Sicherheit und Compliance

Aktivieren von FIPS 140-2

Die FIPS 140-2 (Federal Information Processing Standards 140-2) sind ein Sicherheitsstandard, der die Effektivität von kryptografischen Modulen überprüft.

Sie können FIPS 140-2 auf den Maschinen aktivieren, auf denen Sie die Automation Suite in den folgenden Szenarien installieren:

1. Szenario 1: Neuinstallationen – Aktivieren Sie FIPS 140-2, bevor Sie eine Neuinstallation der Automation Suite 2023.4 oder höher durchführen.
2. Szenario 2: Vorhandene Installationen – Aktivieren Sie FIPS 140-2, nachdem Sie eine Automation Suite-Installation auf einer Maschine durchgeführt haben, bei der FIPS 140-2 deaktiviert ist.

Szenario 1: Neue Installationen

Führen Sie die folgenden Schritte aus, um FIPS 140-2 auf den Maschinen zu aktivieren, auf denen Sie eine Neuinstallation der Automation Suite durchführen möchten:

1. Bevor Sie die Installation der Automation Suite starten, aktivieren Sie FIPS 140-2 auf Ihren Maschinen.

   Weitere Informationen finden Sie unter:

   • Konfigurieren der Maschinen in einer Umgebung mit einem einzelnen Knoten
   • Konfigurieren der Maschinen in einer Umgebung mit mehreren Knoten
2. Führen Sie die Automation Suite-Installation durch, indem Sie die Installationsanweisungen in dieser Anleitung befolgen.
   • Wenn Sie das AI Center auf einer FIPS 140-2-fähigen Maschine installieren und auch dem Microsoft SQL-Server verwenden, sind einige zusätzliche Konfigurationen erforderlich. Weitere Informationen finden Sie unter:
     • Konfigurieren von Microsoft SQL-Server in einer Umgebung mit einem einzelnen Knoten
     • Konfigurieren von Microsoft SQL-Server in einer Umgebung mit mehreren Knoten
   • Stellen Sie sicher, dass Insights deaktiviert ist, da es von FIPS 140-2 nicht unterstützt wird.
3. Stellen Sie sicher, dass Ihre Zertifikate FIPS 140-2-konform sind.
   Hinweis:

   Standardmäßig generiert die Automation Suite 2023.4 und höher selbstsignierte FIPS 140-2-kompatible Zertifikate, deren Ablaufdatum vom von Ihnen gewählten Automation Suite-Installationstyp abhängt.

   Es wird dringend empfohlen, diese selbstsignierten Zertifikate bei der Installation durch Zertifikate von Zertifizierungsstellen zu ersetzen. Um die Automation Suite auf FIPS 140-2-fähigen Maschinen verwenden zu können, müssen die neu bereitgestellten Zertifikate FIPS 140-2-kompatibel sein. Eine Liste der in Frage kommenden Verschlüsselungen, die von RHEL unterstützt werden, finden Sie in der RHEL-Dokumentation.

   • Führen Sie Folgendes aus, um die Tokensignaturzertifikate zu aktualisieren:

     sudo ./configureUiPathAS.sh identity token-cert update --cert-file-path /path/to/cert --cert-key-file-path /path/to/certkey

   • Führen Sie Folgendes aus, um die TLS-Zertifikate zu aktualisieren:

     ./configureUiPathAS.sh additional-ca-certs update --ca-cert-file /path/to/ca/certs

   Weitere Informationen zu Zertifikaten finden Sie unter Verwalten der Zertifikate.

Szenario 2: Vorhandene Installationen

Sie können die Automation Suite auf Maschinen mit deaktiviertem FIPS 140-2 installieren und dann den Sicherheitsstandard auf denselben Maschinen aktivieren. Dies ist auch möglich, wenn Sie auf eine neue Automation Suite-Version aktualisieren.

Führen Sie die folgenden Schritte aus, um FIPS 140-2 auf den Maschinen zu aktivieren, auf denen Sie bereits eine Automation Suite-Installation durchgeführt haben:

1. Führen Sie eine reguläre Automation Suite-Installation oder ein Upgrade auf Maschinen durch, bei denen FIPS 140-2 deaktiviert ist.
2. Aktivieren Sie FIPS 140-2, indem Sie den folgenden Befehl auf all Ihren Maschinen ausführen:

   fips-mode-setup --enable

3. Stellen Sie sicher, dass Ihre Zertifikate FIPS 140-2-konform sind.
   Hinweis:

   Um die Automation Suite auf FIPS 140-2-fähigen Maschinen zu verwenden, müssen Sie Ihre Zertifikate durch neue FIPS 140-2-kompatible Zertifikate ersetzen, die von einer Zertifizierungsstelle signiert wurden. Eine Liste der in Frage kommenden Verschlüsselungen, die von RHEL unterstützt werden, finden Sie in der RHEL-Dokumentation.

   • Führen Sie Folgendes aus, um die Tokensignaturzertifikate zu aktualisieren:

     sudo ./configureUiPathAS.sh identity token-cert update --cert-file-path /path/to/cert --cert-key-file-path /path/to/certkey

   • Führen Sie Folgendes aus, um die TLS-Zertifikate zu aktualisieren:

     ./configureUiPathAS.sh additional-ca-certs update --ca-cert-file /path/to/ca/certs

   Weitere Informationen zu Zertifikaten finden Sie unter Verwalten der Zertifikate.
4. Stellen Sie sicher, dass Ihre Produktauswahl den FIPS 140-2-Anforderungen entspricht:
   • Wenn Sie das AI Center auf einer FIPS 140-2-fähigen Maschine installieren und auch dem Microsoft SQL-Server verwenden, sind einige zusätzliche Konfigurationen erforderlich. Weitere Informationen finden Sie unter:
     • Konfigurieren von Microsoft SQL-Server in einer Umgebung mit einem einzelnen Knoten
     • Konfigurieren von Microsoft SQL-Server in einer Umgebung mit mehreren Knoten
   • Wenn Sie Insights zuvor aktiviert haben, müssen Sie es deaktivieren, da es von FIPS 140-2 nicht unterstützt wird. Weitere Informationen zum Deaktivieren von Produkten nach der Installation finden Sie unter Verwalten von Produkten.
5. Starten Sie Ihre Maschinen neu und überprüfen Sie, ob Sie FIPS 140-2 erfolgreich aktiviert haben, indem Sie den folgenden Befehl ausführen:

   fips-mode-setup --check

6. Führen Sie das Dienstinstallationsprogramm install-uipath.sh erneut aus:

   • Führen Sie in einer Onlineumgebung Folgendes aus:

     ./install-uipath.sh -i cluster_config.json -o output.json -s --accept-license-agreement – Online -- online

   • Führen Sie in einer Offlineumgebung Folgendes aus:

     ./install-uipath.sh -i ./cluster_config.json -o ./output.json -s --offline-bundle /uipath/tmp/sf.tar.gz --offline-tmp-folder /uipath/tmp --accept-license-agreement

Verwenden einer Firewall

Wichtig:

Wir unterstützen keine Firewall. Das Installationsprogramm der Automation Suite deaktiviert die Firewall während der Installation automatisch. Stellen Sie sicher, dass sie auch nach der Installation in einem deaktivierten Zustand bleibt.

Die Automation Suite richtet Standard-IP-Tabellenregeln auf den Hostmaschinen für die erforderliche Kommunikation zwischen Knoten ein. Wir unterstützen keine benutzerdefinierten IP-Tabellenregeln, wie z. B. solche, die über Firewall konfiguriert werden, da sie mit den von Automation Suite konfigurierten IP-Tabellenregeln in Konflikt geraten könnten. Sie können jedoch zusätzliche Firewallregeln auf Netzwerkebene anwenden.

Es wird empfohlen, Firewallanwendungen am Netzwerkgateway zu aktivieren, jedoch nicht zwischen Clustern.