Governance mit Automation Ops

Zentrale Durchsetzung der Sicherheitskontrollen von Delegate über UiPath Automation Ops, einschließlich der Richtlinienausrichtung und der empfohlenen Basis für regulierte Umgebungen.

Keine der in Lokale Sicherheitskonfiguration beschriebenen Sicherheitssteuerelemente ist nur eine persönliche Einstellung, die Benutzern vertraut werden muss. Sie alle können zentral über UiPath Automation Ops verwaltet werden, dieselbe Governance-Ebene, die Sie bereits für den Rest Ihrer UiPath-Anlage verwenden.

Eine Richtlinie wird erstellt

Prerequisites:

• You have Automation Ops administrator access in your Automation Cloud organization.
• The Assistant policy template is set to version 26.10.0 or later. To change the policy template version, see Select a policy template.

Um eine Governance-Richtlinie für Delegate zu erstellen und bereitzustellen, führen Sie folgende Schritte aus:

1. Melden Sie sich bei Automation Cloud an und wechseln Sie zu Automation Ops → Governance.
2. Wählen Sie Richtlinie hinzufügen aus.
3. Select Assistant as the product the policy governs.
4. Geben Sie der Richtlinie einen Namen.
5. Konfigurieren Sie die Richtlinie auf ihren Registerkarten: Tools, Helper Agents, MCP-Server, Sicherheit, Tool-Berechtigungen, Modelle und Fähigkeiten & Wissen – siehe unten, was die einzelnen Funktionen tun.
6. Wählen Sie Richtlinie bereitstellen aus.

Ergebnis: Die Richtlinie gilt für das von Ihnen konfigurierte Ziel – Benutzer, Gruppe oder Mandant – wenn die App das nächste Mal gestartet wird oder eine neue Konversation beginnt. Wenn mehrere Richtlinien für denselben Benutzer enthalten sind, hat die spezifischste Richtlinie Vorrang. Es kann bis zu 30 Minuten dauern, bis Änderungen übernommen werden. Auf diese Weise erzwungene Einstellungen werden jedes Mal erneut aus der Live-Richtlinie angewendet und nie als eigene Auswahl des Benutzers gespeichert.

Zentral erzwingbar

Was jede Richtlinien-Registerkarte steuert:

Tools

Aktiviert oder deaktiviert einzelne Tools nach Kategorie und legt Pfad-, Befehls-, Website- und Anwendungsbeschränkungen zentral fest – dieselben Steuerelemente, die unter Terminal und Dateien, Geschützte Dateien und UI-Automatisierung in der Referenz zu den Sicherheitseinstellungen beschrieben sind, werden auf Richtlinienebene anstatt lokal angewendet.

Hilfs-Agents

Ermöglicht oder blockiert die Fähigkeit von Delegate, Arbeit an einen Hilfsagent zu delegieren, für alle, auf die die Richtlinie abzielt.

MCP-Server

Steuert, ob Benutzer ihre eigenen MCP-Server hinzufügen können, und ermöglicht Ihnen die automatische Bereitstellung von Remote-MCP-Servern für jedes Mitglied der Richtliniengruppe – Benutzer verbinden sich ohne eigene Einrichtung mit diesen und können sie nicht entfernen. Bereitgestellte Server müssen Remote-Endpunkte (HTTP/SSE) sein; lokale Server können auf diese Weise nicht zentral bereitgestellt werden. Unter Verbinden von Tools finden Sie weitere Informationen zum täglichen Arbeiten mit MCP-Servern.

Sicherheit

Sperrt den Genehmigungsmodus und den Bildschirmkontextmodus, sodass Benutzer sie nicht lokal ändern können, und ermöglicht es Ihnen, jeder Konversation organisationsweite benutzerdefinierte Anweisungen zusätzlich zu dem, was der Benutzer selbst hinzufügt, voranzustellen. Wie diese Steuerelemente auf Benutzerseite aussehen, erfahren Sie unter Lokale Sicherheitskonfiguration .

Tool-Berechtigungen

Legt Zulassen, Fragen oder Blockieren für jeden einzelnen Tool- und Connector-Vorgang fest – die detaillierten Steuerelemente, die in Toolberechtigungen in der Referenz zu den Sicherheitseinstellungen beschrieben sind und auf Richtlinienebene angewendet werden. Lesen und Schreiben werden separat gesteuert: Das Lesen eines Posteingangs und das Senden einer E-Mail oder das Lesen einer Kalkulationstabelle und das Löschen eines Blatts sind jeweils ein eigener Vorgang. Standardmäßig werden Lesevorgänge automatisch ausgeführt, und Schreibvorgänge werden zuerst angezeigt – z. B. können Sie den Löschvorgang von Outlook auf Blockieren festlegen, sodass Delegate E-Mails lesen und senden, sie jedoch niemals löschen kann.

Modelle

Wählt das Standardmodell aus und welche Modelle für Benutzer verfügbar sind. Siehe Auswählen des LLM-Modells.

Fähigkeiten und Wissen

Ermöglicht oder blockiert das Kontextgrundlagenwissen – Wissensdatenbanken der Organisation und Dokumentindizes, die für geerdete Antworten verwendet werden. Siehe Kontextgrundlagenindizes in der Referenz für Einstellungen.

Empfohlene Basis für regulierte Umgebungen

Halten Sie die leistungsstarken Pfade verfügbar, aber streng kontrolliert, anstatt sie auszuschalten. All die folgenden Aktionen können zentral über Automation Ops erzwungen werden:

Autorisierung und Zugriff

• Autorisierung: Legen Sie den Genehmigungsmodus auf „Vorsichtlich“ fest, und sperren Sie ihn. Stellen Sie den autonomen Modus nicht für regulierte Benutzer bereit.
• Berechtigung: Führen Sie Delegate ohne Administratorrechte aus, sodass Anwendungen, die als Administrator ausgeführt werden, außerhalb der Erreichbarkeit bleiben.
• Pro Vorgang: Legen Sie destruktive Vorgänge wie das Löschen von E-Mails oder Dateien für Benutzer, die sie niemals ausführen sollen, auf Ablehnen fest.
• Vorabgenehmigungen: Genehmigen Sie nur Anwendungen und Websites vorab, die Sie überprüft haben, und überprüfen Sie die Liste regelmäßig.

Skripting und Einschränkungen

• Skripting: Behalten Sie die strikte Sandbox bei und gewähren Sie nur die Ordner, die für das Skripting erforderlich sind. Halten Sie den Netzwerkzugriff deaktiviert, es sei denn, er ist erforderlich.
• Einschränkung: Erzwingen Sie blockierte Sites und Anwendungen mithilfe des integrierten Katalogs für vertrauliche Sites als Ausgangspunkt und blockierte Pfade für Tools und Fähigkeiten.
• Integrationen: MCP deaktivieren, es sei denn, es besteht ein spezifischer, überprüfter Bedarf.

Daten und Modell

• Anmeldeinformationen: Speichern Sie die Anmeldeinformationen, die Delegate in UiPath Orchestrator benötigt, und lassen Sie sie zur Laufzeit von dort abrufen, anstatt sie auf dem Gerät einzugeben oder zu speichern.
• Modell: Für die strengsten Datenresidenzanforderungen können Sie Ihr eigenes Modell verwenden, das lokal gehostet wird, sodass der gesamte Datenfluss in Ihrer Umgebung und unter Ihrer Kontrolle bleibt.
• Daten: Verwenden Sie einen lokalen Konversationsspeicher, bei dem der Chatverlauf das Gerät nicht verlassen darf.

Bestätigen Sie mit Ihrem UiPath-Team die genauen Grundwerte gemäß Ihren spezifischen Compliance-Anforderungen.

Häufig gestellte Fragen

Wir sind eine Bank. Welche Einstellungen empfehlen Sie standardmäßig?

Legen Sie den Genehmigungsmodus auf „Vorsichtlich“ fest und sperren Sie ihn, führen Sie Delegate ohne Administratorrechte aus, lassen Sie die strikte Sandbox für die Skripterstellung aktiviert und gewähren Sie nur die Ordner, die es benötigt, erzwingen Sie blockierte Sites und Anwendungen mithilfe des integrierten Katalogs als Start, legen Sie destruktive Vorgänge wie Löschen in Ablehnen, Anmeldeinformationen im UiPath Orchestrator speichern, nur von Ihnen überprüfte Anwendungen und Websites vorab genehmigen, MCP deaktivieren und nur lokalen Konversationsspeicher verwenden, wenn der Chatverlauf auf dem Gerät bleiben muss. Die vollständige Liste finden Sie in der Basis-Checkliste oben.

Wir installieren Delegate in einer vertrauenswürdigen, isolierten Umgebung für Tests. Was empfehlen Sie?

In einer vertrauenswürdigen Testumgebung ohne Produktionsdaten und ohne echte Anmeldeinformationen können Sie die Steuerelemente kontrollieren, um die gesamte Palette von Funktionen auszuwerten. Der ausgewogene Modus ist ein sinnvoller Standardmodus für Tests, und der autonome Modus kann verwendet werden, um Skripting und Automatisierung frei zu erkunden. Halten Sie echte Geheimnisse und Produktionssysteme aus dieser Umgebung heraus und wenden Sie die oben stehende Grundlage an, bevor Sie zur Produktion übergehen.