Configuration d'AWS Secrets Manager en tant que magasin de clés secrètes

Configurez AWS Secrets Manager en tant que magasin de secrets pour la gestion des informations d'identification sensibles dans Automation Suite sur OpenShift.

Vous pouvez configurer AWS Secrets Manager en tant que magasin secret à l'aide de Clés d'accès.

Remarque :

L’authentification de rôle IAM du nœud n’est pas prise en charge sur OpenShift. Pour l’authentification basée sur le rôle Node IAM, consultez le guide d’installation EKS/AKS.

AWS Secrets Manager stocke les clés secrètes sous forme de paires clé-valeur ou de chaînes de texte brut.

Par défaut, toutes les données sensibles sont définies dans input.json. Vous pouvez séparer ces données en deux parties :

• input.json : contient uniquement les données de configuration.
• AWS Secrets Manager : stocke les informations d'identification en toute sécurité.

Remarque :

Vous ne pouvez pas stocker les chemins de certificat ou les informations d'identification liées au certificat dans le magasin secret.

Utilisation de clés d’accès

Les clés d’accès utilisent l’ID de clé d’accès AWS explicite et la clé d’accès secrète stockées dans une clé secrète Kubernetes.

Prérequis

• Utilisateur AWS IAM avec des autorisations secretsmanager:GetSecretValue
• Clé secrète Kubernetes pré-créée avec les informations d’identification de la clé d’accès

Configuring input.json

Pour configurer AWS Secrets Manager en tant que magasin secret à l'aide de Clés d'accès, procédez comme suit :

1. Créez la clé secrète Kubernetes qui stocke les informations d’identification AWS :

   kubectl create secret generic aws-credentials \
     --namespace uipath \
     --from-literal=access-key-id=AKIAIOSFODNN7EXAMPLE \
     --from-literal=secret-access-key=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
   

   Le secret doit contenir les clés suivantes :

   • access-key-id – ID de clé d'accès AWS
   • secret-access-key - Clé d'accès secrète AWS

2. Ajoutez la section suivante à input.json:

   {
     "secret_store": {
       "enabled": true,
       "provider_configs": [
         {
           "name": "aws-prod",
           "type": "aws",
           "credentials_secret_name": "aws-credentials",
           "aws_kv": {
             "region": "us-east-1"
           }
         }
       ]
     }
   }
   

Champs de configuration

Le tableau suivant décrit les champs de configuration disponibles.

Champ	Requis	Description
aws_kv.region	Oui (Yes)	Région AWS où les clés secrètes sont stockées (par exemple, us-east-1)
credentials_secret_name	Oui (Yes)	Secret Kubernetes contenant les clés access-key-id et secret-access-key

Référencement des clés secrètes dans input.json

Pour référencer des informations d'identification stockées dans AWS Secrets Manager, utilisez l'un des formats suivants dans input.json:

• Chaîne simple : vault/aws-prod/secret-name
• Extraction de la propriété JSON : vault/aws-prod/secret-name?key=password

Utilisation d'AWS GovCloud

Si vous utilisez AWS GovCloud, définissez le champ region sur une région AWS GovCloud (par exemple, us-gov-west-1 ou us-gov-east-1). Aucun autre changement de configuration n'est requis : la valeur de la région détermine la partition AWS et les points de terminaison utilisés.

{
  "secret_store": {
    "enabled": true,
    "provider_configs": [
      {
        "name": "aws-gov",
        "type": "aws",
        "credentials_secret_name": "aws-credentials",
        "aws_kv": {
          "region": "us-gov-west-1"
        }
      }
    ]
  }
}