Seguridad y cumplimiento

Configura el contexto de seguridad para los servicios de UiPath en la especificación del clúster de Automation Suite.

Contexto de seguridad para los servicios de UiPath®

Esta sección proporciona detalles sobre el contexto de seguridad de los servicios UiPath®.

Todos los servicios de UiPath® están configurados con un contexto de seguridad definido en la sección spec. El siguiente ejemplo muestra la configuración para todos los servicios, con la excepción de du-cjk-ocr:

spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 1000
    runAsGroup: 1000
    fsGroup: 1000
  containers:
    - securityContext:
        allowPrivilegeEscalation: false
        readOnlyRootFilesystem: true
        capabilities:
          drop: ["ALL"]
  hostPID: false
  hostNetwork: false

En el caso del servicio du-cjk-ocr, el valor del parámetro readOnlyRootFilesystem es false. Para obtener más información sobre du-cjk-ocr, consulta la documentación de Document Understanding.

En algunos casos, los ID de usuario y los ID de grupo pueden ser mayores o iguales a 1000. Tales valores son permisibles en función de tu entorno. Es importante configurar los ID de usuario y grupo según tus principios de seguridad y las directrices de seguridad de tu organización.

Habilitar FIPS 140-2

Las Normas Federales de Procesamiento de Información 140-2 (FIPS 140-2) son un estándar de seguridad que valida la eficacia de los módulos criptográficos.

Puedes habilitar FIPS 140-2 en las máquinas en las que instalas Automation Suite en los siguientes escenarios:

1. Habilita FIPS 140-2 antes de realizar una instalación limpia de Automation Suite 2023.4 o posterior. Para obtener más información, consulta Escenario 1: nuevas instalaciones
2. Habilita FIPS 140-2 después de realizar una instalación de Automation Suite en una máquina con FIPS-140-2 deshabilitado. Para obtener más información, consulta Escenario 2: instalaciones existentes.

Escenario 1: nuevas instalaciones

Para habilitar FIPS 140-2 en las máquinas en las que piensas realizar una nueva instalación de Automation Suite, realiza los siguientes pasos:

1. Antes de iniciar la instalación de Automation Suite, habilita FIPS 140-2 en tus máquinas. Para obtener más información, consulta Habilitar FIPS 140-2.

2. Realiza la instalación de Automation Suite siguiendo las instrucciones de instalación de esta guía.

   • Si instalas AI Center en una máquina habilitada para FIPS 140-2 y también utilizas Microsoft SQL Server, se requiere alguna configuración adicional. Para obtener más información, consulta Requisitos de SQL para AI Center.
   • Asegúrate de que Insights está deshabilitado, ya que no se admite en FIPS 140-2.

3. Asegúrate de que tus certificados son compatibles con FIPS 140-2.

   Nota:

   De forma predeterminada, Automation Suite genera certificados compatibles con FIPS 140-2 autofirmados cuya fecha de vencimiento depende del tipo de instalación de Automation Suite que elijas. Se recomienda encarecidamente reemplazar estos certificados autofirmados por certificados emitidos por una autoridad de certificación en el momento de la instalación. Para utilizar Automation Suite en máquinas habilitadas para FIPS 140-2, los certificados recién proporcionados deben ser compatibles con FIPS 140-2. Para obtener una lista de cifrados aptos compatibles con RHEL, consulta la documentación de RHEL.

   • Para actualizar los certificados de firma de token, ejecuta:

     sudo ./configureUiPathAS.sh identity token-cert update --cert-file-path /path/to/cert --cert-key-file-path /path/to/certkey
     

   • Para actualizar los certificados TLS, ejecuta:

     ./configureUiPathAS.sh additional-ca-certs update --ca-cert-file /path/to/ca/certs
     

Escenario 2: instalaciones existentes

Puedes instalar Automation Suite en máquinas con FIPS 140-2 deshabilitado y luego, habilitar el estándar de seguridad en las mismas máquinas. Esto también es posible al actualizar a una nueva versión de Automation Suite.

Para habilitar FIPS 140-2 en las máquinas en las que ya has realizado una instalación de Automation Suite, realiza los siguientes pasos:

1. Realiza una instalación o actualización normal de Automation Suite en máquinas con FIPS 140-2 deshabilitado.

2. Habilita FIPS 140-2 ejecutando el siguiente comando en todas tus máquinas:

   fips-mode-setup --enable
   

3. Asegúrate de que tus certificados son compatibles con FIPS 140-2.

   Nota:

   Para utilizar Automation Suite en máquinas habilitadas para FIPS 140-2, debes reemplazar tus certificados por nuevos certificados compatibles con FIPS 140-2 firmados por una CA. Para obtener una lista de cifrados aptos compatibles con RHEL, consulta la documentación de RHEL.

   • Para actualizar los certificados de firma de token, ejecuta:

     sudo ./configureUiPathAS.sh identity token-cert update --cert-file-path /path/to/cert --cert-key-file-path /path/to/certkey
     

   • Para actualizar los certificados TLS, ejecuta:

     ./configureUiPathAS.sh additional-ca-certs update --ca-cert-file /path/to/ca/certs
     

   Para obtener más información sobre los certificados, consulta Gestionar los certificados.

4. Asegúrate de que tu selección de productos está en línea con los requisitos de FIPS-140-2:

   • Si instalas AI Center en una máquina habilitada para FIPS 140-2 y también utilizas Microsoft SQL Server, se requiere alguna configuración adicional. Para obtener más información, consulta Requisitos de SQL para AI Center.
   • Si previamente has habilitado Insights, debes deshabilitarlo, ya que no es compatible con FIPS 140-2. Para obtener más información sobre cómo deshabilitar productos después de la instalación, consulta Gestionar productos.

5. Reinicia tus máquinas y comprueba si has habilitado correctamente FIPS 140-2.

   fips-mode-setup --check
   

6. Vuelve a ejecutar el instalador del servicio install-uipath.sh :

   • En un entorno en línea, ejecuta:

     ./install-uipath.sh -i cluster_config.json -o output.json -s --accept-license-agreement – Online -- online
     

   • En un entorno sin conexión, ejecuta:

     ./install-uipath.sh -i ./cluster_config.json -o ./output.json -s --offline-bundle /uipath/tmp/sf.tar.gz --offline-tmp-folder /uipath/tmp --accept-license-agreement