Introdução a credenciais, conexões e aliases para o Orchestration

Todas as integrações de aplicação no Orchestration exigem informações de conexão, credenciais e aliases de conexão e credencial para suas respectivas aplicações acessarem recursos.

Antes de executar uma integração de aplicação no Orchestration, você deve criar e configurar as informações de conexão e as credenciais correspondentes. As Conexões pertencem a uma integração com um sistema, como um endereço IP ou endpoint com protocolos. Contêm detalhes específicos, como detalhes do banco de dados, ao integrar com um banco de dados. As Credenciais associadas são os dados de autenticação necessários para fazer a conexão.

As informações de conexão e as credenciais podem variar entre os ambientes de CQ/desenvolvimento/produção para a mesma integração. O acoplamento estreito entre esses dados e os metadados da aplicação, como fluxo de trabalho ou programação de trabalho, torna os metadados da aplicação obsoletos quando você muda de ambiente. Para atenuar esse problema, é introduzido o conceito de um alias para conexões e credenciais, para separar esses dados dos metadados da aplicação. Esses aliases permitem que os clientes projetem seus metadados de aplicação para se acoplar a um alias, que durante o tempo de execução é resolvido nos dados de conexão e de credencial.

Existem dois tipos de aliases, um alias de conexão e credencial e um alias de credencial. Existem regras de negócio que impõem determinadas restrições para esses aliases. Os nomes devem conter letras, números e sublinhados, mas não podem ter caracteres especiais. O alias deve ser exclusivo em um escopo. Caso opte por ter várias conexões ativas, você poderá ter mais de uma conexão ativa no mesmo domínio. Caso não escolha esta opção, poderá ter apenas uma conexão ativa por domínio.

Nota:

Se você habilitar várias conexões ativas, quando os registros de conexão forem resolvidos, sua aplicação escolherá uma conexão com base em uma ordem estabelecida. A ordem das conexões depende da API usada para recuperar dados de conexão.

Você pode adicionar atributos de conexão adicionais a um alias, que estão disponíveis nos dados de conexão durante o tempo de execução. As variáveis substituídas pela administração da conexão durante o tempo de execução não devem afetar o alias.

O alias de credencial resolve somente dados de credencial. Junto com o modelo de dados do alias, você pode usar uma API passível de script que pode obter dados de conexão e de credencial durante o tempo de execução.

Uso do alias de conexão e credencial com o Orchestration

Defina um alias para rotular uma credencial ou registro de conexão.

O Alias de Credencial e de Conexão define um alias que rotula uma credencial ou registro de conexão. Ele é estendido da tabela sys_metadata. Requer a função de administrador. O credential_admin e o connection_admin têm acesso de leitura ao sys_alias. Um alias de conexão contém:

Nome

Nome do alias.

ID

Este campo é baseado no índice exclusivo no formato "nome do escopo.nome do alias" para garantir um registro exclusivo com base no nome do escopo + nome. Se o escopo for global, o ID será o nome do alias.

Tipo

Você pode selecionar "Credencial" ou "Conexão e credencial". O padrão é Conexão e Credencial.

Tipo de conexão

Este campo é aplicável quando o tipo de alias é definido como Conexão e Credencial. Existem três tipos de conexão: HTTP, JDBC e JMS. O padrão é HTTP.

Se você criar um alias de dia útil no escopo global, o ID será definido como dia útil

Se você criar um alias de dia útil no escopo do app de RH, ele definirá o ID para x_hr_app.workday.

• O nome só pode conter letras, números e sublinhado.
• Durante o upgrade, o marcador no registro de credencial será migrado para o alias de conexão. Se o marcador no registro de credencial da versão anterior contiver caracteres especiais diferentes de alfabetos, números e sublinhado, os dados do marcador serão preservados durante o upgrade. O usuário ainda pode usar esses alias de conexão, mas não pode atualizar esses alias, a menos que ele remova esses caracteres especiais quando fizer a atualização.

Uso de credenciais com o Orchestration

O Orchestration requer credenciais para acessar recursos.

Tabela de credenciais

A tabela de credenciais (discovery_credential) define as credenciais que podem ser usadas para integração. Na versão anterior, a tabela de credenciais continha um campo de marcador do tipo cadeia de caracteres, que rotula uma credencial e o marcador é usado em atividades de orquestração. Na versão Madri, renomeamos o marcador para alias de credencial e mudamos o tipo de cadeia de caracteres para GlideList, que é uma referência à tabela de alias de conexão.

Tipos de credencial

Os seguintes tipos de credencial são fornecidos:

Tipo de credencial	Descrição	Oferece suporte à opção de credencial de teste
Credenciais de aplicativo	As credenciais para explorar as aplicações em um dispositivo ou computador. Padrões de descoberta usados por Visibilidade do ITOM geralmente precisam de credenciais de aplicativo.	Não
Credenciais do Amazon Web Service	A conta principal do Amazon Web Services (AWS), o ID da chave de acesso e a chave de acesso secreta. Nota: Você não pode testar as credenciais da AWS por meio do Teste	Não
Credenciais de Contrato do Azure Service Principal and Enterprise	As entidades de serviço do Azure necessárias para uma assinatura do Azure.	Não
Credenciais de autenticação básica	Um nome de usuário e senha.	Não
Credenciais CIM	O nome de usuário e a senha necessários para acessar um servidor CIMOM - Common Information Model Object Manager (CIM), que obtém informações sobre servidores VMware ESX.	Não
Credenciais da nuvem	Credenciais que o Orchestration usa para acessar os recursos da nuvem.	Não
Credenciais JDBC	Um nome de usuário e uma senha para acessar uma conexão JDBC (Java Database Connectivity).	Sim
Credenciais JMS	Um nome de usuário e uma senha para acessar um Java Message Service (JMS).	Sim
Credenciais OAuth 2.0	As credenciais do OAuth 2.0 permitem que a ServiceNow obtenha acesso às contas de usuário em um serviço HTTP.
Credenciais da comunidade SNMP	A cadeia de caracteres da comunidade para acessar dispositivos via SNMP.	Sim
Credenciais SNMPv3	O nome de usuário e as chaves necessárias para acessar dispositivos na rede SNMP v3.	Sim
Credenciais SSH	O nome de usuário e a senha para acessar dispositivos Linux e Unix.	Sim
Credenciais SSH	As credenciais de chave privada para acessar dispositivos Linux e Unix. Nota: Para melhor segurança, as credenciais de chave privada SSH são recomendadas em vez de credenciais de senha SSH.	Sim
Credenciais do VMware	Credenciais para acessar recursos do vCenter. Essas credenciais são necessárias para qualquer trabalho realizado no vCenter, como a clonagem de uma máquina virtual.	Sim
Credenciais do Windows	O nome de usuário e a senha necessários para acessar computadores Windows. Diversas credenciais do Windows devem ser atendidas para uso de credenciais do Windows.	Sim

Como os MID Servers usam credenciais

Por padrão, os MID Servers do Windows usam as credenciais de login do serviço do MID Server na máquina do host para descobrir dispositivos Windows na rede. Você deve Configurar credenciais de serviço do MID Server do Windows para que elas tenham privilégios de administrador local ou de domínio. Para Linux e UNIX máquinas e dispositivos de rede, o MID Server usa as credenciais SSH e SNMP configuradas na instância em Descoberta > Credenciais.

MID Servers aos quais o Orquestração deve ter acesso para que as credenciais necessárias executem comandos nos computadores na rede, conforme especificado pelas Atividades de fluxo de trabalho. O Orchestration pode usar as mesmas credenciais de SSH e SNMP que Descoberta, mas possui duas credenciais adicionais projetadas para atividades de fluxo de trabalho específicas: Windows (para PowerShell) e VMware.

Criptografia e descriptografia

A plataforma armazena credenciais em um campo criptografado na tabela Credenciais [discovery_credentials]. Depois de inseridos, eles não podem ser exibidos.

Quando as credenciais são solicitadas pelo MID Server, a plataforma as descriptografa usando o seguinte processo:

1. As credenciais são descriptografadas na instância com a chave fixa password2.
2. As credenciais são criptografadas novamente na instância com a chave pública do MID Server.
3. As credenciais são criptografadas no balanceador de carga com SSL.
4. As credenciais são descriptografadas no MID Server com SSL.
5. As credenciais são descriptografadas no MID Server com a chave privada do MID Server.

Nota:

A plataforma não tem chaves de criptografia separadas para instâncias de vários locatários.

Pedido de credenciais

As credenciais podem receber um valor de pedido no formulário Credenciais, que força a aplicação a tentar todas as credenciais à sua disposição em uma determinada sequência. Se você não especificar um valor de ordem, a aplicação tentará as credenciais na tabela Credenciais [discovery_credential] aleatoriamente, até encontrar uma que funcione, como quando o Orchestration tenta executar um comando em um servidor SSH (como uma máquina Linux ou UNIX), ou quando o Discovery tenta consultar um dispositivo SNMP (como uma impressora, roteador ou no-break).

Depois de identificar as credenciais para um dispositivo, o Descoberta e a Orquestração criam uma afinidade entre as credenciais e o dispositivo que usa a tabela Afinidade de credencial [dscy_credentials_affinity]. Todas as descobertas subsequentes ou atividades da Orquestração tentam corresponder as credenciais nesta tabela a um dispositivo para o qual existe uma afinidade. Se as credenciais de um dispositivo forem alteradas, o Descoberta e a Orquestração tentarão todas as credenciais disponíveis novamente até criarem uma nova afinidade.

Nota:

Se a Orquestração e o Descoberta estiverem instalados e o alias de credencial estiver habilitado, poderão existir várias afinidades. Nesse caso, a plataforma pesquisa as credenciais de cada afinidade e insere a credencial da afinidade com a ordem mais baixa no probe.

Solicitar credenciais é útil nas seguintes situações:

• A tabela de credenciais contém muitas credenciais, com algumas usadas com mais frequência do que outras. Por exemplo, se a tabela contiver 150 credenciais SSH e 5 delas forem usadas para fazer login em 90% dos dispositivos, é uma prática recomendada configurar essas cinco credenciais com números de ordem baixa, o que as coloca no topo da lista de execução. Descoberta e o Orchestration funcionam mais rápido quando tentam essas credenciais comuns primeiro. Depois da primeira conexão bem-sucedida, o sistema saberá quais credenciais usar na próxima vez para cada dispositivo.
• O sistema tem segurança de login intensa. Por exemplo, se os servidores de banco de dados Solaris na rede permitirem apenas três tentativas de login com falha antes de bloquearem o MID Server, configure as credenciais do banco de dados com um valor de ordem baixo.

Alias de credencial

O alias de credencial permite que os criadores de fluxo de trabalho:

• Atribuam credenciais individuais a qualquer atividade em um fluxo de trabalho do Orchestration
• Atribuam credenciais individuais a qualquer ação no Flow Designer
• Atribuam credenciais diferentes para cada ocorrência do mesmo tipo de atividade em um fluxo de trabalho de Orquestração.
• Atribuam credenciais diferentes a cada ocorrência da mesma ação no fluxo do designer.

O alias de credencial também funciona com afinidades de credencial.

Armazenamentos de credenciais externas

Se não quiser que as credenciais sejam armazenadas em sua instância, use repositórios de credenciais externas. Os armazenamentos de credenciais externas salvam as credenciais em um site externo que sua instância pode acessar. Somente o CyberArk é compatível.

Conexões com o Orchestration

Use a tabela de conexões para configurar uma conexão JMS, JDBC ou HTTP (s) com um host de destino.

Tabela de Conexão

A tabela de conexão (sys_connection) é a tabela base para todas as tabelas de conexão. Você pode configurar conexões para os seguintes protocolos:

• JDBC
• JMS
• HTTP(s)

A tabela de conexão faz referência à tabela de alias de conexão, que acopla o alias de conexão às informações de conexão. Cada conexão registra as seguintes informações:

Tabela 1. Propriedades de conexão base

Campo	Descrição
Nome	Nome da conexão. Este campo deve ser exclusivo na tabela.
Credencial	Especifique a credencial a ser usada com esta conexão. Isso é opcional.
Alias de conexão	O alias de conexão resolve sua conexão e credenciais no tempo de execução. Somente uma conexão está ativa por alias de conexão de cada vez.
Ativo	Marque para tornar a conexão atual ativa.
Domínio	Domínio ao qual a conexão pertence.

A credencial é exclusiva nas conexões ativas, se não estiver vazia.

Atualização de informações de conexão

As tabelas de conexão JDBC (jdbc_connection) e conexão JMS (orch_jms_ds) são tabelas de conexão do Orchestration existentes. Na versão Madrid, elas foram alteradas para terem a tabela de conexão (sys_connection) como primária. Elas foram movidas de plug-ins de tempo de execução do Orchestration para plug-ins de Credenciais e Conexões. Elas são estendidas originalmente de sys_metadata. Os dados relacionados ao sys_metadata serão removidos. Mudanças no nome do campo JDBC:

• O servidor JDBC foi renomeado para host
• A porta do banco de dados foi renomeada para porta