Seguridad y cumplimiento

Características de seguridad y cumplimiento en Automation Suite en OpenShift.

Restricciones del contexto de seguridad (SCC) para los servicios de UiPath

UiPath® Automation Suite requiere la restricción de contexto de seguridad restricted-v2 predeterminada (SCC) para todos los pods de carga de trabajo. Este SCC está integrado en OpenShift y está disponible automáticamente para todos los usuarios autenticados a través del ClusterRoleBinding system:openshift:scc:restricted-v2 predeterminado.

Importante:

La asignación de SCC para cuentas de servicio en los espacios de nombres de Automation Suite no debe modificarse. Por ejemplo, no concedas anyuid u otras SCC permisivas a la cuenta de servicio predeterminada.

Contexto de seguridad para los servicios de UiPath®

Esta sección proporciona detalles sobre el contexto de seguridad de los servicios UiPath®.

Todos los servicios de UiPath® están configurados con un contexto de seguridad definido en su sección spec .

El siguiente ejemplo muestra una configuración típica para los servicios de UiPath®:

spec:
  securityContext:
    runAsNonRoot: true
  containers:
    - securityContext:
        allowPrivilegeEscalation: false
        privileged: false
        readOnlyRootFilesystem: true
        capabilities:
          drop: ["ALL"]
  hostPID: false
  hostNetwork: false

Para algunos servicios de UiPath®, hay excepciones a la configuración típica del contexto de seguridad:

• Insights tiene varias características que utilizan el entorno de pruebas SUID de Chromium Linux. Aunque no se requiere acceso elevado para instalar Insights, es esencial para la funcionalidad de características específicas. Para obtener más información, consulta Configurar el contexto de seguridad personalizado de Insights.
• Process Mining utiliza los siguientes servicios de Airflow cuyo contexto de seguridad difiere de la configuración típica de los servicios de UiPath®:
  • El servicio statsd , como se muestra en el siguiente ejemplo:

    securityContext:
        runAsUser: 65534
        seLinuxOptions:
          level: s0:c27,c4
    

  • El scheduler, webserver y otros pods de Airflow, como se muestra en el siguiente ejemplo:

      securityContext:
        fsGroup: 1000
        runAsGroup: 1000
        runAsNonRoot: true
        runAsUser: 50000
        seLinuxOptions:
          level: s0:c27,c4
        supplementalGroups:
          - 1000
    

  • El pod de tiempo de ejecución dinámico, como se muestra en el siguiente ejemplo:

      securityContext:
        fsGroup: 1000
        runAsGroup: 1000
        runAsNonRoot: true
        runAsUser: 1001
        seLinuxOptions:
          level: s0:c27,c4
        supplementalGroups:
          - 1000
    

En algunos casos, los ID de usuario y los ID de grupo pueden ser mayores o iguales a 1000, dependiendo de tu entorno. Asegúrate de configurar los ID de usuario y grupo de acuerdo con tus principios de seguridad y las directrices de seguridad de tu organización.

Políticas de trabajo en red

La siguiente tabla proporciona una guía general para las políticas de red. Incluye una lista de rutas necesarias para configurar el espacio de nombres <uipath> .

Origen	Destination	Dirección	Puertos	Tipo de política	Condiciones
Todos los pods en uipath	Todo externo	Denegar	Todos	PolíticaDeRed	Política de denegación predeterminada
Todos los pods en uipath	Todos los pods en uipath	Allow	Todos	PolíticaDeRed	Comunicación interna del espacio de nombres
Todos los pods en uipath	DNS del sistema Kube	Salida	53 TCP/UDP	PolíticaDeRed	Resolución de DNS
Todos los pods en uipath	IP externas	Salida	Todos	PolíticaDeRed	Comunicación externa
Todos los pods en uipath	Istiod	Salida	Todos	PolíticaDeRed	Control de malla de servicio
Prometheus	Todos los pods en uipath	Ingress	Puertos de extracción personalizados	PolíticaDeRed	Supervisar el acceso
Puerta de enlace de Istio	Todos los pods en uipath	Ingress	Todos	PolíticaDeRed	Tráfico de puerta de enlace
Sistema Kube	Todos los pods en uipath	Ingress	Todos	PolíticaDeRed	Acceso al sistema
Sistema Redis	Todos los pods en uipath	Ingress	9091/TCP	PolíticaDeRed	Supervisión de Redis
Servicios enumerados	Espacio de nombres de Redis	Salida	Todos	PolíticaDeRed	Acceso a Redis

Requisitos de privilegios de clúster

Automation Suite requiere el rol de administrador del clúster durante la instalación para automatizar todo el proceso de instalación. Como alternativa, puedes instalar Automation Suite con permisos inferiores. Una instalación con permisos inferiores implica algunos pasos adicionales. Para conocer los permisos que requiere la instalación, consulta Paso 2: Crear los roles necesarios.

FIPS 140-2

Las Normas Federales de Procesamiento de Información 140-2 (FIPS 140-2) son un estándar de seguridad que valida la eficacia de los módulos criptográficos.

Automation Suite puede ejecutarse en máquinas habilitadas para FIPS 140-2.

Habilitar FIPS 140-2 para nuevas instalaciones

Para habilitar FIPS 140-2 en las máquinas en las que piensas realizar una nueva instalación de Automation Suite, realiza los siguientes pasos:

1. Antes de iniciar la instalación de Automation Suite, habilita FIPS 140-2 en tus máquinas.

2. Realiza la instalación de Automation Suite siguiendo las instrucciones de instalación de esta guía.

   Nota:

   • Si instalas AI Center en una máquina habilitada para FIPS 140-2 y también utilizas Microsoft SQL Server, se requiere alguna configuración adicional. Para obtener más información, consulta Requisitos de SQL para AI Center.
   • Asegúrate de que Insights está deshabilitado, ya que no es compatible con FIPS 140-2. Si necesitas utilizar Insights, puedes implementarlo en un nodo dedicado que no sea FIPS. Para obtener más información, consulta Cómo implementar Insights en un clúster habilitado para FIPS.

3. Establece el marcador fips_enabled_nodes en true en el archivo input.json .

4. Asegúrate de que tus certificados son compatibles con FIPS 140-2.

   Nota:

   De forma predeterminada, Automation Suite genera certificados autofirmados compatibles con FIPS 140-2 cuya fecha de caducidad depende del tipo de instalación de Automation Suite que elijas.

   Te recomendamos encarecidamente que sustituyas estos certificados autofirmados por certificados emitidos por una autoridad de certificación en el momento de la instalación. Para utilizar Automation Suite en máquinas habilitadas para FIPS 140-2, los certificados recién proporcionados deben ser compatibles con FIPS 140-2. Para obtener una lista de cifrados aptos compatibles con RHEL, consulta la documentación de RHEL.

   Para obtener más información sobre cómo añadir tus propios certificados de firma de tokens y TLS compatibles con FIPS 140-2, consulta Configuración de certificados.