Configuración del almacén de objetos externo

Referencia para opciones de configuración de almacenamiento de objetos externos, incluidos Azure, AWS y proveedores compatibles con S3, en Automation Suite.

Configuración general

Automation Suite le permite traer su propio proveedor de almacenamiento externo. Puede elegir entre los siguientes proveedores de almacenamiento:

• Azure
• AWS
• Compatible con S3

Puedes configurar el almacenamiento de objetos externos de una de las siguientes formas:

• durante la instalación;
• después de la instalación, utilizando el archivo cluster_config.json .

Nota:

• Para que Automation Suite funcione correctamente al utilizar URL prefirmadas, debes asegurarte de que tu almacén de objetos externo sea accesible desde el clúster de Automation Suite, los navegadores y todas tus máquinas, incluidas las estaciones de trabajo y las máquinas robot.

• El cifrado del lado del servidor con el servicio de gestión de claves (SSE-KMS) solo puede habilitarse en los depósitos de Automation Suite implementados en cualquier región creada después del 30 de enero de 2014.

  La funcionalidad SSE-KMS requiere API SignV4 puras. Las regiones creadas antes del 30 de enero de 2014 no utilizan API SignV4 puras debido a la compatibilidad con versiones anteriores de SignV2. Por lo tanto, SSE-KMS solo es funcional en las regiones que utilizan SignV4 para la comunicación. Para averiguar cuándo se aprovisionaron las diversas regiones, consulta la documentación de AWS.

La siguiente tabla enumera los parámetros cluster_config.json que puedes usar para configurar cada proveedor de almacenamiento de objetos externo:

Parámetro	Azure	AWS	Compatible con S3	Descripción
external_object_storage.enabled	✅	✅	✅	Especifique si desea traer su propio almacén de objetos. Valores posibles: true y false.
external_object_storage.create_bucket	✅	✅	✅	Especifique si desea aprovisionar el depósito. Valores posibles: true y false.
external_object_storage.storage_type	✅	✅	✅	Especifica el proveedor de almacenamiento que deseas configurar. El valor distingue entre mayúsculas y minúsculas. Valores posibles: azure y s3 . Muchos almacenes de objetos de S3 requieren el conjunto de CORS para todo el tráfico del clúster de Automation Suite. Debe configurar la política CORS en el nivel de almacén de objetos para permitir el FQDN del clúster.
external_object_storage.fqdn	❌	✅	✅	Especifique el FQDN del servidor S3. Obligatorio en el caso de la instancia de AWS y el perfil que no es de instancia.
external_object_storage.port	❌	✅	✅	Especifique el puerto S3. Obligatorio en el caso de la instancia de AWS y el perfil que no es de instancia.
external_object_storage.region	❌	✅	✅	Especifica la región de AWS donde se alojan los depósitos. Obligatorio en el caso de la instancia de AWS y el perfil que no es de instancia.
external_object_storage.access_key	❌	✅	✅	Especifique la clave de acceso para la cuenta S3. Solo se requiere en el caso del perfil que no es de instancia de AWS.
external_object_storage.secret_key	❌	✅	✅	Especifique la clave secreta de la cuenta de S3. Solo es necesario en el caso del perfil de AWS que no es de instancia.
external_object_storage.use_instance_profile	❌	✅	✅	Especifica si quieres utilizar un perfil de instancia. Un perfil de instancia de AWS Identity and Access Management (IAM) otorga acceso seguro a los recursos de AWS para las aplicaciones o servicios que se ejecutan en instancias de Amazon Elastic Compute Cloud (EC2). Si optas por AWS S3, un perfil de instancia permite que una instancia EC2 interactúe con los depósitos de S3 sin la necesidad de que se almacenen en la instancia las credenciales de AWS explícitas (como las claves de acceso).
external_object_storage.use_managed_identity	✅	❌	❌	Utiliza la identidad administrada con tu cuenta de almacenamiento de Azure. Valores posibles: true y false.
external_object_storage.bucket_name_prefix 1	❌	✅	✅	Indique el prefijo de los nombres de los depósitos. Opcional en el caso del perfil de AWS que no es de instancia.
external_object_storage.bucket_name_suffix 1	❌	✅	✅	Indique el sufijo de los nombres de depósito. Opcional en el caso del perfil sin instancia de AWS.
external_object_storage.account_key	✅	❌	❌	Especifique la clave de la cuenta de Azure. Solo se requiere cuando se usa una identidad no administrada.
external_object_storage.account_name	✅	❌	❌	Especifique el nombre de la cuenta de Azure.
external_object_storage.azure_fqdn_suffix	✅	❌	❌	Especifique el sufijo de Azure FQDN. Parámetro opcional.
external_object_storage.client_id	✅	❌	❌	Especifique su ID de cliente de Azure. Solo es necesario cuando se usa una identidad administrada.

¹ Al configurar el almacenamiento de objetos externo, debes seguir las reglas y convenciones de nomenclatura de tu proveedor tanto para bucket_name_prefix como bucket_name_suffix. Además, el sufijo y el prefijo deben tener una longitud combinada de no más de 25 caracteres, y no debes terminar el prefijo o comenzar el sufijo con un guion (-), ya que ya añadimos el carácter automáticamente.

Para garantizar una comunicación segura y compatible con Automation Suite, tu almacén de objetos compatible con S3 debe admitir uno o más de los siguientes conjuntos de cifrado TLS seguros:

• TLS 1.3:
  • TLS_AES_128_GCM_SHA256
  • TLS_AES_256_GCM_SHA384
  • TLS_CHACHA20_POLY1305_SHA256
• TLS 1.2:
  • TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
  • TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256

Nota:

La lista de conjuntos de cifrado compatibles puede evolucionar con el tiempo para alinearse con las mejores prácticas de seguridad y las actualizaciones en la biblioteca criptográfica de Go. Para obtener la lista actualizada, consulta la documentación de Go.

Configuración específica del producto

Puedes utilizar los parámetros descritos en la sección Configuración general para actualizar la configuración general de Automation Suite. Esto significa que todos los productos instalados compartirían la misma configuración.

Si deseas configurar uno o más productos de forma diferente, puedes anular la configuración general. Solo tienes que especificar los productos para los que deseas configurar el almacenamiento de objetos externo de forma diferente y utilizar los mismos parámetros para definir tu configuración. Ten en cuenta que todos los demás productos instalados seguirían heredando la configuración general.

El siguiente ejemplo muestra cómo anular la configuración general de Orchestrator:

"external_object_storage": {
  "enabled": false, // <true/false>
  "create_bucket": true, // <true/false>
  "storage_type": "s3", // <s3,azure,aws>
  "fqdn": "",  // <needed in the case of aws instance and non-instance profile>
  "port": 443, // <needed in the case of aws instance and non-instance profile>
  "region": "", 
  "access_key": "", // <needed in the case of aws non instance profile>
  "secret_key": "", // <needed in the case of aws non instance profile>
  "use_managed_identity": false, // <true/false>
  "bucket_name_prefix": "",
  "bucket_name_suffix": "",
  "account_key": "", // <needed only when using non managed identity>
  "account_name": "",
  "azure_fqdn_suffix": "core.windows.net",
  "client_id": "" // <optional field in case of managed identity>
},

"orchestrator": {
  "external_object_storage": {
    "enabled": false, // <true/false>
    "create_bucket": true, // <true/false>
    "storage_type": "s3", // <s3,azure>
    "fqdn": "",  // <needed in the case of aws instance and non-instance profile>
    "port": 443, // <needed in the case of aws instance and non-instance profile>
    "region": "", 
    "access_key": "", // <needed in case of aws non instance profile>
    "secret_key": "", // <needed in case of aws non instance profile>
    "use_managed_identity": false, // <true/false>
    "bucket_name_prefix": "",
    "bucket_name_suffix": "",
    "account_key": "", // <needed only when using non managed identity>
    "account_name": "",
    "azure_fqdn_suffix": "core.windows.net",
    "client_id": "" // <optional field in case of managed identity>
  }
}

Rotating the blob storage credentials for Process Mining

Para rotar las credenciales de almacenamiento de blob para Process Mining en Automation Suite, los secretos almacenados deben actualizarse con las nuevas credenciales. Consulta Rotación de credenciales de almacenamiento de blob.

Configurar el almacén de objetos externo para Insights

Al configurar el almacén de objetos externo para Insights, si el parámetro create_bucket está establecido en false, debes asegurarte de que el valor bucket_name que utilizas para Insights sea el mismo que el de la plataforma. Si create_bucket se establece en true, no se requiere ninguna acción de tu parte.

 "insights": {
    "enabled": true,
    "external_object_storage": {
      "bucket_name": "<same_as_platform_bucket_name"
    }
  },