Blue Prism 应用程序服务器

根据要使用的安装程序版本（32 位或 64 位），运行相应的安装程序。

• 32 位安装程序：BluePrismx.x.nn_x86.msi
• 64 位安装程序：BluePrismx.x.nn_x64.msi

可从 Blue Prism 门户获取安装程序。

高级安装选项

如果在“安装位置”屏幕上选中高级安装复选框，则可以在 Blue Prism 安装期间安装以下附加组件：

• Outlook Automation—必须在将执行 Blue Prism MS Outlook Email VBO 的设备上存在。
• Google Sheets Automation—必须在将执行 Blue Prism Google Sheets VBO 的设备上存在
• Chrome 浏览器扩展程序—必须在将用于自动化 Chrome 的设备上存在。

• Firefox 浏览器扩展程序—必须在将用于自动化 Firefox 的设备上存在。

  Firefox 浏览器扩展程序不能使用 Blue Prism 6.10.6 安装。配备 Firefox 扩展程序的新 Blue Prism 6.10 版本为 Blue Prism 6.10.5。有关更多信息，请参阅升级通知。

• Edge 浏览器扩展程序—必须在将用于自动化基于 Chromium 的 Edge 的设备上存在。

默认安装所有附件，除非在执行安装前取消选中这些附件。

仅限 Blue Prism 6.10.5

在 Blue Prism 6.10.5 中，您可以安装用于 Chrome、Edge 和 Firefox 的 Manifest V2 浏览器扩展程序（对应于现有的 6.10.4 浏览器扩展程序），或者安装在 Blue Prism 6.10.5 中引入的用于 Chrome 和 Edge 的新 Manifest V3 浏览器扩展程序。如果您尚未在安装位置屏幕上选中高级安装复选框，则默认为所有浏览器安装 Blue Prism 6.10.4 (Manifest V2) 浏览器扩展程序。

这是因为 Google 扩展程序平台发生变更和转移到 Manifest V3（对于 Chrome 和 Edge 浏览器）。Firefox 浏览器扩展程序仍在使用 Manifest V2，因此不受影响。有关更多信息，请参阅 Google 文档和 Blue Prism 6.10.5 发行说明。

首次启动 Blue Prism 时，必须定义与 SQL Server 实例（数据库位于该实例中或将托管在该实例中）的连接。

1. 点击“配置连接”。这将打开“连接配置”对话框，用户可在其中提供连接信息。

   

2. 指定此连接的名称，以及在连接到 SQL Server 实例时所需的设置。

   此外，还可在此屏幕中指定目标数据库的名称。该名称将用于创建新数据库；该名称可以是现有数据库的名称。

   

   *如果“连接类型”应用 Windows 身份验证，则当前已登录设备用户的上下文将用于对 SQL Server 进行身份验证。应尽可能使用 Windows 身份验证，而非 SQL 身份验证。

   • SQL 身份验证—连接名称（必须唯一）、数据库服务器、数据库名称、用户 ID
   • Windows 身份验证—连接名称（必须唯一）、数据库服务器、数据库名称
   • 可用性组（SQL 身份验证）—连接名称（必须唯一）、数据库服务器、数据库名称、用户 ID
   • 可用性组（Windows 身份验证）—连接名称（必须唯一）、数据库服务器、数据库名称

   **可以留空。如果需要添加自定义 SQL 连接参数，请填充相应值，例如：encrypt=true；trustservercertificate=true。

   有关可用值的列表，请参阅 Microsoft 提供的“SQL Server 连接属性”信息。

   如果连接到 Microsoft SQL Azure，则数据库必须预先存在。并且，应当使用 Azure 数据库配置区域中提供的连接详细信息。以下提供了一些示例设置 (ADO.NET)：

   连接类型	SQL Server（SQL 身份验证）
   数据库服务器：	e12n3456.database.windows.net,1433
   数据库名称：	BluePrism
   用户 ID：	authUser@e12n3456
   密码：	*********

3. 点击“测试连接”以确定是否可以使用 SQL Server 建立连接。

   由于数据库尚不存在，预期会出现有意义的错误消息。

   预期的响应

   “Blue Prism”数据库不存在。	这看起来不是有效的 Blue Prism 数据库。	需要先配置数据库，然后才能使用数据库。
   表明已与服务器成功建立连接，但数据库尚不存在。	表明已与服务器成功建立连接，但无法验证为 Blue Prism 数据库。通常，如果已手动创建数据库但未应用 Blue Prism 模式，会发生这种情况。	表明已与服务器成功建立连接，并且已找到 Blue Prism 数据库，但需要进一步配置。
   点击“确定”清除此消息，然后点击“创建数据库”。		点击“确定”清除此消息，然后点击“配置数据库”。
   继续执行下一步以获得进一步指示。

   其他响应

   数据库有效	无法确定数据库是否存在—与 SQL Server 建立连接时发生了网络相关错误或特定于实例的错误。未找到或无法访问服务器。验证实例名称是否正确，以及 SQL Server 是否配置为允许远程连接。（提供程序：命名管道提供程序，错误：40—无法打开与 SQL Server 的连接）
   表明已与服务器和数据库成功建立连接。 可以跳过数据库“创建”或配置操作。	表明在与 SQL Server 建立连接时发生了错误。检查 SQL Server 实例的详细信息是否正确，并参阅安装故障排除。

在创建和准备与 Blue Prism 一起使用的数据库时会涉及到三个环节。

• 创建 SQL Server 数据库—这可以手动实现或通过使用产品内的“创建数据库”操作实现。
• 应用 Blue Prism 模式—将数据库模式应用于配置的数据库。
• 产品内的“创建数据库”操作会自动将模式应用于其创建的数据库，或应用于可指定且预先存在的空白数据库。
• 或者，可以通过对预先存在的数据库手动使用 CreateScript.sql 来应用此模式。可以请求 Blue Prism 客户支持部门提供 CreateScript.sql，也可以使用 Blue Prism 客户端生成此脚本—点击“创建一个新的数据库”或“升级数据库”屏幕底部的生成脚本。
• 配置 Blue Prism 登录设置—将许多配置选项应用于数据库。在使用产品内的“创建数据库”操作时，这些配置选项会自动应用。如果数据库已创建并手动应用了模式，则必须使用“配置数据库”操作。

在使用产品内的“创建数据库”功能时，上述所有阶段将一步完成。

1. 要启用产品内实用程序以创建和配置数据库，请使用“连接配置”对话框中的创建数据库或配置数据库选项。

   

2. 在“新建数据库”对话框中，选择是否删除并重新创建数据库（如果数据库已存在）。

   

3. 为连接到 Blue Prism 的用户选择首选身份验证方法。您可以选择两种环境：
   • 多重身份验证环境—此环境支持三种类型的身份验证：Blue Prism 原生身份验证、Active Directory 身份验证和外部身份提供程序身份验证。对于所有三种身份验证类型，角色和权限都映射到 Blue Prism 中的单个用户。对于外部身份验证，无法根据 Active Directory 等链接的身份提供程序内的用户组成员分配角色。此身份验证类型在创建用户期间配置，而且无法在创建用户后更改。
   • 单一身份验证环境—此环境在 Blue Prism 6.8 版本之前称为 Active Directory 单点登录，它支持 Active Directory 身份验证（用户仅通过 Active Directory 登录，而且角色映射到 Active Directory 安全组）。要设置单一身份验证环境，请输入包含与 Blue Prism 中的安全角色关联的 Active Directory 安全组的域的名称，并选择该域中的安全组，其成员将获得访问 Blue Prism 的系统管理员权限。

   只有自定义安全组应与 Blue Prism 关联；不要使用内置组或具有派生成员身份的组。

4. 点击确定完成数据库配置。

支持包含的数据库

Blue Prism 支持使用托管在 Microsoft SQL Server 上的包含的数据库。要使用包含的数据库，必须手动创建数据库，并应用 Blue Prism CreateScript.sql。

有关更多详细信息，请参阅包含的数据库。

现在，可以进行首次登录并执行一些系统范围内的配置。
根据环境是配置为 Blue Prism 中的身份验证 ，步骤略有不同。

多重身份验证环境

Blue Prism 原生身份验证

使用默认凭据登录：

• 用户名：admin
• 密码：admin

按照屏幕上的说明更改管理员密码。

此视频向您演示如何恢复管理员密码。

Active Directory 身份验证

您首先要使用 Blue Prism 原生身份验证来进行登录，才能为多重身份验证环境中的 Active Directory 身份验证设置用户。有关更多详细信息，请参阅单点登录。

使用外部身份提供程序进行身份验证

您首先要使用 Blue Prism 原生身份验证（如果还配置了 Active Directory 身份验证，也可以使用）来进行登录，才能为多重身份验证环境中的外部身份提供程序身份验证设置用户。有关更多详细信息，请参阅 Blue Prism 中的身份验证。

单一身份验证环境

Active Directory 单点登录身份验证

通过点击“登录”来验证配置是否已正确应用，从而实现登录。

有关更多详细信息，请参阅单点登录。

通常，可以应用许多可选设置。可以在系统选项卡上的系统 > 设置下找到这些设置。

有关更多信息，请参阅系统设置。

我们建议通过在系统中执行一些简单任务并确认它们已执行成功来手动验证安装。

有关分步说明，请参阅验证安装。

使用 BPServer.exe 配置 Blue Prism 应用程序服务器服务。此应用程序会在安装 Blue Prism 时提供，用于定义和配置指定服务器上可用的服务。

Blue Prism 服务器配置实用程序将用于配置服务器配置文件，其中包含服务将使用的设置。此外，该实用程序还可用于在重命名了默认配置文件或添加了额外的配置文件的情况下创建额外的 Windows 服务。

配置包括：

• 选择入站连接需要使用的模式
• 定义主机名称或 IP 地址绑定以及服务将使用的侦听端口
• 指定数据库连接信息。
• 配置将在该环境中用于数据加密的加密方案。
• 在适当的情况下，选择可用于保护入站连接的证书。
• 验证是否配置了适当的 Windows 服务，以及服务登录用户是否添加到了相应的访问控制列表 (ACL)。

1. 导航到 Blue Prism 安装目录（通常为 C:\Program Files\Blue Prism Limited\Blue Prism Automate），然后启动 BPServer.exe。
   

2. 点击“新建配置”创建服务器配置。

   

3. 添加所需详细信息。确保连接模式、绑定和侦听端口均正确。
   • 名称—服务器配置文件的名称。第一个必须称为默认。
   • 数据库连接—用于连接到数据库的连接。
   • 连接模式—连接设备所使用的连接模式。
   • 绑定—对于必须在特定 URL 或地址接收请求的情况，可以选择进行端点绑定。
   • 端口—服务器侦听端口。

   • 禁用调度程序—指示此服务器是否应启用调度程序。

     

4. 如果选择了需要配置证书的连接模式，系统将显示一条消息，并且“证书”选项卡将变为可用。这将使得已在本地设备上配置为计算机证书的证书与服务器服务建立关联。

   

   如果未显示“证书”选项卡，请继续执行下一步。

   1. 选择添加新证书绑定，并输入绑定信息以及本地设备上安装了证书的存储。
      
   2. 点击“确定”启动 Windows 证书选择实用程序，并选择相应的证书。
      
   3. 必须选择与“详细信息”选项卡上的绑定相匹配的证书。

5. 选择“密钥存储库”选项卡，然后点击“新建”。

   必须为每个通过配置为使用应用程序服务器上所存储密钥的 Blue Prism 客户端定义的加密方案创建一个条目。

   加密方案的名称必须与客户端中配置的名称完全匹配。

   使用默认配置时，只需要将一个加密方案命名为默认加密方案。

6. 如果这是为环境配置的第一个应用程序服务器，请选择“AES-256”作为加密方法。

7. 点击确定之后，点击生成密钥。

   如果这是现有 Blue Prism 部署的额外应用程序服务器实例，则算法和密钥必须与预先存在的服务器上的算法和密钥完全匹配。

   通常，具有安全意识的用户还会选择将密钥分别存储在各个文件中，以便控制目标位置。

   必须在安全的位置备份每个密钥的副本—如果服务器出现故障，需要密钥才能检索加密的数据。

8. 查看“服务器服务”选项卡上的设置，确保到目前为止尚未发现任何问题。

   

9. 点击“保存”。

可以配置 BP 服务器的加密设置，以便在服务器的加密密钥存储在应用程序服务器时保护这些密钥。

建议将服务器配置文件的证书加密用于需要最高安全性的部署。该加密需要使用带有可用关联私钥的本地部署证书。有关详细信息，请参阅使用证书加密。

1. 导航到 Blue Prism 安装目录（默认为 C:\Program Files\Blue Prism Limited\Blue Prism Automate），然后启动 BPServer.exe。
   

2. 点击“加密设置”以配置加密设置，这些设置将应用于 Blue Prism 应用程序服务器使用的本地配置文件中存储的信息。

   

3. 在“选择加密方法”对话框中，选择是使用默认的 Blue Prism 加密还是使用您自己的证书。我们建议使用您自己的证书。

   我们建议使用您自己的证书。请参阅使用证书加密。

   如果选择使用您自己的证书，请输入证书指纹，它是自动生成的证书 ID。

   

4. 点击确定。

使用证书加密

如果已选择对应用程序服务器配置数据使用证书加密，则必须考虑以下要素，以确保可访问所有相关组件和不断成功进行加密。

证书存储

用于加密服务器配置数据的证书必须使用 RSA 加密且包含公钥/私钥对。证书还必须存储在本地计算机上的以下位置：
[Certificates - Local Computer\Personal\Certificates]。

证书访问

要确保配置 Blue Prism 服务器的用户和用于运行服务器服务的用户帐户具有证书私钥的读取访问权，请执行以下操作：

1. 在“管理计算机证书”窗口中，选择您需要提供读取访问权的证书。
2. 在快捷菜单中，选择所有任务 > 管理私钥。

3. 在“权限”对话框中，确保正用于运行服务器服务的用户帐户具有证书的读取访问权。添加任何同样需要证书读取访问权的用户或组。

   

如果选择了在单独的文件中存储加密方案密钥，则证书加密将应用于这些单独的文件。如果与其他应用程序服务器共享这些单独文件的位置，则这些服务器都将需要在本地存储同一证书，而且最少要具有私钥的读取访问权。

加密服务器配置数据

使用证书加密时，来自服务器配置的所有加密数据都会被解密并存储在受保护的内存中。选择新的加密方法或证书指纹时，系统会保存文件，而且会在从受保护的内存中读取密钥数据并写入到文件时加密密钥数据。

选择证书加密时，以下应用程序服务器配置数据会被加密：

• 用于为 Blue Prism 服务器连接加密和解密数据库中的敏感信息的加密方案密钥。
• 用于连接到数据库（如果对数据库连接使用了 SQL 身份验证）的密码。

到期和缺少的证书

环境摘要报告中提供了 Blue Prism 应用程序服务器配置文件的自定义加密证书到期日期，而且该日期也会写入到 Blue Prism 事件日志中。此外，当用户登录 Blue Prism 时，如果用于加密 Blue Prism 应用程序服务器配置文件的证书将在未来七天内到期，则用户会收到通知。

如果证书到期，它将在 Blue Prism 应用程序服务器中停止工作。在以下情况下，证书加密也可能会停止工作：

• 运行服务器的用户帐户没有公钥和/或私钥的访问权。在这种情况下，系统会显示消息，要求用户重置配置。
• 证书存储库中当前缺少用于加密的证书。
• 用户帐户不再具有本地计算机证书存储库的访问权。在这种情况下，如果尝试加载证书，则在启动时会显示错误。

如果无法访问或恢复用于加密的证书，则配置 Blue Prism 服务器的用户将需要重新创建服务器配置的配置文件。要执行此操作，请删除 Automate.config 文件，该文件位于：ProgramData\Blue Prism Limited\Automate V3。在启动 BPServer.exe 时，系统会自动创建新的 Automate.config 文件。之后，可以将加密方案和新证书应用到新的服务器配置文件。

Blue Prism 的默认安装会创建一个 Blue Prism 服务器服务，会配置为使用名为“默认”的服务器设置配置文件。如果使用了其他名称的配置文件，则可以使用服务器配置实用程序创建与自定义配置文件相关联的 Windows 服务。

应当从本地设备上的 Windows 服务管理控制台配置 Windows 服务。要配置的主要设置如下：

• 启动类型—默认情况下，此项设置为“手动”，但在大多数环境下，建议将其设置为“自动”。
• 登录—Blue Prism 使用的默认帐户是“本地系统”，但可以将其配置为自定义帐户。
  
  如果将 Windows 身份验证用于 Blue Prism 服务器配置文件，以便与数据库进行通信，则在连接到数据库时，服务将使用此处指定的帐户。

使用 Windows 身份验证保护 SQL 时，已配置的 Windows 服务帐户需要具有 SQL 数据库的适当（最低）访问权限。

如果 Blue Prism 配置为使用单点登录，已配置的 Windows 服务帐户将需要具有访问目录服务提供程序和查询用户及组成员身份的适当权限。与 Active Directory 相关的特定权限将取决于环境因素，因此可能需要来自目标环境中的 Active Directory 管理员团队的帮助。

启动服务时，如果无法启动或启动后立即停止，则表明存在配置问题。检查 Windows 事件查看器中的 Blue Prism 应用程序日志，以获取有关该问题的其他信息。

使用 Blue Prism 服务器配置实用程序重新验证服务配置。

诸如将 Blue Prism 配置为使用 Windows 身份验证来对 SQL 执行身份验证等常见配置可能会导致错误。如果已将非管理员用户配置为服务登录帐户，则会发生这种情况。在这种情况下，可能会出现类似下面的警报：

管理权限功能可用于向服务帐户授予侦听已定义端口的相应权限。必须考虑以下规则：

• 如果服务配置为使用绑定，则必须创建特定的地址权限。
• 如果服务未配置为使用绑定，则必须使用非特定的地址权限。

如果服务将使用已定义的绑定，则无法使用包含强通配符的地址。

使用 Windows 服务管理控制台启动服务。

如果服务无法启动或启动后立即停止，则说明存在服务配置问题。有关更多信息，请查看安装故障排除。

可通过在已配置为通过新配置的服务器服务连接的本地设备上配置额外的 Blue Prism 连接，对服务器服务进行测试。

1. 启动 Blue Prism，然后点击“配置连接”。

   

2. 这将打开“连接配置”对话框，您可在其中提供连接信息：

   • 连接名称—易记的连接名称。
   • 连接类型—从下拉列表中选择 Blue Prism 服务器。
   • Blue Prism 服务器—Blue Prism 服务器的主机名称。必须与服务器绑定相匹配，并且可以解析。
   • 连接模式—要使用的连接模式。必须与 Blue Prism 服务器上配置的模式相匹配。
   • 服务器端口—服务器侦听的端口。

   • 已排序会话—默认已启用，且控制 WCF 连接会话是否必须按顺序传送。禁用此设置将缩短 Blue Prism 交互式客户端连接大量运行时资源所用的时间。

     

3. 点击“测试连接”验证是否可以建立连接。

   如果无法验证连接，则表示与应用程序服务器建立连接时出现问题。有关更多信息，请参阅安装故障排除和应用程序服务器连接故障排除。
   

   管理员现在可以使用本地 Blue Prism 客户端中配置的两种连接来进行验证：

   • 与 Blue Prism 数据库直接建立的连接。
   • 通过应用程序服务器与环境建立的连接。

如果对 Blue Prism 服务器连接使用以下连接模式，则必须针对运行每个 Blue Primas 服务器服务实例的 Active Directory (AD) 帐户配置服务主体名称 (SPN)：

• WCF：采用消息加密和 Windows 身份验证的 SOAP
• WCF：采用传输加密和 Windows 身份验证的 SOAP
• .NET Remoting 安全

这是因为，当 Blue Prism 交互式客户端或运行时资源使用上述连接模式之一连接到应用程序服务器时，会使用 Microsoft Negotiate 安全包选择最佳的安全支持提供程序 (SSP) 来验证连接。如果预期的 SPN 在 Active Directory 中存在，则 Blue Prism 交互式客户端的内部代码会将其提供给 Microsoft Negotiate 安全包，而该安全包会提示 Microsoft Negotiate 选择 Kerberos SSP 而不是 New Technology LAN Manager (NTLM) SSP。

如果 SPN 在 Active Directory 中不存在，Kerberos 身份验证将失败。有关影响此行为的 CVE-2022-21920 Windows 安全更新的更多详细信息，请参阅本知识库文章。

在 Blue Prism 6.10.5 中，如果 Active Directory 中不存在 SPN，且 /forcentlm <flag> 在 Automate C 中设置，则将使用 NTLM SSP。

建议联系您组织的 IT 团队，获得有关此配置的帮助，并首先在非生产环境中测试配置。

此配置应用于所有 Blue Prism 环境，但是，如果用于运行 BP 服务器实例的 Active Directory 帐户所在的域与用于 Blue Prism 交互式客户端和运行时资源的 Active Directory 帐户所在的域不同，我们建议您不要安装 CVE-2022-21920 的 Windows 安全更新。如果您已经安装，我们建议您将其卸载。

自 Blue Prism 6.10.5 开始，如果运行 BP 服务器实例所用的 Active Directory 帐户所在的域与用于 Blue Prism 交互式客户端和运行时资源的 Active Directory 帐户所在的域不同，则需要进行下面概述的其他配置。

要配置 SPN，请在每个 Blue Prism 服务器服务实例上按照以下步骤操作：

1. 使用属于“域管理员”或“企业管理员”组成员的特权 Windows 用户帐户登录 Blue Prism 服务器。

   有关包括所需权限在内的更多详细信息，请参阅本主题中的 Microsoft 文档。这是必要步骤，用于与您的组织的 IT 团队一起审查以确保 Setspn 命令不会因缺少帐户权限而无法执行。

2. 在应用程序服务器上以管理员身份打开命令提示符，然后运行以下命令。

   如果 Blue Prism 服务器作为本地系统帐户运行：

   复制

   Setspn -S HTTP/SERVER_FQDN:SERVER_PORT/BPServer COMPUTER_HOSTNAME 

   如果 Blue Prism 服务器作为用户帐户运行：

   复制

   Setspn -S HTTP/SERVER_FQDN:SERVER_PORT/BPServer DOMAIN\Username

   其中：

   • 适用于 HTTP 和 HTTPS 的 HTTP 帐户。请勿将命令更改为包含 HTTPS，如这样做，配置将失败。

   • SERVER_FQDN:SERVER_PORT 必须是 Blue Prism 应用程序服务器的完全限定域名 (FQDN)。

   • 如果 BP 服务器服务作为本地系统帐户运行，则 COMPUTER_HOSTNAME 是计算机的主机名称。

   • 如果 BP 服务器服务作为用户帐户运行，域用户名为 DOMAIN\Username。

     这应与 Blue Prism 服务器属性（本地计算机）窗口中的登录身份设置相匹配。

     

   本地系统示例：

   

   DOMAIN\Username 示例：

   

3. 设置 SPN 后，您需要等待 Kerberos 工单缓存更新（默认设置为 15 分钟，但可以通过组策略更改）。有关详细信息，请参阅 Kerberos 身份验证文档。

   或者，您可以：

   • 重新启动 Blue Prism 交互式客户端或运行时资源；或

   • 在运行交互式客户端或运行时资源的计算机上，打开命令提示符并运行 Klist 清除以刷新 Kerberos 工单。

     此命令不应在升级的命令提示符内执行，因为它不会清除所有用户 Kerberos 工单。

4. 从另一台计算机上运行的 Blue Prism 交互式客户端连接到 Blue Prism 服务器，检查其是否按预期工作。

5. 在每个 Blue Prism 服务器上运行的 Blue Prism 服务器服务的每个实例上重复上述步骤。

检查 SPN 项并删除不正确的 SPN

1. 要检查 SPN 项进行故障排除，您可以使用以下命令查看应用程序服务器上添加的 SPN 列表：

   复制

   Setspn -L ACCOUNTNAME

SPN 列表示例：



2. 检查您为 BP 服务器服务添加的 SPN 条目。您可以使用下列命令删除错误添加的条目：

   复制

   Setspn -D SPN_NAME ACCOUNTNAME

   其中 SPN_NAME 是 SPN 条目列表中显示的名称，例如 HTTP/SERVER_FQDN:SERVER_PORT/BPServer。

负载均衡环境中 Blue Prism 应用程序服务器的其他配置

在同一负载均衡器池中，Blue Prism 服务器服务的所有实例必须在同一服务帐户下运行，并且 SPN 已注册到此帐户。

此外，建议将应用程序服务器的 FQDN 的 SPN 注册到同一服务帐户，因为这将允许测试与应用程序服务器的直接连接。有关详细信息，请参阅 SPN 故障排除。