ASCRサーバー構成

アプリケーションサーバーの制御リソースを操作する場合、インタラクティブクライアントは各ランタイムリソースに直接接続できなくなりました。ただし、ランタイムリソースからタイムリーに渡す必要がある情報がいくつかあります。この目的のために、各インタラクティブクライアントがアプリケーションサーバーとの間に新しいコールバック接続を確立し、この情報の受け渡しを可能にします。クライアントはサーバーとの接続を確立した後、サーバー上で指定されたコールバック情報をダウンロードし、それを使用してサーバーがこの目的のために使用するセカンダリ接続を確立します。

このセクションでは、アプリケーションサーバー構成でコールバック接続を設定する方法について説明します。これは、Automate.configによって参照されます。この構成は、次の方法で設定できます。

ASCR設定は、Blue Prismバージョン7のアプリケーションサーバーを介して接続するすべてのインタラクティブクライアントに適用されます。Blue Prismアプリケーションサーバーをバージョン6からバージョン7にアップグレードすると、サーバーコンソールの出力に、セキュリティモードをなしにできないことを知らせるメッセージが表示されます。これは、以下に説明するように、ASCR設定が構成されていることを確認するためです。

ASCRログ、接続、負荷分散など、ASCRの使用時に発生する可能性のある問題のトラブルシューティングのガイダンスについては、「ASCRのトラブルシューティングとログ」を参照してください。

BPサーバー経由のASCR構成

この手順では、BPServerでASCRを構成する方法を示しており、すべてのBlue Prismアプリケーションサーバーで実行する必要があります。

  1. BPServer.exeを開きます。このファイルはデフォルトで、C:\Program Files\Blue Prism Limited\Blue Prism AutomateまたはC:\Program Files (x86)\Blue Prism Limited\Blue Prism Automate\に格納されています（インストール環境に応じて異なる）。
  2. サーバー構成を開くには、［現在の構成］から該当する環境を選択し、［編集］をクリックします。

  3. ［ASCR設定］タブを選択します。

  4. ［プロトコル設定］で、次のオプションから必要なコールバックプロトコルメソッドを選択します。

    gRPC

    これはデフォルトのコールバックチャネルで、HTTP/2が必要です。アプリケーションサーバーとそれに接続するすべてのインタラクティブクライアントは、Windows 11、Windows 10またはWindows Server 2016以降を実行している必要があります。

    これは推奨オプションです。

    WCF

    このコールバックチャネルは、Windows 11、Windows 10およびWindows Server 2016以前をサポートしています。

    WCFは、gRPCが使用できない場合にのみ使用してください。

    このオプションを選択し、サービスログインアカウントがローカル管理者でない場合は、以下のコマンドを実行して、デフォルトのポート設定を使用してリスナーを開始するためのユーザー権限をサービスログインアカウントに付与する必要があります。

    ASCRホスト名が空白の場合は、ワイルドカードを含む次のコマンドを使用します。

    netsh http add urlacl url=http://+:80/bpinstruct user=<domain>\<user>

    ASCRホスト名が明示的である場合は、次のコマンドを使用し、ホスト名を含めます。

    netsh http add urlacl url=http://<fqdn>:80/bpinstruct user=<domain>\<user>

  5. ［バインド設定］で、バインドするチャネルのホスト名を入力します。

    これは、クライアントがコールバック接続を確立するためにアプリケーションサーバーの接続に使用するアプリケーションサーバーのホスト名です。このホスト名は、インタラクティブクライアントから使用したときに、構成されたポート上のアプリケーションサーバーに解決されるように構成する必要があります。

  6. 選択したコールバックプロトコルに必要なアウトバウンド/インバウンドポートを入力します。デフォルト値は10000です。

    WCFの場合、この値はアウトバウンド機能にのみ適用されます。インバウンド機能のデフォルトはポート80です。ポート80はインタラクティブクライアントで開かれ、構成可能ではありません。

  7. セキュリティ設定では、二重チャネルに適用するセキュリティモードを次のオプションから選択します。

    証明書

    SSL証明書を使用します。

    Windows

    Windows統合認証とセキュリティ。このオプションは、WCFコールバックプロトコルでのみ使用できます。

    安全でない

    コールバックプロトコルは保護されません。

  8. ［証明書］セキュリティモードを選択すると、次の証明書オプションが有効になり、入力する必要があります。

    証明書名

    これには、ホスト名のエンドポイント用に構成された証明書が必要です。詳細については、「証明書の要件」を参照してください。

    証明書名はサブジェクト名ですが、類似したサブジェクト名が複数存在する場合は、完全識別サブジェクト名を使用できます。

    ストア名

    アプリケーションサーバー証明書を取得するストアの名前を選択します。

    クライアント証明書名

    これには、ホスト名のエンドポイント用に構成された証明書が必要です。クライアント証明書は、サーバー上の同じエンドポイントに構成されている必要があります。詳細については、「証明書の要件」を参照してください。

    証明書名はサブジェクト名ですが、類似したサブジェクト名が複数存在する場合は、完全識別サブジェクト名を使用できます。

    ストア名

    インタラクティブクライアント証明書を取得するストアの名前を選択します。
  9. ［保存］をクリックすると変更内容が保存され、セキュリティ設定が適用されます。

コマンドライン経由のASCR構成

ASCR設定は、次のコマンドを使用して、AutomateC経由で構成することもできます。

AutomateC /ascrconfig <servername> <conntype> <hostname> <port> <connectionmode> <certificatename> <clientcertificatename> <servercertstore> <clientcertstore>

証明書オプションは、<connectionmode>で証明書が指定されている場合のみ必要です。

次の表には関連コマンドと可能な値が示されています。

コマンド

値
<conntype>
  • 1 – grpc
  • 2 – wcf
<servername>

BPServer.exeのサーバー構成名 デフォルトでは「Default」です。
<connectionmode>
  • 1 – certificate
  • 2 – windows
  • 3 – insecure

このコマンドとその他のコマンドの詳細については、AutomateCコマンドラインから「/help」と入力してコマンドラインヘルプを参照してください。

証明書の要件

証明書セキュリティモードは、クライアントとサーバー間で交換されるすべてのデータを暗号化します。ASCRチャネルがWCFメッセージングを使用する場合、証明書セキュリティの主な目的は、IDを認証することではなく、ランタイムリソース変更データイベントを暗号化することになります。

証明書セキュリティモードの使用を選択した場合は、サーバー証明書とクライアント証明書が必要です。両方の証明書は、アプリケーションサーバー上の指定された証明書ストアに存在する必要があります。クライアント証明書は、クライアント接続の確立時にオンデマンドで提供されます。

証明書または証明書ペアは、次の要件を満たす必要があります。

gRPCのみ

  • RSA Cryptographic Service Providerを使用する。
  • 両方の証明書にエクスポート可能なプライベートキーを含める必要がある。

WCFおよびgRPC

  • 証明書のDNSは、構成されたホスト名と一致する必要がある。

  • プライベートキーを含める。

  • クライアント証明書にエクスポート可能なプライベートキーを含める必要がある。

  • サーバー証明書とクライアント証明書が異なる場合は、同じ権限に対して署名されている必要がある。

ランタイムリソースへのデータベースの直接接続

多数のリソースが原因で発生するパフォーマンスの問題を防ぐため、インタラクティブクライアントがアプリケーションサーバーではなくSQL Serverに直接接続する場合、ログイン時に次の制御が適用されます。

  • 検出されたリソースが200個未満の場合、接続が行われ、警告メッセージは表示されません。
  • 200～800個のリソースが検出された場合、リソースに接続するかどうかの選択をユーザーに求めるメッセージが表示されます。ユーザーが接続しないことを選択した場合、リソースへの接続は無効になります。

    • ユーザーがリソースに接続しないことを選択した場合、リソースのステータスはControl Roomで表示できますが、使用中のインタラクティブクライアントから指示を受けることはできません。

  • 800を超えるリソースが検出された場合、自動接続は無効になり、接続されていないことを知らせる警告が表示されます。

Blue PrismインタラクティブクライアントのControl Roomでは、［接続を切り替え］メニューオプションを使用して、必要に応じてランタイムリソースへの直接接続のオンとオフを切り替えることができます。