具有客户管理的密钥的 ALE

警告：

启用此功能会对数据访问产生严重影响。如果出现关键问题，您可能会失去对数据的访问权限。

下表描述了常见的问题场景及其解决方案。

场景	解决方案
用于访问 Azure 密钥保险库 (AKV) 的凭据已过期或已删除。	如果您仍然可以使用电子邮件和密码（非 SSO）登录… …如果您 是 组织管理员，则可以在组织“ 管理员 ”页面的“ 加密 ”部分更新您的凭据。 …如果您 不是 组织管理员，可以通过支持工单申请提升为管理员角色；然后，您可以在组织“ 管理员 ”页面的“ 加密 ”部分更新您的凭据。 如果您无法再登录，请通过支持工单提供您的组织 ID，我们可以邀请您，并将您提升为管理员。 然后，您可以在组织“ 管理员 ”页面的“ 加密 ”部分更新凭据。 重新获得登录访问权限后，我们建议您创建新的 AKV 密钥和凭据集，然后使用此新信息配置客户管理的密钥，从而确保其他人无权访问您的凭据。
您的 AKV 密钥已过期。	您的客户管理的密钥仍然有效，但我们建议您切换到新密钥。
您的 AKV 密钥已删除。	您可以在保留期内在 Azure 门户还原 AKV 密钥。
系统已清除您的 AKV 密钥，但存有其备份。	您可以从 Azure 门户备份还原密钥。默认情况下，还原的密钥具有与原始密钥相同的 ID，不应更改。
系统已清除您的 AKV 密钥，且未存有备份。	警告： 此场景没有解决方案。在这种情况下，您的 UiPath™ 客户数据将丢失。

概述

除了存储级别的标准 TDE 外，某些服务还采用隐式应用程序级加密 (ALE)。 这意味着数据在存储之前会在应用程序层进行加密，从而提供了额外的安全层。

此外，某些服务/资源提供可选的、用户驱动的加密，称为可选（选择加入）ALE。您可借此选项决定是否应为这些服务/资源使用 ALE。有关服务或资源的列表，以及与其相关的加密类型，请参阅我们文档中的加密数据页面。

对于应用 ale 的服务，无论是隐式的还是可选的，您都可以选择由谁处理加密密钥。 可以由 UiPath 或您自己管理。 为协助执行此操作， Azure 密钥保险库支持密码版本控制，使您可以生成密码，以在组织级别配置密钥时使用。

启用客户管理的密钥后，以前备份的数据不会重新加密，并且系统会将任何现有备份在过期后都将被删除。使用此选项仅加密新数据。

客户管理密钥的说明

在客户管理的密钥架构中，UiPath 产品或平台服务（例如 UiPath Orchestrator 或 UiPath 身份服务）通常会在存储敏感的客户数据之前对其进行加密。当需要访问数据时，产品或服务会调用您的密钥管理基础架构以获取解密密钥。这使您可以控制 UiPath 中的加密数据，因为您可以拒绝返回密钥。

此流程涉及以下组件：

• “密钥管理服务 (KMS)”- 这是 UiPath 的内部工具，专为密钥加密而开发。
• “数据加密密钥（DEK 或 KMS DEK）”- 用于加密纯文本数据。通常，DEK 由 KMS 或 UiPath 的内部密钥保管库生成，并且永远不会以明文形式存储在任何位置。
• 密钥加密密钥 (KEK) - 用于加密 DEK。加密密钥的过程称为密钥封装。通常，KEK 由您生成，存储在您的密钥保险库中，并且构成由密钥管理服务控制的实际客户管理密钥。
• 加密数据加密密钥 (EDEK) - 这是由 KEK 封装的 DEK。通常，此密钥由服务提供商（例如 Orchestrator）存储；因此，每当服务需要访问加密数据时，该服务都会调用客户的密钥管理服务，以获取解密 EDEK 所需的 KEK，并生成用于解密数据的 DEK。
• UiPath 内部密钥 - 用于加密数据列，包括 CMK 和 KMS DEK。

下图说明了启用客户管理的密钥所涉及的各种组件协同工作的方式：

启用客户管理的密钥

重要提示：

启用客户管理的密钥 (CMK) 对数据可访问性具有重大影响。如果该密钥不可用或配置错误，您可能会失去对数据的访问权限。

如果您丢失了密钥，则无法再连接到保险库。因此，您应始终根据组织的安全策略，在 Azure 门户或独立于 Azure 的安全密钥保险库中创建密钥备份。

Azure 密钥保险库必须托管在 Microsoft Azure 政府云中，以符合云边界要求。

要启用客户管理的密钥，您必须配置代表Automation Cloud ^TM公共部门的 Microsoft Entra ID 应用程序，以访问 Azure 密钥保险库中的密钥加密密钥。

您可以选择以下方法之一来配置 Microsoft Entra ID 应用程序：

• （推荐）自动化设置：使用 UiPath 管理的 Microsoft Entra ID 应用程序（多租户模型）的好处如下：
  • 没有要管理的密码或证书。
  • 设置快速可靠。
  • UiPath 为您维护 Microsoft Entra ID 申请。
• 通过自定义 Microsoft Entra ID 应用程序注册进行手动设置：使用您自己的 Microsoft Entra ID 应用程序并手动管理其配置，但要注意以下事项：
  • 您必须创建和管理应用程序凭据。
  • 凭据会过期，需要定期更新。
  • 如果凭据未在过期前更新，系统将阻止用户登录。

使用 UiPath 管理的 Microsoft Entra ID 应用程序进行自动化设置（推荐）

如果要简化配置并避免管理密码或证书，请使用此方法。UiPath 建议大多数组织使用此方法。

如果您是 Microsoft Entra ID 和Automation Cloud ^TM公共部门管理员

如果您既是 Microsoft Entra ID 管理员又是Automation Cloud ^TM公共部门管理员，请执行以下步骤使用 UiPath 托管的多租户应用程序配置集成：

1. 在Automation Cloud ^TM公共部门中，转到“管理员”>“安全”>“加密” 。
2. 选择“客户管理的密钥” ，然后在确认对话框中输入您的组织名称来确认选择。
3. 选择“UiPath 托管的多租户应用程序(推荐)” 。

4. 选择“授予同意” ，然后使用您的 Microsoft Entra ID 帐户登录。

   在您授予同意后， Automation Cloud ^TM公共部门将在代表您组织的 Azure 中创建一个 Microsoft Entra ID 应用程序。

5. 创建密钥加密密钥并设置 Azure 密钥保险库。
6. 输入密钥加密密钥的 Azure 密钥保险库密钥 URI。
   • 如果提供无版本的密钥 URI，则 Automation Cloud ^TM公共部门将自动使用最新的密钥版本（已启用密钥轮换）。
   • 如果您提供版本密钥 URI， Automation Cloud ^TM公共部门将使用该特定密钥版本加密所有数据。

7. 选择“测试并保存”以激活集成。

   如果发生错误，请验证您的凭据，然后重试。

如果您只是Automation Cloud ^TM公共部门管理员

如果您在 Microsoft Entra ID 中没有管理权限，但是是Automation Cloud ^TM公共部门管理员，请执行以下步骤以请求管理员同意并完成集成：

1. 在Automation Cloud ^TM公共部门中，转到“管理员”>“安全”>“加密” 。
2. 选择Customer managed key ，然后在确认对话框中输入您的组织名称来确认选择。
3. 选择“UiPath 托管的多租户应用程序(推荐)” 。

4. 选择“授予同意” ，然后使用您的 Microsoft Entra ID 帐户登录。

   由于您没有 Microsoft 框架 ID 管理员权限，因此应该会看到以下提示之一：

   1. 请求批准，如Microsoft 文档：请求管理员批准中所述。在您的 Microsoft Entra ID 管理员批准请求后，继续下一步。
   2. 需要管理员批准，如Microsoft 文档中所述：请您的 Microsoft Entra ID 管理员执行以下步骤：
      1. 导航至此URL ，以打开 Microsoft Entra ID 同意提示。
      2. 选择“代表您的组织同意” ，然后选择“接受” 。
5. 收到已授予管理员同意的确认消息后，创建加密密钥并设置 Azure 密钥保险库，然后返回Automation Cloud ^TM公共部门并重复步骤 1 到 4。
   • 如登录成功，则表示集成已正确配置。
   • 如果登录失败，请让您的 Microsoft Entra ID 管理员验证是否已正确授予同意。
6. 输入密钥加密密钥的 Azure 密钥保险库密钥 URI。
   • 如果提供无版本的密钥 URI，则系统会启用自动密钥轮换，并且Automation Cloud ^TM公共部门将使用最新的密钥版本。
   • 如果您提供版本密钥 URI， Automation Cloud ^TM公共部门将使用该特定密钥版本加密所有数据。

7. 选择“测试并保存”以激活集成。

   如果发生错误，请验证您的凭据，然后重试。

使用自定义 Microsoft Entra ID 应用程序注册进行手动设置

如果您更喜欢配置自己的 Microsoft Entra ID 应用程序，而不是使用 UiPath 托管的多租户应用程序，请执行以下步骤。此选项需要您管理自己的凭据，并随着时间的推移对这些凭据进行维护。

重要提示：通过手动设置创建的凭据会定期过期。您必须在到期前续订，以避免服务中断。要减少此操作开销，请考虑将自动化设置与 UiPath 托管的 Entra ID 应用程序一起使用。

1. 创建 Microsoft Entra ID 应用注册。
   1. 在Microsoft Entra 管理中心中，转到“应用程序注册” > “新建注册” 。
   2. 输入名称，例如Automation Cloud 公共部门，或使用您选择的名称。
   3. 将“支持的帐户类型”设置为“仅此组织目录中的帐户” 。
   4. 完成注册。
2. 创建凭据。
   转到应用注册中的“证书和密码” ，然后选择以下方法之一：

   • 要使用客户端密码，请执行以下操作：
     1. 选择“新建客户端密码” 。
     2. 保存生成的密码值。稍后您将需要此信息。
   • 要使用证书：
     1. 在新的浏览器选项卡中，导航到Azure 密钥保险库。
     2. 创建证书：
        • 主题: CN=uipath.com
        • 内容类型： PEM
        • 大小上限: 小于 10 KB
     3. 下载.pem格式的证书。
     4. 在文本编辑器中打开.pem文件。它应包含以下部分：
        • -----开始私钥----- / -----结束私钥-----
        • -----开始证书----- / -----结束证书-----
     5. 创建一个仅包含BEGIN CERTIFICATE和END CERTIFICATE之间行的新.pem文件。
     6. 在应用注册的“证书和密码”部分中，上传此新的.pem文件。
     7. 保留证书的副本。稍后需要它来完成集成。

   重要提示：

   大多数凭据类型最终都会过期。为防止出现用户登录问题，请在凭据过期之前更新配置。

   为避免此类开销，请对 UiPath 托管的 Microsoft Entra ID 应用程序 使用自动化设置。

3. 收集集成详细信息。
   收集以下值，并将其提供给Automation Cloud ^TM公共部门管理员：

   • 应用程序 (客户端) ID
   • 目录 (租户) ID
   • 客户端密码或证书
4. 创建密钥加密密钥并设置 Azure 密钥保险库。
   准备加密密钥并记下 Azure 密钥保险库密钥标识符。选择以下其中一种格式：

   • 无版本密钥 URI：启用自动密钥轮换。Automation Cloud ^TM公共部门始终使用最新的密钥版本。
   • 版本控制的密钥 URI：将加密锁定为特定密钥版本。Automation Cloud ^TM公共部门使用该版本加密所有数据。
5. 在Automation Cloud ^TM公共部门中激活集成。
   1. 以管理员身份登录Automation Cloud ^TM公共部门。
   2. 转到“管理” > “安全” > “加密” 。
   3. 选择“客户管理的密钥” ，然后输入您的组织名称以确认选择。
   4. 选择自定义应用程序注册 ID 和密码。
   5. 输入之前收集的以下详细信息：
      • 目录 (租户) ID
      • 应用程序 (客户端) ID
      • 客户端密码或证书
      • Azure 密钥保险库密钥标识符

   6. 选择“测试并保存”以激活集成。

      如果您收到错误消息，请检查您的凭据，然后重试。

创建密钥加密密钥并设置 Azure 密钥保险库

开始之前，请查看以下将 Azure 密钥保险库与Automation Cloud ^TM公共部门一起使用的要求和建议。

• 您可以在任何区域创建密钥保险库，但我们建议使用与Automation Cloud ^TM公共部门组织相同的区域。
• UiPath 需要访问用于客户管理的密钥的密钥保险库。要限制范围，我们建议您为此创建专用的保险库。
• 该功能适用于 Azure 密钥保险库支持的任何密钥大小。
• 要执行加密操作，您必须授予封装密钥和解封密钥权限。无论使用Azure RBAC （基于角色的访问控制）或密钥保险库访问策略来管理访问，这些权限都是必需的。

要创建密钥加密密钥并配置 Azure 密钥保险库，请执行以下步骤：

1. 在Microsoft Azure 门户中，转到Azure 密钥保险库，然后选择现有保险库或创建一个新保险库。
2. 创建一个新密钥并复制密钥 URI。您需要该 URI 才能在Automation Cloud ^TM公共部门中对其进行配置。
   作为密钥 URI，选择以下选项之一：

   • 无版本密钥 URI：启用自动密钥轮换。Automation Cloud ^TM公共部门始终使用最新版本的密钥。
   • 版本控制的密钥 URI：将加密锁定为特定密钥版本。Automation Cloud ^TM公共部门使用该版本加密所有数据。
3. 授予对先前创建的 Microsoft Entra ID 应用程序的访问权限。
   使用 Azure RBAC 或密钥保险库访问策略授予所需权限。
4. 返回Automation Cloud ^TM公共部门以完成配置。

编辑客户管理的密钥

启用此选项后，您还可以编辑与连接相关的任何详细信息。 为达成此目的，请选择“客户管理的密钥” 选项下的“编辑连接” ，并根据需要更改任何信息。

密钥轮换

定期轮换密钥，以确保持续保护加密数据免受任何潜在的破坏，这是一种很好的做法。

手动密钥轮换

手动密钥轮换涉及本身更改整个 CMK 配置。虽然您可以更改整个配置，但建议仅更改密钥标识符或密钥版本，以最大程度地减少重大更改。

要执行手动密钥轮换，请执行以下步骤：

1. 在之前配置的 Azure 密钥保险库中创建一个新密钥。

2. 在您的Automation Cloud ^TM公共部门组织中，转到“管理员” > “安全” 。

3. 在“客户管理的密钥”下，选择“编辑连接” 。

4. 将现有密钥标识符替换为新的密钥 URI。

注意：仅当旧密钥和新密钥都保持有效时，密钥轮换才有效。

自动密钥轮换

自动密钥轮换使Automation Cloud ^TM公共部门能够根据 Azure 密钥保险库中定义的轮换策略自动使用最新版本的密钥。此方法可减少手动工作量并提高安全性。

要启用自动密钥轮换流程，请执行以下步骤：

1. 在 Azure 密钥保险库中，为密钥创建轮换策略。

2. 在 Automation Cloud 中，转到客户管理的密钥配置，并提供无版本密钥标识符。

   有关配置步骤，请参阅启用客户管理的密钥。

3. 每次在 Azure 密钥保险库中进行密钥轮换后， Automation Cloud ^TM公共部门会自动获取并应用最新的密钥版本。

   Automation Cloud ^TM公共部门每小时自动检查一次新的密钥版本。当有新版本可用时，系统会检索并应用该版本，而无需手动更新。

重要提示：

• 不要禁用或修改旧密钥版本的访问权限。先前和当前的密钥版本都必须保持可访问状态，以便在轮换过程中保持对加密数据的不间断访问。
• 您可以在 Automation Cloud ^{TM 公共部门} 的“管理员” 下的“审核日志” 部分中查看对客户管理的密钥配置的手动更改（例如对密钥标识符的更新）和自动密钥轮换事件。

许可降级

如果您的企业计划已过期，您的状态会自动降级为“仅可查看”状态。在数据加密方面，您可以拥有以下功能：

• “客户托管的密钥”选项仍处于启用状态，但在界面中显示为灰色。因此，您无法再编辑其值，例如更改密钥保险库详细信息。
• 您可以切换到“UiPath 管理的密钥（默认）”，但在将计划升级到企业版之前，您将无法选择还原为“客户管理的密钥”。

使用客户管理密钥的最佳实践

在开始使用客户管理的密钥之前，请注意以下重要的详细信息：

• 作为密钥轮换流程的一部分，开始使用新密钥后，您将无法再使用旧密钥访问和加密数据。因此，务必将任何旧密钥保留在密钥保险库中，即禁用它们而非删除它们。UiPath 可能需要在灾难恢复场景中恢复到旧版本数据库的备份，因此该操作尤其重要。如果完成该备份时使用的是您的某个旧密钥，则您可以轮换到该备份以重新获得数据访问权限。

  如果选择删除密钥，请务必使用“软删除”功能。

• 如果您丢失了密钥，则无法再连接到保险库。因此，您应始终根据组织的安全策略，在 Azure 门户或独立于 Azure 的安全密钥保险库中创建密钥备份。
• 如果您要利用单点登录来访问 UiPath 服务，则可以考虑创建一个本地帐户以用作紧急情况帐户。 由于外部身份提供程序信息包含在由客户管理的密钥所加密的数据中，因此如果无法访问您的密钥保管库，便也无法访问 SSO 帐户。
• 出于安全考虑，未拥有顶级管理员权限的用户不应拥有清除客户管理密钥的权限。

• 如果您不再希望 UiPath 访问您的数据，则可以禁用 Azure 密钥保险库中的密钥，如下图所示：

  
  

  

  
  

  详细了解 Azure 密钥保险库的恢复操作。