Configuration d'Azure Key Vault en tant que magasin de clés secrètes

Configurez Azure Key Vault en tant que magasin de clés secrètes à l'aide de l'authentification principale dans Automation Suite sur OpenShift.

Vous pouvez configurer Azure Key Vault en tant que magasin secret à l'aide de la méthode d'authentification du Principal du service.

Par défaut, toutes les données sensibles sont définies dans input.json. Vous pouvez séparer ces données en deux parties :

• input.json : contient uniquement les données de configuration.
• Azure Key Vault : enregistre les informations d'identification en toute sécurité.

Remarque :

Vous ne pouvez pas stocker les chemins de certificat ou les informations d'identification liées au certificat dans le magasin secret.

Important :

Toutes les informations d'identification référencées dans input.json doivent exister en tant que clés secrètes dans Azure Key Vault avant de configurer le magasin de clés secrètes. Si des informations d'identification référencées sont manquantes dans Azure Key Vault, l'installation échoue.

Utilisation de l'authentification Service Principal

Pour configurer Azure Key Vault en tant que magasin secret à l'aide de l'authentification de Service Principal, procédez comme suit :

1. Pour uipathctl afin d'identifier que les informations d'identification sont stockées dans Azure Key Vault, vous devez ajouter la section magasin de clés secrètes à input.json , comme illustré dans l'exemple suivant :

   "secret_store": {
     "enabled": true,
     "provider_configs": [
       {
         "type": "azure",
         "credentials_secret_name": "azure-service-principal-secret",
         "refresh_interval": "5m",
         "name": "azure-secret-store",
         "azure_kv": {
           "vault_url": "https://eso-azure-kv.vault.azure.net/",
           "tenant_id": "00000000-0000-0000-0000-000000000000"
         }
       }
     ]
   }
   

2. Créez une clé secrète Kubernetes qui stocke les informations d'identification Azure Service Principal, comme illustré dans l'exemple suivant :

   apiVersion: v1
   kind: Secret
   metadata:
     name: azure-service-principal-secret
   type: Opaque
   stringData:
     clientId: <client-id>
     clientSecret: <client-secret>
   

3. Déployez la clé secrète dans l’espace de noms uipath à l’aide de la commande suivante :

   kubectl apply -f azure-service-principal-secret -n uipath
   

4. Mettez à jour les valeurs d'identification dans input.json pour référencer les clés secrètes stockées dans Azure Key Vault en utilisant le format suivant :

   vault/<vault-name>/<key-stored-in-the-vault>
   

   Où :

   • vault - mot clé statique.
   • vault-name : la valeur de secret_store.provider_configs[i].name (par exemple, azure-secret-store).
   • key-stored-in-the-vault : nom de la clé secrète tel que stocké dans Azure Key Vault.Avant la modification, vos informations d'identification peuvent ressembler à ceci :

   "admin_username": "admin",
   "admin_password": "password",
   

   Après les avoir mis à jour pour référencer Azure Key Vault, ils devraient ressembler à ceci :

   "admin_username": "vault/azure-secret-store/admin-username-1234",
   "admin_password": "vault/azure-secret-store/admin-password-1234",
   

L'image suivante montre les clés secrètes stockées dans Azure Key Vault.

L'exemple suivant affiche une configuration input.json avec des informations d'identification stockées dans Azure Key Vault.

{
  "action_center": {
    "enabled": true
  },
  "admin_password": "vault/azure-secret-store/admin-password-1234",
  "admin_username": "vault/azure-secret-store/admin-username-1234",
  "aicenter": {
    "enabled": true
  },
  "apps": {
    "enabled": true
  },
  "argocd": {
    "application_namespace": "uipath",
    "project": "uipath"
  },
  "automation_hub": {
    "enabled": true
  },
  "automation_ops": {
    "enabled": true
  },
  "dataservice": {
    "enabled": true
  },
  "documentunderstanding": {
    "enabled": true
  },
  "exclude_components": [
    "argocd",
    "monitoring",
    "istio",
    "logging",
    "gatekeeper",
    "network-policies",
    "velero",
    "alerts",
    "cert-manager",
    "dapr",
    "external-secrets"
  ],
  "external_object_storage": {
    "access_key": "vault/azure-secret-store/external-object-storage-access-key-1234",
    "enabled": true,
    "fqdn": "s3storage.mycompany.com",
    "port": 443,
    "region": "us-east-2",
    "secret_key": "vault/azure-secret-store/external-object-storage-secret-key-1234",
    "storage_type": "s3"
  },
  "fabric": {
    "redis": {
      "hostname": "redis.mycompany.com",
      "password": "vault/azure-secret-store/fabric-redis-password-1234",
      "port": 6380,
      "tls": true
    }
  },
  "fqdn": "automationsuite.mycompany.com",
  "ingress": {
    "gateway_selector": {
      "istio": "ingressgateway"
    },
    "ingress_gateway_secret": "istio-ingressgateway-certs",
    "namespace": "\u003cistio-system\u003e"
  },
  "insights": {
    "enabled": true
  },
  "istioMinProtocolVersion": "TLSV1_3",
  "kubernetes_distribution": "openshift",
  "namespace": "uipath",
  "orchestrator": {
    "enabled": true
  },
  "platform": {
    "enabled": true
  },
  "postgresql_connection_string_template_sqlalchemy_pyodbc": "vault/azure-secret-store/postgresql-connection-string-template-sqlalchemy-pyodbc-1234",
  "processmining": {
    "enabled": true
  },
  "profile": "default",
  "registries": {
    "docker": {
      "password": "",
      "pull_secret_name": "registry-credentials",
      "pull_secret_value": "",
      "url": "registry.mycompany.com",
      "username": ""
    },
    "helm": {
      "password": "",
      "url": "registry.mycompany.com",
      "username": ""
    }
  },
  "secret_store": {
    "enabled": true,
    "secret_name": "",
    "provider_configs": [
      {
        "type": "azure",
        "credentials_secret_name": "azure-service-principal-secret",
        "refresh_interval": "5m",
        "name": "azure-secret-store",
        "azure_kv": {
          "vault_url": "https://eso-azure-kv.vault.azure.net/",
          "tenant_id": "00000000-0000-0000-0000-000000000000"
        }
      }
    ]
  },
  "sql": {
    "create_db": true,
    "password": "vault/azure-secret-store/sql-password-1234",
    "port": "1433",
    "server_url": "sql.mycompany.com",
    "username": "vault/azure-secret-store/sql-username-1234"
  },
  "sql_connection_string_template": "vault/azure-secret-store/sql-connection-string-template-1234",
  "sql_connection_string_template_jdbc": "vault/azure-secret-store/sql-connection-string-template-jdbc-1234",
  "sql_connection_string_template_odbc": "vault/azure-secret-store/sql-connection-string-template-odbc-1234",
  "sql_connection_string_template_sqlalchemy_pyodbc": "vault/azure-secret-store/sql-connection-string-template-sqlalchemy-pyodbc-1234",
  "storage_class": "managed-premium",
  "storage_class_single_replica": "managed-premium",
  "telemetry_optout": true,
  "test_manager": {
    "enabled": true
  }
}

Configuration de l’environnement cloud Azure

Le champ environment_type spécifie l’environnement cloud Azure à utiliser pour l’accès à Key Vault. Ce champ est facultatif et sa valeur par défaut sera PublicCloud.

Les valeurs suivantes sont prises en charge :

Valeur (Value)	Description
PublicCloud	Cloud public Azure (par défaut)
USGovernmentCloud	Cloud Azure US Government
ChinaCloud	Cloud Azure Chine
GermanCloud	Cloud Azure Allemagne

Remarque :

Le vault_url doit correspondre à l’environnement cloud Azure. Par exemple :

• Cloud public : https://<vault-name>.vault.azure.net/
• USGovernment : https://<vault-name>.vault.usgovcloudapi.net/
• Chine : https://<vault-name>.vault.azure.cn/
• Allemagne : https://<vault-name>.vault.microsoftazure.de/

L’exemple suivant montre comment configurer le champ environment_type dans input.json:

"secret_store": {
  "enabled": true,
  "provider_configs": [
    {
      "type": "azure",
      "credentials_secret_name": "azure-service-principal-secret",
      "refresh_interval": "5m",
      "name": "azure-secret-store",
      "environment_type": "USGovernmentCloud",
      "azure_kv": {
        "vault_url": "https://eso-azure-kv.vault.azure.net/",
        "tenant_id": "00000000-0000-0000-0000-000000000000"
      }
    }
  ]
}

Configuration du registre privé externe compatible OCI

Lorsque vous utilisez un registre privé, si vous ne souhaitez pas configurer les informations d'identification du registre dans input.json, vous pouvez les fournir sous forme de clé secrète Kubernetes à la place, comme illustré dans l'exemple suivant :

"registries": {
  "docker": {
    "pull_secret_name": "registry-credentials",
    "url": "sfbrdevhelmweacr.azurecr.io"
  }
}

Créez la clé secrète Kubernetes qui stocke les informations d’identification du registre, comme illustré dans l’exemple suivant :

apiVersion: v1
kind: Secret
metadata:
  name: registry-credentials
type: Opaque
data:
  url: base64Encode(sfbrdevhelmweacr.azurecr.io)
  username: base64Encode(<registry-username>)
  password: base64Encode(<registry-password>)

Appliquez la clé secrète dans l’espace de noms uipath à l’aide de la commande suivante :

kubectl apply -f registry-credentials.yaml -n uipath