您可以检索以下场景的 CyberArk 凭据：引导、系统、自动登录和自动化。
使用 CyberArk 检索 Control Room 引导凭据
Automation 360 Control Room 使用引导凭据访问支持服务，例如数据库、服务账户和活动目录 (AD)。 在初始 On-Premises 安装期间或安装后（使用密钥保管库实用工具），通过指定保险库名称和对象名称配置这些凭据。
以下图像显示了使用 CyberArk 检索 Control Room 引导凭据的过程：
在启动序列或正常操作期间（例如刷新服务身份验证）需要时，Control Room 使用密钥保管库连接来检索凭据并执行所需的身份验证。
使用 CyberArk 检索 Control Room 系统凭据
如果您在初始安装期间配置了外部密钥保管库，则可以使用 Automation 360 用户界面（安装后）配置 SMTP 和活动目录 (AD) 凭据。
- 登录 Automation 360 Control Room。
- 导航到。
- 您可以从外部密钥保管库映射 AD 主账户凭据，配置外部凭据，或设置为手动（切换 AD 主账户凭据检索模式）。
使用 CyberArk 检索自动登录凭据
自动登录凭据对 Automation 360 Bot Agent 设备进行身份验证，并启动一个活动的 Windows 会话。 自动化需要一个活动的 Windows 会话才能运行。 当从远程 Bot Agent 设备启动自动化时，自动化运行前将执行自动登录。
以下图像显示了使用 CyberArk 检索自动登录凭据的过程：
Control Room 管理员可以通过指定以下详细信息，在 Bot Agent 设备上手动启动或安排作业以启动自动化：
- 自动化 (机器人) 名称
- 设备名称
- 用户上下文
系统使用与用户上下文关联的用户名和密码自动登录到指定设备，然后在设备上运行自动化程序。
- 如果选项可见，请使用此流程配置设备自动登录。 此流程支持在使用一个或多个外部保管库的环境中，为所选的外部保管库连接配置自动登录。 请参阅以下 选项 A： 管理项下的自动登录。
- 如果不是，请使用配置设备自动登录。 请参阅以下 选项 B： 设置项下的自动登录。
选项 A： 管理项下的自动登录
- 使用查看外部保管库和管理外部保管库权限登录 Automation 360 Control Room。
- 导航到。
- 单击添加自动登录、添加或 + 图标。
- 从选择保管库下拉列表中，选择您的 CyberArk 提供程序保管库连接之一。
- 在自动登录下，默认选中已启用。 如果您希望为此保管库连接禁用自动登录，请单击已禁用。注： 如果该保管库连接的自动登录已禁用：
- 保险库名称和密钥命名约定配置选项将不可用。
- 如果将具有无人值守 Bot Runner 许可证的用户账户映射到此外部保管库连接，则会使用设备 Credential Vault 及其存储的凭据来检索凭据。
- 输入保险库名称（例如： Auto_login_Safe）。
您输入的保险库名称也被称为自动登录凭据保险库。 有关安全名称和对象名称格式，请参阅 外部密钥保管库命名约定。
- 可选： 输入 CyberArk 用户名的属性集。 例如，要将用户名配置为格式 domain\username，您必须输入：$$domain$$\$$username$$，其中域和用户名的值是从 CyberArk 密钥响应中检索。
- 可选： 要添加可选保险库，请单击添加可选保险库，输入保险库名称，然后选择角色。 您最多可以添加 25 个保险库。 有关更多信息，请参阅 在 CyberArk 密码保管库 集成中使用可选保险箱。
- 在密钥命名下，选择以下选项之一： 自定义或系统 (A360)。自定义： 如果您选择了此选项，请执行以下操作
- 单击下一步以打开密钥映射页面。
- 您可以通过两种方式管理密钥映射——单一条目或批量条目。
单一条目： 使用此方法可直接在自定义密钥映射表中添加映射，无需上传 CSV 文件。
- 单击密钥映射表格顶部的+图标。
- 输入用户名和密钥名称。
- 单击添加。注： 系统会验证所输入的用户名是否存在于 Control Room 中。 如果用户名不存在，则会显示错误信息，并且该条目不会被保存。
批量条目 使用此方法可通过导入包含用户名和密钥名称映射条目的 .CSV 模板文件，将多个映射同时添加到 Control Room 中。 您也可以使用此方法进行单一条目更新。
- 下载 Custom Secrets Name Mapping Template.csv 模板，并按照指定格式添加用户名和密钥名称。注： 在 Automation 360 On-Premises 部署中使用 Active Directory 时，请在用户名前加上域名前缀。 示例：域\用户名。
- 单击导入 .csv。
- 浏览以选择 Custom Secrets Name Mapping Template.csv 模板文件，将 Control Room 用户名与密钥名称进行映射。
已导入的导入 .csv 模板必须遵循指定的格式。 您无法使用导出的映射条目在导入 .csv 文件中导入新条目。
- 单击导入并保存。 自定义密钥映射表已填充更新的条目。
- 单击关闭以返回已创建的自动登录列表。
- 单击密钥映射表格顶部的+图标。
选项 B： 设置项下的自动登录
- 使用查看外部保管库和管理外部保管库权限登录 Automation 360 Control Room。
- 导航到。
- 单击编辑。
- 在配置密钥名称下，选择以下选项之一： Automation 360 定义的密钥命名或自定义密钥命名。
Automation 360 定义的密钥命名： 如果您已选择此选项，请单击保存更改并跳过以下导入 CSV 文件的步骤。 系统会根据 Automation 360 命名约定自动查找密钥。 请参阅 外部密钥保管库命名约定。自定义密钥命名： 如果您选择了此选项，请执行以下操作：
- 选择管理自定义密钥映射。
- 下载 Custom Secrets Name Mapping Template.csv 模板，并按照指定格式添加用户名和密钥名称。注： 在 Automation 360 On-Premises 部署中使用 Active Directory 时，请在用户名前加上域名前缀。 示例：域\用户名。
- 单击导入 .csv 并浏览，以选择 Custom Secrets Name Mapping Template.csv 模板文件，将 Control Room 用户名与密钥名称进行映射。
导入的导入 .csv 模板必须遵循指定的格式。 您无法使用导出的映射条目导入 .csv 文件导入新条目。
- 单击导入并保存。 自定义密钥映射表已填充更新的条目。现在可以根据需要执行以下操作：
- 搜索栏用于按密钥名称搜索和排序。
- 导入 .csv 用于添加或更新条目。
- 导出到 .csv 用于将映射的条目导出为 .csv 格式。
- 删除选中的项目以移除多个条目。
- 刷新以更新条目。
任务 2： 从 CyberArk 启用设备自动登录
- 导航到
- 单击编辑。
- 单击启用，从该外部密钥保管库中检索自动登录凭据。
如果此选项被禁用，则外部密钥保管库连接未配置。
注：- 如果您禁用来自外部密钥库的自动登录，则凭据将使用 AAI Credential Vault 及其存储的凭据来检索。
- 如果您的 Control Room 正在使用设备池通过 CyberArk 检索自动登录凭据，请确保设备池中的所有设备都启用了自动登录选项。 否则，未启用自动登录选项的设备将无法检索自动登录凭据。
- 输入保险库名称（例如： Auto_login_Safe）。您输入的保险库名称也被称为自动登录凭据保险库。注： 有关安全名称和对象名称格式，请参阅 外部密钥保管库命名约定。
- 输入 CyberArk 用户名的属性集。 例如，要将用户名配置为格式 domain\username，您必须输入：$$domain$$\$$username$$，其中域和用户名的值是从 CyberArk 密钥响应中检索。
- 要添加可选保险库，请单击添加可选保险库，输入保险库名称，然后选择角色。 您最多可以添加 25 个保险库。 有关更多信息，请参阅 在 CyberArk 密码保管库 集成中使用可选保险箱。
- 单击保存更改。
如果成功，将显示自动登录设置已成功保存的消息。
自动登录命名约定
如果您在密钥命名下选择了系统 (A360)，请遵循以下所述的自动登录命名约定。
Control Room 根据外部密钥保管库中的对象命名约定检索自动登录凭据。 Control Room 会搜索一个对象，其中对象名称（外部密钥保管库中的凭据名称）与其执行自动登录的 Control Room 用户名匹配。
如果为 CyberArk 外部密钥保管库选择了系统 (A360) 命名约定，则必须使用前缀 autologin_。 外部密钥保管库中自动登录凭据的名称必须包含 autologin_，后接 Control Room 用户名。 在某些情况下，某些密钥保管库对凭据对象名称中可使用的字符有限制。 此外，为了支持不同场景对凭据的编码方式，Automation 360 要求保留或编码某些字符。
以下表格列出了 Control Room 中预期的对象命名约定示例：
| Control Room 用户名 | 预期对象名称格式 |
|---|---|
| ABCD\user123 | autologin_ABCD--user123 |
| user123@rpa.abcd.com | autologin_user123-40-rpa-2e-abcd-2e-com |
对于自动登录凭据，请记住以下几点：
- 外部密钥保管库中的对象名称必须包含前缀 autologin_。
- 自动登录凭据名称必须映射到要检索的凭据的 Control Room 用户名（登录 ID）。
某些外部密钥库对某些字符的使用有限制，例如在密钥名称（对象名称）中限制使用反斜杠 (\) 和符号 (@)，以及限制在 API 调用中如何解释特殊字符。 如果用户 ID 包含特殊字符，则必须使用 ASCII 代码字符替换在外部密钥保管库中对密钥名称（对象名称）进行编码，如下表所示。
| 此字符 | 对该 ASCII 代码字符替换的更改 |
|---|---|
| \ (反斜杠) | -- |
| -（破折号） | -2d- |
| _ (下划线) | -5f- |
| @（和号） | -40- |
| .（句号） | -2e- |
CyberArk 自动登录凭据示例
对于此自动登录凭据检索示例，请考虑一个想要以特定用户身份在设备上部署机器人的Control Room用户。 此示例使用以下详细信息：
- 自动化 (机器人) 名称在设备上运行 = ProcureToPayGeoEast
- 坐席设备名称 = WinVDI1138
- 代理用户上下文 = roboticworker2112@automation.abcd.com
以下图像显示了使用 CyberArk 检索自动登录凭据的示例：
在启动自动化之前，请确保以下事项：
- Control Room 连接详细信息已成功配置，Control Room 使用这些连接详细信息连接到 CyberArk 并执行身份验证。
-
Control Room 查询设备 WinVDI1138 上运行的 Bot Agent 设备，以检查设备 WinVDI1138 上当前是否有活动的 Windows（操作系统）会话，并且该会话是否属于代理用户 robiticworker2112。
如果用户 robiticworker2112设备上存在现有会话，则无需执行自动登录，机器人 将继续进行部署。
- 但是，如果没有活动会话，或者有一个不属于 robiticworker2112 的活动会话，Control Room 将从 CyberArk 密码保管库中检索自动登录凭据。
- Control Room 将凭证（密码）传递给 Bot Agent。 Bot Agent 使用 robiticworker2112 的自动登录凭据在设备 WinVDI1138 上以 robiticworker2112 的身份执行 Windows 登录（首先注销任何其他用户登录会话）。 自动化（机器人） ProcureToPayGeoEast 然后以 robiticworker2112 的身份在设备 WinVDI1138 上开始运行。
使用 CyberArk 检索自动化凭据
自动化凭据是由 机器人 开发人员在自动化 (机器人) 操作中使用的变量，用于定义和从加密存储中检索数据。 自动化使用凭据对应用程序进行身份验证（例如：财务应用程序）。 在运行时，自动化凭据由Automation 360 Bot Agent检索。 在 CyberArk 中，保险库是一个存储柜，对象是一个凭据。
以下图像显示了使用 CyberArk 检索自动化凭据的过程：
从 CyberArk 密码保管库中检索到的自动化凭据映射在 Automation Anywhere Credential Vault 中。 Credential Vault支持这两种类型的自动化凭据：
- 默认凭据
- 凭据是指凭据变量返回的值对于使用该变量的任何自动化都是相同的。
- 基于用户名的凭据
- 凭据，其中凭据变量返回的值根据自动化运行的用户上下文而有所不同。
对于系统凭证和用户定义的凭证，机器人 开发人员在 机器人 代码中指定相同的凭证变量。 然后，系统确定在 机器人 运行时要检索哪个凭据。
用户定义的凭据通过使 机器人 开发人员能够使用单个凭据变量编写代码来简化自动化开发，其中 RPA 平台在运行时将返回的值替换为唯一的用户特定值。 开发人员可以避免编写带有不同用户特定凭证变量的重复代码。
以下图像显示了 Automation Anywhere Credential Vault 对象与系统和用户定义凭据的 CyberArk 凭据之间的关系：
- Control Room存储柜（Locker1）已映射到 CyberArk 保险库名称（Safe1）。
- Control Room系统凭据（Credential1）映射到 CyberArk 对象（Object1）。
作为管理员，您可以在 Automation 360 Control Room 中使用外部密钥保管库功能创建和配置 存储柜 和凭据。 在 Control Room 中，管理员将 Automation Anywhere 存储柜 (Locker1) 映射到一个保险库名称 (Safe1)，并将凭据 (Credential1) 映射到一个对象名称 (Object1)。 Control Room 用户可用的凭据由外部密钥保管库（CyberArk 密码保管库）中配置的内容决定。
如果您想在 CyberArk 集成中使用用户定义的凭据，CyberArk 管理员将必须为每个用户定义的凭据创建对象，并使用 Control Room_username 后缀命名这些对象。 在运行时期间，RPA 平台将检索带有与自动化所运行用户上下文（用户定义的凭据）相匹配的后缀的对象名称。 如果没有用户定义的凭据，RPA 平台将检索没有用户名后缀的对象名称（并使用系统凭据）。
作为管理员，您可以使用 Automation 360 Control Room 中的访问控件，通过提供对 存储柜 的用户访问权限来分离凭据访问权限。 通过将不同的 Control Room 用户分配到不同的角色，然后将不同的 存储柜 与这些角色关联来控制凭据的访问。 通过将不同的 CyberArk 保险库映射到不同的 存储柜，将 CyberArk 保险库中凭据的访问权限映射到 Control Room 中的访问控件并由其强制执行。
CyberArk 自动化凭据检索过程
要配置自动化凭据检索并与 CyberArk 密码保管库集成，您首先需要创建一个 存储柜，然后创建凭据。
- 在 Control Room 中创建单独的 存储柜，以存储在 Control Room 凭据保管库中创建的凭据。
- 在 Control Room 中创建单独的 存储柜，以存储在外部密钥库中创建的凭据。
Control Room 不支持在同一个 存储柜 中存储来自 Control Room 凭据保管库和外部密钥保管库的凭据。
- 如果选项可见，请将此流程用于所有与外部保管库相关的活动，包括创建和管理存储柜和凭据。 此流程专为使用一个或多个外部保管库的环境而设计。 请参阅：
- 如果不是，请使用流程来创建存储柜和凭据。 请参阅：
CyberArk 密码保管库自动化对象命名示例
以下表格展示了使用命名约定进行自动化的 CyberArk 外部密钥保管库对象命名示例。
- 保险库名称映射到 Control Room 的存储柜，而对象名称映射到 Control Room 的凭据。
- Control Room 中的对象名称字段映射到 CyberArk 中的账户名称。 此外，对象名称不应包含任何空格。 例如，如果 CyberArk 中的账户名称是automation360-engsafe-example.com-john.smith，Control Room 中的对象名称字段将必须设置为 automation360-engsafe-example.com-john.smith。
| 自动化凭证示例 | Control Room 用户名 | 保险库名称 | 存储柜中的对象 |
|---|---|---|---|
| 存储柜中的系统凭据映射到保险库名称 | 无 - 系统凭据 | 财务 | glaccess |
| 存储柜中的用户定义凭据映射到保险库名称 | ABCD\RPA\user123 | 财务 | glaccess_ABCD--RPA--user123 |
| 存储柜中的用户定义凭据映射到使用 ASCII 映射编码用户名保险库名称。 | ABCD\RPA.user123 | 财务 | glaccess_ABCD--RPA-2e-user123 |
使用 CyberArk 密钥响应为不同的 Automation 360 服务配置用户名
在为某些 Automation 360 服务（如自动登录、轻量级目录访问协议 (LDAP) 和服务凭据）配置 CyberArk 设置时，您可以为输入属性设置为您的 CyberArk 用户名选项进行选择性配置。 用户名可以是秘密响应的值或字符串文字的值的组合。 CyberArk 密钥响应包含的字段值需要用美元符号 ($$) 括起来，以构建用户名。 例如，要将用户名配置为 domain\username 格式，必须输入：$$domain$$\$$username$$。 该表达式中的域名和用户名值将替换为密钥响应中的相应值。