Configurar el clúster

Referencia para el script configureUiPathAS.sh utilizado para controlar y gestionar un clúster de Automation Suite después de la instalación.

Herramienta de configuración

El script configureUiPathAS.sh le ayuda a controlar y administrar Automation Suite. La herramienta viene con el paquete de instalación y está disponible en la carpeta principal del instalador. configureUiPathAS.sh actualmente solo puede realizar algunas operaciones.

Para ver más información sobre configureUiPathAS.sh, ejecuta:

sudo ./configureUiPathAS.sh --help

Deberías ver el siguiente resultado:

configureUiPathAS.sh controls and manage UiPath Automation Suites

Usage:
  configureUiPathAS.sh [command]
  configureUiPathAS.sh [flags]

Available Commands:
  config                               Manage cluster configuration
  tls-cert                             Manage tls and server certificate
  additional-ca-certs                  Manage additional ca certificates
  aicenter                             Manage aicenter standalone
  identity                             Manage identity service
  objectstore                          Manage objectstore
  registry                             Manage registry
  monitoring                           Manage monitoring
  node                                 Manage k8s nodes
  enable-maintenance-mode              Enables maintenance mode on the Cluster
  disable-maintenance-mode             Disables maintenance mode on the Cluster
  is-maintenance-enabled               Checks if maintenance mode is enabled on the Cluster
  kubeconfig                           Manage the Kubernetes context
  resume-scheduled-backups             Resumes the paused scheduled backups
  verify-volumes-backup                Verify if all volumes are backed up
  gpu                                  Enable/Disable gpu on the cluster.
  telemetry                            Manage telemetry
  snapshot                             Manage cluster disaster recovery

Flags:
  -h|--help                            Display help
  -d|--debug                           Run in debug mode

Puedes utilizar el script configureUiPathAS.sh para gestionar los siguientes componentes en el clúster de Automation Suite:

• Certificado del servidor: gestión de tls y del certificado del servidor (actualización y obtención del certificado)
• Certificados de CA adicionales: gestión de certificados de CA adicionales, como los certificados de servidor SQL, los certificados de servidor proxy, etc.
• Identity Service: gestión de las configuraciones de Identity Service, como el certificado de firma de tokens, los certificados SAML, la autenticación Kerberos y Windows, etc.
• Objectstore: gestión del almacén de objetos ceph (actualmente solo admite el cambio de tamaño del pvc o almacenamiento de ceph)
• Registro: gestión del registro de Docker (actualmente solo admite el cambio de tamaño del pvc o almacenamiento del registro)
• Supervisión: gestión del servidor Rancher (actualmente solo admite el cambio de tamaño del pvc o almacenamiento del servidor Rancher)

Actualizar la conexión del servidor SQL

Para actualizar la cadena de conexión o las credenciales a SQL Server, edita directamente el archivo cluster_config.json en el nodo del servidor principal. Puedes editar directamente los campos SQL (sql.username, sql.password y sql.server_url) en el archivo en función de lo que necesites actualizar.

Una vez actualizado el archivo, vuelva a ejecutar el asistente de instalación interactivo en la misma máquina con la configuración actualizada como parámetro. Solo tiene que volver a ejecutar la instalación en el servidor principal.

Actualizar la autenticación Kerberos

Para actualizar la configuración de autenticación global de Kerberos y/o la configuración de autenticación específica del servicio, consulta Configurar la autenticación Kerberos a través de cluster_config.json.

Añadir administradores de sistema

Se crea un administrador del sistema en Automation Suite de forma predeterminada con el nombre de usuario admin en la organización host.

Si se pierde el acceso a la organización del host (por ejemplo, se pierde la contraseña del administrador del sistema o los únicos usuarios con cuentas de administrador del sistema abandonan la empresa), existe una herramienta para añadir o restaurar un administrador del sistema.

Este script no funciona si existe el parámetro de cadena de conexión SQL "Integrated Security=true" para los servicios de plataforma.

./configureUiPathAS.sh identity add-host-admin --username [new-admin-username] --email [new-admin-email] --password [new-admin-password]

• --username es un campo obligatorio.
• --password es obligatoria solo si el nuevo administrador utiliza la autenticación básica para iniciar sesión.
• --email es opcional a no ser que su proveedor de identidad externo lo requiera (por ejemplo, Google coincide por correo electrónico, pero no por nombre de usuario).

Información importante sobre cómo crear o restaurar el administrador:

• Los nuevos administradores no pueden tener el mismo nombre de usuario o correo electrónico que un administrador ya existente. Si utiliza el mismo nombre de usuario o correo electrónico que un administrador ya existente, este último se actualiza. Esto resulta muy útil si se quiere cambiar la contraseña.
• Si se ha eliminado un administrador y se utiliza el mismo nombre de usuario o correo electrónico para un nuevo usuario, se restaurará el administrador eliminado en lugar de crear uno nuevo. En este caso, el campo de contraseña no se sobrescribe. Un caso excepcional es si se han eliminado varios administradores con el mismo nombre de usuario o correo electrónico, lo cual tiene como consecuencia la creación de un nuevo administrador.
• Si se fuerza alguno de los proveedores de identidad externos configurados en el host, se imponen restricciones en los parámetros. Por ejemplo, si se fuerza Windows AD, el nombre de usuario debe tener el formato user@domain. En el caso de Google, el correo electrónico es obligatorio.
• Cuando se accede a una nueva cuenta de administrador por primera vez, deberá cambiarse la contraseña.

Rehabilitar la autenticación básica

Es posible que los administradores de la organización y del sistema no puedan iniciar sesión por las siguientes razones:

• Un problema con su Azure Active Directory configurado u otro proveedor de identidad externo.
• Los administradores de la organización pueden estar bloqueados porque el marcador Disable basic authentication está marcado en la Configuración de autenticación.
• Los administradores de la organización y del sistema pueden quedar bloqueados porque se configuró un proveedor de identidad externo como force/exclusive.

Esta herramienta intentará volver a habilitar la autenticación básica para una organización.

Este script no funciona si existe el parámetro de cadena de conexión Integrated Security=true para los servicios de plataforma.

./configureUiPathAS.sh identity enable-basic-auth --orgname [org-name]

Nota:

--orgname es un campo obligatorio. Si la autenticación básica está restringida en el host, establezca el nombre de la organización en host.

Actualizar el protocolo TLS

La puerta de enlace de entrada de Istio configurada en Automation Suite para el enrutamiento, la comunicación entre los servicios y más utiliza TLS para proteger los intercambios. Para evitar cualquier amenaza de seguridad, las versiones obsoletas del protocolo TLS están deshabilitadas de forma predeterminada.

Actualmente, solo se admiten las versiones 1.2 y posteriores de TLS, y si utilizas una versión anterior, te recomendamos que la actualices. Sin embargo, aún es posible conectarse utilizando una versión anterior de TLS, pero primero debe habilitarla en el servidor de Automation Suite.

Importante:

TLS 1.0 y 1.1 están obsoletos, y habilitar estas versiones puede suponer un riesgo para la seguridad. Se recomienda encarecidamente actualizar a TLS 1.2 o superior en lugar de habilitar versiones inferiores en el servidor.

Para habilitar una versión de TLS no compatible, siga uno de los siguientes pasos:

• Para habilitar la compatibilidad con TLS 1.0 y superior, ejecuta el siguiente comando:

  kubectl -n istio-system patch gateway main-gateway --type=json \
      -p='[{ "op": "replace", "path": "/spec/servers/0/tls/minProtocolVersion", "value": "TLSV1_0"}]'
  

• Para habilitar la compatibilidad con TLS 1.1 y superior, ejecuta el siguiente comando:

  kubectl -n istio-system patch gateway main-gateway --type=json \
      -p='[{ "op": "replace", "path": "/spec/servers/0/tls/minProtocolVersion", "value": "TLSV1_1"}]'