Seguridad y cumplimiento

Políticas de controlador de acceso y OPA

Automation Suite está preconfigurado con políticas Gatekeeper y OPA. Si traes tu propio componente Gatekeeper y políticas OPA, puedes omitir estos componentes desde la instalación de Automation Suite. Para obtener más detalles, consulta Pila de Automation Suite. En este caso, revisa las políticas de OPA y las excepciones necesarias para instalar y ejecutar Automation Suite.

Políticas OPA

Policy	Actionsde aplicación	Espacios de nombres / Imágenes que se van a excluir
Permitir escalado de privilegios en el contenedor Controles que restringen la escalada a los privilegios de raíz. Corresponde al campo allowPrivilegeEscalation de una PolíticaDeSeguridadDe Pod	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argocd predeterminado istio-system cert-manager Supervisión flujo de aire
App Armor Configura una lista de permisos de perfiles de AppArmor para su uso por los contenedores. Esto corresponde a anotaciones específicas aplicadas a una PodSeguridadPolítica.	deny	kube-system
Capacidades Controla las capacidades de Linux en los contenedores. Corresponde a los campos allowedCapabilities y requiredDropCapabilities de una PolíticaDeSeguridadDe Pod.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argocd predeterminado istio-system cert-manager Supervisión flujo de aire
VolúmenesFlexible Controla la lista de permitidos de controladores FlexVolume. Corresponde al campo allowedFlexVolumes de la PolíticaDeSeguridadDe Pod	deny	N/D
Sistemas prohibidos	deny	istio-system
Grupo SF Controla la asignación de unFSGroup que es propietario de los volúmenes del pod. Corresponde al campo fsGroup de una Política de Seguridad de Pod.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd predeterminado istio-system cert-manager Supervisión flujo de aire prereq**
Sistema de archivos del host Controla el uso del sistema de archivos del host. Corresponde al campo allowedHostPaths de una Política de Seguridad de Pod.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argocd predeterminado istio-system cert-manager Supervisión
Host Namespace No permite que los contenedores de pods compartan los espacios de nombres de IPC y PID del host. Corresponde a los campos hostPID y hostIPC de una PolíticaDeSeguridadDe Pod.	deny	kube-system Supervisión
Puertos de red del host Controla el uso del espacio de nombres de la red del host por los contenedores de pod.	deny	Gatekeeper logging dapr-system uipath-installer kube-system argocd predeterminado istio-system cert-manager Supervisión flujo de aire prereq**
Contenedor privilegiado Controla la capacidad de cualquier contenedor para habilitar el modo privilegiado. Corresponde al campo privileged de una Política de Seguridad de Pod.	deny	Gatekeeper logging dapr-system uipath-installer kube-system argocd predeterminado istio-system cert-manager Supervisión flujo de aire
Soporte de proceso Controla los tipos procMount permitidos para el contenedor. Corresponde al campo allowedProcMountTypes de una Política de seguridad de Pod.	deny	N/D
Sistema de archivos raíz de solo lectura Requiere el uso de un sistema de archivos raíz de solo lectura por los contenedores de pod.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argocd predeterminado istio-system cert-manager Supervisión flujo de aire prereq**
Seccomp Controla el perfil seccomp utilizado por los contenedores. Corresponde a la anotación seccomp.security.alpha.kubernetes.io/allowedProfileNames en una PolíticaDeSeguridadDe Pod.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd predeterminado istio-system cert-manager Supervisión flujo de aire
SELinux V2 Define una lista de permisos de configuraciones de seLinuxOptions para contenedores de pod.	deny	N/D
Usuarios permitidos Controla los ID de usuario y grupo del contenedor y algunos volúmenes.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd predeterminado istio-system cert-manager Supervisión flujo de aire velero
Tipos de volumen Restringe los tipos de volúmenes que se pueden montar a los especificados por el usuario.	deny	Supervisión logging

Nota:

• El espacio de nombres dapr-system solo es necesario si instalas Process Mining y Task Mining.
• El espacio de nombres airflow solo es necesario si instalas Process Mining.
• prereq** son espacios de nombres temporales creados mientras se ejecuta un prerrequisito o una comprobación de estado. Los espacios de nombres se autoeliminan al finalizar.

Otras políticas de OPA

Policy	Actionsde aplicación	Espacios de nombres / Imágenes que se van a excluir
Token de cuenta de servicio de Automunt para pod Controla la capacidad de cualquier pod de habilitar automountServiceAccountToken.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd predeterminado istio-system cert-manager Supervisión flujo de aire prereq**
Repositorios permitidos Requiere que las imágenes del contenedor comiencen con una cadena de la lista especificada.	dryrun	registry.uipath.com registry-data.uipath.com
Editar rol predeterminado del punto final del bloque	deny	N/D
Bloquear servicios con el tipo LoadBalancer No permite todos los servicios de tipo LoadBalancer.	deny	kube-system
Bloquear NodePort No permite todos los servicios de tipo NodePort.	deny	istio-system comprobaciones previas de la red
Bloquear entrada comodín Los usuarios no deben poder crear Ingresos con un nombre de host en blanco o con comodines (*), ya que eso les permitiría interceptar el tráfico para otros servicios en el clúster, incluso si no tienen acceso a esos servicios.	deny	N/D
Límites de contenedor Requiere que los contenedores tengan límites de memoria y CPU establecidos. Restringe los límites para que estén dentro de los valores máximos especificados.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd predeterminado istio-system cert-manager Supervisión flujo de aire prereq**
Solicitudes de contenedor Requiere contenedores para configurar solicitudes de memoria y CPU. Restringe las solicitudes a estar dentro de los valores máximos especificados.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd predeterminado istio-system cert-manager Supervisión flujo de aire requisito previo ** "
Ratios de contenedores Establece una relación máxima entre los límites de recursos del contenedor y las solicitudes.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd predeterminado istio-system cert-manager Supervisión flujo de aire prereq**
Recursos necesarios Requiere que los contenedores tengan recursos definidos.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd predeterminado istio-system cert-manager Supervisión flujo de aire prereq**
No permitir el acceso anónimo No permite asociar recursos ClústerRol y Rol al usuario system:anonymous y al grupo system:unauthenticated .	deny	N/D
Disallow tags Requiere que las imágenes del contenedor tengan una etiqueta de imagen diferente a las de la lista especificada.	deny	N/D
Límite de almacenamiento efímero del contenedor Requiere que los contenedores tengan establecido un límite de almacenamiento efímero y restringe el límite para que esté dentro de los valores máximos especificados.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd predeterminado istio-system cert-manager Supervisión flujo de aire prereq**
Escalador automático de pod horizontal	deny	N/D
Solo HTTPS Requiere que los recursos de Ingreso sean solo HTTPS. Los recursos de entrada deben incluir la anotación kubernetes.io/ingress.allow-http , establecida en false. De forma predeterminada se requiere una configuración TLS {} válida. Esto se puede hacer opcional estableciendo el parámetro tlsOptional en true.	dryrun	Supervisión
Resúmenes de imágenes Requiere que las imágenes de contenedor contengan un resumen.	dryrun	UiPath
Bloquear la actualización de la cuenta de servicio Bloquea la actualización de la cuenta de servicio en los recursos que se abstraen a través de los pods. Esta política se ignora en modo de auditoría.	dryrun	N/D
Presupuesto de interrupción de pod	deny	flujo de aire
Sondas requeridas Requiere que los Pods tengan sondas de disponibilidad y / o vitalidad.	dryrun	UiPath
ClaseDeAlmacenamiento Requiere que se especifiquen las clases de almacenamiento cuando se usa.	dryrun	N/D
Unique Ingress Host Requiere que todos los hosts de reglas de Ingreso sean únicos.	dryrun	N/D
Unique Service Selector Requiere que los servicios tengan selectores únicos dentro de un espacio de nombres. Los selectores se consideran iguales si tienen claves y valores idénticos. Los selectores pueden compartir un par clave / valor siempre que haya al menos un par clave / valor distinto entre ellos.	dryrun	N/D

Nota:

• El espacio de nombres dapr-system solo es necesario si instalas Process Mining y Task Mining.
• El espacio de nombres airflow solo es necesario si instalas Process Mining.
• prereq** son espacios de nombres temporales creados mientras se ejecuta un prerrequisito o una comprobación de estado. Los espacios de nombres se autoeliminan al finalizar.

Políticas de trabajo en red

Automation Suite está preconfigurado con las políticas de red de Kubernetes estándar para seguir el principio de acceso a la red con menos privilegios. Puedes omitir la instalación de políticas de red proporcionadas por UiPath añadiendo network-policies en la lista exclude components en input.json. Para obtener más información sobre los componentes opcionales, consulta la pila de Automation Suite.

Automation Suite aplica la red desde, hacia y dentro del espacio de nombres uipath. Si aportas tus propias políticas de red o si tienes un CNI personalizado (por ejemplo, Cilium Enterprise o Calico Tigera Enterprise), asegúrate de actualizar tus políticas para duplicar el gráfico de Helm network-policies.

Puedes encontrar el gráfico de Helm network-policiesde Automation Suite ejecutando el siguiente comando.

Nota:

• Debes reemplazar <automation-suite-version>con tu versión actual de Automation Suite en el siguiente comando.
• Debes descomprimir el archivo para extraer el gráfico de Helm.

helm pull oci://registry.uipath.com/helm/network-policies --version <automation-suite-version>

Requisitos de privilegios de clúster

Se requiere acceso de administrador del clúster para uipathctl en tu nodo de gestión para instalar y gestionar Automation Suite en tu clúster dedicado. Este nivel de acceso es necesario para los componentes a nivel de sistema en Automation Suite, como Istio (enrutamiento/malla de servicio) y ArgoCD (gestión del ciclo de vida de la implementación y la aplicación), y para crear espacios de nombres relacionados con Automation Suite.