管理用于 SAML 身份验证请求的 UiPath 签名证书

在 Test Cloud 中轮换和管理用于签署 SAML 身份验证请求的 UiPath 签名证书，确保与身份提供程序之间的连续性。

在 SAML 协议中，服务提供商 (SP) 可以对身份验证请求进行签名，以确认其来源，并确保请求在传输过程中不会遭到更改。SP 使用私钥（签名证书）对请求进行签名。身份提供程序 (IdP) 使用匹配的公钥（签名证书）来验证签名。

UiPath 签名证书

默认情况下，UiPath 使用自己的证书对 SAML 身份验证请求进行签名。UiPath 经常更改此证书。如果您的 IdP 无法从 UiPath 的 SAML 元数据 URL 自动检索更新的证书，则必须在每次证书更改时在 IdP 中手动将其上传。此手动流程会增加出错和服务中断的风险。

为减少此工作量，您可以使用 UiPath 的 SAML 证书 API 端点上传自己的签名证书。 这可让您通过自动化管理签名证书。 上传新证书后，还必须更新 IdP 中匹配的公钥，以维护有效的连接，并遵循组织的安全策略。

上传客户证书时，UiPath 会替换 SAML 元数据文档中的默认证书。然后，UiPath 使用您的证书执行所有签名操作。上传证书后，请更新 IdP 中的匹配公钥，以符合组织的 IT 安全与合规性政策

注意事项

在为 SAML 集成上传自己的签名证书之前，请确保考虑以下方面：

• 您有责任确保在上传的自签名证书过期之前续订这些证书。
• 在 UiPath 中上传新证书将覆盖 UiPath SAML 元数据文档中的现有证书以及上传到 IdP 中的证书。

先决条件

在为 SAML 集成上传自己的签名证书之前，请确保您满足以下要求：

• 您必须为您的组织配置 SAML 集成。

• 您需要访问组织的partitionGlobalId 。

  partitionGlobalId是组织 ID。

• 您必须生成包含 PEM 格式私钥的证书。

• PEM 文件必须同时包含证书和私钥。

• 将公共证书上传到 UiPath 组织后，您必须将其上传到 IdP（例如 PingOne）。

• 要上传辅助证书，您必须先上传主证书。

步骤

要为现有的 SAML 集成生成自定义签名证书并将其上传到 UiPath 的 Identity Server，请按照以下步骤操作：

1. 生成自签名证书。例如，使用以下 OpenSSL PowerShell 命令生成有效期为一年的自签名证书：

   openssl req -x509 -newkey rsa:2048 -nodes -keyout key.pem -out cert.pem -days 365 -subj "/CN=example.com"
   Get-Content key.pem, cert.pem | Set-Content full-cert.pem
   

   这些命令将创建以下对象：

   • key.pem – 私钥
   • cert.pem – 证书
   • full-cert.pm – 结合使用 PEM 与私钥和证书

2. 通过以下任一 URL 的 PUTAPI 上传您的主证书：

   • https://cloud.uipath.com/{organizationName}/identity_/SamlCertificate/primary
   • https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/primary
   • https://<customURL>.dedicated.uipath.com/{organizationName}/identity_/SamlCertificate/primary
   备注：

   该证书将成为您组织的主要签名证书。

   响应示例：

   {
     "partitionGlobalId": "GUID",
     "primaryCertificateId": int,
     "primaryCertificateThumbprint": "string",
     "secondaryCertificateId": null,
     "secondaryCertificateThumbprint": null
   }
   

3. （可选）使用PUT API 在以下 URL 之一上传辅助证书：

   • https://cloud.uipath.com/{organizationName}/identity_/SamlCertificate/secondary
   • https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/secondary
   • https://<customURL>.dedicated.uipath.com/{organizationName}/identity_/SamlCertificate/secondary

   为了最大限度地减少证书轮换期间的中断，SAML 协议允许 IdP 对照服务提供程序的元数据中发布的任何证书验证签名。这使您能够：

   • 创建新的签名证书。
   • 将其作为验证证书上传到 IdP。
   • 将辅助证书切换到主证书。
   • 删除旧的主证书。

   响应示例：

   {
     "partitionGlobalId": "GUID",
     "primaryCertificateId": int,
     "primaryCertificateThumbprint": "string",
     "secondaryCertificateId": int,
     "secondaryCertificateThumbprint": "string"
   }
   

4. （可选）通过以下任一 URL 的POST API 将辅助证书切换为主证书：

   • https://cloud.uipath.com/{organizationName}/identity_/SamlCertificate/switch
   • https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/switch
   • https://<customURL>.dedicated.uipath.com/{organizationName}/identity_/SamlCertificate/switch

   切换证书可确保无缝替换或续订证书。

   响应示例：

   {
     "partitionGlobalId": "<Id>",
     "primaryCertificateId": 74268,
     "primaryCertificateThumbprint": "<Id>",
     "secondaryCertificateId": <Id>,
     "secondaryCertificateThumbprint": "<Id>"
   }
   

5. （可选）通过以下任一 URL 的 GETAPI 验证您的组织当前已配置哪些证书：

   • https://cloud.uipath.com/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/certificates
   • https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/certificates
   • https://<customURL>.dedicated.uipath.com/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/certificates

   此操作将返回当前主证书和辅助证书的 ID 及指纹。该步骤用于核验证书配置，确认当前生效证书无误。

6. （可选）通过以下任一 URL 的DELETE API 删除证书：

   • https://cloud.uipath.com/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/{certificateId}
   • https://govcloud.uipath.us/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/{certificateId}
   • https://<customURL>.dedicated.uipath.com/{organizationName}/identity_/SamlCertificate/{partitionGlobalId}/{certificateId}

   删除旧证书或未使用的证书可降低潜在的安全风险。

   备注：

   如果辅助证书仍存在，则无法删除主证书。