Sécurité et conformité

Fonctionnalités de sécurité, prise en charge FIPS 140-2 et stratégies réseau pour Automation Suite sur EKS/AKS.

Contexte de sécurité pour les services UiPath®

Cette section fournit des détails sur le contexte de sécurité des services UiPath®.

Tous les services UiPath® sont configurés avec un contexte de sécurité défini dans leur section spec .

L’exemple suivant présente une configuration standard pour les services UiPath® :

spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 1000
    runAsGroup: 1000
    fsGroup: 1000
  containers:
    - securityContext:
        allowPrivilegeEscalation: false
        readOnlyRootFilesystem: true
        capabilities:
          drop: ["ALL"]
  hostPID: false
  hostNetwork: false

Pour certains services UiPath®, il existe des exceptions par rapport à la configuration standard du contexte de sécurité :

• Dans le cas du service connector-builder-setup-job, la valeur du paramètre readOnlyRootFilesystem est false.

Dans certains cas, les ID d'utilisateur et les ID de groupe peuvent être supérieurs ou égaux à 1000, en fonction de votre environnement. Assurez-vous de configurer les ID d'utilisateur et de groupe en fonction de vos principes de sécurité et des directives de sécurité de votre organisation.

Politiques du contrôleur d'accès et de l'OPA

Automation Suite est préconfiguré avec Gatekeeper et les stratégies OPA. Si vous apportez votre propre composant Gatekeeper et les stratégies OPA, vous pouvez ignorer ces composants lors de l’installation d’Automation Suite. Pour plus de détails, consultez la section Pile d’Automation Suite. Dans ce cas, passez en revue les stratégies OPA et les exceptions nécessaires à l’installation et à l’exécution d’Automation Suite.

Par défaut, ces stratégies ne s’exécutent que dans les espaces de noms UiPath® suivants : -uipath, uipath-installer, uipath-infra, airflow et argocd.

Stratégies OPA

Policy	Actionsd’application	Espaces de noms/images à exclure
Autoriser l’escalade de privilèges dans le conteneur Contrôles limitant l’escalade aux privilèges root. Correspond au champ allowPrivilegeEscalation dans une PolitiquePositionSécurité	dryrun	Gatekeeper logging kube-system uipath-check Par défaut istio-system gestionnaire-certificats surveillance
Protection de l'application Configure une liste d’autorisations de profils AppArgor à utiliser par les conteneurs. Cela correspond à des annotations spécifiques appliquées à une PodSecurityPolicy.	deny	Gatekeeper logging kube-system Par défaut istio-system gestionnaire-certificats surveillance
Capabilities Contrôle les capacités de Linux sur les conteneurs. Correspond aux champs allowedCapabilities et requiredDropCapabilities dans une politique PodSecurityPolicy.	dryrun	Gatekeeper logging uipath-check kube-system Par défaut istio-system gestionnaire-certificats surveillance
FlexVolumes Contrôle la liste d'autorisations des pilotes FlexVolume. Correspond au champ allowedFlexVolumes dans PodSecurityPolicy.	deny	Gatekeeper logging kube-system Par défaut istio-system gestionnaire-certificats surveillance
Sysctls interdits	deny	Gatekeeper logging kube-system Par défaut istio-system gestionnaire-certificats surveillance
Groupe FS Contrôle l’affectation d’un FSGroup propriétaire des volumes du pod. Correspond au champ fsGroup dans une Stratégie PodSécurité.	dryrun	Gatekeeper logging uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air uipath-check
Système de fichiers de l'hôte Contrôle l’utilisation du système de fichiers hôte. Correspond au champ allowedHostPaths dans une Stratégie PodSécurité.	dryrun	Gatekeeper logging kube-system argocd Par défaut istio-system gestionnaire-certificats surveillance
Host Namespace Interdit le partage des espaces de noms PID et IPC de l'hôte par conteneurs de pod. Correspond aux champs hostPID et hostIPC dans une politique PodSecurityPolicy.	deny	Gatekeeper logging kube-system argocd Par défaut istio-system gestionnaire-certificats surveillance
Ports de mise en réseau de l'hôte Contrôle l'utilisation de l'espace de noms du réseau hôte par les conteneurs de pods.	deny	Gatekeeper logging kube-system argocd Par défaut istio-system gestionnaire-certificats surveillance uipath-check
Conteneur privilégié Contrôle la capacité de n’importe quel conteneur à activer le mode privilégié. Correspond au champ privileged dans une Stratégie PodSécurité.	deny	Gatekeeper logging kube-system argocd Par défaut istio-system gestionnaire-certificats surveillance uipath-check
Proc Mount Contrôle les types de procMount autorisés pour le conteneur. Correspond au champ allowedProcMountTypes dans une Stratégie PodSécurité.	deny	Gatekeeper logging kube-system argocd Par défaut istio-system gestionnaire-certificats surveillance
Système de fichiers racine en lecture seule Nécessite l'utilisation d'un système de fichiers racine en lecture seule par les conteneurs de pods.	dryrun	Gatekeeper logging kube-system argocd Par défaut istio-system gestionnaire-certificats surveillance uipath-check
CompSec. Contrôle le profil secret utilisé par les conteneurs. Correspond à l'annotation seccomp.security.alpha.kubernetes.io/allowedProfileNames sur un PodSecurityPolicy.	dryrun	Gatekeeper logging uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air uipath-check
SELinux V2 Définit une liste d'autorisation de configurations seLinuxOptions pour les conteneurs de pods.	deny	Gatekeeper logging kube-system argocd Par défaut istio-system gestionnaire-certificats surveillance
Utilisateurs autorisés Contrôle les ID d'utilisateur et de groupe du conteneur et de certains volumes.	dryrun	Gatekeeper logging uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air velero uipath-check
Types de volumes Limite les types de volumes montables à ceux spécifiés par l'utilisateur.	deny	Gatekeeper logging kube-system argocd Par défaut istio-system gestionnaire-certificats surveillance velero uipath-check

Remarque :

L'espace de noms airflow n'est nécessaire que si vous installez Process Mining.

Autres politiques OPA

Policy	Actionsd’application	Espaces de noms/images à exclure
Jeton de compte de service de montage automatique pour le pod Contrôle la capacité de n'importe quel pod à activer automountServiceAccountToken .	dryrun	Gatekeeper logging uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air uipath-check
Référentiels autorisés Exige que les images de conteneur commencent par une chaîne de la liste spécifiée.	dryrun	registry.uipath.com registry-data.uipath.com
Bloquer le point de terminaison Modifier le rôle par défaut	deny	S/O
Bloquer les services avec le type LoadBalancer Interdit tous les services de type LoadBalancer.	deny	kube-system
Bloquer NodePort Interdit tous les services de type NodePort.	deny	istio-system vérifications préalables au réseau
Bloquer l'entrée de caractères génériques Les utilisateurs ne doivent pas pouvoir créer des entrées avec un nom d'hôte vide ou générique (*), car cela leur permettrait d'intercepter le trafic pour d'autres services du cluster, même s'ils n'ont pas accès à ces services.	deny	Gatekeeper logging kube-system argocd Par défaut istio-system gestionnaire-certificats surveillance
Limites des conteneurs Exige que les conteneurs aient des limites de mémoire et de processeur définies. Contraint les limites à respecter les valeurs maximales spécifiées.	dryrun	Gatekeeper logging uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air uipath-check
Requêtes de conteneur Nécessite que les requêtes de mémoire et de processeur des conteneurs soient définies. Contraint les requêtes à se situer dans les valeurs maximales spécifiées.	dryrun	Gatekeeper logging uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air uipath-check
Rapports de conteneur Définit un ratio maximal entre les limites des ressources de conteneur et les requêtes.	dryrun	Gatekeeper logging uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air prereq**
Ressources requises Nécessite que les conteneurs aient des ressources définies.	dryrun	Gatekeeper logging uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air uipath-check
Interdire l’accès anonyme Interdit d’associer les ressources ClusterRole et Role à l’utilisateur system:anonymous et au groupe system:unauthenticated .	deny	S/O
Disallow tags Exige que les images de conteneur aient une balise d'image différente de celles de la liste spécifiée.	deny	S/O
Limite de stockage éphémère du conteneur Exige que les conteneurs aient une limite de stockage éphémère définie et que la limite se situe dans les valeurs maximales spécifiées.	dryrun	Gatekeeper logging uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air uipath-check
Autoscaler de pod horizontal	deny	S/O
HTTPS uniquement Nécessite que les ressources d’entrée soient uniquement HTTPS. Les ressources d’entrée doivent inclure l’annotation kubernetes.io/ingress.allow-http , définie sur false. Par défaut, une configuration TLS {} valide est requise, cela peut être rendu facultatif en définissant le paramètre tlsOptional sur true .	dryrun	surveillance
Condensés d'image Les images de conteneur doivent contenir un résumé.	dryrun	UiPath
Bloquer la mise à jour du compte de service Bloque la mise à jour du compte de service sur les ressources qui extraient les pods. Cette stratégie est ignorée en mode audit.	dryrun	S/O
budget de perturbation du pod	deny	flux d’air
Sondes requises Les pods doivent disposer de sondes de disponibilité et/ou de vitalité.	dryrun	UiPath
Classe de stockage Les classes de stockage doivent être spécifiées lors de l'utilisation.	dryrun	S/O
Unique Ingress Host Nécessite que tous les hôtes de règles Ingress soient uniques.	dryrun	S/O
Unique Service Selector Nécessite que les services aient des sélecteurs uniques dans un espace de noms. Les sélecteurs sont considérés comme identiques s'ils ont des clés et des valeurs identiques. Les sélecteurs peuvent partager une paire clé/valeur tant qu’il existe au moins une paire clé/valeur distincte entre eux.	dryrun	S/O

Remarque :

• L'espace de noms airflow n'est nécessaire que si vous installez Process Mining.
• prereq** sont des espaces de noms temporaires créés lors de l'exécution d'un prérequis ou d'une vérification de l'état. Les espaces de noms s'auto-suppriment une fois terminés.

Politiques de mise en réseau

Automation Suite est préconfiguré avec les stratégies réseau Kubernetes standard pour suivre le principe du moindre privilège d'accès au réseau. Vous pouvez choisir d'ignorer l'installation des stratégies réseau fournies par UiPath en ajoutant network-policies sous la liste exclude components dans input.json. Pour en savoir plus sur les composants facultatifs, consultez la pile Automation Suite.

Automation Suite applique le réseau depuis, vers et dans l'espace de noms <uipath>. Si vous apportez vos propres stratégies réseau ou si vous avez un CNI personnalisé (par ex., Cilium Enterprise ou Calico Tigera Enterprise), veillez à mettre à jour vos stratégies pour qu'elles reflètent le graphique Helm network-policies .

Important :

Les politiques réseau Kubernetes sont appliquées par le plug-in CNI. Certains CNI, tels que le CNI Amazon VPC, n’appliquent pas de stratégies réseau par défaut; dans ce cas, les stratégies réseau fournies par UiPath sont créées, mais n'ont aucun effet. Assurez-vous que l’application de la stratégie réseau est activée dans votre cluster; pour obtenir des instructions, consultez la documentation officielle de votre CNI.

Vous pouvez trouver le graphique Helm Automation Suite network-policies en exécutant la commande suivante.

Remarque :

• Vous devez remplacer <automation-suite-version> par votre version actuelle d'Automation Suite dans la commande suivante.
• Vous devez décompresser le fichier pour extraire le graphique Helm.

helm pull oci://registry.uipath.com/helm/network-policies --version <automation-suite-version>

Exigences en matière de privilèges de cluster

L'accès à l'administrateur de cluster est requis pour uipathctl sur votre nœud de gestion afin d'installer et de gérer Automation Suite sur un cluster dédié. Ce niveau d'accès est nécessaire pour les composants de niveau système dans Automation Suite, tels qu'Istio (routage/service mesh) et ArgoCD (déploiement et gestion du cycle de vie des applications), et pour créer des espaces de noms liés à Automation Suite. Pour les clusters partagés, les privilèges d'administrateur ne sont pas requis.

FIPS 140-2

La norme FIPS 140-2 (Federal Information Processing Standards 140-2) est une norme de sécurité qui valide l'efficacité des modules cryptographiques.

Automation Suite peut s'exécuter sur des machines compatibles FIPS 140-2.

Vous pouvez activer FIPS 140-2 sur les machines sur lesquelles vous installez Automation Suite dans les scénarios suivants :

1. Activez FIPS 140-2 avant d'effectuer une nouvelle installation d'Automation Suite. Ce scénario s'applique à la fois à Automation Suite sur EKS et à Automation Suite sur AKS. Pour de plus amples informations, consultez la section Activation de FIPS 140-2 pour les nouvelles installations.
2. Activez FIPS 140-2 après avoir effectué une installation d'Automation Suite sur une machine en désactivant FIPS-140-2. Pour de plus amples informations, consultez la section Activation de FIPS 140-2 pour les installations existantes.
   Remarque :

   Ce scénario s'applique uniquement à Automation Suite sur AKS. Pour Automation Suite sur EKS, vous ne pouvez pas activer FIPS 140-2 si vous avez terminé une installation d'Automation Suite en désactivant FIPS-140-2.

Activation de FIPS 140-2 pour les nouvelles installations

Pour activer FIPS 140-2 sur les machines sur lesquelles vous prévoyez d'effectuer une nouvelle installation d'Automation Suite, procédez comme suit :

1. Avant de commencer l'installation d'Automation Suite, activez FIPS 140-2 sur vos machines.
2. Effectuez l'installation d'Automation Suite en suivant les instructions d'installation de ce guide.
   Remarque :

   • Si vous installez AI Center sur une machine compatible FIPS 140-2 et que vous utilisez également Microsoft SQL Server, une configuration supplémentaire est requise. Pour plus de détails, consultez la section Exigences SQL pour AI Center.
   • Assurez-vous qu'Insights est désactivé, car il n'est pas pris en charge par FIPS 140-2. Si vous avez besoin d'utiliser Insights, vous pouvez le déployer sur un nœud non FIPS dédié. Pour de plus amples informations, consultez la section Comment déployer Insights dans un cluster compatible FIPS.
3. Définissez l'indicateur fips_enabled_nodes sur true dans le fichier input.json.
4. Assurez-vous que vos certificats sont compatibles FIPS 140-2.
   Remarque :

   Par défaut, Automation Suite génère des certificats compatibles FIPS 140-2 auto-signés dont la date d'expiration dépend du type d'installation d'Automation Suite que vous choisissez.

   Nous vous recommandons fortement de remplacer ces certificats auto-signés par des certificats émis par une autorité de certification au moment de l'installation. Pour utiliser Automation Suite sur des machines compatibles FIPS 140-2, les certificats nouvellement fournis doivent être compatibles FIPS 140-2.
   Pour obtenir la liste des chiffrements éligibles pris en charge par RHEL, consultez la documentation RHEL.

   Pour de plus amples informations sur la façon d'ajouter vos propres certificats de signature de jeton et TLS compatibles FIPS 140-2, consultez la section Configuration du certificat.

5. Pour Automation Suite sur EKS, vous devez fournir le chemin du bundle de certificat RDS. Vous pouvez trouver les liens de téléchargement spécifiques à la région pour le bundle de certificats RDS dans la documentation AWS. Assurez-vous de mettre à jour le fichier bundle de certificat RDS pem dans le fichier de configuration input.json , comme illustré dans l'exemple suivant :

   {
     ...
     "additional_ca_certs": "certificates/rds-aws-bundle.pem",
     ...
   }
   

Activation de FIPS 140-2 pour les installations existantes

Vous pouvez installer Automation Suite en désactivant FIPS 140-2, puis activer la norme de sécurité sur ces mêmes machines. Cela est également possible lorsque vous effectuez une mise à niveau vers une nouvelle version d'Automation Suite.

Important :

Vous pouvez actuellement activer FIPS 140-2 pour les installations existantes d'Automation Suite sur AKS, mais pas pour les installations existantes d'Automation Suite sur EKS. Vous pouvez activer FIPS 140-2 pour Automation Suite sur EKS uniquement avant d’effectuer une nouvelle installation d’Automation Suite. Pour de plus amples informations, consultez la section Activation de FIPS 140-2 pour les nouvelles installations.

Pour activer FIPS 140-2 sur les machines sur lesquelles vous avez déjà effectué une installation d'Automation Suite, procédez comme suit :

1. Effectuez une installation ou une mise à niveau d'Automation Suite standard sur les machines en désactivant FIPS 140-2.
2. Activez FIPS 140-2 sur toutes vos machines.
3. Assurez-vous que vos certificats sont compatibles FIPS 140-2.
   Remarque :

   Pour utiliser Automation Suite sur des machines compatibles FIPS 140-2, vous devez remplacer vos certificats par de nouveaux certificats compatibles FIPS 140-2 signés par une autorité de certification.
   Pour obtenir la liste des chiffrements éligibles pris en charge par RHEL, consultez la documentation RHEL.
   Pour de plus amples informations sur la façon d'ajouter vos propres certificats de signature de jeton et TLS compatibles FIPS 140-2, consultez la section Configuration du certificat.
   Pour plus d'informations sur les certificats, reportez-vous à la section Gestion des certificats.

4. Assurez-vous que votre sélection de produits est conforme aux exigences FIPS-140-2 :
   • Si vous installez AI Center sur une machine compatible FIPS 140-2 et que vous utilisez également Microsoft SQL Server, une configuration supplémentaire est requise. Pour plus de détails, consultez la section Exigences SQL pour AI Center.
   • Si vous avez précédemment activé Insights, vous devez le désactiver, car il n'est pas pris en charge par FIPS 140-2. Si vous avez besoin d'utiliser Insights, vous pouvez le déployer sur un nœud non FIPS dédié. Pour de plus amples informations, consultez la section Comment déployer Insights dans un cluster compatible FIPS. Pour plus de détails sur la façon de désactiver les produits après l'installation, consultez la section Gestion des produits.
5. Redémarrez vos machines et vérifiez si vous avez correctement activé FIPS 140-2.
6. Réexécutez le programme d'installation uipathctl.