Blue Prismアプリケーションサーバー

使用するインストーラーが32ビットか64ビットかに応じて、適切なインストーラーを見つけて実行します。

• 32ビットインストーラー：BluePrismx.x.nn_x86.msi
• 64ビットインストーラー：BluePrismx.x.nn_x64.msi

インストーラーは［Blue Prismポータル］から入手可能です。

高度なインストールオプション

［インストール場所］画面で［高度なインストール］チェックボックスがオンになっている場合、Blue Prismのインストール中に次の追加コンポーネントを使用できます。

• Outlookの自動化 - Blue Prism MS OutlookメールのVBOが実行されるデバイスで必要です。
• Google Sheetsの自動化 - Blue Prism Google SheetsのVBOが実行されるデバイスで必要です。
• Chromeブラウザーの拡張機能 - Chromeの自動化に使用されるデバイスで必要です。

• Firefoxブラウザーの拡張機能 - Firefoxの自動化に使用されるデバイスで必要です。

  Firefoxブラウザーの拡張機能は、Blue Prism 6.10.6のインストールでは入手できません。Firefoxの拡張機能を含む最新のBlue Prism 6.10は、Blue Prism 6.10.5です。詳細については、「アップグレード通知」「」を参照してください。

• Edgeブラウザーの拡張機能 - ChromiumベースのEdgeの自動化に使用されるデバイスで必要です。

インストールを続行する前に選択を解除しない限り、すべてのコンポーネントがデフォルトでインストールされます。

Blue Prism 6.10.5のみ

Blue Prism 6.10.5では、Chrome、Edge、Firefox用のManifest V2ブラウザー拡張機能（既存の6.10.4ブラウザー拡張機能に対応）またはBlue Prism 6.10.5で導入されたChromeとEdge用の新しいManifest V3ブラウザー拡張機能のいずれかをインストールできます。インストール場所画面で［高度なインストール］チェックボックスを選択していない場合、Blue Prism 6.10.4（Manifest V2）ブラウザー拡張機能は、すべてのブラウザーにデフォルトでインストールされます。

これは、Googleの拡張機能プラットフォームの変更と、ChromeおよびEdgeブラウザーのManifest V3への移行によるものです。Firefoxのブラウザー拡張機能は引き続きManifest V2を使用しているため、影響を受けません。詳細については、GoogleのドキュメントとBlue Prism 6.10.5リリースノート。

初めてBlue Prismを起動する際には、データベースがホストされている、あるいはされる予定の場所にSQL Serverインスタンスへの接続を定義する必要があります。

1. ［接続を構成］をクリックします。接続情報を入力するための［接続構成］ダイアログが開きます。

   

2. この接続の名前と、SQL Serverインスタンスへの接続に必要な設定を指定します。

   また、対象データベースの名前も、この画面で指定します。これは新しいデータベースを作成するために使う名前ですが、既存のデータベースの名前の場合もあります。

   

   *接続のタイプにWindows認証を適用する場合は、そのときにデバイスにログインしているユーザーのコンテキストが、SQL Serverに対する認証に使用されます。可能であれば、（SQL認証ではなく）Windows認証を使用してください。

   • SQL認証 - 接続名（一意）、データベースサーバー、データベース名、ユーザーID
   • Windows認証 - 接続名（一意）、データベースサーバー、データベース名
   • 可用性グループ（SQL Server認証） - 接続名（一意）、データベースサーバー、データベース名、ユーザーID
   • 可用性グループ（Windows認証） - 接続名（一意）、データベースサーバー、データベース名

   ** 空欄にできます。カスタムSQL接続パラメーター（例：encrypt=true; trustservercertificate=true）を追加するための要件がある場合に入力します。

   利用できる値のリストについては、Microsoftが提供しているSQL Server接続プロパティ情報を参照してください。

   Microsoft SQL Azureに接続している場合、データベースはすでに存在しているはずなので、Azureデータベース構成エリア内で提供される接続の詳細を使用する必要があります。設定例（ADO.NET）は以下のとおりです。

   接続タイプ	SQL Server（SQL認証）
   データベースサーバー：	e12n3456.database.windows.net,1433
   Database Name（データベース名）：	BluePrism
   User ID（ユーザーID）：	authUser@e12n3456
   パスワード：	*********

3. SQL Serverとの接続を確立できる場合は、［Test Connection（接続テスト）］をクリックして接続を確立します。

   データベースが存在しないため、重大エラーが表示されます。

   予想される応答

   データベース「Blue Prism」は存在しません。	これは有効なBlue Prismデータベースではないようです。	データベースを使用するには、事前に設定が必要です。
   サーバーとの接続は確立しても、データベースが存在しないことを示しています。	サーバーとの接続は確立しても、Blue Prismデータベースであることが確認できないことを示しています。これは、通常、データベースが手動で作成されたものの、Blue Prismスキーマが適用されていない状況です。	サーバーとの接続確立に成功し、Blue Prismデータベースが見つかったものの、さらにいくつかの構成が必要なことを示しています。
   ［OK］をクリックしてメッセージを消し、［データベースを作成］をクリックします。		［OK］をクリックしてメッセージを消し、［データベースを構成］をクリックします。
   詳細については、次の手順に進んでください。

   代替応答

   有効なデータベース

   Unable to determine whether database exists – A network-related or instance-specific error occurred while establishing a connection to SQL Server.（データベースが存在しているかどうか判断できません - SQL Serverへの接続を確立している間にネットワーク関連またはインスタンス固有のエラーが発生しました。） The server was not found or was not accessible.（サーバーが検出されませんでした。または、アクセスできませんでした。） Verify that the instance name is correct and that SQL Server is configured to allow remote connections. (provider: Named Pipes Provider, error: 40 – Could not open a connection to SQL Server)（インスタンス名が正しいこと、およびSQL Serverがリモート接続を許可するよう構成されていることを検証してください。（プロバイダー：名前付きパイププロバイダー、エラー：40 – SQL Serverへの接続を開けませんでした））

   サーバーおよびデータベースとの接続確立が成功したことを示しています。 データベースを［作成］または［構成］するアクションをバイパスできます。

   SQL Serverとの接続を確立中にエラーが発生したことを示しています。SQL Serverインスタンスの詳細が正しいことを確認し、「インストールのトラブルシューティング」「」を参照してください。

Blue Prismと共に使用するデータベースの作成と準備には、3つの段階があります。

• SQL Serverデータベースを作成する - 手動、または製品内の［データベースを作成］アクションを使用して実行できます。
• Blue Prismスキーマを適用する - データベーススキーマが構成されたデータベースに適用されます。
• 製品内の［データベースを作成］アクションは、このアクションが作成するデータベースか、または指定可能な既存の空白のデータベースにスキーマを自動的に適用します。
• または、既存のデータベースに対してCreateScript.sqlを使用し、手動でスキーマを適用できます。CreateScript.sqlはBlue Prismカスタマーサポートからのリクエストにより取得するか、Blue Prismクライアントを使用して生成できます。 - ［新しいデータベースを作成］または［データベースをアップグレード］画面の下部の［スクリプトを生成］をクリックします。
• Blue Prismサインオン設定を構成する - データベースに多数の構成オプションが適用されます。これらは、製品内「Create Database（データベースを作成）」アクションを使うと自動的に適用されます。データベースの作成とスキーマの手動適用が済んでいる場合は、「データベースを構成」アクションを使用する必要があります。

製品内の「データベースを作成」機能を使うと、上のすべての段階が1つの手順で完了します。

1. 製品内ユーティリティを起動してデータベースを作成および構成するには、［接続構成］ダイアログの［データベースを作成］または［データベースを構成］オプションを使用します。

   

2. ［新しいデータベースを作成］ダイアログで、データベースがすでに存在する場合は、データベースを切断して再作成するかどうかを選択します。

   

3. Blue Prismに接続するユーザーに適した認証メソッドを選択します。次の2種類の環境から選択できます。
   • マルチ認証環境 - この環境では、次の3種類の認証をサポートします。Blue Prismネイティブ認証、Active Directory認証、および外部IDプロバイダー認証。3つの認証タイプすべてで、役割と許可がBlue Prismの個々のユーザーにマッピングされます。外部認証の場合に、Active DirectoryなどのリンクされたIDプロバイダー内のユーザーグループメンバーシップに基づいて役割を割り当てることはできません。認証タイプはユーザー作成の際に構成でき、後で変更できません。
   • シングル認証環境 - Blue Prism 6.8より前はActive Directoryシングルサインオンと呼ばれており、Active Directory認証をサポートします。Active Directory認証では、ユーザーはActive Directory経由でのみログインし、役割がActive Directoryセキュリティグループにマッピングされています。シングル認証環境を設定する場合は、Blue Prismのセキュリティの役割と関連付けられるActive Directoryセキュリティグループを含むドメインの名前を入力し、さらに、Blue Prismへのシステム管理者アクセスを付与されるメンバーを持つそのドメイン内のセキュリティグループを選択します。

   カスタムセキュリティグループだけが、Blue Prismと関連付けられる必要があります。ビルトイングループや、派生メンバーシップを持つグループを使用しないでください。

4. データベースの構成を終了するには［OK］をクリックします。

包含データベースのサポート

Blue Prismは、Microsoft SQL Serverでホストされる内蔵データベースの使用をサポートします。包含データベースを使用するには、データベースを手動で作成してBlue Prism CreateScript.sqlを適用する必要があります。

詳細については、「内蔵データベース」を参照してください。

これで、初回ログインを行い、システム全体の構成を実行できるようになりました。
この手順は、環境がBlue Prismでの認証のどちらに対して構成されているかによって若干異なります。

マルチ認証環境

Blue Prismネイティブ認証

次のデフォルトの資格情報を使用してログインします。

• ユーザー名：admin
• パスワード：admin

管理者のパスワードを変更するには、画面上の指示に従います。

この動画では、管理者パスワードの復元方法を説明します。

Active Directory認証

マルチ認証環境のActive Directory認証のユーザーを設定する前に、まずBlue Prismネイティブ認証を使用してログインする必要があります。詳細については「シングルサインオン」「」を参照してください。

外部IDプロバイダー経由認証

マルチ認証環境の外部IDプロバイダー経由で認証するようユーザーを設定する前に、まずBlue Prismネイティブ認証（または構成されている場合はActive Directory認証）を使用してログインする必要があります。詳細については「Blue Prismでの認証」「」を参照してください。

シングル認証環境

Active Directoryシングルサインオン認証

構成が正しく適用されたことを確認するには、［サインイン］をクリックしてログインします。

詳細については「シングルサインオン」「」を参照してください。

通常、たくさんのオプション設定が適用されます。オプション設定は、［システム］タブの［システム］>［設定］の下にあります。

詳細については、「システム設定」「」を参照してください。

システム内のいくつかの簡単なタスクを実行し、実行成功を確認することによって、インストールを手動で検証することを推奨します。

段階的な指示については、「インストールを検証する」「」を参照してください。

Blue Prismアプリケーションサーバーサービスは、BPServer.exeを使用して構成します。このアプリケーションはBlue Prismインストールの一部として提供され、所定のサーバーで利用可能なサービスの定義と構成のために使用されます。

Blue Prismサーバー構成ユーティリティは、サービスが使用する設定を含むサーバープロファイルを構成するために使用されます。また、デフォルトのプロファイルの名前を変更したり、新たなプロファイルを追加したりする状況に対して、追加のWindowsサービスを作成するために使用できます。

構成には、以下が含まれます。

• インバウンド接続の使用が求められるモードを選択する。
• ホスト名またはIPアドレスバインド、およびサービスを待ち受けるポートを定義する。
• データベース接続情報を明記する。
• その環境でのデータ暗号化に使用する暗号化方式を構成する。
• 必要に応じて、インバウンド接続のセキュリティを保護するためにどの証明書を使用するか選択する。
• 適切なWindowsサービスが構成されていることと、サービスログオンユーザーが適切なアクセス制御リスト（ACL）に追加されたことを検証する。

1. Blue Prismインストールディレクトリ（通常はC:\Program Files\Blue Prism Limited\Blue Prism Automate）に移動して、BPServer.exeを開始します。
   

2. サーバー構成を作成するには、［新しい構成］をクリックします。

   

3. 必要な詳細を追加します。接続モード、バインド、待ち受けポートが正しいことを確認します。
   • 名前 – サーバープロファイルの名前。最初の名前をデフォルトと呼ぶ必要があります。
   • データベース接続 - データベースに接続するために使う接続。
   • 接続モード - デバイスを接続して使用する接続モード。
   • バインディング - リクエストを特定のURLまたはアドレスで受信する必要があるシナリオのエンドポイントのオプショナルバインド。
   • ポート - サーバー待ち受けポート。

   • スケジューラーを無効化 - このサーバーでスケジューラーを有効にするかどうかを示します。

     

4. 構成するのに証明書が必要な接続モードが選択されている場合は、メッセージが表示され、［証明書］タブが利用できるようになります。これにより、ローカルデバイスでコンピューター証明書として構成された証明書をサーバーサービスと関連付けられるようになります。

   

   証明書タブが表示されていない場合は、次のステップに進みます。

   1. 新しい証明書バインディングの追加を選択し、バインディング情報とローカルデバイスで証明書がインストールされているストアを入力します。
      
   2. ［OK］をクリックしてWindows証明書選択ユーティリティを起動し、適切な証明書を選択します。
      
   3. 詳細タブでバインディングに一致する証明書を選択する必要があります。

5. ［Key Store（キーストア）］タブを選択し、［New（新規）］をクリックします。

   アプリケーションサーバーに保存されているキーを使うよう構成されているBlue Prismクライアントを経由して、定義された暗号化方式ごとに入力する必要があります。

   暗号化方式の名前は、クライアントで設定されている名前と完全に一致する必要があります。

   デフォルト構成を使用する場合、デフォルトの暗号化方式という名前の1つの暗号化方式のみが必要になります。

6. これが環境で初めて構成されるアプリケーションサーバーの場合は、暗号化の方法として［AES-256］を選択します。

7. ［キーを生成］をクリックし、続いて［OK］をクリックします。

   これが既存のBlue Prismデプロイメントにとって追加のアプリケーションサーバーインスタンスの場合は、アルゴリズムとキーを既存サーバー上のアルゴリズムとキーを一致させる必要があります。

   一般に、セキュリティ意識の高いユーザーは、ターゲットロケーションを制御できるように、キーを個別のファイルに別々に保存することも選択します。

   各キーのコピーは必ずセキュアな場所にバックアップします。サーバーに障害が発生した場合に、暗号化されているデータを取得する必要があります。

8. ［サーバーサービス］タブで設定を見直し、これまでのところ問題が見つからなかったことを確認します。

   

9. ［保存］をクリックします。

BPサーバーの暗号化設定を行い、サーバーの暗号化キーをアプリケーションサーバーへの保存時に保護することができます。

サーバー構成ファイルの証明書の暗号化は、最も安全性が重視されるデプロイメントで推奨され、関連するプライベートキーを持つローカルにデプロイされた証明書を有効にすることが必要です。詳細は、「証明書の暗号化の使用」をご確認ください。

1. Blue Prismインストールディレクトリ（デフォルトはC:\Program Files\Blue Prism Limited\Blue Prism Automate）に移動して、BPServer.exeを実行します。
   

2. ［暗号化設定］をクリックし、Blue Prismアプリケーションサーバーが使用するローカル構成ファイル内に保存されている情報に適用する暗号化の設定を行います。

   

3. ［暗号化メソッドの選択］ダイアログで、デフォルトのBlue Prism暗号化の使用または独自の証明書の使用を選択します。独自の証明書の使用を推奨します。

   独自の証明書の使用を推奨します。「証明書の暗号化の使用」をご確認ください。

   独自の証明書の使用を選択する場合は、証明書の拇印を入力します。証明書の拇印とは、自動的に生成される証明書のIDです。

   

4. ［OK］をクリックします。

証明書の暗号化の使用

アプリケーションサーバー構成データに証明書を使用した暗号化を適用する場合は、すべての関連コンポーネントへのアクセスを保証し、適切な暗号化を維持するために、以下の点について考慮する必要があります。

証明書のストレージ

サーバー構成データの暗号化に使用する証明書には、RSA暗号を使用し、パブリックキーとプライベートキーのペアを含める必要があります。また、証明書は次の場所にあるローカルマシンに保存する必要があります。
[Certificates - Local Computer\Personal\Certificates]

証明書へのアクセス

Blue Prismサーバーを構成するユーザーとサーバーサービスを実行するユーザーアカウントに、証明書のプライベートキーに対する読み取りアクセス権があることを以下の手順で確認します。

1. ［コンピューター証明書の管理］ウィンドウで、読み取りアクセス権を付与する証明書を選択します。
2. ショートカットメニューで、［すべてのタスク］>［プライベートキーの管理］を選択します。

3. ［許可］ダイアログで、サーバーサービスを実行中のユーザーアカウントに、証明書に対する読み取りアクセス権があることを確認します。証明書に対する読み取りアクセス権が必要なユーザーやグループを追加します。

   

暗号化方式キーを個別のファイルに保存することを選択した場合、証明書暗号は、個別のファイルに対して適用されます。個別ファイルの場所が他のアプリケーションサーバーと共有されている場合は、これらすべてについて同じ証明書をローカル保存し、少なくともプライベートキーに対する読み取りアクセス権がなければなりません。

サーバー構成データの暗号化

証明書暗号を使用する場合、サーバー構成の暗号化データはすべて、保護されたメモリ内に復号され保持されます。新しい暗号化メソッドまたは証明書サムプリントが選択された場合、機密データは保護メモリからの読み取りおよびファイルへの書き込みの過程で暗号化され、ファイルが保存されます。

証明書暗号を使用すると、次のアプリケーションサーバー構成データが暗号化されます。

• Blue Prismサーバーに接続されたデータベースからの秘密情報の暗号化および復号を行うために使用する暗号化方式キー。
• データベース接続にSQL認証を使用する場合に、データベースに接続するために使用するパスワード。

期限切れ証明書や見つからない証明書

Blue Prismアプリケーションサーバー構成ファイルのカスタム暗号化証明書の有効期限日は、環境のサマリーレポートで確認できる他、Blue Prismイベントログにも書き込まれます。また、Blue Prismアプリケーションサーバー構成ファイルの暗号化に使用される証明書が7日以内に有効期限切れになる場合は、Blue Prismへのログイン時にユーザーに通知されます。

期限が切れると、証明書はBlue Prismアプリケーションサーバーで無効になります。証明書暗号は、以下のような場合にも無効になる場合があります。

• サーバーを実行しているユーザーアカウントに、パブリックキーやプライベートキーへのアクセス権がない場合。この場合、ユーザーに構成のリセットを促すメッセージが表示されます。
• 暗号化に使用した証明書が、証明書ストアにない場合。
• ユーザーアカウントが、ローカルコンピューターの証明書ストアに対するアクセス権を喪失した場合。この場合、起動時に証明書の読み込みを行う時点でエラーメッセージが表示されます。

暗号化に使用した証明書にアクセスできない場合、または復元できない場合は、Blue Prismサーバーの構成を行うユーザーは、サーバー構成プロファイルをもう一度作成する必要があります。これを行うには、Automate.configファイルを削除します。このファイルは、ProgramData\Blue Prism Limited\Automate V3にあります。BPServer.exeが起動し、新しいAutomate.configファイルが自動的に作成されます。その後、暗号化方式および新しい証明書を新しいサーバー構成ファイルに適用できます。

Blue Prismのデフォルトインストールによって、［デフォルト］という名前の付いたサーバー設定プロファイルを使用するよう構成されているBlue Prismサーバーサービスを作成します。別の名前のプロファイルが使用されている場合は、サーバー構成ユーティリティをカスタムプロファイルと関連付けられているWindowsサービスの作成に使用できます。

Windowsサービスは、ローカルデバイス上のWindowsサービス管理コンソールから構成する必要があります。構成する主な設定は、以下のとおりです。

• スタートアップの種類 - デフォルトで［手動］に設定されていますが、大半の環境で［自動］に設定することを推奨します。
• ログオン - Blue Prismが使用するデフォルトのアカウントは［ローカルシステム］ですが、カスタムアカウントを構成できます。
  
  Blue Prismサーバープロファイルがデータベースと通信するためにWindows認証を使用している場合、データベースに接続するときは、各サービスでここに指定されているアカウントが使用されます。

Windows認証を使用してSQLのセキュリティを保護するとき、構成済みのWindowsサービスアカウントは、適切な（最小限度の）アクセスをSQLデータベースに付与する必要があります。

Blue Prismがシングルサインオンを使用するよう構成されている場合、構成済みのWindowsサービスアカウントに、ディレクトリサービスプロバイダー、クエリユーザー、グループメンバーシップにアクセスする適切な許可が付与されている必要があります。Active Directoryに関連して必要な特定の許可は、環境要素によって異なります。したがって、ターゲット環境内のActive Directory管理者チームのサポートが必要になる可能性があります。

サービス開始時に、サービスが開始しない場合、またはすぐに停止する場合は、構成に問題がある可能性があります。問題に関する追加情報については、Windowsイベントビューアー内のBlue Prismアプリケーションログをチェックしてください。

サービス構成を再検証するには、Blue Prismサーバー構成ユーティリティを使用します。

SQLに対して認証するためにWindows認証を使用するようBlue Prismを構成するといった共通の構成は、場合によってエラーの原因になります。こうしたことが発生するおそれがあるのは、管理者以外のユーザーがサービスログオンアカウントとして設定された場合です。このような状況では、以下のようなアラートが表示されることがあります。

［許可を管理］機能は、定義されたポートで待ち受ける適切な許可をサービスアカウントに付与するために使用できます。以下の規則を必ず検討してください。

• サービスがバインドを使用するよう構成されている場合は、特定アドレスの許可を作成しなければならない。
• サービスがバインドを使用するよう構成されていない場合は、非特定アドレスの許可を使用しなければならない。

サービスが定義されたバインドを使う場合、強力なワイルドカードを含むアドレスを使用することはできません。

サービスを開始するには、Windowsサービス管理コンソールを使用します。

サービスが開始しない場合、または開始してすぐに停止してしまう場合は、サービスの構成に問題があります。詳細については、「インストールのトラブルシューティング」を確認してください。

新しく構成されたサーバーサービスを介して接続するように設定されたローカルデバイスに追加のBlue Prism接続を構成することで、サーバーサービスをローカルでテストできます。

1. Blue Prismを起動し、［接続を構成］をクリックします。

   

2. 接続情報を入力するための［接続構成］ダイアログが開きます。

   • 接続名 - 接続のフレンドリ名
   • 接続タイプ – ドロップダウンから［Blue Prismサーバー］を選択します。
   • Blue Prismサーバー – Blue Prismサーバーのホスト名。必ずサーバーバインドを一致させ、解決できるようにします。
   • 接続モード - 使用する接続モード。これはBlue Prismサーバーで構成されているモードと一致する必要があります
   • サーバーポート - サーバーが待ち受けるポート。

   • 順序付けられたセッション - これはデフォルトで有効になっており、WCF接続セッションを順番に転送するかどうかを制御します。この設定を無効にすると、Blue Prismインタラクティブクライアントが大量のランタイムリソースに接続する際にかかる時間が削減されます。

     

3. 接続を確立できるかどうか検証するには、［Test Connection（接続テスト）］をクリックします。

   接続が検証できない場合、これはアプリケーションサーバーとの接続の確立に問題があることを示します。詳細については、「インストールのトラブルシューティング」「」と「アプリケーションサーバーに接続する」トラブルシューティングを参照してください。
   

   これで管理者は、以下を検証するために、ローカルのBlue Prismクライアントに構成された2つの接続を使用できるようになりました。

   • Blue Prismデータベースへの直接接続。
   • アプリケーションサーバーを経由した環境への接続。

Blue Prismサーバー接続で次の接続モードを使用する場合、各Blue Prismサーバーサービスインスタンスが実行されているActive Directory（AD）アカウントに対してサービスプリンシパル名（SPN）を構成する必要があります。

• WCF：メッセージの暗号化とWindows認証を使用するSOAP
• WCF：トランスポートの暗号化とWindows認証を使用するSOAP
• .NET Remoting：セキュア

これは、Blue Prismインタラクティブクライアントまたはランタイムリソースが上記の接続モードのいずれかを使用してアプリケーションサーバーに接続する場合、Microsoft Negotiateセキュリティパッケージを使用して、接続の認証に最適なセキュリティサポートプロバイダー（SSP）を選択するためです。Blue Prismインタラクティブクライアントの内部コードは、予想されるSPNをMicrosoft Negotiationセキュリティパッケージに提供します。これは、SPNがActive Directoryに存在することを条件として、Microsoft Negotiationに、New Technology LAN Manager（NTLM）SSPではなくKerberos SSPを選択するように促します。

SPNがActive Directoryに存在しない場合、Kerberos認証は失敗します。この動作に影響するCVE-2022-21920のWindowsセキュリティ更新の詳細については、こちらのナレッジベースの記事を参照してください。

Blue Prism 6.10.5以降、SPNがActive Directoryに存在しない場合、さらに/forcentlm <flag>がAutomate Cで設定されている場合は、NTLM SSPが使用されます。

この構成に関するサポートについては組織のITチームに問い合わせ、まず非本番環境で構成をテストすることをお勧めします。

この構成はすべてのBlue Prism環境に適用されますが、BPサーバーインスタンスが実行されているActive Directoryアカウントが、Blue Prismインタラクティブクライアントとランタイムリソースに使用されるActive Directoryアカウントとは異なるドメインに存在する場合は、CVE-2022-21920のWindowsセキュリティ更新プログラムをインストールしないことをお勧めします。すでにインストールされている場合は、アンインストールすることをお勧めします。

Blue Prism 6.10.5以降、BPサーバーインスタンスが実行されているActive Directoryアカウントが、Blue Prismインタラクティブクライアントとランタイムリソースに使用されるActive Directoryアカウントとは異なるドメインに存在する場合は、以下に概説する追加の構成が必要です。

SPNを構成するには、各Blue Prismサーバーサービスインスタンスで以下の手順に従ってください。

1. ドメイン管理者またはエンタープライズ管理者グループのメンバーである特権付きWindowsユーザーアカウントを使用してBlue Prismのサーバーにログインします。

   必要な許可を含む詳細については、このトピックのMicrosoftドキュメントを参照してください。これは、アカウントの許可がないことでSetspnコマンドの実行に失敗しないようにするために、組織のITチームと確認すべき重要なステップです。

2. アプリケーションサーバーの管理者としてコマンドプロンプトを開き、次のコマンドを実行します。

   Blue Prismサーバーがローカルシステムアカウントとして実行されている場合：

   コピー

   Setspn -S HTTP/SERVER_FQDN:SERVER_PORT/BPServer COMPUTER_HOSTNAME 

   Blue Prismサーバーがユーザーアカウントとして実行されている場合：

   コピー

   Setspn -S HTTP/SERVER_FQDN:SERVER_PORT/BPServer DOMAIN\Username

   ここでは、

   • HTTPとHTTPSの両方のHTTPアカウントです。HTTPSを含むようにコマンドを変更すると、構成に失敗するので、変更しないでください。

   • 「SERVER_FQDN:SERVER_PORT」は、Blue Prismアプリケーションサーバーの完全修飾ドメイン名（FQDN）である必要があります。

   • 「COMPUTER_HOSTNAME」は、BPサーバーサービスがローカルシステムアカウントとして実行されている場合、コンピューターのホスト名です。

   • 「DOMAIN\Username」は、BPサーバーサービスがユーザーアカウントとして実行されている場合、ドメインユーザー名です。

     これは、Blue Prism［サーバープロパティ（ローカルコンピューター）］ウィンドウの［次のユーザーとしてログオン］の設定と一致する必要があります。

     

   ローカルシステムの例：

   

   DOMAIN\Usernameの例：

   

3. SPNを設定した後、Kerberosチケットキャッシュが更新されるまで待つ必要があります（デフォルト設定は15分ですが、グループポリシーで変更できます）。詳細については、Kerberos認証のドキュメントを参照してください。

   または、以下のいずれかを行うことができます。

   • Blue Prismインタラクティブクライアントまたはランタイムリソースを再起動します。または、

   • インタラクティブクライアントまたはランタイムリソースを実行しているマシンでコマンドプロンプトを開き、Klist purgeを実行してKerberosチケットを更新します。

     このコマンドは、すべてのユーザーのKerberosチケットを消去しないため、昇格されたコマンドプロンプト内で実行しないでください。

4. 別のマシンで実行されているBlue PrismインタラクティブクライアントからBlue Prismサーバーに接続して、正常に機能していることを確認します。

5. すべてのBlue Prismサーバーで実行されているBlue Prismサーバーサービスの各インスタンスで、上記の手順を繰り返します。

SPNエントリを確認し、誤ったSPNを削除する

1. トラブルシューティング目的でSPNエントリを確認するには、次のコマンドを使用して、アプリケーションサーバーに追加したSPNのリストを表示できます。

   コピー

   Setspn -L ACCOUNTNAME

SPNリストの例：



2. BPサーバーサービスに追加したSPNのエントリを確認します。以下のコマンドを使用して、誤って追加されたものを削除できます。

   コピー

   Setspn -D SPN_NAME ACCOUNTNAME

   SPN_NAMEは、「HTTP/SERVER_FQDN:SERVER_PORT/BPServer」など、SPNエントリリストに表示される名前です。

負荷分散環境でのBlue Prismアプリケーションサーバーの追加構成

同じロードバランサープール内のBlue Prismサーバーサービスのすべてのインスタンスが同じサービスアカウントで実行され、SPNがこのアカウントに登録されていることが不可欠です。

さらに、アプリケーションサーバーへの直接接続をテストできるため、アプリケーションサーバーのFQDNのSPNを同じサービスアカウントに登録することをお勧めします。詳しくは、「SPNのトラブルシューティング」を参照してください。