使用 CyberArk 密码保管库集成 Cloud - 您将外部 CyberArk 密码保管库连接并集成到 Automation 360 Control Room 。

Automation 360

您将外部 CyberArk 密码保管库连接并集成到 Automation 360 Control Room。

注： 如果 CyberArk 托管于 On-Premises 且受代理保护，则确保 Cloud Control Room 可以连接到代理 URL。 此外，代理应透传由 Control Room 发送给 CyberArk 的所有查询参数。

下图显示了 CyberArk Cloud 与 Control Room 的集成：

注： CyberArk 标志和徽标是 CyberArk Software Ltd 的商标或注册商标，仅用于识别目的。

CyberArk Cloud 与 Control Room 的集成

坐席自动登录和坐席自动化场景仅在 Automation 360 Cloud Control Room 实例上受支持。 这些场景都不影响 Control Room 启动顺序或 Control Room 功能。

注：
  • 引导程序和服务账户凭据检索场景在 Cloud Control Room 实例上不受支持，因为数据库和服务由 Automation Anywhere 内部管理。 对于这些凭据，不存在需要存储在客户外部密钥库中的合规场景（要求）。
  • 如果您在 Automation 360 Cloud 部署中使用 CyberArk，则必须确保 CyberArk 外部密钥库可以通过网络外围防火墙规则从 Cloud Control Room 访问。 有关外部防火墙规则配置的详细信息，请参阅 外部集成 Control Room IP 地址。
先决条件

  • 您必须配置客户网络外围防火墙，以允许从 Automation 360 Cloud AWS NAT 网关 IP 地址访问 CyberArk_CCP_hostname:port。

    下表提供了如何配置客户外围防火墙的示例：

    从 到 使用的协议
    Automation 360 云中的Control Room 三个 AWS NAT 网关 IP 地址 CyberArk_CCP API_hostname:port

    例如：cyberarkpwv.dev.abcd.com:4043

    		TLS 加密的 CCP API

    （TLS 互相认证）

    有关更多详情，请参阅 外部集成 Control Room IP 地址。

  • 对于 Cloud 集成，您可以使用 Automation 360 Control Room 用户界面配置 Control Room 和外部密钥库集成。

  • 在集成 CyberArk 密码保管库之前，请确保您了解密钥保管库命名约定的要求。 请参阅 外部密钥保管库命名约定。

  • 在 Control Room 中为 CyberArk 集成配置的证书必须包含客户端身份验证扩展密钥用法 (EKU)。 支持的配置为：

    • 仅包含客户端身份验证 EKU 的证书

    • 同时具有客户端身份验证和服务器身份验证 EKU 的证书
      注：
      • 仅支持具有服务器身份验证 EKU 的证书。
      • 如果您的证书提供商正在停用组合 EKU 证书，请确保您获取一个专用的客户端身份验证证书用于 CyberArk 集成。 只要已配置的证书包含客户端身份验证 EKU，则无需在 Automation 360 端进行任何更改。
  • 使用 Automation 360 Control Room 收集配置外部密钥保管库连接器所需的特定 CyberArk 信息。
    项目 描述
    保管库 URL CyberArk AIM 服务器 CCP API URL（例如：https://<hostname:port_num>/
    注： 要访问 CCP API，Control Room 将自动在您输入的保管库 URL 后附加 /AIMWebService/api/Accounts?。 因此，您必须在 CyberArk AIM 服务器上将网页服务配置为 AIMWebService
    应用程序 ID CCP API 应用程序 ID（例如： AAEControlRoom）。

    有关详细信息，请参阅 定义 CyberArk 应用程序 ID。
    虚拟目录 该字段的默认值是 /AIMWebService/api/Accounts。 授权用户可以根据需要配置此字段的值。 您可以通过导航到管理 > 审核日志从 Control Room 查看审核日志。
    证书文件 输入颁发给 Control Room 服务器的客户端证书的路径。

    为 Control Room 签发的客户端证书文件是一个包含私钥的 .p12 文件。 CyberArk 管理员在 CyberArk 服务器上配置此文件。 配置证书文件后，将用于验证从 Automation 360 Cloud Control Room 发送到 CyberArk 服务器的每个客户端请求。

    证书将由客户内部证书颁发机构颁发给 Cloud Control Room（证书的主题字段将包含 Control Room 的完全限定域名 (FQDN)）。
    证书文件密码 用于打开证书文件的密码。
    服务器证书 - PEM 格式 （仅适用于 Cloud 集成）： 没有 CyberArk AIM 服务器私钥的服务器证书（证书的主题字段将包含 CyberArk AIM 服务器的 FQDN）。

    此服务器证书是托管 CyberArk 的 URL 的公共证书。 此证书为 PEM 文本格式，包含 CyberArk 监听请求的主题备用名称 (SAN)。 有关更多信息，请参阅 CyberArk CACert。
过程
注： 在 Automation 360 v.41 及更高版本中，可通过以下路径之一配置外部保管库，具体取决于为您的环境启用的功能：
  • 如果管理 > 外部保管库选项可见，请使用此流程配置外部保管库。 此流程支持在使用一个或多个外部保管库的环境中配置外部保管库连接。
  • 如未配置，请使用管理 > 设置 > 外部密钥保管库配置外部保管库。
  1. 使用所需权限登录 Automation 360 Control Room。
  2. 根据您可见的导航路径执行以下操作之一：
    • 导航到管理 > 设置 > 外部密钥保管库并单击编辑图标。

      管理路径

    • 导航到管理 > 外部保管库 > 保管库，然后单击添加保管库、添加或+图标。

      管理路径

  3. 单击 CyberArk，然后在先决条件部分输入表中描述的具体 CyberArk 信息。
  4. 单击保存更改或添加保管库以连接外部密钥保管库。
后续步骤