Conceder permisos de instalación

Importante:

• Los permisos de instalación son relevantes solo si no puedes proporcionar privilegios de administrador al instalador de Automation Suite. Si puedes proporcionar los privilegios de administrador necesarios al instalador, no es necesario que sigas las instrucciones de esta sección.

Automation Suite depende de permisos específicos durante la instalación. Estos permisos se asignan a la cuenta de servicio, que desempeña un papel fundamental en la instalación de los distintos componentes de Automation Suite.

Para configurar todos los permisos necesarios para la instalación, sigue los siguientes pasos:

Paso 4.1: crear una cuenta de servicio

Paso 4.2: crear los roles necesarios

Paso 4.3: vincular los roles a la cuenta de servicio uipathadmin

Paso 4.4: generar el archivo kubeconfig

Paso 1: crear una cuenta de servicio

Para crear una cuenta de servicio, sigue los siguientes pasos:

1. Crea el espacio de nombres <uipath> :

   kubectl create namespace <uipath>

2. Crea una cuenta de servicio llamada uipathadmin:

    kubectl create serviceaccount uipathadmin -n <uipath>

3. Utiliza el rol de clúster admin existente para conceder permisos de administrador a la cuenta de servicio uipathadmin en el espacio de nombres <uipath> :

   kubectl create rolebinding uipathadmin --clusterrole=admin --serviceaccount=<uipath>:uipathadmin -n <uipath>

Paso 2: crear los roles necesarios

La cuenta de servicio uipathadmin requiere ciertos permisos durante la instalación de Automation Suite. Los permisos necesarios se proporcionan creando roles. Para crear cada rol, guarda su configuración como un archivo YAML y ejecuta el siguiente comando, reemplazando el marcador de posición <file_name.yaml> por el nombre real del archivo YAML:

kubectl apply -f <file_name.yaml>

Puedes crear el archivo YAML para cada rol copiando su configuración correspondiente de la siguiente tabla:

Figura 1. Permisos de instalación de Automation Suite

Permisos	Propósito	Configuración
Consultar el espacio de nombres [solo lectura]	Necesario para comprobar si los espacios de nombres, como el espacio de nombres <istio-system> , están disponibles o no.	apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: namespace-reader-clusterrole rules: - apiGroups: [""] resources: ["namespaces"] verbs: ["get"]
Enumerar nodos y CRD [solo lectura]	La herramienta de comprobación de requisitos previos y comprobación de estado de diagnóstico requiere este permiso para realizar las validaciones de nodo, como la capacidad disponible en el nodo.	apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: list-nodes-and-crd-clusterrole rules: - apiGroups: [""] resources: ["nodes"] verbs: ["list", "get"] - apiGroups: ["apiextensions.k8s.io"] resources: ["customresourcedefinitions"] verbs: ["list"] - apiGroups: ["metrics.k8s.io"] resources: ["nodes"] verbs: ["list", "get"] - apiGroups: ["scheduling.k8s.io"] resources: ["priorityclasses"] verbs: ["get"]
Obtener clases de almacenamiento [solo lectura]	La comprobación de requisitos previos y la herramienta de comprobación de estado de diagnóstico requieren este permiso para realizar las validaciones.	apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: storage-class-reader rules: - apiGroups: ["storage.k8s.io"] resources: ["storageclasses"] verbs: ["get"]
uipath roles [escribir]	La mayor parte de la instalación de Automation Suite se realiza a través de ArgoCD; sin embargo, la instalación de algunos componentes se realiza a través del diagrama de Helm. La herramienta uipathctl ejecuta un trabajo de instalación que ejecuta la instalación del diagrama de Helm. Conectarse a kube-api-server e instalar el diagrama de Helm en el espacio de nombres <uipath> requiere un rol de creador de roles a nivel de espacio de nombres.	apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: name: uipath-automationsuite-role namespace: <uipath> rules: - apiGroups: ["rbac.authorization.k8s.io"] resources: ["roles", "rolebindings"] verbs: ["*"] - apiGroups: ["*"] resources: ["secrets", "configmaps"] verbs: ["get", "watch", "list", "patch", "update", "create"] - apiGroups: ["security.istio.io", "networking.istio.io"] resources: ["*"] verbs: ["*"]
<istio-system> roles [escribir] Nota: Proporciona estos permisos solo si quieres que el instalador configure el complemento WASM. De lo contrario, no proporcione los permisos.	Las siguientes operaciones se realizan en el espacio de nombres <istio-system> : La herramienta de comprobación de requisitos previos de Automation Suite lee los pods y servicios en el espacio de nombres <istio-system> para validar que Istio está instalado y configurado correctamente. Automation Suite instala el complemento WASM en el espacio de nombres <istio-system> para configurar las reglas de enrutamiento basadas en la ruta. La instalación requiere la creación de un imagepullsecret que se utilizará en el gráfico WASM Helm para extraer la imagen del registro. Además, se requiere un creador de roles para el espacio de nombres <istio-system> . Aquí, uipathctl ejecuta un pod que utiliza el diagrama de Helm para instalar el complemento WASM para el enrutamiento.	apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: name: istio-system-automationsuite-role namespace: <istio-system> rules: - apiGroups: [""] resources: ["services", "pods"] verbs: ["list"] - apiGroups: ["rbac.authorization.k8s.io"] resources: ["roles", "rolebindings"] verbs: ["*"] - apiGroups: ["*"] resources: ["secrets", "configmaps"] verbs: ["get", "watch", "list", "patch", "update", "create"] - apiGroups: ["networking.istio.io", "extensions.istio.io"] resources: ["*"] verbs: ["*"]
<istio-system> roles [solo lectura] Nota: Proporciona estos permisos si ya has configurado Istio e instalado el complemento WASM.	Las siguientes operaciones se realizan en el espacio de nombres <istio-system> : La herramienta de comprobación de requisitos previos de Automation Suite lee los pods y servicios en el espacio de nombres <istio-system> para validar que Istio está instalado y configurado correctamente. Se requiere el permiso get secrets para copiar el archivo de certificado del espacio de nombres <istio-system> al espacio de nombres <uipath> .	apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: name: istio-system-automationsuite-role namespace: <istio-system> rules: - apiGroups: [""] resources: ["services", "pods"] verbs: ["list"] - apiGroups: ["*"] resources: ["secrets"] resourceNames: ["istio-ingressgateway-certs"] verbs: ["get"]

Paso 3: vincular los roles

Debes vincular los roles que creaste en el paso anterior a la cuenta de servicio uipathadmin , ejecutando los siguientes comandos:

kubectl -n <istio-system> create rolebinding istio-system-automationsuite-rolebinding \
  --role=istio-system-automationsuite-role --serviceaccount=<uipath>:uipathadmin
  
kubectl -n <istio-system> create rolebinding namespace-reader-rolebinding \
  --clusterrole=namespace-reader-clusterrole --serviceaccount=<uipath>:uipathadmin
  
kubectl -n <uipath> create clusterrolebinding list-nodes-and-crd-rolebinding \
  --clusterrole=list-nodes-and-crd-clusterrole --serviceaccount=<uipath>:uipathadmin
  
kubectl -n <uipath> create rolebinding uipath-automationsuite-rolebinding \
  --role=uipath-automationsuite-role --serviceaccount=<uipath>:uipathadmin
  
kubectl -n <uipath> create clusterrolebinding storage-class-reader-binding \
  --clusterrole=storage-class-reader --serviceaccount=<uipath>:uipathadmin

## This step is needed only if you want installer to configure the WASM Plugin. Otherwise skip it.
kubectl -n <istio-system> create rolebinding uipadmin-istio-system \
  --clusterrole=admin --serviceaccount=<uipath>:uipathadmin

Paso 4: generar el archivo kubeconfig

Después de asignar todos los permisos a la cuenta de servicio, debes crear un archivo kubeconfig para pasar a la herramienta uipathctl para la instalación.

Generar el archivo kubeconfig en Linux o Mac

Para generar el archivo kubeconfig en Linux o Mac, ejecuta los siguientes comandos:

# Create a token
token="$(kubectl -n <uipath> create token uipathadmin --duration=8760h)"
# copy current kubeconfig to a temp file
mkdir temp
cp ~/.kube/config temp/kubeconfig.tmp
# Find the user name and unset it in the temp file
kube_user_name="$(kubectl config view -o jsonpath="{.users[0].name}")"
kubectl -n <uipath> config unset users."${kube_user_name}" --kubeconfig="temp/kubeconfig.tmp"
# Update the credentials in the temp file
kubectl -n <uipath> --kubeconfig="temp/kubeconfig.tmp" config set-credentials uipathadmin --token="$token"
# Set the context and the namespace
kubectl --kubeconfig="temp/kubeconfig.tmp" config set-context --current --namespace=<uipath> --user=uipathadmin
mv temp/kubeconfig.tmp temp/uipathadminkubeconfig

Si la operación se ha realizado correctamente, deberías ver un archivo kubeconfig llamado uipathadminkubeconfig.

Generar el archivo kubeconfig en Windows

Nota: debes realizar este paso utilizando Windows Powershell.

Para generar el archivo kubeconfig en Windows, ejecuta los siguientes comandos:

# Create a token
$token = kubectl -n <uipath> create token uipathadmin --duration=8760h
# copy current kubeconfig to a temp file
mkdir temp
cp ~/.kube/config temp/kubeconfig.tmp
# Find the user name and unset it in the temp file
$kube_user_name = kubectl config view -o jsonpath="{.users[0].name}"
kubectl -n <uipath> config unset users."${kube_user_name}" --kubeconfig="temp/kubeconfig.tmp"
# Update the credentials in the temp file
kubectl -n <uipath> --kubeconfig="temp/kubeconfig.tmp" config set-credentials uipathadmin --token="$token"
# Set the context and the namespace
kubectl --kubeconfig="temp/kubeconfig.tmp" config set-context --current --namespace=<uipath> --user=uipathadmin
mv temp/kubeconfig.tmp temp/uipathadminkubeconfig

Si la operación se ha realizado correctamente, deberías ver un archivo kubeconfig llamado uipathadminkubeconfig en la carpeta temp .