Configurar el clúster

Herramienta de configuración

El script configureUiPathAS.sh le ayuda a controlar y administrar Automation Suite. La herramienta viene con el paquete de instalación y está disponible en la carpeta principal del instalador. configureUiPathAS.sh actualmente solo puede realizar algunas operaciones.

Para ver más información sobre configureUiPathAS.sh, ejecuta:

sudo ./configureUiPathAS.sh --help

Deberías ver el siguiente resultado:

configureUiPathAS.sh controls and manage UiPath Automation Suites

Usage:
  configureUiPathAS.sh [command]
  configureUiPathAS.sh [flags]

Available Commands:
  config                               Manage cluster configuration
  tls-cert                             Manage tls and server certificate
  additional-ca-certs                  Manage additional ca certificates
  identity                             Manage identity service
  objectstore                          Manage objectstore
  registry                             Manage registry
  monitoring                           Manage monitoring
  rabbitmq                             Manage rabbitmq
  mongodb                              Manage mongo
  node                                 Manage k8s nodes
  enable-maintenance-mode              Enables maintenance mode on the Cluster
  disable-maintenance-mode             Disables maintenance mode on the Cluster
  is-maintenance-enabled               Checks if maintenance mode is enabled on the Cluster
  resume-scheduled-backups             Resumes the paused scheduled backups
  verify-volumes-backup                Verify if all volumes are backed up
Flags:
  -h|--help                           Display help

***************************************************************************************```

Puedes utilizar el script configureUiPathAS.sh para gestionar los siguientes componentes en el clúster de Automation Suite:

• Certificado del servidor: gestión de tls y del certificado del servidor (actualización y obtención del certificado)
• Certificados de CA adicionales: gestión de certificados de CA adicionales, como los certificados de servidor SQL, los certificados de servidor proxy, etc.
• Identity Service: gestión de las configuraciones de Identity Service, como el certificado de firma de tokens, los certificados SAML, la autenticación Kerberos y Windows, etc.
• Objectstore: gestión del almacén de objetos ceph (actualmente solo admite el cambio de tamaño del pvc o almacenamiento de ceph)
• Registro: gestión del registro de Docker (actualmente solo admite el cambio de tamaño del pvc o almacenamiento del registro)
• Supervisión: gestión del servidor Rancher (actualmente solo admite el cambio de tamaño del pvc o almacenamiento del servidor Rancher)
• RabbitMQ: gestión de la cola de mensajes de RabbitMQ (actualmente solo admite el cambio de tamaño del pvc/almacenamiento de RabbitMQ)
• MongoDB: gestión del almacén de datos de MongoDB (actualmente solo admite el cambio de tamaño del pvc o almacenamiento de MongoDB y la gestión de certificados)

Actualizar la conexión del servidor SQL

Para actualizar la cadena de conexión o las credenciales del servidor SQL, edite directamente el archivo cluster_config.json en el nodo primario del servidor. Puede editar directamente los campos SQL (sql.username, sql.password y sql.server_url) en el archivo en función de lo que necesite actualizar.

Una vez actualizado el archivo, vuelva a ejecutar el asistente de instalación interactivo en la misma máquina con la configuración actualizada como parámetro. Solo tiene que volver a ejecutar la instalación en el servidor principal.

Actualizar la autenticación Kerberos

Actualizar la configuración de la autenticación Kerberos

Para actualizar la configuración común de Kerberos Auth, realice los siguientes pasos:

1. SSH en cualquier máquina del servidor.
2. Ejecuta el siguiente comando:

   ./configureUiPathAS.sh identity kerberos-auth global-config update --enabled [kerberos-enabled] --adDomain [ad-domain] --username [default-ad-username] --keytab [default-ad-user-keytab] --lifetime [ticketLifeTimeInHour]

   Nota:

   • Para generar manualmente el archivo keytab, consulta Configurar la autenticación Kerberos.
   • El controlador de dominio de AD tiene la configuración de Duración máxima del ticket de usuario de Kerberos en la política de dominio predeterminada. Asegúrese de que la duración del ticket configurada en este caso no sea mayor que la del controlador de dominio.

   

Resultado correcto de la consola

Updating kerberos auth.....Success!
If you wish to utilize SQL Integrated Auth using Kerberos, 
please update the SQL connection string to enable Integrated Auth. 
For more info on kerberos auth, <link>

Fallo de resultado de la consola

Updating kerberos auth.....Failed!
Please provide valid kerberos auth configuration values.

Actualizar nombre de usuario y keytab del usuario de AD para un grupo de servicio

Para actualizar el nombre de usuario de AD y/o el archivo keytab del usuario de AD para un servicio específico, realice el siguiente paso:

Ejecuta el siguiente comando:

./configureUiPathAS.sh identity kerberos-auth service-config update --sg [service-group] --username [new-ad-username] --keytab [new-ad-user-keytab]

Están disponibles los siguientes grupos de servicio (se distingue entre mayúsculas y minúsculas):

• Orchestrator
• Plataforma
• discoverygroup
• AdministradorDePruebas
• Automation Ops
• AI Center
• Document Understanding
• Insights

• dataservice

  Nota: para generar manualmente el archivo keytab, consulta Configuración de la autenticación Kerberos.

Resultado correcto de la consola

Updating kerberos config for <service-group> service group.....Success!
If you want to enable sql integrated auth for the <service-group> service goup, 
please update the service's sql connection string. For more info on kerberos auth, <link>

Fallo de resultado de la consola

Updating kerberos config for <service-group> service group.....Failed!
Please provided a valid kerberos auth configuration values.
For more info on kerberos auth, <link>

Añadir administradores de sistema

Se crea un administrador del sistema en Automation Suite de forma predeterminada con el nombre de usuario admin en la organización del host.

Si se pierde el acceso a la organización del host (por ejemplo, se pierde la contraseña del administrador del sistema o los únicos usuarios con cuentas de administrador del sistema abandonan la empresa), existe una herramienta para añadir o restaurar un administrador del sistema.

Este script no funciona si existe el parámetro de cadena de conexión SQL "Integrated Security=true" para los servicios de plataforma.

./configureUiPathAS.sh identity add-host-admin --username [new-admin-username] --email [new-admin-email] --password [new-admin-password]

• --username es un campo obligatorio.
• --password es obligatoria solo si el nuevo administrador utiliza la autenticación básica para iniciar sesión.
• --email es opcional a no ser que su proveedor de identidad externo lo requiera (por ejemplo, Google coincide por correo electrónico, pero no por nombre de usuario).

Información importante sobre cómo crear o restaurar el administrador:

• Los nuevos administradores no pueden tener el mismo nombre de usuario o correo electrónico que un administrador ya existente. Si utiliza el mismo nombre de usuario o correo electrónico que un administrador ya existente, este último se actualiza. Esto resulta muy útil si se quiere cambiar la contraseña.
• Si se ha eliminado un administrador y se utiliza el mismo nombre de usuario o correo electrónico para un nuevo usuario, se restaurará el administrador eliminado en lugar de crear uno nuevo. En este caso, el campo de contraseña no se sobrescribe. Un caso excepcional es si se han eliminado varios administradores con el mismo nombre de usuario o correo electrónico, lo cual tiene como consecuencia la creación de un nuevo administrador.
• Si se fuerza alguno de los proveedores de identidad externos configurados en el host, se imponen restricciones en los parámetros. Por ejemplo, si se fuerza Windows AD, el nombre de usuario debe tener el formato user@domain. En el caso de Google, el correo electrónico es obligatorio.
• Cuando se accede a una nueva cuenta de administrador por primera vez, deberá cambiarse la contraseña.

Rehabilitar la autenticación básica

Es posible que los administradores de la organización y del sistema no puedan iniciar sesión debido a un problema con su configuración de Azure Active Directory u otro proveedor de identidad externo. Los administradores de la organización pueden estar bloqueados porque el marcador Disable basic authentication está seleccionado en la Configuración de autenticación. Los administradores de la organización y del sistema pueden estar bloqueados porque un proveedor de identidad externo se configuró como force/exclusive. Esta herramienta intentará volver a habilitar la autenticación básica para una organización.

Este script no funciona si existe el parámetro de cadena de conexión Integrated Security=true para los servicios de plataforma.

./configureUiPathAS.sh identity enable-basic-auth --orgname [org-name]

Nota: --orgname es un campo obligatorio. Si la autenticación básica está restringida en el host, establezca el nombre de la organización en host.

Actualizar el protocolo TLS

La puerta de enlace de entrada de Istio configurada en Automation Suite para el enrutamiento, la comunicación entre servicios y más utiliza TLS para proteger los intercambios. Para evitar amenazas de seguridad, las versiones del protocolo TLS obsoletas están deshabilitadas de forma predeterminada.

Actualmente, solo se admite la versión 1.2 y posteriores de TLS y, si utiliza una versión anterior, se recomienda que la actualice. Sin embargo, aún es posible conectarse utilizando una versión de TLS anterior, pero primero debe habilitarla en el servidor de Automation Suite.

Importante: TLS 1.0 y 1.1 están obsoletos, y habilitar estas versiones puede suponer un riesgo para la seguridad. Se recomienda encarecidamente actualizar a TLS 1.2 o superior en lugar de habilitar versiones inferiores en el servidor.

Para habilitar una versión de TLS no compatible, siga uno de los siguientes pasos:

• Para habilitar la compatibilidad con TLS 1.0 y superior, ejecuta el siguiente comando:

  kubectl -n istio-system patch gateway main-gateway --type=json \
      -p='[{ "op": "replace", "path": "/spec/servers/0/tls/minProtocolVersion", "value": "TLSV1_0"}]'

• Para habilitar el soporte para TLS 1.1 y superior, ejecuta el siguiente comando:

  kubectl -n istio-system patch gateway main-gateway --type=json \
      -p='[{ "op": "replace", "path": "/spec/servers/0/tls/minProtocolVersion", "value": "TLSV1_1"}]'