName>",
          "SerializedClientCertificate": "<ClientCertificate>", // must be ".pfx" as base64
          "ClientCertificatePassword": "<ClientCertificatePassword>",
          "SerializedRootCA": "<someServerRootCA>" // must be ".crt" or ".cer" as base64
        }
      },
    ]

Com base em sua configuração de IIS, você pode precisar configurar adicional KeyStorageFlags" id="1"/> da seguinte forma:

"AppSettings": {
...
"Plugins.SecureStores.CyberArkCCP.KeyStorageFlags": "MachineKeySet",
...
}

HashiCorp Vault / HashiCorp Vault (somente leitura)

"SecureStoreConfigurations": [
      {
        "Key": "<MyHashiCorp>",
        "Type": "HashiCorp Vault" / "HashiCorp Vault (read only)",
        "Context": {
          "VaultUri": "<VaultUri>",
          "AuthenticationType": "<AppRole>",
          "RoleId": "<RoleId>",
          "SecretId": "<SecretId>",
          "Username": "<Username>",
          "Password": "<Password>",
          "Token": "<Token>",
          "SecretsEngine": "<KeyValueV2>",
          "SecretsEngineMountPath": "<Secret>",
          "DataPath": "<applications/orchestrator>",
          "Namespace": "<orchestrator>"
        }
      },
    ]

Thycotic Secret Server

"SecureStoreConfigurations": [
      {
        "Key": "<MyThicoticServer>",
        "Type": "Thycotic Secret Server",
        "Context": {
          "SecretServerUrl": "<ServerUrl>",
          "RuleName": "<Rule>",
          "RuleKey": "<Key>",
          "UsernameField": "<Username>",
          "PasswordField": "<Password>"
        }
      },
    ]

Vários armazenamentos de credenciais

Se você usar vários armazenamentos de credenciais, você pode adicioná-los um sob o outro, da seguinte forma:

{
...
  "AppSettings": {
  ...
    "SecureStoreConfigurations": [
      {
        "Key": "<SecureStoreKey1>",
        "Type": "AzureKeyVault (read only)",
        "Context": {
          "KeyVaultUri": "<Uri>",
          "DirectoryId": "<DirectoryId>",
          "ClientId": "<ClientId>",
          "ClientSecret": "<ClientSecret>"
        }
      },
      {
        "Key": "<SecureStoreKey2>",
        "Type": "BeyondTrust Password Safe - Managed Accounts",
        "Context": {
          "Hostname": "<Host>",
          "APIRegistrationKey": "<ApiKey>",
          "APIRunAsUsername": "<ApiUsername>",
          "DefaultManagedSystemName": "",
          "SystemAccountDelimiter": "/",
          "ManagedAccountType": "system"
        }
      }
    ]
  ...
  }
}

Validação

Importante:

Isso se aplica apenas ao Credentials Proxy desconectado.

O proxy valida a configuração na inicialização se o tipo que ele detecta for Disconnected" id="1"/>.

Essas são algumas das etapas de validação que são executadas:

• Isso garante que appsettings.Production.json" id="1"/> conhenha as configurações esperadas, como detalhado na seção Configuração acima.
• Isso garante que SecureStoreConfigurations" id="1"/> não contenha parâmetros duplicados Key" id="2"/>, ou seja, que os armazenamentos de credenciais configurados no arquivo appsettings.Production.json" id="3"/> sejam exclusivos.

• O parâmetro SecureStoreConfigurations" id="1"/> é uma matriz de configurações, o que significa que você pode adicionar quantos armazenamentos de credenciais quiser, inclusive do mesmo tipo. Por exemplo, você pode ter várias instâncias do Azure Key Vault (somente leitura) configuradas, desde que campo Key" id="2"/> seja exclusivo.

• Isso verifica se todos os valores Type" id="1"/> são válidos.

• Com base na implementação de cada armazenamento seguro, isso verifica se o cofre pode ser alcançado com sucesso.

Geração de logs

Os logs de Credentials Proxy do Orchestrator serão armazenados localmente, na pasta C:\Program Files\UiPath\OrchestratorCredentialsProxy, se o pool de aplicativos do proxy tiver permissões de gravação para esse caminho. Estes são configurados no IIS.

Se você não quiser conceder permissões de gravação a essa pasta, você pode fornecer um caminho relativo ou absoluto de sua escolha por meio do parâmetro NLog.targets.logfile.fileName em appsettings.Production.json.

Em máquinas Windows, o proxy também armazena logs no Visualizador de eventos do Windows.

Considerações de segurança

• O Orchestrator permite apenas URLs seguras (HTTPS) para o proxy. O certificado HTTPS deve ser válido e assinado por uma autoridade de certificação amplamente reconhecida. Certificados autoassinados ou assinados por uma autoridade interna não são suportados.
• O Orchestrator é validado por meio de um segredo do cliente gerado pelo Credentials Proxy do Orchestrator. O segredo do cliente é armazenado em um arquivo de configuração na máquina em que o Credentials Proxy do Orchestrator está instalado e é criptografado e armazenado no banco de dados pelo Orchestrator.
• Ao editar um proxy de armazenamento de credenciais no Orchestrator e alterar seu URL, você também precisa inserir o segredo do cliente.

• Orchestrator Credentials Proxy 2.0.0+ as ações são registradas em log no Visualizador de Eventos do Windows.

• Os binários devem ser assinados na máquina Windows.
• A imagem do Docker deve ser assinada.

Uso do Credentials Proxy do Orchestrator com um balanceador de carga

Você pode usar o proxy em combinação com um balanceador de carga, desde que você se certifique de manter a mesma configuração em todos os nós.

Elementos que devem permanecer idênticos entre os nós

• A versão do instalador de proxy. Por exemplo, se você usar a versão 1.0.0, todos os nós do balanceador de carga também precisarão usar a 1.0.0.
• As configurações nos arquivos de configuração do aplicativo. Na maioria dos casos, eles são appsettings.jsone appsettings.Production.json. Observe que appsettings.Production.json é exclusivo para cada instalação, então você deve adicioná-lo manualmente a cada nó para garantir a consistência.
• Os plug-ins de armazenamento de credenciais adicionados a path/plugins. Todos os plug-ins suportados por nós já estão nesta pasta, então você precisa principalmente estar atento a quaisquer plug-ins personalizados que você adicionar.

Fatores importantes a considerar

• Se você quiser fazer quaisquer alterações na configuração da imagem do Docker que fornecemos para a instalação do proxy, é altamente recomendável que você crie uma imagem personalizada do Docker. Você deve usar essa imagem personalizada para implantar o proxy em todos os nós.
• Algumas variáveis de ambiente, como aquelas que substituem valores de configuração appsettings.json ou aquelas que afetam o ambiente .NET, podem ter um impacto no runtime.
• Você pode usar o ponto de extremidade não autenticado dedicado https://cloud.uipath.com/{organizationName}/{tenantName}/orchestrator_/api/v1/Health para verificar se o Proxy Credentials do Orchestrator ainda está sendo executado.