Sobre o Identity Server

O UiPath® Identity Server é o serviço de autenticação do Orchestrator independente.Ele fornece autenticação segura e emissão de tokens para o Orchestrator e seus portais de gerenciamento. O Identity Server implementa os padrões OAuth 2.0 e OpenID Connect e integra-se a sistemas de identidade empresariais, como o Active Directory.Consulte o diagrama a seguir para entender como o Identity Server opera no Orchestrator independente.

Figura 1. Diagrama do Identity Server

Função dentro do Orchestrator

O Identity Server é responsável por:

• Autenticação de usuários e aplicativos que acessam o Orchestrator
• Emissão de tokens de acesso e identidade
• Suporte a fluxos de OAuth 2.0 e OpenID Connect
• Integração com provedores de identidade externos (por exemplo, Active Directory, provedores de SAML)
• Habilitação de login único (SSO)
• Proteção da comunicação entre o Orchestrator e o Portal de gerenciamento de identidades

O Orchestrator e seus portais de gerenciamento dependem do Identity Server para autenticação.

Fluxo de autenticação no Orchestrator

1. Autenticação do usuário

Quando um usuário acessa o Orchestrator ou o Portal de gerenciamento de identidades:

• A solicitação é redirecionada para o Identity Server.
• O Identity Server valida o usuário em relação a:
  • Contas locais ou
  • Provedores de identidade externos (por exemplo, Active Directory, SAML).
• Após a autenticação bem-sucedida, o Identity Server emite um token de segurança.

2. Acesso baseado em tokens

Após a autenticação:

• Um token de acesso OAuth é emitido.
• O token acompanha solicitações subsequentes ao Orchestrator.
• O Orchestrator valida o token.
• As funções e permissões determinam a autorização. O Identity Server lida com a autenticação. O Orchestrator impõe a autorização.

Integração do Active Directory e do Kerberos

Em ambientes associados a domínio, o Orchestrator independente oferece suporte à autenticação baseada em Kerberos:

• O cliente resolve o nome do host do Orchestrator usando DNS.
• O cliente obtém um Tíquete de Concessão de Tíquete Kerberos (TGT) do Active Directory.
• O cliente solicita um tíquete de serviço para o Nome de Entidade de Serviço (SPN) configurado.
• O servidor web IIS valida o tíquete do Kerberos.
• O Identity Server processa a identidade autenticada e emite um token de plataforma.

Isso permite o login único contínuo em ambientes Windows empresariais.

Considerações sobre alta disponibilidade

Em implantações de vários nós:

• O Identity Server funciona em vários nós por trás de um balanceador de carga.
• Os clientes acessam o Orchestrator e o Identity Server por meio de um nome de host de balanceador de carga compartilhado.
• O Redis é usado para armazenar em cache dados do cliente OAuth e o estado da sessão em todos os nós, garantindo autenticação consistente em todo o cluster.
• O Nome da Entidade de Serviço (SPN) deve corresponder ao nome do host do balanceador de carga quando o Kerberos é usado.
• Ao alterar de uma configuração de nó único para uma de vários nós, o URL público do Identity Server deve ser atualizado no banco de dados e no arquivo UiPath.Orchestrator.dll.config.

Autenticação de aplicativo externo

O Orchestrator é compatível com acesso seguro para:

• Aplicativos Externos
• Integrações de API
• Comunicação entre robô e Orchestrator

Os aplicativos se autenticam usando fluxos de OAuth compatíveis (como ROPC) e recebem tokens do Identity Server.

Modelo de segurança

O Orchestrator autônomo usa um modelo de autenticação centralizado:

• O Identity Server realiza a autenticação.
• O Orchestrator impõe a autorização.
• O acesso baseado em tokens protege APIs e a interface gráfica do Orchestrator.
• A integração com provedores de identidade externos (Active Directory, SAML) é compatível com requisitos de segurança empresarial.