Configurar AWS Secrets Manager como almacén de secretos

Configure AWS Secrets Manager como almacén de secretos para gestionar credenciales confidenciales en Automation Suite en OpenShift.

Puedes configurar AWS Secrets Manager como almacén de secretos utilizando claves de acceso (credenciales estáticas).

Nota:

La autenticación del rol de IAM de nodo no es compatible con OpenShift. Para la autenticación basada en roles de IAM de nodo, consulta la guía de instalación de EKS/AKS.

AWS Secrets Manager almacena los secretos como pares clave-valor o cadenas de texto sin formato.

De forma predeterminada, todos los datos confidenciales se definen en input.json. Puedes separar estos datos en dos partes:

• input.json : solo contiene datos de configuración.
• AWS Secrets Manager: almacena las credenciales de forma segura.

Nota:

No puedes almacenar rutas de certificados o credenciales relacionadas con certificados como parte del almacén de secretos.

Uso de claves de acceso

Claves de acceso utiliza el ID de clave de acceso de AWS explícito y la clave de acceso secreta almacenada en un secreto de Kubernetes.

Requisitos previos

• Usuario de AWS IAM con permisos secretsmanager:GetSecretValue
• Secreto de Kubernetes creado previamente con credenciales de clave de acceso

Configuring input.json

Para configurar AWS Secrets Manager como almacén de secretos utilizando claves de acceso, sigue los siguientes pasos:

1. Crea el secreto de Kubernetes que almacena las credenciales de AWS:

   kubectl create secret generic aws-credentials \
     --namespace uipath \
     --from-literal=access-key-id=AKIAIOSFODNN7EXAMPLE \
     --from-literal=secret-access-key=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
   

   El secreto debe contener las siguientes claves:

   • access-key-id : ID de clave de acceso de AWS
   • secret-access-key : clave de acceso secreta de AWS

2. Añade la siguiente sección a input.json:

   {
     "secret_store": {
       "enabled": true,
       "provider_configs": [
         {
           "name": "aws-prod",
           "type": "aws",
           "credentials_secret_name": "aws-credentials",
           "aws_kv": {
             "region": "us-east-1"
           }
         }
       ]
     }
   }
   

Campos de configuración

La siguiente tabla describe los campos de configuración disponibles.

Campo	Obligatorio	Descripción
aws_kv.region	Sí	Región de AWS donde se almacenan los secretos (por ejemplo, us-east-1)
credentials_secret_name	Sí	Secreto de Kubernetes que contiene claves access-key-id y secret-access-key

Referenciar secretos en input.json

Para hacer referencia a una credencial almacenada en AWS Secrets Manager, utiliza uno de los siguientes formatos en input.json:

• Cadena simple: vault/aws-prod/secret-name
• Extracción de propiedad JSON: vault/aws-prod/secret-name?key=password

Uso de AWS GovCloud

Si utilizas AWS GovCloud, establece el campo region en una región de AWS GovCloud (por ejemplo, us-gov-west-1 o us-gov-east-1). No se requieren otros cambios de configuración: el valor de la región determina la partición de AWS y los puntos finales utilizados.

{
  "secret_store": {
    "enabled": true,
    "provider_configs": [
      {
        "name": "aws-gov",
        "type": "aws",
        "credentials_secret_name": "aws-credentials",
        "aws_kv": {
          "region": "us-gov-west-1"
        }
      }
    ]
  }
}