Configuração de chave de criptografia por tenant

É possível usar o Microsoft Azure Key Vault para criptografar cada tenant na sua instância do Orchestrator com sua própria chave exclusiva. O Orchestrator usa o Key Vault para armazenar e gerenciar as chaves de uma maneira segura, garantindo uma melhor segregação de seus dados entre tenants.

O Orchestrator instalado no Microsoft Azure ou localmente pode aproveitar essa funcionalidade. No entanto, esta última opção requer que você conecte a instância do Orchestrator à Internet e ao Azure Key Vault.

Visão geral

É necessária a autenticação do Orchestrator para usar o Azure Key Vault por meio dos Registros de aplicativos. Os Registros de aplicativos podem conceder uma série de privilégios para os aplicativos. No nosso caso, o Orchestrator é o aplicativo, e o Azure Key Vault é o privilégio de destino.

Primeiro, você precisa configurar o acesso dos Registros de aplicativos ao Azure Key Vault. A autenticação do Orchestrator com Registros de aplicativos é possível usando a chave privada SSL disponível no armazenamento de certificados do Orchestrator e a chave pública SSL carregada nos Registros de aplicativos. Após configurar os Registros de aplicativos e o Key Vault, você precisa fazer algumas alterações no arquivo de configuração do Orchestrator. Após esses critérios terem sido atendidos, o Orchestrator poderá usar o Azure Key Vault para criptografar cada tenant.

Pré-requisitos

• Seu próprio Microsoft Azure Key Vault
• Uma instalação limpa do Orchestrator

• Um certificado SSL válido para sua instância do Orchestrator:

  • Certificado de chave privada - Precisa ser carregado em Serviços de aplicativos > Configurações SSL > Certificados de chave privada e importados na(s) máquina(s) na(s) qual(is) o Orchestrator está instalado. Lembre-se de que o domínio no qual o certificado foi gerado e instalado tem que corresponder ao domínio do usuário no qual você executa o Orchestrator.
  • Certificado de chave pública - Precisa ser carregado em Registros de aplicativos > Configurações > Chaves > Chaves públicas

• (Opcional) Um certificado autoassinado

  Observação: As chaves de criptografia não devem ser editadas no lado do Azure Key Vault pelos usuários, como habilitar/desabilitar os segredos ou editar a data de ativação e a data de expiração. Se um segredo estiver desabilitado, os dados armazenados pelo Orchestrator para esse tenant não serão mais descriptografados.

Etapas dos Registros de aplicativos

No painel Registros de aplicativos do Portal do Azure, siga estas etapas:

1. Crie um novo registro do aplicativo.
2. Copie o ID do aplicativo (cliente) para uso posterior.
3. Acesse Gerenciar > Certificados e segredos e carregue a chave do certificado SSL pública mencionada no pré-requisito.
4. Copie a Impressão digital desse certificado para uso posterior.

Etapas do armazenamento de credenciais

Se você executar o Orchestrator em uma Identidade do Pool de aplicativos, execute as seguintes etapas:

1. Importe o certificado da chave privada SSL para o armazenamento de certificados pessoais da máquina local.
2. Dê acesso à Identidade do Pool de Aplicativos à chave privada. As seguintes etapas explicam como fazer isso:
3. Abra o MMC.
4. Acesse Arquivo > Adicionar/remover snap-in.
5. Selecione Certificados e clique em Adicionar > Conta de computador > Computador local.
6. Clique em OK.
7. Navegue até Certificados (computador local) > Pessoal > Certificados, clique em Concluir e, depois, em OK.
8. Na janela principal do MMC, clique com o botão direito do mouse no certificado no qual você está interessado e, depois, selecione Todas as tarefas > Gerenciar chave privada.
9. Clique no botão Adicionar.
10. No campo Inserir os nomes dos objetos para selecionar, insira IIS AppPool\<AppPoolName>. Exemplo: IIS AppPool\UiPath Orchestrator.
11. Conceda o controle total.

Se você executar o Orchestrator em uma conta personalizada, siga a seguinte etapa:

1. Importe o certificado de chave privada SSL mencionado nos pré-requisitos para o armazenamento de certificados pessoais do usuário que está executando o processo do Orchestrator.

Se seu Orchestrator for uma instalação de Serviço de Aplicativo do Azure, siga a seguinte etapa:

1. Importe o certificado de chave privada SSL mencionado nos pré-requisitos para o Serviço de Aplicativo do Orchestrator > Configurações do SSL > Certificados de chave privada.

Etapas do Azure Key Vault

No Azure Key Vault, faça o seguinte:

1. Acesse a página Visão geral dos Key Vaults e copie o nome do DNS para uso posterior.
2. Acesse a página Key Vaults e selecione Configurações > Políticas de acesso.
3. Clique em Adicionar política de acesso.
4. No menu suspenso Configurar a partir do modelo (opcional), selecione Gerenciamento de chaves, segredos e certificados.
5. Clique em Nenhum selecionado na seção Aplicativo autorizado para habilitar o campo Selecionar principal.
6. Insira o nome do registro do aplicativo, confirm se o ID do aplicativo está correto e selecione esse principal.
7. Clique em Adicionar.
   
   

   

   
   

Etapas do UiPath.Orchestrator.dll.config

Faça as seguintes alterações no arquivo UiPath.Orchestrator.dll.config do Orchestrator:

1. Abra o arquivo UiPath.Orchestrator.dll.config da sua instância do Orchestrator.
2. Na seção AppSettings, faça o seguinte:
   1. Defina o parâmetro Database.EnableAutomaticMigrations como true. Caso contrário, todas as alterações subsequentes no UiPath.Orchestrator.dll.config não entrarão em vigor.
   2. Defina EncryptionKeyPerTenant.Enabled como true.
   3. Defina EncryptionKeyPerTenant.KeyProvider como AzureKeyVault.
   4. Para o Orchestrator usando a Identidade do Pool de Aplicativos, defina CertificatesStoreLocation como LocalMachine.
3. Na seção secureAppSettings, faça o seguinte:
   1. Remova ou comente a chave EncryptionKey.
   2. Copie o ID do aplicativo de entrada (cliente) da página Registros de aplicativos e forneça-o como um valor para o parâmetro Azure.KeyVault.ClientId. Exemplo: <add key="Azure.KeyVault.ClientId" value="ae11aa1a-1234-1234-a123-a12a12aaa1aa" />.
      
      
      
      
   3. Copie o ID do diretório (tenant) da sua organização da página Registros de aplicativos e forneça-o como um valor para o parâmetro Azure.KeyVault.DirectoryId. Exemplo: <add key="Azure.KeyVault.DirectoryId" value="d8353d2a-b153-4d17-8827-902c51f72357" />.
   4. Copie a Impressão digital da página Registros de aplicativos e forneça-a como um valor para o parâmetro Azure.KeyVault.CertificateThumbprint. Exemplo: <add key="Azure.KeyVault.CertificateThumbprint" value="1234123412341234123412341234124312341234" />.
   5. Copie o Nome do DNS da página Visão geral dos Key Vaults e forneça-o como um valor para o Azure.KeyVault.VaultAddress parâmetro. Exemplo: <add key="Azure.KeyVault.VaultAddress" value="https://CustomVaultName.vault.azure.net/" />.