Konfiguration des externen Objektspeichers

Referenz für Konfigurationsoptionen für externe Objektspeicher, einschließlich Azure, AWS und S3-kompatible Anbieter, in Automation Suite.

Allgemeine Konfiguration

Mit der Automation Suite können Sie Ihren eigenen externen Speicheranbieter mitbringen. Sie können aus den folgenden Speicheranbietern wählen:

• Azure
• AWS
• S3-kompatibel

Sie können den externen Objektspeicher auf eine der folgenden Arten konfigurieren:

• Während der Installation;
• Nach der Installation mithilfe der Datei cluster_config.json.

Hinweis:

• Damit die Automation Suite ordnungsgemäß funktioniert, wenn vorsignierte URLs verwendet werden, müssen Sie sicherstellen, dass der Automation Suite-Cluster, Browser und alle Ihre Maschinen, einschließlich Workstations und Robotermaschinen, auf Ihren externen Objektspeicher zugreifen können.

• Die serverseitige Verschlüsselung mit dem Schlüsselverwaltungsdienst (SSE-KMS) kann nur für die Automation Suite-Buckets aktiviert werden, die in einer Region bereitgestellt werden, die nach dem 30. Januar 2014 erstellt wurde.

  Die SSE-KMS-Funktionalität erfordert unveränderte SignV4-APIs. Regionen, die vor dem 30. Januar 2014 erstellt wurden, verwenden aufgrund der Abwärtskompatibilität mit SignV2 keine unveränderten SignV4-APIs. Daher funktioniert SSE-KMS nur in Regionen, die SignV4 für die Kommunikation verwenden. Informationen zur Bereitstellung der verschiedenen Regionen finden Sie in der AWS-Dokumentation.

In der folgenden Tabelle sind die cluster_config.json-Parameter aufgeführt, die Sie zum Konfigurieren der einzelnen Anbieter von externem Objektspeicher verwenden können:

Parameter	Azure	AWS	S3-kompatibel	Beschreibung
external_object_storage.enabled	✅	✅	✅	Geben Sie an, ob Sie Ihren eigenen Objektspeicher mitbringen möchten. Mögliche Werte: true und false .
external_object_storage.create_bucket	✅	✅	✅	Geben Sie an, ob Sie den Bucket bereitstellen möchten. Mögliche Werte: true und false .
external_object_storage.storage_type	✅	✅	✅	Geben Sie den Speicheranbieter an, den Sie konfigurieren möchten. Beim Wert wird die Groß-/Kleinschreibung beachtet. Mögliche Werte: azure und s3 . Viele S3-Objectstores erfordern, dass der CORS auf den gesamten Datenverkehr aus dem Automation Suite-Cluster festgelegt ist. Sie müssen die CORS-Richtlinie auf Objectstore-Ebene konfigurieren, um den FQDN des Clusters zuzulassen.
external_object_storage.fqdn	❌	✅	✅	Geben Sie den FQDN des S3-Servers an. Erforderlich bei AWS-Instanz- und Nicht-Instanzprofilen.
external_object_storage.port	❌	✅	✅	Geben Sie den S3-Port an. Erforderlich bei AWS-Instanz- und Nicht-Instanzprofilen.
external_object_storage.region	❌	✅	✅	Geben Sie die AWS-Region an, in der Buckets gehostet werden. Erforderlich bei AWS-Instanz- und Nicht-Instanzprofilen.
external_object_storage.access_key	❌	✅	✅	Geben Sie den Zugriffsschlüssel für das S3-Konto an. Nur erforderlich im Fall des AWS-Nicht-Instanzprofils.
external_object_storage.secret_key	❌	✅	✅	Geben Sie den geheimen Schlüssel für das S3-Konto an. Nur erforderlich im Fall des AWS-Nicht-Instanzprofils.
external_object_storage.use_instance_profile	❌	✅	✅	Geben Sie an, ob Sie ein Instanzprofil verwenden möchten. Ein AWS Identity and Access Management(IAM)-Instanzprofil gewährt sicheren Zugriff auf AWS-Ressourcen für Anwendungen oder Dienste, die auf Amazon Elastic Compute Cloud(EC2)-Instanzen ausgeführt werden. Wenn Sie sich für AWS S3 entscheiden, ermöglicht ein Instanzprofil einer EC2-Instanz die Interaktion mit S3-Buckets, ohne dass explizite AWS-Anmeldeinformationen (z. B. Zugriffsschlüssel) auf der Instanz gespeichert werden müssen.
external_object_storage.use_managed_identity	✅	❌	❌	Verwenden Sie die verwaltete Identität mit Ihrem Azure-Speicherkonto. Mögliche Werte: true und false .
external_object_storage.bucket_name_prefix 1	❌	✅	✅	Geben Sie das Präfix für die Bucket-Namen an. Im Falle des AWS Nicht-Instanzprofils optional.
external_object_storage.bucket_name_suffix 1	❌	✅	✅	Geben Sie das Suffix für die Bucket-Namen an. Im Falle des AWS Nicht-Instanzprofils optional.
external_object_storage.account_key	✅	❌	❌	Geben Sie den Azure-Kontoschlüssel an. Nur erforderlich bei Verwendung einer nicht verwalteten Identität.
external_object_storage.account_name	✅	❌	❌	Geben Sie den Namen des Azure-Kontos an.
external_object_storage.azure_fqdn_suffix	✅	❌	❌	Geben Sie das Azure-FQDN-Suffix an. Optionaler Parameter.
external_object_storage.client_id	✅	❌	❌	Geben Sie Ihre Azure Client-ID an. Nur erforderlich, wenn eine verwaltete Identität verwendet wird.

¹ Beim Konfigurieren des externen Objektspeichers müssen Sie die Benennungsregeln und Konventionen Ihres Anbieters sowohl für bucket_name_prefix als auch für bucket_name_suffix befolgen. Darüber hinaus dürfen Suffix und Präfix eine kombinierte Länge von nicht mehr als 25 Zeichen haben und Sie dürfen das Präfix nicht beenden oder das Suffix mit einem Bindestrich beginnen (-), da wir das Zeichen bereits automatisch für Sie hinzufügen.

Um eine sichere und kompatible Kommunikation mit der Automation Suite sicherzustellen, muss Ihr S3-kompatibler Objektspeicher eine oder mehrere der folgenden sicheren TLS-Verschlüsselungssuites unterstützen:

• TLS 1.3:
  • TLS_AES_128_GCM_SHA256
  • TLS_AES_256_GCM_SHA384
  • TLS_CHACHA20_POLY1305_SHA256
• TLS 1.2:
  • TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
  • TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256

Hinweis:

Die Liste der unterstützten Verschlüsselungssammlungen kann sich im Laufe der Zeit weiterentwickeln, um sie an bewährte Sicherheitsmethoden und Aktualisierungen in der Go-Kryptografischen Bibliothek anzupassen. Die aktuelle Liste finden Sie in der Go-Dokumentation.

Produktspezifische Konfiguration

Sie können die im Abschnitt Allgemeine Konfiguration beschriebenen Parameter verwenden, um die allgemeine Automation Suite-Konfiguration zu aktualisieren. Das bedeutet, dass alle installierten Produkte dieselbe Konfiguration verwenden würden.

Wenn Sie ein oder mehrere Produkte anders konfigurieren möchten, können Sie die allgemeine Konfiguration überschreiben. Sie müssen lediglich die Produkte angeben, für die Sie einen externen Objektspeicher einrichten möchten, und dieselben Parameter für Ihre Konfiguration verwenden. Beachten Sie, dass die anderen installierten Produkte weiterhin die allgemeine Konfiguration übernehmen werden.

Das folgende Beispiel zeigt, wie Sie die allgemeine Konfiguration für den Orchestrator überschreiben können:

"external_object_storage": {
  "enabled": false, // <true/false>
  "create_bucket": true, // <true/false>
  "storage_type": "s3", // <s3,azure,aws>
  "fqdn": "",  // <needed in the case of aws instance and non-instance profile>
  "port": 443, // <needed in the case of aws instance and non-instance profile>
  "region": "", 
  "access_key": "", // <needed in the case of aws non instance profile>
  "secret_key": "", // <needed in the case of aws non instance profile>
  "use_managed_identity": false, // <true/false>
  "bucket_name_prefix": "",
  "bucket_name_suffix": "",
  "account_key": "", // <needed only when using non managed identity>
  "account_name": "",
  "azure_fqdn_suffix": "core.windows.net",
  "client_id": "" // <optional field in case of managed identity>
},

"orchestrator": {
  "external_object_storage": {
    "enabled": false, // <true/false>
    "create_bucket": true, // <true/false>
    "storage_type": "s3", // <s3,azure>
    "fqdn": "",  // <needed in the case of aws instance and non-instance profile>
    "port": 443, // <needed in the case of aws instance and non-instance profile>
    "region": "", 
    "access_key": "", // <needed in case of aws non instance profile>
    "secret_key": "", // <needed in case of aws non instance profile>
    "use_managed_identity": false, // <true/false>
    "bucket_name_prefix": "",
    "bucket_name_suffix": "",
    "account_key": "", // <needed only when using non managed identity>
    "account_name": "",
    "azure_fqdn_suffix": "core.windows.net",
    "client_id": "" // <optional field in case of managed identity>
  }
}

Rotieren der Anmeldeinformationen im Blob-Speicher für Process Mining

Um die Anmeldeinformationen im Blob-Speicher für Process Mining in der Automation Suite zu ändern, müssen die gespeicherten Geheimnisse mit den neuen Zugangsdaten aktualisiert werden. Siehe Rotierende Anmeldeinformationen im Blob-Speicher.

Konfigurieren des externen Objektspeichers für Insights

Wenn beim Konfigurieren des externen Objektspeichers für Insights der Parameter create_bucket auf false festgelegt ist, müssen Sie sicherstellen, dass der Wert bucket_name, den Sie für Insights verwenden, der gleiche ist wie der für die Plattform. Wenn create_bucket auf true festgelegt ist, müssen Sie keine Aktion ausführen.

 "insights": {
    "enabled": true,
    "external_object_storage": {
      "bucket_name": "<same_as_platform_bucket_name"
    }
  },