Scripts de Identity Server

Publicar no Identity Server

A tabela a seguir descreve todos os parâmetros que você pode usar com o script Publish-IdentityServer.ps1.

Parâmetro	Description
`-action`	Obrigatório. Indica o tipo de cenário que você deseja iniciar. As seguintes opções estão disponíveis: `Deploy` - especifica que é uma instalação limpa. `Update`- especifica que você está atualizando sua instância de Identity Server.
`-azureAccountApplicationId`	Obrigatório. O ID principal do serviço do Azure. Observe que o principal de serviço usado precisa ser atribuído à função Colaborador para o serviço do aplicativo no escopo de assinatura.
`-azureAccountPassword`	Obrigatório. O token de acesso do Azure para o ID principal do serviço.
`-azureSubscriptionId`	Obrigatório. O ID de assinatura do Azure para o Serviço de Aplicativo que hospeda o Orchestrator.
`-azureAccountTenantId`	Obrigatório. O ID de tenant do Azure.
`-orchestratorUrl`	Obrigatório. O URL da instância do Orchestrator.
`-identityServerUrl`	Obrigatório. A URL do Identity Server. Importante: o URL deve conter o endereço do Identity Server + o sufixo `/identity` em letras minúsculas. Exemplo: `https://[identity_server]/identity`
`-resourceCatalogUrl`	Obrigatório. A URL do catálogo de recursos.
`-orchDetails`	Esse parâmetro é uma tabela de hash que contém os seguintes valores: `resourceGroupName` — obrigatório. O nome do Grupo de Recursos do Azure que contém o Serviço de Apps do Orchestrator. `appServiceName` — obrigatório. O nome do Serviço de App do Azure via Orchestrator. `targetSlot` — obrigatório. O slot do Serviço do Aplicativo de Destino definido pelo Azure.
`-identityServerDetails`	Esse parâmetro é uma tabela de hash que contém os seguintes valores: `resourceGroupName` — obrigatório. O nome do Grupo de Recursos do Azure que contém o Serviço de Aplicativo do Identity Server. `appServiceName` — obrigatório. O nome do Serviço de Aplicativo do Azure do Identity Server. `targetSlot` — obrigatório. O slot do Serviço do Aplicativo de Destino definido pelo Azure.
`-package`	Obrigatório. Indique o caminho completo ou o caminho relativo do arquivamento `UiPath.IdentityServer.Web.zip`.
`-cliPackage`	Obrigatório. Indique o caminho completo ou o caminho relativo do arquivamento `UiPath.IdentityServer.Migrator.Cli.zip`.
`-productionSlotName`	Opcional. Ele pode ser usado apenas se o slot de implantação do Serviço de Aplicativo do Identity Server for diferente do slot de Serviço de Aplicativo de produção padrão definido pelo Azure.
`-stopApplicationBeforePublish`	Opcional. Se presente, ele interrompe a aplicação antes da implantação e reinicia após a conclusão da implantação.
`-unattended`	Opcional. Se presente, a implantação continua sem qualquer confirmação do usuário.
`-tmpDirectory`	Opcional. Permite a especificação de um diretório em que os arquivos necessários são baixados e descompactados.
`-noAzureAuthentication`	Opcional. Permite publicar no Serviço de aplicativo do Azure usando sua própria identidade de usuário, sem ter que criar uma entidade de serviço. Se esse parâmetro for usado, o conjunto de parâmetros `UseServicePrincipal` (que inclui itens como a ID do aplicativo do Azure, senha, ID de assinatura e ID de tenant) não é mais necessário.

O script Publish-IdentityServer.ps1 é usado para a implantação inicial ou atualização do Identity Server. O script pressupõe que o aplicativo da Web já tenha a string de conexão do banco de dados DefaultConnection configurada.

.\Publish-IdentityServer.ps1 `
    -action Deploy `
    -orchestratorUrl "<orchestrator_address>" `
    -identityServerUrl "https://<identity_server_url>/identity" ` // must be in lowercase
    -resourceCatalogUrl "<resource_catalog_address>" `
    -orchDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>";  targetSlot = "Production" } `
    -identityServerDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>"; targetSlot = "Production" } `
    -azureSubscriptionId "<subscription_id>" `
    -azureAccountTenantId "<azure_tenant_id>" `
    -azureAccountApplicationId "<azure_application_id>" `
    -azureAccountPassword "<azure_account_password>" `
    -package "UiPath.IdentityServer.Web.zip" `
    -cliPackage "UiPath.IdentityServer.Migrator.Cli.zip" `
    -stopApplicationBeforePublish `
    -unattended.\Publish-IdentityServer.ps1 `
    -action Deploy `
    -orchestratorUrl "<orchestrator_address>" `
    -identityServerUrl "https://<identity_server_url>/identity" ` // must be in lowercase
    -resourceCatalogUrl "<resource_catalog_address>" `
    -orchDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>";  targetSlot = "Production" } `
    -identityServerDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>"; targetSlot = "Production" } `
    -azureSubscriptionId "<subscription_id>" `
    -azureAccountTenantId "<azure_tenant_id>" `
    -azureAccountApplicationId "<azure_application_id>" `
    -azureAccountPassword "<azure_account_password>" `
    -package "UiPath.IdentityServer.Web.zip" `
    -cliPackage "UiPath.IdentityServer.Migrator.Cli.zip" `
    -stopApplicationBeforePublish `
    -unattended

Importante: Após executar o script acima, certifique-se de executar as etapas extras listadas abaixo para uma implantação inicial bem-sucedida.

Após publicar o Identity Server, execute as seguintes etapas:

Acesse o Portal do Azure.
Selecione seu Serviço de Aplicativo do Identity Server.
No menu Certificados, acesse Trazer seus próprios certificados.
Carregue um arquivo de certificado de chave privada .pfx com uma senha válida.

Observação: Esse certificado é usado para assinar os tokens de acesso e os tokens de ID.

No menu Configuração, adicione as seguintes configurações de aplicativo exatamente como escrito na coluna Configurações do Aplicativo:

Configuração de aplicativos	Valor	Description
`AppSettings__IdentityServerAddress`	https://[identity_server]/identity	O URL pública do Identity Server. Importante: o URL deve conter o endereço do Identity Server + o sufixo `/identity` em minúsculas.
`AppSettings__SigningCredentialSettings__StoreLocation__Location`	Usuário atual	Ela deve apontar para CurrentUser.
`AppSettings__SigningCredentialSettings__StoreLocation__Name`	XXXXXXXXXXXXXXXXXXXXXXXXXXXX	A impressão digital do seu certificado que você carregou anteriormente.
`AppSettings__SigningCredentialSettings__StoreLocation__NameType`	`Thumbprint`	Insira `Thumbprint` como o tipo do campo anterior.
`AppSettings__LoadBalancerSettings__RedisConnectionString`	`XXXXXXXXXXXX:XXXX,password=XXXXXX`	A string de conexão necessária para configurar seu servidor do Redis, que contém o URL do servidor, a senha e a porta. Você também pode habilitar as conexões criptografadas por SSL entre os nós do Orchestrator e o serviço do Redis.
`AppSettings__LoadBalancerSettings__SlidingExpirationTimeInSeconds`	Número de segundos	O tempo de expiração de deslizamento de um item dentro do cache. Esse tempo de expiração aplica-se ao Cache do Redis e ao Cache InMemory.
`AppSettings__RedisSettings__UseRedisStoreCache`	`true`/`false`	Defina seu valor como `true` para habilitar o cache do Redis dos dados do cliente OAuth. Isso ajuda a evitar problemas de desempenho ao usar o Logon Interativo para conectar um grande número de robôs em um curto período. Este cache usa a mesma string de conexão do Redis especificada na `AppSettings__LoadBalancerSettings`. Observação: não é recomendável se você estiver usando a funcionalidade de Aplicativos Externos, pois essa configuração vincula clientes e as atualizações para Aplicativos Externos não serão refletidas.
`AppSettings__RedisSettings__UseRedisStoreClientCache`	`true`/`false`	Defina seu valor como verdadeiro para habilitar o cache do Redis para clientes da primeira parte (aplicativos do UiPath) ou clientes de terceira parte (aplicativos externos). Se você tiver uma implantação em larga escala, recomenda-se habilitar essa sinalização.
`App__Saml2ValidCertificateOnly`	`true`/`false`	Para implantações do Orchestrator por meio de um aplicativo web do Azure, esse parâmetro deve ser definido para `false`. Isso ocorre porque o SAML2 requer que sejam adicionados certificados ao seu armazenamento de confiança, mas os aplicativos web do Azure não permitem essa ação. Definir o valor para `false` significa que a verificação do certificado é ignorada.
`WEBSITE_LOAD_CERTIFICATES`	XXXXXXXXXXXXXXXXXXXXXXXXXXXX	O valor da impressão digital do seu certificado que você carregou anteriormente.
`WEBSITE_LOAD_USER_PROFILE`	1	O perfil do usuário.
`-azureUSGovernmentLogin`	Opcional. Este parâmetro é usado apenas para implantações do Governo dos EUA.

Salve as alterações.

Veja mais detalhes na documentação do Microsoft Azure.

Substituição do certificado de chave privada

Ao substituir um certificado de chave privada por um novo, certifique-se de seguir estas etapas:

Substitua os valores dos parâmetros AppSettings__SigningCredentialSettings__StoreLocation__Name e WEBSITE_LOAD_CERTIFICATES pela impressão digital do novo certificado.
Reinicie o serviço do aplicativo Identity.
Reinicie o serviço do aplicativo do Orchestrator.

Migrar para o Identity Server

A seguinte tabela descreve todos os parâmetros que podem ser usados com a MigrateTo-IdentityServer.ps1.

Parâmetro	Description
`-cliPackage`	Obrigatório. Indique o caminho completo ou o caminho relativo do arquivamento `UiPath.IdentityServer.Migrator.Cli.zip`.
`-azureDetails`	Esse parâmetro é uma tabela de hash que contém os seguintes valores: `azureAccountApplicationId` - Obrigatório. O ID principal do serviço do Azure. Observe que o principal de serviço usado precisa ser atribuído à função Colaborador para o serviço do aplicativo no escopo de assinatura. `azureSubscriptionId` — obrigatório. O ID de assinatura do Azure para o Serviço de Aplicativo que hospeda o Orchestrator. `azureAccountTenantId` — obrigatório. O ID de tenant do Azure. `azureAccountPassword` — obrigatório. O token de acesso do Azure para o ID principal do serviço.
`-orchDetails`	Esse parâmetro é uma tabela de hash que contém os seguintes valores: `resourceGroupName` — obrigatório. O nome do Grupo de Recursos do Azure que contém o Serviço de Apps do Orchestrator. `appServiceName` — obrigatório. O nome do Serviço de App do Azure via Orchestrator. `targetSlot` — obrigatório. O slot do Serviço do Aplicativo de Destino definido pelo Azure.
`-identityServerDetails`	Esse parâmetro é uma tabela de hash que contém os seguintes valores: `resourceGroupName` — obrigatório. O nome do Grupo de Recursos do Azure que contém o Serviço de Aplicativo do Identity Server. `appServiceName` — obrigatório. O nome do Serviço de Aplicativo do Azure do Identity Server. `targetSlot` — obrigatório. O slot do Serviço do Aplicativo de Destino definido pelo Azure.
`-identityServerUrl`	Obrigatório. O endereço público do Identity Server. Importante: o URL deve conter o endereço do Identity Server + o sufixo `/identity` em minúsculas. Exemplo: `https://[identity_server]/identity`
`-orchestratorUrl`	Obrigatório. O endereço público do Orchestrator.
`-tmpDirectory`	Opcional. Permite a especificação de um diretório em que os arquivos necessários são baixados e descompactados.
`-hostAdminPassword`	Obrigatório apenas para novas implantações, quando `-action` está definido como `Deploy`. Especifique uma senha personalizada para o administrador do host. Observe que as senhas devem ter pelo menos 8 caracteres, pelo menos um caractere minúsculo e pelo menos um número.
`-isHostPassOneTime`	Opcional. Permite que você imponha uma redefinição de senha no primeiro logon para o administrador do host. Se este parâmetro for omitido, a senha de administrador do host não será uma senha de uma só vez.
`-defaultTenantAdminPassword`	Obrigatório apenas para novas implantações, quando `-action` está definido como `Deploy`. Especifique uma senha personalizada para o administrador padrão do tenant. Observe que as senhas devem ter pelo menos 8 caracteres, pelo menos um caractere minúsculo e pelo menos um número.
`-isDefaultTenantPassOneTime`	Opcional. Permite que você imponha uma redefinição de senha no primeiro logon para o administrador padrão do tenant. Se este parâmetro for omitido, a senha de administrador do tenant não será uma senha de uma só vez.
`-noAzureAuthentication`	Opcional. Permite publicar no Serviço de aplicativo do Azure usando sua própria identidade de usuário, sem ter que criar uma entidade de serviço. Se esse parâmetro for usado, o conjunto de parâmetros `UseServicePrincipal` (que inclui itens como a ID do aplicativo do Azure, senha, ID de assinatura e ID de tenant) não é mais necessário.

O script MigrateTo-IdentityServer.ps1 é usado para migrar dados do usuário do Orchestrator para o Identity Server e definir as configurações para ambos. Ele define a autoridade de identidade do Orchestrator para o Identity Server e cria a configuração do cliente para o Orchestrator no Identity Server.

O script pressupõe que o Orchestrator e o Identity Server já estejam publicados.

.\MigrateTo-IdentityServer.ps1 `
    -cliPackage "UiPath.IdentityServer.Migrator.Cli.zip" `
    -azureDetails @{azureSubscriptionId = "<subscription_id>"; azureAccountTenantId = "<azure_tenant_id>"; azureAccountApplicationId = "<azure_application_id>"; azureAccountPassword = "<azure_account_password>" } `
    -orchDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>";  targetSlot = "Production" } `
    -identityServerDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>"; targetSlot = "Production" } `
    -identityServerUrl "https://<identity_server_url>/identity" ` // must be in lowercase
    -orchestratorUrl "https://<OrchestratorURL>" `
    -hostAdminPassword "12345qwert" `
    -defaultTenantAdminPassword "12345qwert".\MigrateTo-IdentityServer.ps1 `
    -cliPackage "UiPath.IdentityServer.Migrator.Cli.zip" `
    -azureDetails @{azureSubscriptionId = "<subscription_id>"; azureAccountTenantId = "<azure_tenant_id>"; azureAccountApplicationId = "<azure_application_id>"; azureAccountPassword = "<azure_account_password>" } `
    -orchDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>";  targetSlot = "Production" } `
    -identityServerDetails @{ resourceGroupName = "<resourcegroup_name>"; appServiceName = "<appservice_name>"; targetSlot = "Production" } `
    -identityServerUrl "https://<identity_server_url>/identity" ` // must be in lowercase
    -orchestratorUrl "https://<OrchestratorURL>" `
    -hostAdminPassword "12345qwert" `
    -defaultTenantAdminPassword "12345qwert"