Konfigurieren eines Kubernetes-Geheimnisses als Geheimnisspeicher

Teilen Sie die input.json-Konfiguration von den in Kubernetes Secrets gespeicherten Anmeldeinformationen für eine verbesserte Sicherheit auf.

Standardmäßig werden Anmeldeinformationen in input.json definiert. Um die Sicherheit zu verbessern, können Sie die Daten in zwei Teile aufteilen:

• input.json nur zum Speichern von Konfigurationswerten.
• Kubernetes-Geheimnis zum Speichern von Anmeldeinformationen ( dient als Geheimnisspeicher ).

Hinweis:

Sie können Zertifikatspfade oder zertifikatbezogene Anmeldeinformationen nicht als Teil des Secretstore speichern.

Voraussetzungen

Wenn der Namespace noch nicht vorhanden ist, erstellen Sie ihn wie folgt, bevor Sie UiPath-Produkte bereitstellen:

kubectl create namespace <uipath-namespace>

Hinweis:

Das Geheimnis muss in dem Namespace erstellt werden, in dem uipath -Produkte bereitgestellt werden müssen.

Configuring input.json

Damit uipathctl identifizieren kann, dass Anmeldeinformationen in einem Kubernetes-Geheimnis gespeichert sind, fügen Sie den folgenden Abschnitt zu input.json hinzu:

"secret_store": {
  "enabled": true,
  "secret_name": "uipath-credentials" // Secret deployed in uipath ns with all the credentials configured.
}

Je nachdem, wie Sie Anmeldeinformationen verwalten möchten, kann Ihre input.json entweder Konfiguration und Anmeldeinformationen enthalten oder nur die Konfiguration und Anmeldeinformationen werden im Geheimnis gespeichert, wie im folgenden Diagramm gezeigt:

• Das folgende Beispiel zeigt einen Standard input.json mit Konfiguration und Anmeldeinformationen:

  {
    "admin_username": "admin",
    "admin_password": "password",
    "apps": {
      "enabled": true,
      "external_object_storage": {
        "enabled": true,
        "account_key": "secretkey",
        "account_name": "as-storage-account",
        ...
      }
    },
    "external_object_storage": {
      "enabled": true,
      "account_key": "secretkey",
      ...
    },
    "fabric": {
      "redis": {
        "hostname": "redis-cache.mycompany.com",
        "password": "redispassword",
        "port": 6380,
        "tls": true
      }
    },
    "fqdn": "automationsuite.mycompany.com",
    "orchestrator": {
      "enabled": true,
      "sql_connection_str": "Server=tcp:mssql.mycompany.com,1443;Initial Catalog=DB_NAME_PLACEHOLDER;Persist Security Info=False;User Id=sqladmin;Password='sqlpassword';MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=True;Connection Timeout=30;Max Pool Size=100;",
      "external_object_storage": {
        "enabled": true,    
        "account_key": "secretkey",
        "account_name": "os-storage-account",
        ...
      },
      ...
    },
    "registries": {
      "docker": {
        "url": "registry.uipath.com",
        "username": "username",
        "password": "password"
      },
      "helm": {
        "url": "registry.uipath.com",
        "username": "username",
        "password": "password"
      }
    },
    "snapshot": {
      "enabled": true,
      "external_object_storage": {
        "enabled": true,    
        "client_id": "1fbd7d95-5f8c-4f70-90a6-fdf20310d10e",
        "client_secret": "client-secret",
        ...
      }
    },
    "storage_class": "managed-premium",
    "storage_class_single_replica": "azurefile-csi",
    "sql_connection_string_template": "Server=tcp:mssql.mycompany.com,1443;Initial Catalog=DB_NAME_PLACEHOLDER;Persist Security Info=False;User Id=sqladmin;Password='sqlpassword';MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=True;Connection Timeout=30;Max Pool Size=100;",
    "sql_connection_string_template_jdbc": "jdbc:sqlserver://mssql.mycompany.com:1443;database=DB_NAME_PLACEHOLDER;user=sqladmin;password={sqlpassword};encrypt=true;trustServerCertificate=true;loginTimeout=30;hostNameInCertificate=mssql.mycompany.com",
    "sql_connection_string_template_odbc": "SERVER=mssql.mycompany.com,1443;DATABASE=DB_NAME_PLACEHOLDER;DRIVER={ODBC Driver 17 for SQL Server};UID=sqladmin;PWD={sqlpassword};Encrypt=yes;TrustServerCertificate=yes;Connection Timeout=30;hostNameInCertificate=mssql.mycompany.com",
    "sql_connection_string_template_sqlalchemy_pyodbc": "mssql+pyodbc://sqladmin:[e-mail]:1443/DB_NAME_PLACEHOLDER?driver=ODBC+Driver+17+for+SQL+Server",
    "postgresql_connection_string_template_sqlalchemy_pyodbc": "postgresql+psycopg2://sa:<password>@135.235.240.165:5432/DB_NAME_PLACEHOLDER"
  }
  

• Die folgenden Beispiele zeigen input.json nur mit Konfiguration (secret_store konfiguriert) und die Anmeldeinformationen, die separat in credentials.json gespeichert sind:
  • input.json -Beispiel mit Konfiguration und secret_store konfiguriert:

    {
      "apps": {
        "enabled": true,
        "external_object_storage": {
          "enabled": true,
          ...
        }
      },
      "external_object_storage": {
        "enabled": true,
        ...
      },
      "fabric": {
        "redis": {
          "hostname": "redis-cache.mycompany.com",
          "port": 6380,
          "tls": true
        }
      },
      "fqdn": "automationsuite.mycompany.com",
      "orchestrator": {
        "enabled": true,
        "external_object_storage": {
          "enabled": true,
           ...
        },
        ...
      },
      "registries": {
        "docker": {
          "url": "registry.uipath.com"
        },
        "helm": {
          "url": "registry.uipath.com"
        }
      },
      "secret_store": {
        "enabled": true,
        "secret_name": "uipath-credentials",
        "provider_configs": []
      },
      "snapshot": {
        "enabled": true,
        "external_object_storage": {
          "enabled": true,
          ...
        }
      }
    }
    

  • credentials.json -Beispiel mit Anmeldeinformationen:

    {
      "admin_password": "password",
      "admin_username": "admin",
      "apps": {
        "external_object_storage": {
    
          "account_key": "secretkey"
        }
      },
      "external_object_storage": {
        "account_key": "secretkey"
      },
      "fabric": {
        "redis": {
          "password": "redispassword"
        }
      },
      "orchestrator": {
        "external_object_storage": {
          "account_key": "secretkey"
        },
        "sql_connection_str": "Server=tcp:mssql.mycompany.com,1443;Initial Catalog=DB_NAME_PLACEHOLDER;Persist Security Info=False;User Id=sqladmin;Password='sqlpassword';MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=True;Connection Timeout=30;Max Pool Size=100;"
      },
      "postgresql_connection_string_template_sqlalchemy_pyodbc": "postgresql+psycopg2://sa:<password>@135.235.240.165:5432/DB_NAME_PLACEHOLDER",
        "registries": {
        "docker": {
          "password": "password",
          "username": "username"
        },
        "helm": {
          "password": "password",
          "username": "username"
        }
      },
      "snapshot": {
        "external_object_storage": {
          "client_secret": "client-secret",
          "client_id": "1fbd7d95-5f8c-4f70-90a6-fdf20310d10e"
        }
      },
      "sql_connection_string_template": "Server=tcp:mssql.mycompany.com,1443;Initial Catalog=DB_NAME_PLACEHOLDER;Persist Security Info=False;User Id=sqladmin;Password='sqlpassword';MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=True;Connection Timeout=30;Max Pool Size=100;",
      "sql_connection_string_template_jdbc": "jdbc:sqlserver://mssql.mycompany.com:1443;database=DB_NAME_PLACEHOLDER;user=sqladmin;password={sqlpassword};encrypt=true;trustServerCertificate=true;loginTimeout=30;hostNameInCertificate=mssql.mycompany.com",
      "sql_connection_string_template_odbc": "SERVER=mssql.mycompany.com,1443;DATABASE=DB_NAME_PLACEHOLDER;DRIVER={ODBC Driver 17 for SQL Server};UID=sqladmin;PWD={sqlpassword};Encrypt=yes;TrustServerCertificate=yes;Connection Timeout=30;hostNameInCertificate=mssql.mycompany.com",
      "sql_connection_string_template_sqlalchemy_pyodbc": "mssql+pyodbc://sqladmin:[e-mail]:1443/DB_NAME_PLACEHOLDER?driver=ODBC+Driver+17+for+SQL+Server"
    }%
    

Speichern von Anmeldeinformationen in einem Kubernetes-Geheimnis

Die Anmeldeinformationen werden als Teil eines Kubernetes-Geheimnisses gespeichert, wie im folgenden Beispiel gezeigt:

apiVersion: v1
kind: Secret
metadata:
  name: uipath-credentials
  namespace: uipath
type: Opaque
data:
  config.json: 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

Erstellen des Kubernetes-Geheimnisses

Das Kubernetes-Geheimnis kann mithilfe der credentials.json -Datei mit dem folgenden Befehl erstellt werden:

kubectl create secret generic <secret-name> \
  --from-file=config.json=<path-to-credentials.json>/credentials.json \
  --namespace=<uipath-namespace>