Configuring input.json

Référence pour les options de configuration et la structure du fichier input.json pour l'installation d'Automation Suite sur EKS/AKS.

Le fichier input.json vous permet de configurer les produits UiPath® que vous souhaitez déployer, les paramètres, configurations et préférences appliqués aux produits sélectionnés, ainsi que les paramètres de votre infrastructure Cloud. Vous devez mettre à jour ce fichier pour modifier les valeurs par défaut et utiliser une configuration avancée pour votre cluster.

Remarque :

Certains produits peuvent avoir des dépendances. Pour plus d’informations, consultez la section Produits Automation Suite.

Pour modifier input.json, vous pouvez utiliser votre éditeur de texte préféré sur votre machine cliente.

Le tableau suivant décrit les principaux paramètres input.json que vous devez mettre à jour pour configurer correctement Automation Suite.

Paramètres généraux	Description
kubernetes_distribution	Précisez la distribution Kubernetes que vous utilisez. Il peut s’agir de aks ou de eks.
install_type	Détermine si le cluster est déployé en mode en ligne ou hors ligne. Si ce champ n’est pas spécifié, le cluster sera déployé en mode en ligne. Pour déployer le cluster en mode hors ligne, vous devez explicitement définir la valeur du paramètre install_type sur offline. Valeurs possibles : online ou offline Valeur par défaut : online
registries	URL pour extraire les images Docker et les graphiques Helm pour les produits UiPath® et Automation Suite. registry.uipath.com
istioMinProtocolVersion	La version minimale du protocole TLS acceptée par Istio pour les communications sécurisées. Il peut être défini sur TLSV1_2 ou sur TLSV1_3.
fqdn	Le point de terminaison de l'équilibreur de charge pour Automation Suite.
admin_username	Le nom d'utilisateur que vous souhaitez définir en tant qu'administrateur pour l'organisation hôte.
admin_password	Mot de passe de l'administrateur hôte à définir.
profile	Définit le profil de l'installation. Les profils disponibles sont : - lite: profil en mode léger. - ha: profil de production compatible haute disponibilité multi-nœuds. Pour de plus amples informations sur la gestion des profils, consultez la section Configuration des profils.
network	Active l’opération IPv4/IPv6 pour la pile de mise en réseau du cluster utilisée par Automation Suite. Pour de plus amples informations, consultez la section Mise en réseau.
telemetry_optout	true ou false : utilisé pour refuser le renvoi de la télémétrie à UiPath®. Il est défini sur false par défaut. Si vous souhaitez le désactiver, définissez-le sur true.
fips_enabled_nodes	Indiquez si vous souhaitez activer FIPS 140-2 sur les nœuds sur lesquels vous prévoyez d'installer Automation Suite. Les valeurs possibles sont true et false.
storage_class	Spécifiez la classe de stockage à utiliser pour l'enregistrement PV. Pour une haute disponibilité optimale, cette classe de stockage doit prendre en charge plusieurs répliques et posséder des capacités de sauvegarde. Pour des détails, reportez-vous à la section Stockage de blocs .
storage_class_single_replica	Fournissez la classe de stockage à utiliser pour l'enregistrement PV. Cette classe de stockage peut avoir une seule réplique pour les composants qui ne nécessitent pas de haute disponibilité. La classe de stockage ne peut avoir aucune capacité de sauvegarde. Pour de plus amples informations, consultez la section Stockage des fichiers . La valeur storage_class_single_replica peut être la même que la valeur storage_class .
storage_class_name_with_rwx_support	Spécifie la ClasseStockage qui prend en charge le mode d'accès ReadWriteMany (RWX). Ce champ garantit que les composants nécessitant des volumes persistants partagés utilisent le bon stockage RWX. Ce champ ne peut pas être vide si Studio Web ou ECS est activé. Si ce champ est laissé vide, une erreur est générée lors de la validation. Pour les nouvelles installations, fournissez un nom StorageClass avec prise en charge RWX (ReadWriteMany). Pour les mises à niveau à partir de versions antérieures à la version 2.2510.0 utilisant Studio Web, utilisez le même nom de classe de stockage que celui spécifié dans storage_class_single_replica, en veillant à ce qu'il prenne en charge le mode d'accès RWX.
exclude_components	Utilisez ce paramètre pour empêcher l’installation de composants non essentiels. Pour de plus amples informations, consultez la section Apporter vos propres composants.
namespace	Spécifiez l'espace de noms dans lequel vous souhaitez installer Automation Suite. Pour de plus amples informations, consultez la section Configuration de l'espace de noms personnalisé.
argocd.application_namespace	L'espace de noms de l'application que vous prévoyez d'installer. Dans l’idéal, celui-ci devrait être le même que l’espace de noms dans lequel vous prévoyez d’installer Automation Suite.
argocd.project	Le projet ArgoCD nécessaire au déploiement d'Automation Suite. Cela n'est requis que si vous souhaitez utiliser l'instance ArgoCD partagée ou globale au lieu d'une instance ArgoCD dédiée.
workload_resources	Configure les requêtes et limites de processeur et de mémoire pour les charges de travail créées par uipathctl. Pour de plus amples informations, consultez la section Configurer les requêtes et les limites de ressources pour les charges de travail créées par uipathctl.

Pour obtenir un exemple de configuration, reportez-vous à:

• Exemple AKS input.json
• Exemple d'EKS input.json

Configuration du profil

Vous pouvez choisir parmi les modes de profil suivants lors de l'installation d'Automation Suite :

• Profil de haute disponibilité configurable (light mode)
• Profil haute disponibilité standard (mode haute disponibilité)

Ce n'est qu'en mode léger que vous pouvez faire basculer des produits spécifiques sur haute disponibilité. Cette flexibilité vous permet de commencer avec une charge de travail non critique et d'avoir la liberté de passer facilement au mode haute disponibilité lors de l'intégration des charges de travail critiques.

Pour activer la haute disponibilité (HA) pour un produit, vous devez modifier le fichier input.json . Plus précisément, vous devez modifier le paramètre profile en ha pour les produits que vous souhaitez rendre hautement disponibles :

  ....
  "automation_ops": {
    "enabled": true,
    "profile": "ha" // flag for turning on high availability
  },
  "action_center": {
    "enabled": true,
    "profile": "lite"
  },
  ...

Pour passer du mode Lite au mode Haute disponibilité (HA), procédez comme suit :

1. Assurez-vous que vous disposez de suffisamment de capacités d'infrastructure pour passer à la haute disponibilité standard au niveau de la plate-forme. Par défaut, le mode activé définit chaque produit sur une réplique avec la mise à l'échelle horizontale des pods activée.
2. Modifiez le fichier de configuration input.json et modifiez le paramètre profile pour les produits ciblés.
3. Afin d’appliquer les modifications, exécutez la commande suivante :

    uipathctl manifest apply
   

Produits UiPath®

Vous pouvez activer et désactiver des produits dans Automation Suite au moment de l'installation et à tout moment après l'installation. Pour plus de détails sur chaque configuration de produit, reportez-vous à la section Gestion des produits.

Remarque :

Selon votre sélection de produits, certaines configurations peuvent ne pas être disponibles. Par exemple, Insights ne prend actuellement pas en charge la configuration de l'authentification Microsoft Entra ID (anciennement Azure Active Directory) pour l'accès à SQL, le stockage et d'autres ressources qui prennent en charge Microsoft Entra.

Exemple d'Orchestrator :

"orchestrator": {
  "enabled": true,
  "external_object_storage": {
    "bucket_name": "uipath-as-orchestrator"
  },
  "testautomation": {
    "enabled": true
  },
  "updateserver": {
    "enabled": true
  }

Apportez vos propres composants

Automation Suite vous permet d'apporter vos propres politiques Gatekeeper et OPA, Cert Manager, Istio, la surveillance, les composants de journalisation, etc. Si vous choisissez d'exclure ces composants, assurez-vous qu'ils sont disponibles dans votre cluster avant d'installer Automation Suite.

• Pour obtenir la liste des composants facultatifs et la matrice de responsabilité, consultez la section Pile d’Automation Suite.
• Make sure to review the compatibility matrix for versions that are validated with Automation Suite.

L'exemple suivant montre une liste de composants exclus. Vous pouvez supprimer les composants que vous souhaitez qu'Automation Suite enregistre.

   "exclude_components": [
        "alerts",
        "auth",
        "istio",
        "cert-manager",
        "logging",
        "monitoring",
        "gatekeeper",
        "network-policies",
        "velero",
    "external-secrets"
  ]

Exclusion d'Istio

Si vous apportez votre propre composant Istio, assurez-vous d'inclure les libellés gateway_selector de votre passerelle Istio dans le fichier input.json . À partir d’Automation Suite 2.2510.2, vous pouvez également définir le paramètre istio_gateway_service_name dans la section ingress de input.json pour configurer le nom du service de passerelle de l'entrée Istio. Pour plus de détails, consultez l’exemple AKS input.json ou l’exemple EKS input.json.

Pour trouver le libellé de votre sélecteur de passerelle, procédez comme suit :

1. Répertoriez tous les pods dans l'espace de noms <istio-system> en exécutant la commande kubectl get pods -n <istio-system>.
2. Recherchez celui qui correspond à votre déploiement de passerelle Istio.

Remarque :

Si vous prévoyez d'installer vous-même le plug-in WASM et que vous souhaitez éviter de fournir au programme d'installation d'Automation Suite un accès en écriture à l'espace de noms <istio-system> , vous devez ajouter le composant istio-configure à la liste exclude_components .

Exclure le gestionnaire de certificats

Si vous choisissez d'apporter votre propre gestionnaire de certificats et que votre certificat TLS est émis par une autorité de certification privée ou non publique, vous devez inclure manuellement le certificat de feuille et les certificats d'autorité de certification intermédiaires dans le fichier de certificat TLS. Dans le cas des autorités de certification publiques, elles sont automatiquement approuvées par les systèmes clients et aucune autre action n'est requise de votre part.

Configuration du certificat

Si aucun certificat n'est fourni au moment de l'installation, le programme d'installation crée un certificat auto-émis et le configure dans le cluster.

Remarque :

Les certificats ne peuvent être créés au moment de l'installation que si vous accordez les privilèges d'administrateur du programme d'installation d'Automation Suite lors de l'installation. Si vous ne pouvez pas accorder les privilèges d'administrateur du programme d'installation, vous devez créer et gérer les certificats vous-même.

Pour des détails sur la façon d'obtenir un certificat, reportez-vous à la section Gestion des certificats.

Remarque :

Assurez-vous de spécifier le chemin absolu pour les fichiers de certificat. Exécutez pwd pour obtenir le chemin du répertoire où les fichiers sont placés et ajoutez le nom du fichier de certificat dans input.json.

Paramètre	Description
server_certificate.ca_cert_file	Chemin absolu vers le certificat de l'autorité de certification. Cette autorité de certification est l'autorité qui signe le certificat TLS. Un bundle d'autorité de certification ne doit contenir que les certificats de chaîne utilisés pour signer le certificat TLS. La limite de la chaîne est de neuf certificats. Si vous utilisez un certificat auto-signé, vous devez spécifier le chemin d'accès au rootCA.crt, que vous avez créé précédemment. Laissez ce champ vide si vous souhaitez que le programme d'installation le génère.
server_certificate.tls_cert_file	Chemin absolu vers le certificat TLS (server.crt est le certificat auto-signé). Laissez ce champ vide si vous souhaitez que le programme d'installation le génère. Si vous fournissez vous-même le certificat, le fichier server.crt doit contenir la chaîne entière, comme illustré dans l'exemple suivant : -----server cert----- -----root ca chain-----
server_certificate.tls_key_file	Chemin absolu vers la clé de certificat (server.key est le certificat auto-signé). Laissez ce champ vide si vous souhaitez que le programme d'installation le génère.
identity_certificate.token_signing_cert_file	Chemin absolu vers le certificat de signature du jeton d'identité utilisé pour signer les jetons (identity.pfx est le certificat auto-signé). Laissez ce champ vide si vous souhaitez que le programme d'installation génère un certificat d'identité à l'aide du certificat du serveur.
identity_certificate.token_signing_cert_pass	Mot de passe en texte brut défini lors de l'exportation du certificat de signature du jeton d'identité.
additional_ca_certs	Chemin d'accès absolu au fichier contenant les certificats de l'autorité de certification supplémentaires que tous les services exécutés dans le cadre d'Automation Suite doivent approuver. Tous les certificats du fichier doivent être dans un format PEM valide. Par exemple, vous devez fournir le fichier contenant le certificat de l'autorité de certification du serveur SQL si le certificat n'est pas émis par une autorité de certification publique.

Prérequis de l'infrastructure

Vous devez fournir des détails de configuration des prérequis que vous avez configurés sur Azure ou AWS. Pour les exigences relatives aux paramètres input.json , reportez-vous aux sections des prérequis suivantes:

• SQL database (mandatory)
• Caching (mandatory)
• Stockage (obligatoire)
• Mise en réseau (obligatoire)
• Configuration de l’entrée NGINX (facultatif)
• Configuration du proxy (facultatif)

Configuration du magasin d'objets externe

Configuration générale

Automation Suite permet de faire appel à votre propre fournisseur de stockage externe. Vous pouvez choisir parmi les fournisseurs de stockage suivants :

• Azure
• AWS
• Compatible S3

Vous pouvez configurer le stockage d'objets externe de l'une des manières suivantes :

• lors de l'installation ;
• post-installation, à l'aide du fichier input.json.

Remarque :

• Pour qu'Automation Suite fonctionne correctement lors de l'utilisation d'URL pré-signées, vous devez vous assurer que votre magasin d'objets externe est accessible depuis le cluster Automation Suite, les navigateurs et toutes vos machines, y compris les stations de travail et les machines robots.
• Le chiffrement côté serveur avec service de gestion des clés (SSE-KMS) peut uniquement être activé pour les compartiments Automation Suite déployés dans n’importe quelle région créée après le 30 janvier 2014.

  La fonctionnalité SSE-KMS nécessite des API Pure SignV4. Les régions créées avant le 30 janvier 2014 n'utilisent pas d'API Pure SignV4 en raison de la rétrocompatibilité avec SignV2. Par conséquent, SSE-KMS fonctionne uniquement dans les régions qui utilisent SignV4 pour communiquer. Pour connaître le calendrier d'enregistrement des différentes régions, consultez la documentation AWS.

Si vous utilisez un point de terminaison privé pour accéder au conteneur, vous devez ajouter le paramètre fqdn dans le fichier input.json et spécifier le point de terminaison privé en tant que valeur.

La table suivante répertorie les paramètres input.json que vous pouvez utiliser pour configurer chaque fournisseur de stockage d'objets externe :

Paramètre	Azure	AWS	Compatible S3	Description
external_object_storage.enabled	✅	✅	✅	Indiquez si vous souhaitez apporter votre propre magasin d'objets. Valeurs possibles : true et false .
external_object_storage.create_bucket	✅	✅	✅	Indiquez si vous souhaitez enregistrer le compartiment. Valeurs possibles : true et false .
external_object_storage.storage_type	✅	✅	✅	Indiquez le fournisseur de stockage que vous souhaitez configurer. La valeur est sensible à la casse. Valeurs possibles : azure et s3 . De nombreux magasins d'objets S3 nécessitent que CORS soit défini sur l'ensemble du trafic provenant du cluster Automation Suite. Vous devez configurer la stratégie CORS au niveau du magasin d'objets pour autoriser le nom de domaine complet du cluster.
external_object_storage.fqdn	❌	✅	✅	Indiquez le nom de domaine complet du serveur S3. Obligatoire dans le cas d’une instance AWS et d’un profil sans instance.
external_object_storage.port	❌	✅	✅	Indiquez le port S3. Obligatoire dans le cas d’une instance AWS et d’un profil sans instance.
external_object_storage.region	❌	✅	✅	Indiquez la région AWS où les compartiments sont hébergés. Obligatoire dans le cas d’une instance AWS et d’un profil sans instance.
external_object_storage.access_key	❌	✅	✅	Spécifiez la clé d'accès pour le compte S3. Obligatoire dans le cas du profil AWS sans instance.
external_object_storage.secret_key	❌	✅	✅	Spécifiez la clé secrète du compte S3. Obligatoire dans le cas du profil AWS sans instance.
external_object_storage.use_instance_profile	❌	✅	✅	Spécifiez si vous souhaitez utiliser un profil d’instance. Un profil d’instance AWS Identity and Access Management (IAM) accorde un accès sécurisé aux ressources AWS pour les applications ou les services exécutés sur des instances Amazon Elastic Compute Cloud (EC2). Si vous optez pour AWS S3, un profil d’instance permet à une instance EC2 d’interagir avec des compartiments S3 sans avoir besoin que les informations d’identification AWS explicites (telles que les clés d’accès) soient stockées sur l’instance.
external_object_storage.bucket_name_prefix1	❌	✅	✅	Indiquez le préfixe des noms de compartiment. Facultatif dans le cas du profil AWS sans instance.
external_object_storage.bucket_name_suffix1	❌	✅	✅	Indiquez le suffixe des noms de compartiment. Facultatif dans le cas du profil AWS sans instance.
external_object_storage.account_key	✅	❌	❌	Spécifiez la clé de compte Azure.
external_object_storage.account_name	✅	❌	❌	Spécifiez le nom du compte Azure.
external_object_storage.azure_fqdn_suffix	✅	❌	❌	Spécifiez le suffixe de nom de domaine complet Azure. Paramètre facultatif.

¹ Lors de la configuration du stockage d'objets externe, vous devez suivre les règles de nommage et les conventions de votre fournisseur pour bucket_name_prefix et bucket_name_suffix. De plus, le suffixe et le préfixe doivent avoir une longueur combinée de 25 caractères maximum, et vous ne devez pas terminer le préfixe ou commencer le suffixe par un trait d'union (-) car nous ajoutons déjà le caractère pour vous automatiquement.

Pour garantir une communication sécurisée et compatible avec Automation Suite, votre magasin d'objets compatible S3 doit prendre en charge une ou plusieurs des suites de chiffrement TLS sécurisées suivantes :

• TLS 1.3 :
  • TLS_AES_128_GCM_SHA256
  • TLS_AES_256_GCM_SHA384
  • TLS_CHACHA20_POLY1305_SHA256
• TLS 1.2 :
  • TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
  • TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256

Remarque :

La liste des suites de chiffrement prises en charge peut évoluer au fil du temps pour s'aligner sur les meilleures pratiques de sécurité et les mises à jour dans la bibliothèque cryptographique Go. Pour obtenir la liste à jour, consultez la documentation Go.

Configuration spécifique au produit

Vous pouvez utiliser les paramètres décrits dans la section Configuration générale (General configuration) pour mettre à jour la configuration générale d'Automation Suite. Cela signifie que tous les produits installés partageraient la même configuration.

Si vous souhaitez configurer un ou plusieurs produits différemment, vous pouvez remplacer la configuration générale. Il vous suffit de spécifier le ou les produits pour lesquels vous souhaitez configurer différemment le stockage d'objets externes et d'utiliser les mêmes paramètres pour définir votre configuration. Notez que tous les autres produits installés continueront d'hériter de la configuration générale.

L'exemple suivant montre comment remplacer la configuration générale d'Orchestrator :

"external_object_storage": {
  "enabled": false, // <true/false>
  "create_bucket": true, // <true/false>
  "storage_type": "s3", // <s3,azure,aws>
  "fqdn": "",  // <needed in the case of aws instance and non-instance profile>
  "port": 443, // <needed in the case of aws instance and non-instance profile>
  "region": "", 
  "access_key": "", // <needed in the case of aws non instance profile>
  "secret_key": "", // <needed in the case of aws non instance profile>
  "bucket_name_prefix": "",
  "bucket_name_suffix": "",
  "account_key": "",
  "account_name": "",
  "azure_fqdn_suffix": "core.windows.net",
},

"orchestrator": {
  "external_object_storage": {
    "enabled": false, // <true/false>
    "create_bucket": true, // <true/false>
    "storage_type": "s3", // <s3,azure>
    "fqdn": "",  // <needed in the case of aws instance and non-instance profile>
    "port": 443, // <needed in the case of aws instance and non-instance profile>
    "region": "", 
    "access_key": "", // <needed in case of aws non instance profile>
    "secret_key": "", // <needed in case of aws non instance profile>
    "bucket_name_prefix": "",
    "bucket_name_suffix": "",
    "account_key": "",
    "account_name": "",
    "azure_fqdn_suffix": "core.windows.net",
  }
}

Rotation des identifiants de stockage d'objets blob pour Process Mining

Pour effectuer une rotation des informations d'identification de stockage d'objets blob pour Process Mining dans Automation Suite, les clés secrètes stockées doivent être mises à jour avec les nouvelles informations d'identification. Référez-vous à Rotation des informations d’identification de stockage d’objets blob.

Configuration d'URL pré-signée

Vous pouvez utiliser l'indicateur disable_presigned_url pour spécifier si vous souhaitez désactiver l'accès aux URL pré-signées au niveau global. Par défaut, les URL pré-signées sont activées pour l'ensemble de la plate-forme. Les valeurs possibles sont : true et false.

{
  "disable_presigned_url" : true
}

Remarque :

• Vous ne pouvez modifier la valeur par défaut de ce paramètre que pour les nouvelles installations. L'opération est irréversible et ne s'applique pas à un cluster existant.
• Vous ne pouvez appliquer cette configuration qu'à l'ensemble de la plate-forme. Vous ne pouvez pas remplacer la configuration globale au niveau du produit.

Configuration du registre externe compatible OCI

Pour configurer un registre externe compatible OCI, mettez à jour les paramètres suivants dans le fichier input.json :

Clés	Valeur (Value)
registries.docker.url	Valeur par défaut : registry.uipath.com L'URL ou le nom de domaine complet du registre utilisable par Automation Suite pour héberger les images de conteneur.
registries.docker.username registries.docker.password	Informations d'authentification à utiliser pour extraire les images Docker du registre. Si l'une des valeurs est trouvée dans le fichier d'entrée, vous devez fournir les deux lors de la configuration du registre externe.
registries.docker.pull_secret_value	La clé secrète d'extraction du registre. Ce champ est facultatif.
registries.helm.url	Valeur par défaut : registry.uipath.com L'URL ou le nom de domaine complet du registre à utiliser par Automation Suite pour héberger le graphique Helm du service.
registries.helm.username registries.helm.password	Informations d'authentification à utiliser pour extraire les graphiques Helm du registre. Si l'une des valeurs est trouvée dans le fichier d'entrée, vous devez fournir les deux lors de la configuration du registre externe.
registry_ca_cert	L’emplacement du fichier CA correspondant au certificat configuré pour le registre. Si le registre est signé par une autorité de certificat privée hébergée dans vos locaux, vous devez le fournir pour établir la confiance.
registries.docker.pull_secret_name	Nom de la clé secrète Kubernetes qui stocke les informations d’identification du registre. Utilisez ce paramètre pour référencer une clé secrète existante qui contient les informations d'authentification du registre.

Remarque :

Vous pouvez utiliser différentes méthodes pour générer la version encodée du fichier pull_secret_value, notamment celle utilisant Docker.

L'exemple de configuration suivant montre une définition de clé secrète Kubernetes utilisée pour stocker les informations d'identification du registre :

apiVersion: v1
kind: Secret
metadata:
  name: registry-credentials
data:
  url: base64Encode(sfbrdevhelmweacr.azurecr.io)
  username: base64Encode(registry-username)
  password: base64Encode(registry-password)

L’exemple de configuration suivant présente une configuration de registre standard conforme à OCI :

{
    "registries": {
        "docker": {
            "url": "registry.domain.io",
            "username": "username",
            "password": "password", 
            "pull_secret_value": "pull-secret-value"
        },
        "helm": {
            "url": "registry.domain.io",
            "username": "username",
            "password": "password"
        },
        "trust": {
            "enabled": true,
            "public_key": "LS0tLS1CRUdJTiBQVUJMSUMgS0VZLS0tLS0KTUZrd0V3WUhLb1pJemowQ0FRWUlLb1pJemowREFRY0RRZ0FFNE4vSzNzK2VXUTJHU3NnTTJNcUhsdEplVHlqRQp1UC9sd0dNTnNNUjhUZTI2Ui9TTlVqSVpIdnJKcEx3YmpDc0ZlZUI3L0xZaFFsQzlRdUU1WFhITDZ3PT0KLS0tLS1FTkQgUFVCTElDIEtFWS0tLS0tCg==",
            "detection_mode": false
        }
    },
    "registry_ca_cert": "/etc/pki/ca-trust/extracted/ca-bundle.trust.crt"
}

Remarque :

Pour les registres comme Harbor, qui nécessitent l’utilisation d’un projet, vous devez ajouter le nom du projet à l’URL du registre. Cette exigence s’applique aux paramètres registries.docker.url et registries.helm.url dans le fichier input.json , comme l’illustre l’exemple suivant :

{
"registries": {
"docker": {
"url": "registry.domain.io/myproject",
"username": "username",
"password": "password"
"pull_secret_value": "pull-secret-value"
},
"helm": {
"url": "registry.domain.io/myproject",
"username": "username",
"password": "password"
}
"trust": {
"enabled": true,
"public_key": "LS0tLS1CRUdJTiBQVUJMSUMgS0VZLS0tLS0KTUZrd0V3WUhLb1pJemowQ0FRWUlLb1pJemowREFRY0RRZ0FFNE4vSzNzK2VXUTJHU3NnTTJNcUhsdEplVHlqRQp1UC9sd0dNTnNNUjhUZTI2Ui9TTlVqSVpIdnJKcEx3YmpDc0ZlZUI3L0xZaFFsQzlRdUU1WFhITDZ3PT0KLS0tLS1FTkQgUFVCTElDIEtFWS0tLS0tCg==",
"detection_mode": false
}
},
"registry_ca_cert": "/etc/pki/ca-trust/extracted/ca-bundle.trust.crt"
}

Configuration de l'espace de noms personnalisé

Vous pouvez spécifier un seul espace de noms personnalisé qui remplace les espaces de noms uipath, uipath-check et uipath-installer par défaut. Afin de définir un espace de noms personnalisé, indiquez une valeur pour le paramètre facultatif namespace . Si vous ne fournissez pas de valeur pour le paramètre namespace , les espaces de noms par défaut sont utilisés à la place.

Configuration du libellé de l'espace de noms personnalisé

Si vous souhaitez que les espaces de noms UiPath contiennent des libellés d'espace de noms personnalisés, ajoutez la section suivante au fichier input.json. Assurez-vous d'ajouter vos propres libellés.

 "namespace_labels": {
        "install-type": "aksoffline",
        "uipathctlversion": "rc-10_0.1",
        "updatedLabel": "rerun"
    },

Configuration de la tolérance des nœuds personnalisée

Si vous avez besoin de rejets et de tolérances personnalisés sur les nœuds sur lesquels vous prévoyez d'installer Automation Suite, mettez à jour input.json avec les indicateurs suivants. Assurez-vous de fournir les valeurs appropriées au champ spec.

"tolerations": [
  {
    "spec": {
      "key": "example-key", 
      "operator": "Exists",
      "value": "optional-value",
      "effect": "NoSchedule"
    }
  },
  {
    "spec": {
      "key": "example-key2", 
      "operator": "Exists",
      "value": "optional-value2",
      "effect": "NoSchedule"
    }
  }
]

Configuration de l'équilibreur de charge interne

Vous pouvez utiliser un équilibreur de charge interne pour votre déploiement dans les types d'installation AKS et EKS. Pour ce faire, vous devez le spécifier dans la section ingress du fichier input.json.

L’annotation suivante configure l’équilibreur de charge interne AKS :

• azure-load-balancer-internal: spécifie si l'équilibreur de charge est interne.

Le tableau suivant décrit les champs de configuration de l’équilibreur de charge interne EKS :

Paramètre	Description
aws-load-balancer-backend-protocol	Spécifie le protocole backend.
aws-load-balancer-nlb-target-type	Spécifie le type de cible à configurer pour NLB. Vous pouvez choisir entre instance et ip.
aws-load-balancer-scheme	Spécifie si le NLB sera connecté à Internet ou interne. Les valeurs valides sont internal ou internet-facing. Si elle n'est pas spécifiée, la valeur par défaut est internal.
aws-load-balancer-type	Spécifie le type d'équilibreur de charge. Ce contrôleur rapproche ces ressources de service pour cette annotation définie sur nlb ou external.
aws-load-balancer-internal	Spécifie si le NLB sera connecté à Internet ou interne.

Exemple AKS

 "ingress": {
    "service_annotations": {
      "service.beta.kubernetes.io/azure-load-balancer-internal": "true"
    }
  },

Exemple EKS

  "ingress": {
    "service_annotations": {
      "service.beta.kubernetes.io/aws-load-balancer-backend-protocol": "ssl",
      "service.beta.kubernetes.io/aws-load-balancer-nlb-target-type": "ip",
      "service.beta.kubernetes.io/aws-load-balancer-scheme": "internal",
      "service.beta.kubernetes.io/aws-load-balancer-type": "nlb",
      "service.beta.kubernetes.io/aws-load-balancer-internal": "true"
    }
  },

Pour de plus amples informations sur la création d'équilibreurs de charge internes dans AKS et EKS, consultez les liens suivants:

• Équilibreur de charge interne pour AKS.
• Équilibreur de charge interne pour EKS

Configuration de l'identité de la charge de travail

L'identité de charge de travail est une variante de l'identité gérée disponible si vous utilisez Automation Suite sur AKS. L'identité de Workload vous aide à éviter de gérer les informations d'identification en permettant aux pods d'utiliser une identité Kubernetes, telle qu'un compte de service. L'identité de Workload permet également aux applications Kubernetes d'accéder aux ressources Azure en toute sécurité avec Microsoft Entra ID, basé sur des comptes de service annotés.

Pour en savoir plus sur l'identité de la charge de travail, reportez-vous à Utiliser un ID de charge de travail Microsoft Entra sur AKS - Azure Kubernetes Service.

Remarque :

Insights ne prend actuellement pas en charge l’identité de la charge de travail.

Pour utiliser l'identité de la charge de travail, procédez comme suit :

1. Activez l'identité de charge de travail et l'émetteur OIDC pour le cluster, récupérez l'URL de l'émetteur OIDC et créez une identité gérée attribuée par l'utilisateur qui sera utilisée dans l'identité de charge de travail. Pour effectuer ces opérations, suivez les instructions de Déployer et configurer un cluster AKS avec une identité de charge de travail – Azure Kubernetes Service.

2. Enregistrez l’ID client de l’identité gérée attribuée par l’utilisateur et indiquez-le dans votre fichier input.json .

   {
     ...
     "pod_identity" : {
       "enabled": true,
       "aks_managed_identity_client_id":<client-id>,
     }
     ...
   }
   

3. Exécutez le script suivant qui crée les informations d'identification fédérées pour tous les comptes de service que nous créons pour Automation Suite :

   #!/bin/bash
   
   # Variables
   RESOURCE_GROUP="<resource-group-name>"
   USER_ASSIGNED_IDENTITY_NAME="<user-assigned-identity-name>"
   AKS_OIDC_ISSUER="<aks-oidc-issuer>"
   AUDIENCE="api://AzureADTokenExchange"
   
   # Helper function to create federated credentials
   create_federated_credentials() {
     local NAMESPACE=$1
     shift
     local SERVICE_ACCOUNTS=("$@")
   
     for SERVICE_ACCOUNT_NAME in "${SERVICE_ACCOUNTS[@]}"; do
       # Generate a unique federated identity credential name
       FEDERATED_IDENTITY_CREDENTIAL_NAME="${NAMESPACE}-${SERVICE_ACCOUNT_NAME}"
   
       echo "Creating federated credential for namespace: ${NAMESPACE}, service account: ${SERVICE_ACCOUNT_NAME}"
   
       # Run the Azure CLI command
       az identity federated-credential create \
         --name "${FEDERATED_IDENTITY_CREDENTIAL_NAME}" \
         --identity-name "${USER_ASSIGNED_IDENTITY_NAME}" \
         --resource-group "${RESOURCE_GROUP}" \
         --issuer "${AKS_OIDC_ISSUER}" \
         --subject "system:serviceaccount:${NAMESPACE}:${SERVICE_ACCOUNT_NAME}" \
         --audience "${AUDIENCE}"
   
       if [ $? -eq 0 ]; then
         echo "Federated credential created successfully for ${NAMESPACE}:${SERVICE_ACCOUNT_NAME}"
       else
         echo "Failed to create federated credential for ${NAMESPACE}:${SERVICE_ACCOUNT_NAME}"
       fi
     done
   }
   
   
   # Call the function for each namespace and its service accounts
   create_federated_credentials "uipath" "default" "asrobots-sa" "dataservice-be-service-account" "dataservice-fe-service-account" "insights-adf" "du-documentmanager-service-account" "services-configure-uipath-ba" "aicenter-jobs" "aicenter-deploy" "ailoadbalancer-service-account" "airflow"
   create_federated_credentials "uipath-check" "default"
   create_federated_credentials "velero" "velero-server"
   

Pour utiliser l'identité de la charge de travail avec SQL, reportez-vous à lasection Accès basé sur l'identité de la charge de travail à SQL d'AKS.

Pour utiliser l’identité de la charge de travail avec votre compte de stockage, reportez-vous à la section Accès basé sur l’identité de la charge de travail à votre compte de stockage depuis AKS.

Pour utiliser l’identité de la charge de travail avec Azure Key Vault, reportez-vous à la section Utilisation de l’authentification de l’identité de la charge de travail.

Remarque :

Si SQL Server n'est pas configuré pour prendre en charge l'authentification basée sur l'identité de la charge de travail, définissez enable_sql_wi sur false pour chaque composant qui se connecte à SQL. L’exemple suivant présente la configuration de Document Understanding :

"documentunderstanding": {
  "enabled": true,
  "enable_sql_wi": false
}

Configuration spécifique à Orchestrator

Orchestrator peut enregistrer les journaux des évènements du Robot sur un serveur Elasticsearch. Vous pouvez configurer cette fonctionnalité dans la section orchestrator.orchestrator_robot_logs_elastic. Si ce paramètre n'est pas configuré, les journaux des évènements du Robot seront enregistrés dans la base de données d'Orchestrator.

Le tableau suivant répertorie les paramètres orchestrator.orchestrator_robot_logs_elastic :

Paramètre	Description
orchestrator_robot_logs_elastic	Configuration d'Elasticsearch.
elastic_uri	L'adresse de l'instance Elasticsearch devant être utilisée. Elle doit être fournie sous la forme d'un URI. Si celle-ci est fournie, alors le nom d'utilisateur et le mot de passe sont également requis.
elastic_auth_username	Le nom d'utilisateur Elasticsearch utilisé pour l'authentification.
elastic_auth_password	Le mot de passe Elasticsearch, utilisé pour l'authentification.

Configuration spécifique à Insights

Si vous activez Insights, les utilisateurs peuvent inclure la configuration du serveur SMTP qui sera utilisée pour envoyer des e-mails/e-mails d'alerte programmés. S'ils ne sont pas fournis, les e-mails programmés et les e-mails d'alerte ne fonctionneront pas.

Vous pouvez utiliser l'outil de uipathctl ligne de commande pour appliquer les modifications de configuration. Pour des détails, reportez-vous au guide de référence uipathctl.

Le tableau suivant décrit les champs insights.smtp_configuration :

Paramètre	Description
tls_version	Les valeurs valides sont TLSv1_2, TLSv1_1, SSLv23. Omettez complètement la clé si vous n'utilisez pas TLS.
from_email	Adresse à partir de laquelle les e-mails d'alerte/programmés seront envoyés.
host	Nom d'hôte du serveur SMTP.
port	Le port du serveur SMTP.
username	Nom d’utilisateur pour l’authentification du serveur SMTP.
password	Mot de passe pour l’authentification du serveur SMTP.
enable_realtime_monitoring	Indicateur permettant d'activer la surveillance en temps réel d'Insights. Les valeurs valides sont true, false. La valeur par défaut est false.

Exemple

"insights": {
    "enabled": true,
    "enable_realtime_monitoring": true,
    "smtp_configuration": {
      "tls_version": "TLSv1_2",
      "from_email": "[e-mail]",
      "host": "smtp.sendgrid.com",
      "port": 587,
      "username": "login",
      "password": "password123"
    }
  }

Configuration spécifique à Process Mining

Si vous activez Process Mining, nous recommandons aux utilisateurs d'indiquer un serveur SQL SECONDAIRE pour agir comme un entrepôt de données distinct du serveur SQL Automation Suite principal.L'entrepôt de données du serveur SQL sera soumis à une charge importante et peut être configuré dans la section processmining :

Paramètre	Description
sql_connection_str	Chaîne de connexion au format DotNet avec la base de données définie comme espace réservé : Initial Catalog=DB_NAME_PLACEHOLDER .
airflow.metadata_db_connection_str1	Cela s'applique à la base de données PostgreSQL AutomationSuite Airflow . Chaîne de connexion au format Sqlalchemy PsyCoPG2 pour l'emplacement des métadonnées personnalisées : PostgreSQL:5432/DB_NAME_PLACEHOLDER. Exemple : postgresql+psycopg2://testadmin:<password>@postgres.company.com:5432/DB_NAME_PLACEHOLDER Vous pouvez également utiliser metadata_db_connection_str dans la section processmining au niveau global dans le fichier input.json pour fournir la valeur de la base de métadonnées Airflow. Dans ce cas, le airflow.metadata_db_connection_str est facultatif.
warehouse.sql_connection_str	Chaîne de connexion SQL au format DotNet au serveur SQL de l'entrepôt de données processmining avec espace réservé pour le nom de la base de données: Initial Catalog=DB_NAME_PLACEHOLDER
warehouse.sqlalchemy_pyodbc_sql_connection_str	Chaîne de connexion SQL au format Sqlalchemy PYODBC au serveur SQL de l'entrepôt de données processmining avec espace réservé pour le nom de la base de données: sqlServer:1433/DB_NAME_PLACEHOLDER
warehouse.master_sql_connection_str	Si le programme d'installation crée des bases de données via le paramètre sql.create_db: true , une chaîne de connexion SQL maître au format DotNet doit être fournie pour le serveur SQL de l'entrepôt de données processmining. La base de données dans la chaîne de connexion doit être définie sur master .

¹ Exemple de configuration:

"processmining": {
  "enabled": true,
  "app_security_mode": "system_managed",
  "airflow": {
    "metadata_db_connection_str": "postgresql+psycopg2://testadmin:<password>@sfdev8454496-postgresql.postgres.database.azure.com:5432/AutomationSuite_Airflow"
  }
}

Exemple de chaîne de connexion Process Mining avec PostgreSQL pour AutomationSuite_Airflow

"processmining": {
    "enabled": true,
    "app_security_mode": "system_managed",
    "airflow": {
      "metadata_db_connection_str": "postgresql+psycopg2://testadmin:<password>@sfdev8454496-postgresql.postgres.database.azure.com:5432/AutomationSuite_Airflow"
    },
    "warehouse": {
      "sql_connection_str": "Server=tcp:kerberossql.autosuitead.local,1433;Initial Catalog=AutomationSuite_Warehouse;Persist Security Info=False;User Id=testadmin;Password='<password>';MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=True;Connection Timeout=30;Max Pool Size=100;",
      "sqlalchemy_pyodbc_sql_connection_str": "mssql+pyodbc://testadmin:<password>@kerberossql.autosuitead.local:1433/AutomationSuite_Warehouse?driver=ODBC+Driver+17+for+SQL+Server&TrustServerCertificate=YES&Encrypt=YES",
      "master_sql_connection_str": "Server=tcp:kerberossql.autosuitead.local,1433;Initial Catalog=master;Persist Security Info=False;User Id=testadmin;Password='<password>';MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=True;Connection Timeout=30;Max Pool Size=100;"

Lorsque vous utilisez l'authentification Kerberos, utilisez les paramètres Integrated Security et Trusted_Connection . En définissant Integrated Security sur true et en définissant Trusted_Connection sur yes, les informations d'identification de l'utilisateur actuellement connecté sont utilisées pour la connexion. Dans ce cas, vous n'avez pas besoin de spécifier un nom d'utilisateur et un mot de passe distincts.

Remarque :

Lors de la configuration des chaînes de connexion pour le SQL Server de l'entrepôt de données Process Mining, l'instance nommée du SQL Server doit être omise.

Les instances nommées de SQL Server ne peuvent pas fonctionner sur le même port TCP. Par conséquent, le numéro de port seul est suffisant pour faire la distinction entre les instances.

Par exemple, utilisez tcp:server,1445 au lieu de tcp:server\namedinstance,1445.

Les noms du modèle de chaîne de connexion PYODBC postgresql_connection_string_template_sqlalchemy_pyodbc (pour PostgreSQL) et de la chaîne de connexion PYODBC sqlalchemy_pyodbc_sql_connection_str utilisés lorsque vous apportez votre propre base de données sont différents. Les noms de chaîne de connexion sont également différents pour le modèle SQL sql_connection_string_template et sql_connection_str utilisé lorsque vous apportez votre propre base de données.

Si vous apportez votre propre base de données et que vous la configurez à l’aide des chaînes de connexion et sql_connection_str sqlalchemy_pyodbc_sql_connection_str ou airflow.metadata_db_connection_str dans la section processmining du fichier input.json , les chaînes de connexion modèles sql_connection_string_template et postgresql_connection_string_template_sqlalchemy_pyodbc (pour PostgreSQL) sont ignorés si spécifiés.

Configuration spécifique à Automation Suite Robots

Les Robots Automation Suite peuvent utiliser la mise en cache des packages pour optimiser les exécutions de vos processus et leur permettre de s'exécuter plus rapidement. Les packages NuGet sont récupérés à partir du système de fichiers au lieu d'être téléchargés à partir d'Internet/du réseau. Cela nécessite un espace supplémentaire d'au moins 10 Go et doit être alloué à un dossier sur le système de fichiers de la machine hôte des nœuds dédiés.

Pour activer la mise en cache des packages, vous devez mettre à jour les paramètres input.json suivants :

Paramètre	Valeur par défaut	Description
packagecaching	true	Lorsqu'il est défini sur true, les robots utilisent un cache local pour la résolution des packages.
packagecachefolder	/uipath_asrobots_package_cache	L'emplacement du disque sur le nœud de l'agent sans serveur où les packages sont stockés.

Si vos politiques RBAC de cluster restreignent les autorisations get et list sur les nœuds, les Automation Suite Robots ne peuvent pas déterminer automatiquement le nombre maximal de tâches simultanées. Dans ce cas, configurez le paramètre input.json suivant pour définir explicitement la limite:

Paramètre	Valeur par défaut	Description
concurrency_limit	Non défini	Nombre maximal de tâches pouvant s'exécuter simultanément. Lorsqu'elles ne sont pas définies, Automation Suite Robots utilise les autorisations get et list sur les nœuds pour déterminer automatiquement la limite en fonction de la capacité des nœuds disponibles.

Configuration spécifique à AI Center

Cette section s'applique uniquement aux points de terminaison S3 (non nécessaires pour le stockage Azure).

Pour que AI Center fonctionne correctement, vous devez configurer les paramètres aicenter.external_object_storage.port et aicenter.external_object_storage.fqdn dans le fichier input.json .

Remarque :

Vous devez configurer les paramètres dans la section aicenter du fichier input.json même si vous avez configuré la section external_object_storage du fichier.

L’exemple suivant montre une configuration input.json valide pour AI Center :

"aicenter": {
  "external_object_storage" {
    "port": 443,
    "fqdn": "s3.us-west-2.amazonaws.com"
  }
},
"external_object_storage": {
  "enabled": true,
  "create_bucket": false,
  "storage_type": "s3", 
  "region": "us-west-2", 
  "use_instance_profile": true
}
...

Configuration spécifique à Integration Service

Configuration de la file d'attente Cloud souveraineté

Dans les environnements cloud souveraineté ou nationaux où les points de terminaison de file d'attente utilisent un suffixe de nom de domaine complet non standard, vous pouvez remplacer la valeur par défaut à l'aide du champ facultatif queue_config.fqdn_suffix sous integrationservices dans input.json.

Par défaut, Integration Service utilise amazonaws.com pour AWS et core.windows.net pour Azure.

Exemples de cas d'utilisation : AWS en Chine (amazonaws.com.cn), Azure en Chine (core.chinacloudapi.cn), Azure US Government (core.usgovcloudapi.net).

"integrationservices": {
  "queue_config": {
    "fqdn_suffix": ""
  }
}

• Si fqdn_suffix est laissé vide ou si le champ est omis, les valeurs par défaut du graphique s'appliquent : amazonaws.com pour AWS ou core.windows.net pour Azure.
• Si une valeur non vide est fournie, elle remplace le suffixe du point de terminaison de la file d’attente pour les URL de file d’attente AWS et Azure.
• Si azure_fqdn_suffix est défini dans external_object_storage, Integration Service utilise automatiquement la même valeur pour le suffixe du point de terminaison de la file d'attente. Vous n’avez pas besoin de définir queue_config.fqdn_suffix séparément dans ce cas.

Authentification principale du service pour SQL

Lorsque vous utilisez l'authentification SQL avec un principal de service Azure Active Directory pour la connexion à la base de données, vous devez ajouter explicitement une section advanced_configuration au bloc integrationservices dans input.json. Remplacez your-tenant-id par votre ID de locataire Azure.

"integrationservices": {
  "enabled": true,
  "advanced_configuration": {
    "gallupx": {
      "extraEnv": {
        "AZURE_TENANT_ID": "your-tenant-id"
      }
    }
  }
}

Configuration spécifique à Document Understanding

Authentification principale du service pour SQL

Lorsque vous utilisez l'authentification SQL avec un principal de service Azure Active Directory pour la connexion à la base de données, vous devez ajouter explicitement une section advanced_configuration au bloc documentunderstanding dans input.json. Remplacez your-tenant-id par votre ID de locataire Azure.

"documentunderstanding": {
    "enabled": true,
    "enable_sql_wi": null,
    "advanced_configuration": {
      "du-annotations": {
        "additionalConfigs": {
          "AZURE_TENANT_ID": "your-tenant-id"
        }
      }
    },
},