Sicherheit und Compliance

Sicherheitskontext für UiPath®-Dienste

Dieser Abschnitt enthält Details zum Sicherheitskontext der UiPath® Dienste.

Alle UiPath®-Dienste werden mit einem Sicherheitskontext konfiguriert, der im Abschnitt spec definiert ist. Das folgende Beispiel zeigt die Konfiguration für alle Dienste mit Ausnahme von du-cjk-ocr:

spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 1000
    runAsGroup: 1000
    fsGroup: 1000
  containers:
    - securityContext:
        allowPrivilegeEscalation: false
        readOnlyRootFilesystem: true
        capabilities:
          drop: ["ALL"]
  hostPID: false
  hostNetwork: false

Im Fall des Dienstes du-cjk-ocr lautet der Wert des Parameters readOnlyRootFilesystem false. Weitere Informationen zu du-cjk-ocr finden Sie in der Document Understanding-Dokumentation.

In einigen Fällen können die Benutzer-IDs und Gruppen-IDs größer oder gleich 1000 sein. Solche Werte sind je nach Umgebung zulässig. Es ist wichtig, dass Sie die Benutzer- und Gruppen-IDs gemäß Ihren Sicherheitsprinzipien und den Sicherheitsrichtlinien Ihrer Organisation konfigurieren.

Aktivieren von FIPS 140-2

Die FIPS 140-2 (Federal Information Processing Standards 140-2) sind ein Sicherheitsstandard, der die Effektivität von kryptografischen Modulen überprüft.

Sie können FIPS 140-2 auf den Maschinen aktivieren, auf denen Sie die Automation Suite in den folgenden Szenarien installieren:

1. Aktivieren Sie FIPS 140-2, bevor Sie eine Neuinstallation der Automation Suite 2023.4 oder höher durchführen. Weitere Informationen finden Sie unter. Szenario 1: Neue Installationen
2. Aktivieren Sie FIPS 140-2, nachdem Sie eine Automation Suite-Installation auf einer Maschine durchgeführt haben, bei der FIPS 140-2 deaktiviert ist. Weitere Informationen finden Sie unter Szenario 2: Vorhandene Installationen.

Szenario 1: Neue Installationen

Führen Sie die folgenden Schritte aus, um FIPS 140-2 auf den Maschinen zu aktivieren, auf denen Sie eine Neuinstallation der Automation Suite durchführen möchten:

1. Bevor Sie die Installation der Automation Suite starten, aktivieren Sie FIPS 140-2 auf Ihren Maschinen.

   Weitere Informationen finden Sie unter Aktivieren von FIPS 140-2.

2. Führen Sie die Automation Suite-Installation durch, indem Sie die Installationsanweisungen in dieser Anleitung befolgen.

   • Wenn Sie das AI Center auf einer FIPS 140-2-fähigen Maschine installieren und auch dem Microsoft SQL-Server verwenden, sind einige zusätzliche Konfigurationen erforderlich. Weitere Informationen finden Sie unter SQL-Anforderungen für das AI Center.
   • Stellen Sie sicher, dass Insights deaktiviert ist, da es von FIPS 140-2 nicht unterstützt wird.

3. Stellen Sie sicher, dass Ihre Zertifikate FIPS 140-2-konform sind.

   Hinweis:

   Standardmäßig generiert die Automation Suite selbstsignierte FIPS 140-2-kompatible Zertifikate, deren Ablaufdatum vom von Ihnen gewählten Automation Suite-Installationstyp abhängt. Es wird dringend empfohlen, diese selbstsignierten Zertifikate bei der Installation durch Zertifikate von Zertifizierungsstellen zu ersetzen. Um die Automation Suite auf FIPS 140-2-fähigen Maschinen verwenden zu können, müssen die neu bereitgestellten Zertifikate FIPS 140-2-kompatibel sein. Eine Liste der in Frage kommenden Verschlüsselungen, die von RHEL unterstützt werden, finden Sie in der RHEL-Dokumentation.

   • Führen Sie Zuweisung aus, um die Tokensignaturzertifikate zu aktualisieren

   sudo ./configureUiPathAS.sh identity token-cert update --cert-file-path /path/to/cert --cert-key-file-path /path/to/certkey
   

   • Um die TLS-Zertifikate zu aktualisieren, führen Sie Zuweisung aus

   ./configureUiPathAS.sh additional-ca-certs update --ca-cert-file /path/to/ca/certs
   

Szenario 2: Vorhandene Installationen

Sie können die Automation Suite auf Maschinen mit deaktiviertem FIPS 140-2 installieren und dann den Sicherheitsstandard auf denselben Maschinen aktivieren. Dies ist auch möglich, wenn Sie auf eine neue Automation Suite-Version aktualisieren.

Führen Sie die folgenden Schritte aus, um FIPS 140-2 auf den Maschinen zu aktivieren, auf denen Sie bereits eine Automation Suite-Installation durchgeführt haben:

1. Führen Sie eine reguläre Automation Suite-Installation oder ein Upgrade auf Maschinen durch, bei denen FIPS 140-2 deaktiviert ist.
2. Aktivieren Sie FIPS 140-2, indem Sie den folgenden Befehl auf all Ihren Maschinen ausführen:

   fips-mode-setup --enable
   

3. Stellen Sie sicher, dass Ihre Zertifikate FIPS 140-2-konform sind.
   Hinweis:

   Um die Automation Suite auf FIPS 140-2-fähigen Maschinen zu verwenden, müssen Sie Ihre Zertifikate durch neue FIPS 140-2-kompatible Zertifikate ersetzen, die von einer Zertifizierungsstelle signiert wurden. Eine Liste der in Frage kommenden Verschlüsselungen, die von RHEL unterstützt werden, finden Sie in der RHEL-Dokumentation.

   • Führen Sie Zuweisung aus, um die Tokensignaturzertifikate zu aktualisieren

   sudo ./configureUiPathAS.sh identity token-cert update --cert-file-path /path/to/cert --cert-key-file-path /path/to/certkey
   

   • Um die TLS-Zertifikate zu aktualisieren, führen Sie Zuweisung aus

   ./configureUiPathAS.sh additional-ca-certs update --ca-cert-file /path/to/ca/certs
   

   Weitere Informationen zu Zertifikaten finden Sie unter Verwalten der Zertifikate.

4. Stellen Sie sicher, dass Ihre Produktauswahl den FIPS 140-2-Anforderungen entspricht:
   • Wenn Sie das AI Center auf einer FIPS 140-2-fähigen Maschine installieren und auch dem Microsoft SQL-Server verwenden, sind einige zusätzliche Konfigurationen erforderlich. Weitere Informationen finden Sie unter SQL-Anforderungen für das AI Center.
   • Wenn Sie Insights zuvor aktiviert haben, müssen Sie es deaktivieren, da es von FIPS 140-2 nicht unterstützt wird. Weitere Informationen zum Deaktivieren von Produkten nach der Installation finden Sie unter Verwalten von Produkten.
5. Starten Sie Ihre Maschinen neu und überprüfen Sie, ob Sie FIPS 140-2 erfolgreich aktiviert haben.

   fips-mode-setup --check
   

6. Führen Sie das Dienstinstallationsprogramm install-uipath.sh erneut aus:
   • Führen Sie in einer Onlineumgebung Folgendes aus:

     ./install-uipath.sh -i cluster_config.json -o output.json -s --accept-license-agreement – Online -- online
     

   • Führen Sie in einer Offlineumgebung Folgendes aus:

     ./install-uipath.sh -i ./cluster_config.json -o ./output.json -s --offline-bundle /uipath/tmp/sf.tar.gz --offline-tmp-folder /uipath/tmp --accept-license-agreement