Installieren und Konfigurieren des GitOps-Tools

Referenz für die Installation und Konfiguration des OpenShift GitOps Operator und der erforderlichen Dienstkontoberechtigungen in der Automation Suite.

Hinweis:

Bevor Sie mit der Installation und Konfiguration von OpenShift GitOps Operator fortfahren, müssen Sie OpenShift Service Mesh installieren und alle erforderlichen Berechtigungen für das uipathadmin -Dienstkonto bereitstellen.

Anweisungen zur Installation und Konfiguration des Service Mesh finden Sie unter Installieren und Konfigurieren des Service Meshs.

Weitere Informationen zu den Installationsberechtigungen finden Sie unter Erteilen von Installationsberechtigungen.

Sie können die Automation Suite entweder mit einer OpenShift GitOps Operator-Instanz bereitstellen, die für die UiPath®-Anwendungen dediziert ist, oder mit einer gemeinsam genutzten OpenShift GitOps Operator-Instanz, wenn sie bereits in Ihrem Cluster installiert und verfügbar ist.

Es wird empfohlen, eine dedizierte OpenShift GitOps Operator-Instanz zu verwenden, um die Automation Suite-Anwendungen zu installieren. Diese Methode erfordert Mindestberechtigungen für die anderen Namespaces und Clusterressourcen.

Anweisungen zur Installation und zum Zugriff finden Sie in den folgenden Abschnitten:

• Bereitstellen einer dedizierten GitOps-Instanz
• Konfigurieren einer gemeinsam genutzten GitOps-Instanz

Bereitstellen einer dedizierten GitOps-Instanz

Hinweis:

Es wird empfohlen, einen anderen Namespace als <uipath> für ArgoCD zu verwenden.

Wenn Sie OpenShift GitOps Version 1.15 oder höher verwenden und eine dedizierte Instanz von ArgoCD im Namespace <uipath> installieren, ist die ArgoCD-Benutzeroberfläche aufgrund der Netzwerkrichtlinien im Namespace <uipath> , der von der Service Mesh-Steuerungsebene hinzugefügt wurde, nicht zugänglich. Um dies zu beheben, müssen Sie eine Netzwerkrichtlinie hinzufügen, wie im folgenden Beispiel gezeigt, damit die Ingress-Pods die ArgoCD-Server-Pods im <uipath> -Namespace erreichen können.

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: allow-argocd
spec:
  podSelector:
    matchLabels:
      app.kubernetes.io/name: argocd-server
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              network.openshift.io/policy-group: ingress
  policyTypes:
    - Ingress

Um eine dedizierte OpenShift GitOps Operator-Instanz bereitzustellen, führen Sie die folgenden Schritte aus:

1. Wenn der Namespace <argocd> noch nicht vorhanden ist, führen Sie die folgenden Befehle aus, um ihn zu erstellen:

   oc get namespace <argocd> || oc new-project <argocd>
   oc project <argocd>
   

2. Installieren Sie den OpenShift-GitOps-Operator, indem Sie die Anweisungen unter Installieren von OpenShift-GitOps befolgen.

3. Erstellen Sie eine neue ArgoCD-Instanz, indem Sie die Anweisungen unter Einrichten einer neuen ArgoCD-Instanz befolgen .

   Hinweis:

   Im Abschnitt spec , der unter Aktivieren von Replikaten für den Argo-CD-Server und den Repository-Server beschrieben ist, müssen Sie die folgende Zeile hinzufügen:

   server.route.enabled: true
   

4. Patchen Sie die ArgoCD-Bereitstellung:

   oc -n <argocd> patch deployment argocd-server \
     -p '{"spec":{"template":{"metadata":{"labels":{"maistra.io/expose-route":"true"}}}}}'
   

5. Erstellen Sie eine Rolle, damit ArgoCD Grenzwertbereiche verwalten kann. Führen Sie die folgenden Schritte aus, um die Rolle zu erstellen:

   1. Speichern Sie die folgende Rollenkonfiguration als YAML-Datei:

      kind: Role
      apiVersion: rbac.authorization.k8s.io/v1
      metadata:
        name: limit-range-manager
        namespace: <uipath>
      rules:
        - apiGroups: ["*"]
          resources: ["limitranges"]
          verbs: ["get", "watch", "list", "patch", "update", "create"]
      

   2. Wenden Sie die Konfiguration an, indem Sie den folgenden Befehl ausführen. Ersetzen Sie den Platzhalter <file_name.yaml> durch den tatsächlichen Namen der YAML-Datei:

      oc apply -f <file_name.yaml>
      

6. Binden Sie die Rolle limit-range-manager an das Dienstkonto argocd :

   oc -n <uipath> create rolebinding limit-range-manager-binding --role=limit-range-manager --serviceaccount=<argocd>:argocd-argocd-application-controller
   

7. Wenn Sie entweder Process Mining – Dapr oder Automation Suite Robots aktiviert haben, müssen Sie den clusterweiten Modus für ArgoCD aktivieren, indem Sie die folgenden Schritte ausführen:

   1. Bearbeiten Sie in <openshift-gitops> die Abonnementressource openshift-gitops-operator , um die folgende Umgebungsvariable einzuschließen:

      ARGOCD_CLUSTER_CONFIG_NAMESPACES: <argocd>
      

   2. Befolgen Sie die Anweisungen unter Verwenden einer Argo-CD-Instanz zum Verwalten von Cluster-Scope-Ressourcen.

8. Sie müssen sicherstellen, dass die ArgoCD-Instanz den <uipath> -Namespace verwalten kann, wenn der <uipath> -Namespace nicht mit dem <argocd> -Namespace identisch ist:

   oc label namespace <uipath> argocd.argoproj.io/managed-by=<argocd>
   

   Nachdem Sie die Konfiguration angewendet haben, starten Sie ArgoCD application-controler (StatefulSet) und server (Bereitstellung) neu.

9. Sie müssen die folgenden Schritte nur ausführen, wenn der Namespace <uipath> nicht mit dem Namespace <argocd> identisch ist.

   Erstellen Sie eine Rolle, um die Anwendungen im Namespace <argocd> zu verwalten. Führen Sie die folgenden Schritte aus, um die Rolle zu erstellen:

   1. Speichern Sie die folgende Rollenkonfiguration als YAML-Datei:

      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role
      metadata:
        name: uipath-application-manager
        namespace: <argocd>
      rules:
      - apiGroups:
        - argoproj.io
        resources:
        - applications
        verbs:
        - "*"
      

   2. Wenden Sie die Konfiguration an, indem Sie den folgenden Befehl ausführen. Ersetzen Sie den Platzhalter <file_name.yaml> durch den tatsächlichen Namen der YAML-Datei:

      oc apply -f <file_name.yaml>
      

10. Binden Sie die Rolle uipath-application-manager an das Dienstkonto uipathadmin :

    oc project <argocd>
    oc create rolebinding uipath-application-manager \
      --role=uipath-application-manager --serviceaccount=<uipath>:uipathadmin
    

11. Erstellen Sie eine Rolle, damit das Dienstkonto uipathadmin den geheimen Schlüssel im Namespace <argocd> erstellen und bearbeiten kann. Die ArgoCD-Anwendung erfordert diese Rolle, um das Helm-Geheimnis zu aktualisieren. Führen Sie die folgenden Schritte aus, um die Rolle zu erstellen:

    1. Speichern Sie die folgende Rollenkonfiguration als YAML-Datei:

       apiVersion: rbac.authorization.k8s.io/v1
       kind: Role
       metadata:
         name: argo-secret-role
         namespace: <argocd>
       rules:
         - apiGroups: ["rbac.authorization.k8s.io"]
           resources: ["roles", "rolebindings"]
           verbs: ["*"]
         - apiGroups: ["*"]
           resources: ["secrets"]
           verbs: ["get", "watch", "list", "patch", "update", "create"]
       

    2. Wenden Sie die Konfiguration an, indem Sie den folgenden Befehl ausführen. Ersetzen Sie den Platzhalter <file_name.yaml> durch den tatsächlichen Namen der YAML-Datei:

       oc apply -f <file_name.yaml>
       

12. Binden Sie die Rolle argo-secret-role an das Dienstkonto uipathadmin :

    oc project <argocd>
    oc create rolebinding secret-binding \
      --role=argo-secret-role --serviceaccount=<uipath>:uipathadmin
    

13. Binden Sie die Rolle namespace-reader im Namespace <argocd> an das Dienstkonto uipathadmin :

    oc project <argocd>
    oc create rolebinding namespace-reader-rolebinding \
      --clusterrole=namespace-reader-clusterrole --serviceaccount=<uipath>:uipathadmin
    

Zugreifen auf die dedizierte ArgoCD-Instanz

Führen Sie die folgenden Schritte aus, um auf ArgoCD zuzugreifen:

1. Rufen Sie die Host-URL ab:

   oc get routes argocd-server -n <argocd> -o jsonpath={.spec.host}; echo
   

2. Um sich anzumelden, verwenden Sie admin als Benutzernamen und führen Sie den folgenden Befehl aus, um das Kennwort zu erhalten:

   oc -n <argocd> get secrets argocd-cluster \
     -o "jsonpath={.data['admin\.password']}" | base64 -d; echo
   

Konfigurieren des privaten Helm-Repositorys und der Zertifikate in ArgoCD

Führen Sie die folgenden Schritte aus, um das Helm-Repository in ArgoCD zu konfigurieren:

1. Melden Sie sich bei ArgoCD an.
2. Navigieren Sie zu Einstellungen > Repositorys > +CONNECT REPO.
3. Verwenden Sie VIA HTTPS als Verbindungsmethode.
4. Wählen Sie Helm als Typ aus.
5. Geben Sie einen Namen an.
6. Wählen Sie Standard als Projekt aus.
7. Geben Sie die Repository-URL, den Benutzernamen, das Kennwort und das Zertifikat an.
   Wichtig:

   Beim Hinzufügen des TLS-Clientzertifikats auf der Seite +CONNECT REPO wird der TLS-Clientzertifikatschlüssel zu einem Pflichtfeld. Um das Registrierungszertifikat ohne den TLS-Clientzertifikatschlüssel zu konfigurieren, führen Sie die folgenden Schritte aus:

   1. Navigieren Sie zu Einstellungen > Repository-Zertifikate und bekannte Hosts > +TLS-ZERTIFIKATE.
   2. Fügen Sie den Repository-Namen und das TLS-Zertifikat im PEM-Format hinzu.
8. Aktivieren Sie das Kontrollkästchen OCI .
9. Select Connect.
10. Stellen Sie sicher, dass der Verbindungsstatus Erfolgreich ist.

Konfigurieren einer gemeinsam genutzten GitOps-Instanz

Wenn Ihr Plattformteam die freigegebene OpenShift GitOps Operator-Instanz noch nicht bereitgestellt hat, führen Sie die folgenden Installations- und Konfigurationsschritte aus:

1. Erstellen Sie den Namespace <uipath>:

   oc get namespace <uipath> || oc new-project <uipath>
   oc project <uipath>
   

2. Installieren Sie den OpenShift-GitOps-Operator, indem Sie die Anweisungen unter Installieren von OpenShift-GitOps befolgen. Diese Installation enthält die standardmäßige ArgoCD-Instanz namens openshift-gitops im <openshift-gitops> - Namespace.

3. Aktivieren Sie den clusterweiten Modus für ArgoCD, indem Sie die folgenden Schritte ausführen:

   1. Bearbeiten Sie in <openshift-gitops> die Abonnementressource openshift-gitops-operator , um die folgende Umgebungsvariable einzuschließen:

      ARGOCD_CLUSTER_CONFIG_NAMESPACES: <openshift-gitops>
      

   2. Befolgen Sie die Anweisungen unter Verwenden einer ArgoCD-Instanz zum Verwalten von Cluster-Scope-Ressourcen.

4. Stellen Sie sicher, dass die ArgoCD-Instanz openshift-gitops den Namespace <uipath> verwalten kann:

   oc label namespace <uipath> argocd.argoproj.io/managed-by=openshift-gitops
   

   Nachdem Sie die Konfiguration angewendet haben, starten Sie ArgoCD openshift-gitops-application-controller (StatefulSet) und openshift-gitops-server (Bereitstellung) neu.

5. Patchen Sie die ArgoCD-Bereitstellung:

   oc -n <uipath> patch deployment argocd-server 
     -p '{"spec":{"template":{"metadata":{"labels":{"maistra.io/expose-route":"true"}}}}}'
   

6. Erstellen Sie ein ArgoCD-Projekt für die UiPath®-Anwendung:

   apiVersion: argoproj.io/v1alpha1
   kind: AppProject
   metadata:
     name: uipath
     namespace: <openshift-gitops>
   spec:
     description: Appproject to managed and deploy uipath applications
     clusterResourceWhitelist:
       - group: '*'
         kind: '*'
     destinations:
       - namespace: <uipath>
         server: https://kubernetes.default.svc
       - namespace: <istio-system>
         server: https://kubernetes.default.svc
     sourceNamespaces:
       - <openshift-gitops>
     sourceRepos:
       - '*'
   

7. Erstellen Sie eine Rolle, damit ArgoCD Grenzwertbereiche verwalten kann. Führen Sie die folgenden Schritte aus, um die Rolle zu erstellen:

   1. Speichern Sie die folgende Rollenkonfiguration als YAML-Datei:

      kind: Role
      apiVersion: rbac.authorization.k8s.io/v1
      metadata:
        name: limit-range-manager
        namespace: <uipath>
      rules:
        - apiGroups: ["*"]
          resources: ["limitranges"]
          verbs: ["get", "watch", "list", "patch", "update", "create"]
      

   2. Wenden Sie die Konfiguration an, indem Sie den folgenden Befehl ausführen. Ersetzen Sie den Platzhalter <file_name.yaml> durch den tatsächlichen Namen der YAML-Datei:

      oc apply -f <file_name.yaml>
      

8. Binden Sie die Rolle limit-range-manager an das Dienstkonto argocd :

   oc -n <uipath> create rolebinding limit-range-manager-binding --role=limit-range-manager --serviceaccount=<openshift-gitops>:openshift-gitops-argocd-application-controller
   

9. Erstellen Sie eine Rolle, um die Anwendungen im <openshift-gitops> -Namespace zu verwalten:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: uipath-application-manager
     namespace: <openshift-gitops>
   rules:
   - apiGroups:
     - argoproj.io
     resources:
     - applications
     verbs:
     - "*"
   

10. Binden Sie die Rolle uipath-application-manager an das Dienstkonto uipathadmin :

    oc project <openshift-gitops>
    oc create rolebinding uipath-application-manager \
      --role=uipath-application-manager --serviceaccount=<uipath>:uipathadmin
    

11. Erstellen Sie eine Rolle, damit ArgoCD den geheimen Schlüssel im Namespace <openshift-gitops> erstellen und bearbeiten kann. Die ArgoCD-Anwendung erfordert diese Rolle, um das Helm-Geheimnis zu aktualisieren. Das folgende Beispiel zeigt eine gültige Konfiguration für die Rolle:

    apiVersion: rbac.authorization.k8s.io/v1
    kind: Role
    metadata:
      name: argo-secret-role
      namespace: <openshift-gitops>
    rules:
      - apiGroups: ["rbac.authorization.k8s.io"]
        resources: ["roles", "rolebindings"]
        verbs: ["*"]
      - apiGroups: ["*"]
        resources: ["secrets"]
        verbs: ["get", "watch", "list", "patch", "update", "create"]
    

12. Binden Sie die Rolle argo-secret-role an das Dienstkonto uipathadmin :

    oc project <openshift-gitops>
    oc create rolebinding secret-binding \
      --role=argo-secret-role --serviceaccount=<uipath>:uipathadmin
    

13. Binden Sie die Rolle namespace-reader im Namespace <openshift-gitops> an das Dienstkonto uipathadmin :

    oc project <openshift-gitops>
    oc create rolebinding namespace-reader-rolebinding \
      --clusterrole=namespace-reader-clusterrole --serviceaccount=<uipath>:uipathadmin
    

Zusätzlich zur Ausführung der Schritte zum Konfigurieren der freigegebenen ArgoCD-Instanz für die Automation Suite-Installation müssen Sie der Datei input.json die folgenden Parameter hinzufügen:

  "argocd": {
    "project": "<uipath>"
  },

Zugriff auf die freigegebene ArgoCD-Instanz

Führen Sie die folgenden Schritte aus, um auf ArgoCD zuzugreifen:

1. Rufen Sie die Host-URL ab, indem Sie die folgenden Befehle ausführen:

   oc get routes openshift-gitops-server -n <openshift-gitops> -o jsonpath={.spec.host}; echo
   

2. Um sich anzumelden, verwenden Sie admin als Benutzernamen und führen Sie den folgenden Befehl aus, um das Kennwort zu erhalten:

   oc -n <openshift-gitops> get secrets openshift-gitops-cluster \
     -o "jsonpath={.data['admin\.password']}" | base64 -d; echo
   

Konfigurieren des privaten Helm-Repositorys und der Zertifikate in ArgoCD

Führen Sie die folgenden Schritte aus, um das Helm-Repository in ArgoCD zu konfigurieren:

1. Melden Sie sich bei ArgoCD an.
2. Navigieren Sie zu Einstellungen > Repositorys > +CONNECT REPO.
3. Verwenden Sie VIA HTTPS als Verbindungsmethode.
4. Wählen Sie Helm als Typ aus.
5. Geben Sie einen Namen an.
6. Wählen Sie uipath als Projekt aus. uipath ist der Name des ArgoCD-Projekts, das Sie für die UiPath®-Anwendung erstellt haben.
7. Geben Sie die Repository-URL, den Benutzernamen, das Kennwort und das Zertifikat an.
   Wichtig:

   Beim Hinzufügen des TLS-Clientzertifikats auf der Seite +CONNECT REPO wird der TLS-Clientzertifikatschlüssel zu einem Pflichtfeld. Um das Registrierungszertifikat ohne den TLS-Clientzertifikatschlüssel zu konfigurieren, führen Sie die folgenden Schritte aus:

   1. Navigieren Sie zu Einstellungen > Repository-Zertifikate und bekannte Hosts > +TLS-ZERTIFIKATE.
   2. Fügen Sie den Repository-Namen und das TLS-Zertifikat im PEM-Format hinzu.
8. Aktivieren Sie das Kontrollkästchen OCI .
9. Select Connect.
10. Stellen Sie sicher, dass der Verbindungsstatus Erfolgreich ist.

Konfigurieren von ArgoCD für mehrere Installationen in einem einzelnen Cluster

Führen Sie die folgenden Schritte aus, um ArgoCD für mehrere Automation Suite-Installationen in einem einzelnen OpenShift-Cluster zu konfigurieren:

1. Überprüfen Sie, ob alle Dienste von ArgoCD in Betrieb sind. Sie können den folgenden Befehl ausführen, um alle Pods zu überwachen:

   oc get pods -n <argocd>
   

2. Sobald alle Dienste in Betrieb sind, können Sie den folgenden Befehl sequenziell verwenden, um die Berechtigungen von ArgoCD zu patchen. Dadurch kann ArgoCD verschiedene Anwendungsnamespaces verwalten, in denen die Automation Suite installiert ist:

   oc patch appprojects.argoproj.io default -n <argocd> --type='merge' -p '{"spec": {"sourceNamespaces": ["*"]}}'
   oc patch configmaps argocd-cmd-params-cm -n <argocd> --type='merge' -p '{"data": {"application.namespaces": "*"}}'
   oc rollout restart -n <argocd> deployment argocd-server
   oc rollout restart -n <argocd> statefulset argocd-application-controller