Usando um certificado para o protocolo HTTPS

Configure um certificado para habilitar a comunicação HTTPS entre o Orchestrator e os robôs.

Solicitando um certificado SSL SAN da Autoridade Certificadora

Esta seção fornece uma explicação sobre como habilitar o protocolo HTTP para a comunicação entre o Orchestrator e os Robôs.

É preferível usar um certificado SSL de SAN enviado a uma Autoridade Certificadora em vez de um certificado autoassinado, pois nenhum certificado deve ser instalado em computadores com o UiPath Robot no primeiro caso. O certificado de SLL SAN emitido pela Autoridade Certificadora é confiável por todos os computadores no domínio.

Se a máquina primária do Orchestrator for registrada em um Active Directory que tenha uma Autoridade Certificadora local e uma política de registro automático, o usuário pode preencher uma solicitação de certificação, conforme descrito no seguinte procedimento.

1. Select the Windows and R keys, Enter certlm.msc , and Select OK to open the Certificates snap-in.
2. Right-Select the Personal node, select All Tasks, then Advanced Operations, and Create Custom Request. Select Next in the Before You Begin window.

Figura 1. Criar solicitação personalizada

3. In the Select Certificate Enrollment Policy window, choose Active Directory Enrollment Policy, and Select Next.
4. Na janela Solicitação Personalizada, selecione um modelo de certificado designado para uso do servidor da Web. Ele deve ser chamado Servidor da Web ou Web.SAN. Se nenhum modelo for definido, escolha (Sem modelo) Chave Legada. Então, selecione PKCS #10 como seu formato de solicitação.

Figura 2. Janela de solicitação personalizada

5. In the Certificate Information window, Select on the Details button corresponding to your request, and then select Properties to open the Certificate Properties window and customize the certificate request.

Figura 3. Informações de certificado

6. Personalize as informações na aba Assunto, conforme descrito abaixo:

   1. In the Subject name section, go to Type, and select Common Name from the drop-down menu. In the Value field, Enter the fully qualified domain name (FQDN) of the machine, e.g. myhost.domain.local. Then Select Add.

   2. In the Alternative name section, go to Type, and select DNS from the drop-down menu. In the Value field, Enter the machine's FQDN (the same as in step 6.1.). Then Select Add.

   3. Se o Orchestrator for instalado em vários nós, você precisa adicionar todos esses FQDNs, conforme descrito na etapa 6.2. Adicione também o FQDN do balanceador de carga.

Figura 4. Guia Assunto

7. Personalize as informações na aba Chave Privada conforme descrito abaixo:

   1. Na caixa Provedor de Serviço Criptográfico , acesse Selecionar provedor de serviço criptográfico (CSP) e marque Provedor criptográfico do Microsoft RSA SChannel (Criptografia).

   Figura 5. Chave privada

   

   2. Na seção Opções de Chave , certifique-se de que o Tamanho da Chave esteja definido como pelo menos 2048 e Tornar a chave privada exportável esteja marcado.

   Figura 6. Tamanho da chave

   

   3. Na seção Tipo de Chave, certifique-se de que o Uso de chave esteja definido como Exchange.

   Figura 7. Tipo de chave

   

8. Select OK in the configuration window and Next in the Certificate Information screen.

9. Na tela Onde você deseja salvar sua solicitação off-line? indique um caminho de arquivo e nome de arquivo da sua escolha, por exemplo, C:\Users\YourUser\Documents\sslRequest.req, e selecione Base 64 como seu formato de arquivo.

Figura 8. Nome do arquivo e formato

10. Após a Autoridade Certificadora aceitar a solicitação de inscrição, o certificado estará visível no Armazenamento pessoal.

    Importante:

    Se a empresa tiver um procedimento/modelo padrão para a obtenção do certificado, o usuário deve fazer referência a esse procedimento. Para outros ambientes (por exemplo, sem a política de registro automático), você ainda pode usar este documento como referência para os parâmetros de certificado.

Criando um Certificado SSL SAN Autoassinado

Se você precisar criar um certificado SSL rapidamente, apenas para fins de testes, você pode criar um certificado SSL SAN autoassinado.

Importante:

Se sua máquina do Orchestrator estiver executando o Windows Server 2012 R2, uma solução alternativa é necessária para criar um certificado SSL SAN autoassinado. Consulte Criando um Certificado SSL SAN Autoassinado em uma Máquina do Orchestrator do Windows Server 2012 R2 para obter mais detalhes.

Criando um Certificado SSL Autoassinado na Máquina Primária do Orchestrator

Abra um console do PowerShell como administrador e emita os seguintes comandos. Não se esqueça de personalizar os valores de acordo com seu ambiente.

$ssc = New-SelfSignedCertificate -FriendlyName "TestingCertificate" -DnsName "loadbalancer.domain.local","node1.domain.local","node2.domain.local"
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store( "Root", "LocalMachine")
$store.Open("MaxAllowed")
$store.Add($ssc)
$pass = ConvertTo-SecureString -String "myPass" -Force -AsPlainText
Export-PfxCertificate -Cert $ssc -FilePath "C:\temp\testingCertificate.pfx" -Password $pass

Os comandos acima também exportam o arquivo C:\temp\testingCertificate.pfx para uso posterior.

Depois que o certificado for criado, certifique-se de que:

• Se ApplicationPoolIdentity for usado, no console de certificados, navegue até Pessoal > Certificados. Em seguida, clique com o botão direito do mouse em seu certificado pessoal do Orchestrator, selecione Todas as tarefas > Gerenciar chaves privadas e dê permissões completas ao IIS AppPool\Identity e IIS_IUSRS.
• Se uma conta personalizada for usada, no console de certificados, navegue até Pessoal > Certificados. Em seguida, clique com o botão direito do mouse em seu certificado pessoal do Orchestrator, selecione Todas as tarefas > Gerenciar chaves privadas e dê permissões completas ao usuário personalizado definido no Pool de aplicativos do Orchestrator.
  Observação:

  IIS AppPool\Identity e IIS_IUSRS são grupos locais e devem ser pesquisados em máquina local, não em domínio.

Importando o Certificado Autoassinado de SAN para Outras Máquinas

Para disponibilizar o certificado autoassinado, em outras máquinas (nós do Orchestrator secundário/máquinas com UiPath Robot), abra um console do PowerShell como administrador e emita os seguintes comandos.

$pass = ConvertTo-SecureString -String "myPass" -Force -AsPlainText
$imported = Import-PfxCertificate -FilePath "C:\temp\testingCertificate.pfx" -CertStoreLocation Cert:\LocalMachine\My\ -Exportable -Password $pass
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store( "Root", "LocalMachine")
$store.Open("MaxAllowed")
$store.Add($imported)

Firefox — Permitindo Exceções

O Firefox lida com o processo de forma um pouco diferente, pois não lê as informações do certificado no armazenamento do Windows. Ao invés de instalar certificados, permite que você defina exceções para certificados SSL em sites específicos.

Quando você visita um site que tenha um erro de certificado, a mensagem de aviso na captura de tela abaixo é exibida. A URL que você está tentando acessar é exibida na área azul. Para criar uma exceção para ignorar esse aviso nessa URL específica:

1. Select the Add Exception button. The Add Security Exception window is displayed.

Figura 9. Adicionando exceções

2. In the Add Security Exception window, Select Confirm Security Exception to configure this exception locally.

Figura 10. Adicionando exceções de segurança

Observação:

Se um site específico redirecionar para subdomínios dentro de si, você pode obter várias solicitações de aviso de segurança com URLs ligeiramente diferentes a cada vez. Adicione exceções para essas URLs seguindo as etapas acima.

Certificados de solução de problemas

Caso você encontre problemas para usar um certificado com UiPathOrchestrator.msi (durante a instalação ou a atualização), é aqui que você pode iniciar sua solução de problemas:

No Painel de Controle:

1. Open Manage Computer Certificates -> Personal -> Certificates. Identify your certificate and double-Select it. In the General tab there should information about its validity.
2. Em uma linha de comando, execute o seguinte comando para diagnosticar o certificado: certutil -v -verifystore My <certificateThumbprint>- seu resumo está na parte final dos dados resultantes.
   Observação:

   Você pode encontrar a impressão digital do seu certificado na aba Detalhes descrita na Etapa 1.

Erro Interno do Servidor

Um erro interno do servidor pode ocorrer se o certificado não tiver as permissões apropriadas definidas. Execute o seguinte como Administrador para conceder as permissões necessárias:

import-module WebAdministration
$siteName = 'UiPath Orchestrator'
$binding = (Get-ChildItem -Path IIS:\SSLBindings | Where Sites -eq $siteName)[0]
$certLoc = "cert:\LocalMachine\MY\$($binding.Thumbprint)"
$cert = Get-Item $certLoc
$keyPath = $env:ProgramData + "\Microsoft\Crypto\RSA\MachineKeys\"
$keyName = $cert.PrivateKey.CspKeyContainerInfo.UniqueKeyContainerName
$keyFullPath = $keyPath + $keyName
$acl = (Get-Item $keyFullPath).GetAccessControl('Access')
$permission="IIS_IUSRS","Full","Allow"
$accessRule = New-Object -TypeName System.Security.AccessControl.FileSystemAccessRule -ArgumentList $permission
$acl.AddAccessRule($accessRule)
Set-Acl -Path $keyFullPath -AclObject $acl

Após executar o script, certifique-se de que:

• Se ApplicationPoolIdentity for usado, no console de certificados, navegue até Pessoal > Certificados. Em seguida, clique com o botão direito do mouse em seu certificado pessoal do Orchestrator, selecione Todas as tarefas > Gerenciar chaves privadas e dê permissões completas ao IIS AppPool\Identity e IIS_IUSRS.
• Se uma conta personalizada for usada, no console de certificados, navegue até Pessoal > Certificados. Em seguida, clique com o botão direito do mouse em seu certificado pessoal do Orchestrator, selecione Todas as tarefas > Gerenciar chaves privadas e dê permissões completas ao usuário personalizado definido no Pool de aplicativos do Orchestrator.
  Observação:

  IIS AppPool\Identity e IIS_IUSRS são grupos locais e devem ser pesquisados em máquina local, não em domínio.

Erro de Certificado do Insights

Se você estiver encontrando erros ao tentar alterar seu certificado do Insights, certifique-se de seguir as instruções fornecidas na Atualização do Certificado do Insights.

Erro de certificado de navegadores baseados no Chromium

Se um erro de certificado ocorrer ao usar navegadores baseados no Chromium, crie um certificado autoassinado com uma assinatura digital da seguinte forma:

1. Abra um console do PowerShell como administrador e emita os seguintes comandos. Não se esqueça de personalizar os valores de acordo com seu ambiente.

   $cert = New-SelfSignedCertificate -FriendlyName "MyServerSSL" -DnsName “example01” -CertStoreLocation "cert:\LocalMachine\My" -KeyUsage DigitalSignature,KeyEncipherment,DataEncipherment -KeyAlgorithm RSA -HashAlgorithm SHA256 -KeyLength 2048 -KeyUsageProperty All -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" -NotAfter (Get-Date).AddYears(5)
   $pwd = 'p@ssw0rd'
   $SSpwd = ConvertTo-SecureString -String $pwd -Force -AsPlainText
   Export-PfxCertificate -Cert "Cert:\LocalMachine\My\$($cert.Thumbprint)" -FilePath custom_cert.pfx -Password $SSpwd
   Export-Certificate -Cert "Cert:\LocalMachine\My\$($cert.Thumbprint)" -FilePath custom_public.cer
   

   Observação:

   Os comandos também exportam o arquivo .pfx para uso posterior.

2. Depois que o certificado for criado, você também deve levar em consideração os seguintes cenários:
   • Se o ApplicationPoolIdentity for usado:
     • No console de certificados, acesse Pessoal, em seguida, Certificados.
     • Clique com o botão direito do mouse no seu certificado pessoal do Orchestrator, selecione Todas as tarefas e, em seguida, Gerenciar chaves privadas.
     • Dê permissões completas para o IIS AppPool\Identity e o IIS_IUSRS.
   • Se uma conta personalizada for usada:
     • No console de certificados, navegue até Pessoal e, em seguida, atéCertificados.
     • Clique com o botão direito do mouse no seu certificado pessoal do Orchestrator, selecione Todas as tarefas e, em seguida, Gerenciar chaves privadas.
     • Dê permissões completas ao usuário personalizado que é definido no Pool de Aplicativos do Orchestrator.
   Observação:

   IIS AppPool\Identity e IIS_IUSRS são grupos locais e devem ser pesquisados em máquina local, não em domínio.