Governance mit Automation Ops

Zentrale Durchsetzung der Sicherheitskontrollen von Delegate über UiPath Automation Ops, einschließlich der gezielten Zuweisung von Richtlinien und der empfohlenen Basiskonfiguration für regulierte Umgebungen.

Keine der in Lokale Sicherheitskonfiguration beschriebenen Sicherheitskontrollen ist lediglich eine persönliche Einstellung, der Benutzer anvertraut werden müssen. Sie können alle zentral über UiPath Automation Ops verwalten, dieselbe Governance-Ebene, die Sie bereits für den Rest Ihrer UiPath-Umgebung verwenden.

Erstellen einer Richtlinie

Prerequisites:

• Sie verfügen über Administratorzugriff für Automation Ops in Ihrer Automation Cloud-Organisation.
• Die Richtlinienvorlage von Assistant ist auf Version 26.10.0 oder höher festgelegt. Informationen zum Ändern der Richtlinienvorlagenversion finden Sie unter Auswählen einer Richtlinienvorlage.

Gehen Sie wie folgt vor, um eine Governance-Richtlinie für Delegate zu erstellen und die Bereitstellung durchzuführen:

1. Melden Sie sich bei Automation Cloud an und wechseln Sie zu Automation Ops → Governance.
2. Wählen Sie Richtlinie hinzufügen aus.
3. Wählen Sie Assistant als Produkt aus, das die Richtlinie regelt.
4. Geben Sie der Richtlinie einen Namen.
5. Konfigurieren Sie die Richtlinie auf den folgenden Registerkarten: Tools, Helper Agents, MCP-Server, Sicherheit, Tool-Berechtigungen, Modelle sowie Skills & Knowledge – die folgende Übersicht erläutert die Funktionen der einzelnen Registerkarten.
6. Wählen Sie Richtlinie bereitstellen aus.

Ergebnis: Die Richtlinie gilt beim nächsten Start der App oder beim Start einer neuen Konversation für das von Ihnen konfigurierte Ziel – Benutzer, Gruppe oder Mandant. Wenn mehr als eine Richtlinie auf denselben Benutzer abzielt, gilt die spezifischste. Die Übertragung von Änderungen kann bis zu 30 Minuten dauern. Auf diese Weise erzwungene Einstellungen werden jedes Mal neu aus der Live-Richtlinie angewendet und werden nie als eigene Auswahl des Benutzers gespeichert.

Zentral durchsetzbar

Was die einzelnen Richtlinien-Registerkarten steuern:

Tools

Aktiviert oder deaktiviert einzelne Tools nach Kategorie und legt Pfad-, Befehls-, Site- und Anwendungsbeschränkungen zentral fest – dieselben Steuerelemente, die unter Terminal und Dateien, Geschützte Dateien und UI-Automatisierung in der Referenz zu den Sicherheitseinstellungen beschrieben sind, angewendet auf Richtlinienebene, statt lokal.

Anwendungseinschränkungen befinden sich unter Computernutzungsbeschränkungen auf der Registerkarte Tools . Geben Sie in den Listen Blockierte Anwendungen und Vorab genehmigte Anwendungen jede Anwendung mit ihrem Namen ohne die .exe -Erweiterung oder einen Ordnerpfad ein. Geben Sie beispielsweise Excel oder 1Password ein, nicht EXCEL.EXE oder C:\Program Files\Microsoft Office\root\Office16\EXCEL.EXE.

Ein blockierter Anwendungseintrag stimmt mit jeder Anwendung überein, deren Name ihn enthält, wobei die Groß-/Kleinschreibung ignoriert wird, sodass Excel Microsoft Excel blockiert. Wählen Sie einen Namen, der spezifisch genug ist, um ein versehentliches Blockieren anderer Anwendungen zu vermeiden. Beispielsweise blockiert Code sowohl Visual Studio Code als auch Xcode.

Hilfs-Agents

Ermöglicht oder blockiert die Möglichkeit, Arbeit an einen Hilfsagent zu delegieren, für alle, auf die die Richtlinie ausgerichtet ist.

MCP-Server

Steuert, ob Benutzer ihre eigenen MCP-Server hinzufügen können, und ermöglicht Ihnen die automatische Bereitstellung von Remote-MCP-Servern für jedes Mitglied der Richtliniengruppe – Benutzer verbinden sich ohne eigene Einrichtung mit diesen und können sie nicht entfernen. Bereitgestellte Server müssen Remote-Endpunkte (HTTP/SSE) sein; lokale Server können auf diese Weise nicht zentral bereitgestellt werden. Unter Konfigurieren externer Tools mit MCP-Servern finden Sie weitere Informationen zur täglichen Funktionsweise von MCP-Servern.

Sicherheit

Sperrt den Genehmigungsmodus, den Bildschirmkontextmodus und den eingeschränkten Zugriff, sodass Benutzer diese Einstellungen nicht lokal ändern können. Ermöglicht Ihnen, den Speicherort neuer Aufgaben festzulegen und die Ziele für Telemetriedaten einzuschränken. Außerdem können Sie jeder Konversation organisationsweite benutzerdefinierte Anweisungen voranstellen, die zusätzlich zu den Anweisungen des Benutzers gelten. Unter „Lokale Sicherheitskonfiguration“ erfahren Sie, wie diese Steuerelemente aus Sicht des Benutzers aussehen.

Tool-Berechtigungen

Legt für jeden einzelnen Tool- und Connector-Vorgang die Option „Zulassen“, „Fragen“ oder „Blockieren“ fest. Diese detaillierten Berechtigungseinstellungen werden in der Richtlinie konfiguriert und unter „Tool-Berechtigungen“ in der „Referenz zu den Sicherheitseinstellungen“ beschrieben. Lese- und Schreibzugriffe werden separat gesteuert: Das Lesen eines Posteingangs und das Senden einer E-Mail sowie das Lesen einer Tabellenkalkulation und das Löschen eines Tabellenblatts gelten jeweils als eigenständige Vorgänge. Standardmäßig laufen Lesevorgänge automatisch ab, während Schreibvorgänge zunächst eine Bestätigung erfordern. Sie können beispielsweise den Löschvorgang in Outlook auf „Blockieren“ setzen, sodass Delegate E-Mails lesen und senden, aber niemals löschen kann.

Modelle

Wählt das Standardmodell aus und legt fest, welche Modelle für Benutzer verfügbar sind. Siehe „Auswählen des LLM-Modells“.

Fähigkeiten und Wissen

Ermöglicht oder blockiert das Kontextgrundlagenwissen – Wissensdatenbanken der Organisation und Dokumentindizes, die für geerdete Antworten verwendet werden. Der lokale Umschalter befindet sich unter Add-ons und Integrationen – siehe Toolreferenz.

Empfohlene Basis für regulierte Umgebungen

Die leistungsstarken Abläufe bleiben verfügbar, werden jedoch streng kontrolliert, anstatt sie vollständig zu deaktivieren. Alle folgenden Funktionen können zentral über Automation Ops durchgesetzt werden:

Autorisierung und Zugriff

• Autorisierung: Legen Sie den Genehmigungsmodus auf „Vorsichtlich“ fest, und sperren Sie ihn. Stellen Sie den vollständigen Zugriffsmodus nicht für regulierte Benutzer bereit.
• Berechtigungsstufe: Führen Sie Delegate ohne Administratorrechte aus, damit Anwendungen, die als Administrator ausgeführt werden, für Delegate nicht zugänglich sind.
• Pro Vorgang: Legen Sie destruktive Vorgänge wie das Löschen von E-Mails oder Dateien für Benutzer, die sie nie ausführen sollten, auf „Ablehnen“ fest.
• Vorabgenehmigungen: Genehmigen Sie nur Anwendungen und Websites vorab, die Sie überprüft haben, und überprüfen Sie die Liste regelmäßig.

Skripting und Einschränkungen

• Skripting: Behalten Sie die strikte Sandbox bei und gewähren Sie nur die Ordner, die für das Skripting erforderlich sind. Halten Sie den Netzwerkzugriff deaktiviert, es sei denn, er ist erforderlich.
• Einschränkung: Blockieren Sie Websites und Anwendungen, wobei Sie den integrierten Katalog für kritische Websites als Ausgangspunkt sowie blockierte Pfade für Tools und Fähigkeiten verwenden.
• Integrationen: Lassen Sie MCP ausgeschaltet, es sei denn, es besteht eine spezifische, überprüfte Notwendigkeit.

Daten und Modell

• Anmeldeinformationen: Speichern Sie die von Delegate benötigten Anmeldeinformationen in UiPath Orchestrator, damit sie zur Runtime abgerufen werden, anstatt sie auf dem Gerät einzugeben oder zu speichern.
• Modell: Für strengste Anforderungen an die Datenresidenz können Sie Ihr eigenes Modell verwenden, das lokal gehostet wird, damit der gesamte Datenfluss in Ihrer Umgebung bleibt und unter Ihrer Kontrolle steht.
• Daten: Nutzen Sie lokalen Konversationsspeicher, wenn der Chatverlauf das Gerät nicht verlassen darf.

Bestätigen Sie die genaue Basislinie mit Ihrem UiPath-Team anhand Ihrer spezifischen Compliance-Anforderungen.

Häufig gestellte Fragen

Wir sind eine Bank. Welche Einstellungen empfehlen Sie standardmäßig?

Setzen Sie den Genehmigungsmodus auf „Vorsichtig“ und sperren Sie ihn. Führen Sie Delegate ohne Administratorrechte aus, lassen Sie die strenge Sandbox für Skripting aktiviert und gewähren Sie nur Zugriff auf die benötigten Ordner. Erzwingen Sie die Sperrung von Websites und Anwendungen, indem Sie mit dem integrierten Katalog als Ausgangspunkt arbeiten. Setzen Sie destruktive Vorgänge wie das Löschen auf „Ablehnen“, speichern Sie Anmeldeinformationen in UiPath Orchestrator und genehmigen Sie vorab nur Anwendungen und Websites, die Sie überprüft haben. Lassen Sie MCP deaktiviert und verwenden Sie eine ausschließlich lokale Konversationsspeicherung, wenn der Chatverlauf auf dem Gerät verbleiben muss. Die vollständige Liste finden Sie in der obigen Basis-Checkliste.

Wir installieren Delegate zu Testzwecken in einer vertrauenswürdigen, isolierten Umgebung. Was empfehlen Sie?

In einer vertrauenswürdigen Testumgebung ohne Produktionsdaten und ohne echte Anmeldeinformationen können Sie die Steuerelemente kontrollieren, um die gesamte Palette von Funktionen auszuwerten. Der adaptive Modus ist ein sinnvoller Standard für das Testen, und der vollständige Zugriffsmodus kann verwendet werden, um Skripting und Automatisierung frei zu erkunden. Halten Sie echte Geheimnisse und Produktionssysteme aus dieser Umgebung heraus und wenden Sie die oben stehende Grundlage an, bevor Sie zur Produktion übergehen.