具有客户管理的密钥的 ALE

此功能可用于企业版许可计划的所有层级，包括标准层级。

警告：

启用此功能会对数据访问产生严重影响。如果出现关键问题，您可能会失去对数据的访问权限。

查看下表，了解一些常见的问题场景及其解决方案。

场景	解决方案
用于访问 Azure 密钥保险库 (AKV) 的凭据已过期或已删除。	如果您仍然可以使用电子邮件和密码（非 SSO）登录… …如果您是组织管理员，则可以在“Automation Cloud™ 管理员”页面的“加密”部分更新您的凭据。 …如果您不是组织管理员，则可以通过支持工单申请提升为管理员角色；然后，您可以在“Automation Cloud 管理员”页面的“加密”部分更新您的凭据。 如果您无法再登录，请通过支持工单提供您的组织 ID，我们可以邀请您，并将您提升为管理员。然后，您可以在“Automation Cloud 管理员”页面的“加密”部分更新凭据。 重新获得登录访问权限后，我们建议您创建新的 AKV 密钥和凭据集，然后使用此新信息配置客户管理的密钥，从而确保其他人无权访问您的凭据。
您的 AKV 密钥已过期。	您的客户管理的密钥仍然有效，但我们建议您切换到新密钥。
您的 AKV 密钥已删除。	您可以在保留期内在 Azure 门户还原 AKV 密钥。
系统已清除您的 AKV 密钥，但存有其备份。	您可以从 Azure 门户备份还原密钥。默认情况下，还原的密钥具有与原始密钥相同的 ID，不应更改。
系统已清除您的 AKV 密钥，且未存有备份。	警告： 此场景没有解决方案。在这种情况下，您的 UiPath™ 客户数据将丢失。

概述

除了存储级别的标准 TDE 外，某些 Automation Cloud™ 服务还采用隐式应用程序级加密 (ALE)。这意味着数据在存储之前会在应用程序层进行加密，从而提供了额外的安全层。

此外，某些服务/资源提供可选的、用户驱动的加密，称为可选（选择加入）ALE。您可借此选项决定是否应为这些服务/资源使用 ALE。有关服务或资源的列表，以及与其相关的加密类型，请参阅我们文档中的加密数据页面。

对于应用 ale 的服务，无论是隐式的还是可选的，您都可以选择由谁处理加密密钥。可以由 UiPath 或您自己管理。为协助执行此操作，Azure 密钥保险库支持密码版本控制，使您可以生成密码，以在组织级别配置密钥时使用。

启用客户管理的密钥后，以前备份的数据不会重新加密，并且系统会将任何现有备份在过期后都将被删除。使用此选项仅加密新数据。

客户管理密钥的说明

在客户管理的密钥架构中，UiPath 产品或平台服务（例如 UiPath Orchestrator 或 UiPath 身份服务）通常会在存储敏感的客户数据之前对其进行加密。当需要访问数据时，产品或服务会调用您的密钥管理基础架构以获取解密密钥。这使您可以控制 UiPath 中的加密数据，因为您可以拒绝返回密钥。

此流程涉及以下组件：

• “密钥管理服务 (KMS)”- 这是 UiPath 的内部工具，专为密钥加密而开发。
• “数据加密密钥（DEK 或 KMS DEK）”- 用于加密纯文本数据。通常，DEK 由 KMS 或 UiPath 的内部密钥保管库生成，并且永远不会以明文形式存储在任何位置。
• 密钥加密密钥 (KEK) - 用于加密 DEK。加密密钥的过程称为密钥封装。通常，KEK 由您生成，存储在您的密钥保险库中，并且构成由密钥管理服务控制的实际客户管理密钥。
• 加密数据加密密钥 (EDEK) - 这是由 KEK 封装的 DEK。通常，此密钥由服务提供商（例如 Orchestrator）存储；因此，每当服务需要访问加密数据时，该服务都会调用客户的密钥管理服务，以获取解密 EDEK 所需的 KEK，并生成用于解密数据的 DEK。
• UiPath 内部密钥 - 用于加密数据列，包括 CMK 和 KMS DEK。

下图说明了启用客户管理的密钥所涉及的各种组件协同工作的方式：

启用客户管理的密钥

警告：

启用此功能会对数据访问产生严重影响。如果出现关键问题，您可能会失去对数据的访问权限。

如要创建必要的凭据并启用此选项，请执行以下操作：

1. 在 Azure 密钥保险库中创建所需的凭据。
   备注：

   • 您可以在任意区域创建密钥保险库，但我们建议它与您的组织位于同一区域。
   • 对于客户管理的密钥，UiPath 已获权限访问该密钥的密钥保险库，因此我们建议您创建一个专门用于此目的的保险库。
   • 此功能支持可在密钥保险库中配置的任何密钥大小。
   • 我们仅支持用于控制对 Azure 资源访问的“密钥保险库访问策略”。必须为这些策略配置封装和解封权限：

     
     

     

     
     
2. 以组织管理员身份登录 Automation Cloud。
3. 转到“管理员”，单击左侧面板中的组织名称，然后单击“安全”。
   系统将显示“安全设置”页面。
4. 在“加密”部分的“加密类型”下，选择“客户管理的密钥”。
   系统将显示“客户管理的密钥配置”窗口。
5. 根据 Azure 门户中的定义，填写以下列出的所需详细信息：
   1. Azure 目录（租户）ID（在 Azure 中作为应用程序注册的一部分创建）：
      
      
      
      
   2. Azure 应用程序（客户端）ID（在 Azure 中作为应用程序注册的一部分创建）：
      
      
      
      
   3. 客户端密码（在 Azure 中作为应用程序注册的一部分创建）：
      
      
      
      
   4. 密钥标识符（在 Azure 密钥保险库中创建）：
      
      
      
      
      重要提示： 必填项：确保选择“封装密钥”和“解封密钥”选项，以允许将此项目用作客户管理的密钥。
6. 单击“测试并保存”。
   系统将显示一条确认消息，通知您已配置自己的加密密钥。

   
   

   

   
   
   如果您收到错误消息，请检查您的凭据，然后重试。

备注：

新的客户管理的密钥可能需要在创建后 15 分钟才能传播。这是因为出于性能原因，我们的内部缓存会阻止重复传播相同的密钥。

使用 Orchestrator 后，外部密钥检索的缓存周期为一小时；更重要的是，内部使用的缓存周期还有另外 15 分钟。

编辑客户管理的密钥

启用此选项后，您还可以编辑与连接相关的任何详细信息。为达成此目的，请单击“客户管理的密钥”选项下的“编辑连接”，并根据需要更改任何信息。

密钥轮换

定期轮换密钥，以确保持续保护加密数据免受任何潜在的破坏，这是一种很好的做法。

可以在 Azure 密钥保险库中配置自动轮换，但您仍必须手动更新 Automation Cloud 组织的客户管理的密钥信息：

1. 在当前的 Azure 密钥保险库或新保险库中创建新密钥。
2. 返回到 Automation Cloud 组织的“安全设置”页面。
3. 单击“客户管理的密钥”下的“编辑连接”，然后添加您新建的密钥详细信息。

仅当旧密钥和新密钥仍然有效时，密钥轮换才有效。

密钥轮换审核：您可以在 Orchestrator 的“审核”页面中以租户级别查看对客户管理的密钥所做的任何更改。

许可降级

如果您的企业版计划已过期，系统会自动将您的计划降级为免费版计划。在数据加密方面，您可以拥有以下功能：

• “客户托管的密钥”选项仍处于启用状态，但在界面中显示为灰色。因此，您无法再编辑其值，例如更改密钥保险库详细信息。
• 您可以切换到“UiPath 管理的密钥（默认）”，但在将计划升级到企业版之前，您将无法选择还原为“客户管理的密钥”。

使用客户管理密钥的最佳实践

在开始使用客户管理的密钥之前，请注意以下重要的详细信息：

• 作为密钥轮换流程的一部分，开始使用新密钥后，您将无法再使用旧密钥访问和加密数据。因此，务必将任何旧密钥保留在密钥保险库中，即禁用它们而非删除它们。UiPath 可能需要在灾难恢复场景中恢复到旧版本数据库的备份，因此该操作尤其重要。如果完成该备份时使用的是您的某个旧密钥，则您可以轮换到该备份以重新获得数据访问权限。

  如果选择删除密钥，请务必使用“软删除”功能。

• 如果您丢失了密钥，则无法再连接到保险库。因此，您应始终根据组织的安全策略，在 Azure 门户或独立于 Azure 的安全密钥保险库中创建密钥备份。
• 如果您要利用单点登录来访问 UiPath Automation Cloud 服务，则可以考虑创建一个本地帐户以用作紧急情况帐户。由于外部身份提供程序信息包含在由客户管理的密钥所加密的数据中，因此如果无法访问您的密钥保管库，便也无法访问 SSO 帐户。
• 出于安全考虑，未拥有顶级管理员权限的用户不应拥有清除客户管理密钥的权限。

• 如果您不再希望 UiPath 访问您的数据，则可以禁用 Azure 密钥保险库中的密钥，如下图所示：

  
  

  

  
  

  详细了解 Azure 密钥保险库的恢复操作。