- 入门指南
- 数据安全性与合规性
- 组织
- 身份验证和安全性
- 许可
- 租户和服务
- 帐户和角色
- Ai Trust Layer
- 外部应用程序
- 通知
- 日志记录
- 故障排除
- 迁移到 Automation Cloud™
具有客户管理的密钥的 ALE
此功能可用于企业版许可计划的所有层级,包括标准层级。
启用此功能会对数据访问产生严重影响。如果出现关键问题,您可能会失去对数据的访问权限。
查看下表,了解一些常见的问题场景及其解决方案。
场景 |
解决方案 |
---|---|
用于访问 Azure 密钥保险库 (AKV) 的凭据已过期或已删除。 |
如果您仍然可以使用电子邮件和密码(非 SSO)登录… …如果您 是 组织管理员,则可以在组织“ 管理员 ”页面的“ 加密 ”部分更新您的凭据。 …如果您 不是 组织管理员,可以通过支持工单申请提升为管理员角色;然后,您可以在组织“ 管理员 ”页面的“ 加密 ”部分更新您的凭据。 如果您无法再登录,请通过支持工单提供您的组织 ID,我们可以邀请您,并将您提升为管理员。 然后,您可以在组织“ 管理员 ”页面的“ 加密 ”部分更新凭据。 重新获得登录访问权限后,我们建议您创建新的 AKV 密钥和凭据集,然后使用此新信息配置客户管理的密钥,从而确保其他人无权访问您的凭据。 |
您的 AKV 密钥已过期。 |
您的客户管理的密钥仍然有效,但我们建议您切换到新密钥。 |
您的 AKV 密钥已删除。 |
您可以在保留期内在 Azure 门户还原 AKV 密钥。 |
系统已清除您的 AKV 密钥,但存有其备份。 |
您可以从 Azure 门户备份还原密钥。默认情况下,还原的密钥具有与原始密钥相同的 ID,不应更改。 |
系统已清除您的 AKV 密钥,且未存有备份。 |
警告:
此场景没有解决方案。在这种情况下,您的 UiPath™ 客户数据将丢失。 |
除了存储级别的标准 TDE 外,某些服务还采用隐式应用程序级加密 (ALE)。 这意味着数据在存储之前会在应用程序层进行加密,从而提供了额外的安全层。
此外,某些服务/资源提供可选的、用户驱动的加密,称为可选(选择加入)ALE。您可借此选项决定是否应为这些服务/资源使用 ALE。有关服务或资源的列表,以及与其相关的加密类型,请参阅我们文档中的加密数据页面。
对于应用 ale 的服务,无论是隐式的还是可选的,您都可以选择由谁处理加密密钥。 可以由 UiPath 或您自己管理。 为协助执行此操作, Azure 密钥保险库支持密码版本控制,使您可以生成密码,以在组织级别配置密钥时使用。
启用客户管理的密钥后,以前备份的数据不会重新加密,并且系统会将任何现有备份在过期后都将被删除。使用此选项仅加密新数据。
在客户管理的密钥架构中,UiPath 产品或平台服务(例如 UiPath Orchestrator 或 UiPath 身份服务)通常会在存储敏感的客户数据之前对其进行加密。当需要访问数据时,产品或服务会调用您的密钥管理基础架构以获取解密密钥。这使您可以控制 UiPath 中的加密数据,因为您可以拒绝返回密钥。
此流程涉及以下组件:
- “密钥管理服务 (KMS)”- 这是 UiPath 的内部工具,专为密钥加密而开发。
- “数据加密密钥(DEK 或 KMS DEK)”- 用于加密纯文本数据。通常,DEK 由 KMS 或 UiPath 的内部密钥保管库生成,并且永远不会以明文形式存储在任何位置。
- 密钥加密密钥 (KEK) - 用于加密 DEK。加密密钥的过程称为密钥封装。通常,KEK 由您生成,存储在您的密钥保险库中,并且构成由密钥管理服务控制的实际客户管理密钥。
- 加密数据加密密钥 (EDEK) - 这是由 KEK 封装的 DEK。通常,此密钥由服务提供商(例如 Orchestrator)存储;因此,每当服务需要访问加密数据时,该服务都会调用客户的密钥管理服务,以获取解密 EDEK 所需的 KEK,并生成用于解密数据的 DEK。
- UiPath 内部密钥 - 用于加密数据列,包括 CMK 和 KMS DEK。
下图说明了启用客户管理的密钥所涉及的各种组件协同工作的方式:
启用此功能会对数据访问产生严重影响。如果出现关键问题,您可能会失去对数据的访问权限。
如要创建必要的凭据并启用此选项,请执行以下操作:
新的客户管理的密钥可能需要在创建后 15 分钟才能传播。这是因为出于性能原因,我们的内部缓存会阻止重复传播相同的密钥。
使用 Orchestrator 后,外部密钥检索的缓存周期为一小时;更重要的是,内部使用的缓存周期还有另外 15 分钟。
可以使用密码或证书来对客户管理的密钥进行加密。 有关设置证书的详细信息,请参阅 Microsoft 文档中的在Azure 密钥保险库中设置和检索证书。 请按照以下简要步骤设置 Azure 密钥保险库证书以进行加密:
-
登录到 Azure 密钥保险库,然后导航至“证书”部分。
-
创建主题为
CN=uipath.com
,内容类型为PEM
的证书。 -
创建后,下载 PFX/PEM 格式的证书。 同时保存密钥标识符以供以后使用。
-
使用文本编辑器打开
.pem
文件。 它应包含两个部分:BEGIN PRIVATE KEY/END PRIVATE KEY
和BEGIN CERTIFICATE/END CERTIFICATE
。 -
创建一个新的
.pem
文件,仅包含BEGIN CERTIFICATE
和END CERTIFICATE.
之间的行。 -
在 Azure 门户中,找到“应用注册”中的“证书和密码”选项卡,然后上传新的
.pem
文件。 -
在 Automation Cloud 中,作为客户管理的密钥配置的一部分,您需要在“客户端密码或证书” 字段中添加从 Azure 密钥保险库下载的
.pem
证书的全部内容,然后添加在 Azure 密钥保险库中找到的密钥标识符。
如果您的企业版计划已过期,系统会自动将您的计划降级为免费版计划。在数据加密方面,您可以拥有以下功能:
- “客户托管的密钥”选项仍处于启用状态,但在界面中显示为灰色。因此,您无法再编辑其值,例如更改密钥保险库详细信息。
- 您可以切换到“UiPath 管理的密钥(默认)”,但在将计划升级到企业版之前,您将无法选择还原为“客户管理的密钥”。
在开始使用客户管理的密钥之前,请注意以下重要的详细信息:
-
作为密钥轮换流程的一部分,开始使用新密钥后,您将无法再使用旧密钥访问和加密数据。因此,务必将任何旧密钥保留在密钥保险库中,即禁用它们而非删除它们。UiPath 可能需要在灾难恢复场景中恢复到旧版本数据库的备份,因此该操作尤其重要。如果完成该备份时使用的是您的某个旧密钥,则您可以轮换到该备份以重新获得数据访问权限。
如果选择删除密钥,请务必使用“软删除”功能。
- 如果您丢失了密钥,则无法再连接到保险库。因此,您应始终根据组织的安全策略,在 Azure 门户或独立于 Azure 的安全密钥保险库中创建密钥备份。
- 如果您要利用单点登录来访问 UiPath 服务,则可以考虑创建一个本地帐户以用作紧急情况帐户。 由于外部身份提供程序信息包含在由客户管理的密钥所加密的数据中,因此如果无法访问您的密钥保管库,便也无法访问 SSO 帐户。
- 出于安全考虑,未拥有顶级管理员权限的用户不应拥有清除客户管理密钥的权限。
-
如果您不再希望 UiPath 访问您的数据,则可以禁用 Azure 密钥保险库中的密钥,如下图所示:
详细了解 Azure 密钥保险库的恢复操作。