Conceder permisos de instalación

Importante:

• Los permisos de instalación son relevantes solo si no puedes proporcionar privilegios de administrador al instalador de Automation Suite. Si puedes proporcionar los privilegios de administrador necesarios al instalador, no es necesario que sigas las instrucciones de esta sección.
• Si instalas varias instancias de Automation Suite en el mismo clúster, debes conceder permisos para los demás espacios de nombres en los que instales Automation Suite.

Automation Suite depende de permisos específicos durante la instalación. Estos permisos se asignan a la cuenta de servicio, que desempeña un papel fundamental en la instalación de los distintos componentes de Automation Suite.

Para configurar todos los permisos necesarios para la instalación, sigue los siguientes pasos:

Paso 4.1: crear una cuenta de servicio

Paso 4.2: crear los roles necesarios

Paso 4.3: vincular los roles a la cuenta de servicio uipathadmin

Paso 4.4: generar el archivo kubeconfig

Nota:

Debes ejecutar los comandos a los que se hace referencia en esta sección desde una máquina Linux, Windows o macOS que tenga acceso al servidor de la API de OpenShift Kubernetes.

Paso 1: crear una cuenta de servicio

Para crear una cuenta de servicio, sigue los siguientes pasos:

1. Crea el espacio de nombres y el proyecto <uipath> :

   oc get namespace <uipath> || oc new-project <uipath>

2. Establece el espacio de nombres y el proyecto predeterminados en <uipath>:

   oc project <uipath>

   Todos los comandos oc posteriores operarán dentro del espacio de nombres <uipath> .
3. Crea una cuenta de servicio llamada uipathadmin:

   oc create serviceaccount uipathadmin

4. Utiliza el rol de clúster admin existente para conceder permisos de administrador a la cuenta de servicio uipathadmin en el espacio de nombres <uipath> :

   oc create rolebinding uipathadmin --clusterrole=admin --serviceaccount=<uipath>:uipathadmin

Paso 2: crear los roles necesarios

La cuenta de servicio uipathadmin requiere ciertos permisos durante la instalación de Automation Suite. Los permisos necesarios se proporcionan creando roles. Para crear cada rol, guarda su configuración como un archivo YAML y ejecuta el siguiente comando, reemplazando el marcador de posición <file_name.yaml> por el nombre real del archivo YAML:

oc apply -f <file_name.yaml>

Puedes crear el archivo YAML para cada rol copiando su configuración correspondiente de la siguiente tabla:

Figura 1. Permisos de instalación de Automation Suite

Permisos	Propósito	Configuración
Consultar el espacio de nombres [solo lectura]	Necesario para comprobar si los espacios de nombres, como el espacio de nombres <istio-system> , están disponibles o no.	apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: namespace-reader-clusterrole rules: - apiGroups: [""] resources: ["namespaces"] verbs: ["get"]
Enumerar nodos y CRD [solo lectura]	La herramienta de comprobación de requisitos previos y comprobación de estado de diagnóstico requiere este permiso para realizar las validaciones de nodo, como la capacidad disponible en el nodo.	apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: list-nodes-and-crd-clusterrole rules: - apiGroups: [""] resources: ["nodes"] verbs: ["list", "get"] - apiGroups: ["apiextensions.k8s.io"] resources: ["customresourcedefinitions"] verbs: ["list"] - apiGroups: ["metrics.k8s.io"] resources: ["nodes"] verbs: ["list", "get"] - apiGroups: ["scheduling.k8s.io"] resources: ["priorityclasses"] verbs: ["get"]
uipath roles [escribir]	La mayor parte de la instalación de Automation Suite se realiza a través de ArgoCD; sin embargo, la instalación de algunos componentes se realiza a través del diagrama de Helm. La herramienta uipathctl ejecuta un trabajo de instalación que ejecuta la instalación del diagrama de Helm. Conectarse a kube-api-server e instalar el diagrama de Helm en el espacio de nombres <uipath> requiere un rol de creador de roles a nivel de espacio de nombres.	apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: name: uipath-automationsuite-role namespace: <uipath> rules: - apiGroups: ["rbac.authorization.k8s.io"] resources: ["roles", "rolebindings"] verbs: ["*"] - apiGroups: ["*"] resources: ["secrets", "configmaps"] verbs: ["get", "watch", "list", "patch", "update", "create"] - apiGroups: ["security.istio.io", "networking.istio.io"] resources: ["*"] verbs: ["*"]
<istio-system> roles [escribir] Nota: Proporciona estos permisos solo si quieres que el instalador configure el complemento WASM. De lo contrario, no proporcione los permisos.	Las siguientes operaciones se realizan en el espacio de nombres <istio-system> : La herramienta de comprobación de requisitos previos de Automation Suite lee los pods y servicios en el espacio de nombres <istio-system> para validar que Istio está instalado y configurado correctamente. Automation Suite instala el complemento WASM en el espacio de nombres <istio-system> para configurar las reglas de enrutamiento basadas en la ruta. La instalación requiere la creación de un imagepullsecret que se utilizará en el gráfico WASM Helm para extraer la imagen del registro. Además, se requiere un creador de roles para el espacio de nombres <istio-system> . Aquí, uipathctl ejecuta un pod que utiliza el diagrama de Helm para instalar el complemento WASM para el enrutamiento.	apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: name: istio-system-automationsuite-role namespace: <istio-system> rules: - apiGroups: [""] resources: ["services", "pods"] verbs: ["list"] - apiGroups: ["rbac.authorization.k8s.io"] resources: ["roles", "rolebindings"] verbs: ["*"] - apiGroups: ["*"] resources: ["secrets", "configmaps"] verbs: ["get", "watch", "list", "patch", "update", "create"] - apiGroups: ["networking.istio.io", "extensions.istio.io"] resources: ["*"] verbs: ["*"]
<istio-system> roles [solo lectura] Nota: Proporciona estos permisos si ya has configurado Istio e instalado el complemento WASM.	Las siguientes operaciones se realizan en el espacio de nombres <istio-system> : La herramienta de comprobación de requisitos previos de Automation Suite lee los pods y servicios en el espacio de nombres <istio-system> para validar que Istio está instalado y configurado correctamente. Se requiere el permiso get secrets para copiar el archivo de certificado del espacio de nombres <istio-system> al espacio de nombres <uipath> .	apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: name: istio-system-automationsuite-role namespace: <istio-system> rules: - apiGroups: [""] resources: ["services", "pods"] verbs: ["list"] - apiGroups: ["*"] resources: ["secrets"] resourceNames: ["istio-ingressgateway-certs"] verbs: ["get"]

Paso 3: vincular los roles

Debes vincular los roles que creaste en el paso anterior a la cuenta de servicio uipathadmin , ejecutando los siguientes comandos:

oc project <istio-system>
oc create rolebinding istio-system-automationsuite-rolebinding \
  --role=istio-system-automationsuite-role --serviceaccount=<uipath>:uipathadmin
oc create rolebinding namespace-reader-rolebinding \
  --clusterrole=namespace-reader-clusterrole --serviceaccount=<uipath>:uipathadmin
oc project <uipath>
oc create clusterrolebinding list-nodes-and-crd-rolebinding \
  --clusterrole=list-nodes-and-crd-clusterrole --serviceaccount=<uipath>:uipathadmin
oc create rolebinding uipath-automationsuite-rolebinding \
  --role=uipath-automationsuite-role --serviceaccount=<uipath>:uipathadmin

## This step is needed only if you want installer to configure the WASM Plugin. Otherwise skip it.
oc -n <istio-system> create rolebinding uipadmin-istio-system \
  --clusterrole=admin --serviceaccount=<uipath>:uipathadmin

Paso 4: generar el archivo kubeconfig

Después de asignar todos los permisos a la cuenta de servicio, debes crear un archivo kubeconfig para pasar a la herramienta uipathctl para la instalación.

Generar el archivo kubeconfig en Linux o Mac

Para generar el archivo kubeconfig en Linux o Mac, ejecuta los siguientes comandos:

# For generating kubeconfig
# Creates the token for uipathadmin service account
token=$(oc -n <uipath> create token uipathadmin --duration=8760h)
# Getting api-server details
server=$(oc config view -o jsonpath="{.clusters[]..server}")
# Login logs on using the provided token and server and outputs kubeconfig at the provided path.
oc login --server=$server --token=$token --kubeconfig=uipathadminkubeconfig --insecure-skip-tls-verify=true

Si la operación se ha realizado correctamente, deberías ver un archivo kubeconfig llamado uipathadminkubeconfig.

Generar el archivo kubeconfig en Windows

Nota: debes realizar este paso utilizando Windows Powershell.

Para generar el archivo kubeconfig en Windows, ejecuta los siguientes comandos:

# For generating kubeconfig
# Creates the token for uipathadmin service account
$token = oc -n <uipath> create token uipathadmin --duration=8760h
# Getting api-server details
$server = oc config view -o jsonpath="{.clusters[]..server}"
# Login logs on using the provided token and server and outputs kubeconfig at the provided path.
oc login --server=$server --token=$token --kubeconfig=uipathadminkubeconfig --insecure-skip-tls-verify=true

Si la operación se ha realizado correctamente, deberías ver un archivo kubeconfig llamado uipathadminkubeconfig en la carpeta temp .