クラスターを構成する

構成ツール

configureUiPathAS.sh スクリプトは、Automation Suite の制御と管理に役立ちます。このスクリプトはインストール バンドルに付属し、インストーラーのメイン フォルダーにあります。現在のところ、configureUiPathAS.sh で実行できる操作は数種類のみです。

configureUiPathAS.sh の詳細を表示するには、以下を実行します。

sudo ./configureUiPathAS.sh --help

以下の出力が表示されます。

configureUiPathAS.sh controls and manage UiPath Automation Suites

Usage:
  configureUiPathAS.sh [command]
  configureUiPathAS.sh [flags]

Available Commands:
  config                               Manage cluster configuration
  tls-cert                             Manage tls and server certificate
  additional-ca-certs                  Manage additional ca certificates
  aicenter                             Manage aicenter standalone
  identity                             Manage identity service
  objectstore                          Manage objectstore
  registry                             Manage registry
  monitoring                           Manage monitoring
  node                                 Manage k8s nodes
  enable-maintenance-mode              Enables maintenance mode on the Cluster
  disable-maintenance-mode             Disables maintenance mode on the Cluster
  is-maintenance-enabled               Checks if maintenance mode is enabled on the Cluster
  kubeconfig                           Manage the Kubernetes context
  resume-scheduled-backups             Resumes the paused scheduled backups
  verify-volumes-backup                Verify if all volumes are backed up
  gpu                                  Enable/Disable gpu on the cluster.
  telemetry                            Manage telemetry
  snapshot                             Manage cluster disaster recovery

Flags:
  -h|--help                            Display help
  -d|--debug                           Run in debug mode

configureUiPathAS.sh スクリプトを使用して、Automation Suite クラスター内の以下のコンポーネントを管理できます。

• サーバー証明書 - TLS とサーバーの証明書を管理 (証明書の更新と取得) します。
• 追加の CA 証明書 - SQL Server 証明書、プロキシ サーバー証明書など、追加の CA 証明書を管理します。
• ID サービス - トークン署名証明書、SAML 証明書、Kerberos や Windows の認証など、ID サービスの構成を管理します。
• ObjectStore - ceph ObjectStore を管理します (現時点では ceph pvc/ストレージのサイズ変更のみサポートしています)。
• レジストリ - Docker レジストリを管理します (現時点ではレジストリ pvc/ストレージのサイズ変更のみサポートしています)。
• 監視 - Rancher サーバーを管理します (現時点では Rancher サーバー pvc/ストレージのサイズ変更のみサポートしています)。

SQL Server 接続を更新する

SQL Server の接続文字列または資格情報を更新するには、プライマリ サーバー ノードの cluster_config.json ファイルを直接編集します。このファイルの SQL フィールド (sql.username、sql.password、sql.server_url) を必要な更新内容に応じて直接編集できます。

ファイルを更新したら、同じマシン上で、更新した構成ファイルをパラメーターとして使用して、対話型のインストール ウィザードを再実行します。インストールの再実行が必要なのはプライマリ サーバーのみです。

Kerberos 認証を更新する

グローバルな Kerberos 認証構成やサービス固有の認証構成を更新するには、「 cluster_config.json を介した Kerberos 認証を構成する」をご覧ください。

システム管理者を追加する

Automation Suite では、既定で admin というユーザー名のシステム管理者が 1 名、ホスト組織に作成されます。

ホスト組織へのアクセス権が失われた場合、たとえばシステム管理者のパスワードが紛失したり、システム管理者アカウントを持つ唯一のユーザーが退職したりしたときなどに備えて、システム管理者を追加または復元するツールがあります。

このスクリプトは、プラットフォーム サービスに対して SQL 接続文字列のパラメーター "Integrated Security=true" が存在すると機能しません。

./configureUiPathAS.sh identity add-host-admin --username [new-admin-username] --email [new-admin-email] --password [new-admin-password]

• --username は必須フィールドです。
• --password は、新しい管理者がログインに基本認証を使用する場合にのみ必要です。
• --email は、外部 ID プロバイダーが要求している場合 (たとえば Google はユーザー名でなくメール アドレスで照合します) を除き任意です。

管理者を作成または復元する方法に関しては、いくつか重要な注意事項があります。

• 新しい管理者は、既存の管理者と同じユーザー名またはメール アドレスを持つことはできません。既存の管理者と同じユーザー名またはメール アドレスを使用すると、既存の管理者が更新されます。これはパスワードを変更するときには便利です。
• 新規ユーザーに、削除した管理者と同じユーザー名またはメール アドレスを使用すると、新規ユーザーが作成される代わりに削除された管理者が復元されます。この場合、パスワード フィールドは上書きされません。例外は、同じユーザー名またはメール アドレスを持つ複数の管理者を削除した場合です。この場合、新しい管理者が作成されます。
• ホスト上に構成された、いずれかの外部 ID プロバイダーの使用が強制される場合、パラメーターに制約が課されます。たとえば、Windows AD の使用が強制される場合、ユーザー名は user@domain の形を取る必要があります。Google の場合はメール アドレスが要求されます。
• 新しい管理者アカウントに初めてログインする際は、パスワードを変更する必要があります。

基本認証を再び有効化する

組織管理者やシステム管理者が、構成された Azure Active Directory またはその他の外部 ID プロバイダーに起因する問題でログインできなくなることがあります。組織管理者は、認証設定の Disable basic authentication フラグがチェックされているためにロックアウトされる可能性があります。組織管理者とシステム管理者は、外部 ID プロバイダーが force/exclusive として構成されているためにロックアウトされる可能性があります。このツールは、組織の基本認証の再有効化を試みます。

このスクリプトは、プラットフォーム サービスに対して SQL 接続文字列のパラメーター Integrated Security=true が存在すると機能しません。

./configureUiPathAS.sh identity enable-basic-auth --orgname [org-name]

注: --orgname は必須フィールドです。ホスト レベルで基本認証を制限している場合、orgname は host に設定します。

TLS プロトコルを更新する

ルーティングやサービス間の通信などのために Automation Suite 内に構成される Istio Ingress Gateway は、TLS を使用して交換をセキュリティで保護します。セキュリティ上の脅威を防止するため、非推奨の TLS プロトコル バージョンは既定で無効化されています。

現在サポートされているのは TLS バージョン 1.2 以降のみです。以前のバージョンを使用する場合は、アップグレードすることをお勧めします。 以前のバージョンの TLS を使用して接続することも可能ですが、その前に Automation Suite サーバーでそれを有効化する必要があります。

大事な： TLS 1.0 および 1.1 は非推奨であり、これらのバージョンを有効化するとセキュリティ リスクをもたらす可能性があります。 TLS 1.2 以降にアップグレードし、これより古いバージョンはサーバーで有効化しないことを強くお勧めします。

サポートされていない TLS バージョンを有効化するには、次のいずれかの手順を実行します。

• TLS 1.0 以降のサポートを有効化するには、次のコマンドを実行します。

  kubectl -n istio-system patch gateway main-gateway --type=json \
      -p='[{ "op": "replace", "path": "/spec/servers/0/tls/minProtocolVersion", "value": "TLSV1_0"}]'

• TLS 1.1 以降のサポートを有効化するには、次のコマンドを実行します。

  kubectl -n istio-system patch gateway main-gateway --type=json \
      -p='[{ "op": "replace", "path": "/spec/servers/0/tls/minProtocolVersion", "value": "TLSV1_1"}]'