Configuration du magasin d'objets externe

Référence des options de configuration de stockage d'objets externes, y compris les fournisseurs Azure, AWS et compatibles S3, dans Automation Suite.

Configuration générale

Automation Suite permet de faire appel à votre propre fournisseur de stockage externe. Vous pouvez choisir parmi les fournisseurs de stockage suivants :

• Azure
• AWS
• Compatible S3

Vous pouvez configurer le stockage d'objets externe de l'une des manières suivantes :

• lors de l'installation ;
• post-installation, à l'aide du fichier cluster_config.json.

Remarque :

• Pour qu'Automation Suite fonctionne correctement lors de l'utilisation d'URL pré-signées, vous devez vous assurer que votre magasin d'objets externe est accessible depuis le cluster Automation Suite, les navigateurs et toutes vos machines, y compris les stations de travail et les machines robots.

• Le chiffrement côté serveur avec service de gestion des clés (SSE-KMS) peut uniquement être activé pour les compartiments Automation Suite déployés dans n’importe quelle région créée après le 30 janvier 2014.

  La fonctionnalité SSE-KMS nécessite des API Pure SignV4. Les régions créées avant le 30 janvier 2014 n'utilisent pas d'API Pure SignV4 en raison de la rétrocompatibilité avec SignV2. Par conséquent, SSE-KMS fonctionne uniquement dans les régions qui utilisent SignV4 pour communiquer. Pour connaître le calendrier d'enregistrement des différentes régions, consultez la documentation AWS.

La table suivante répertorie les paramètres cluster_config.json que vous pouvez utiliser pour configurer chaque fournisseur de stockage d'objets externe :

Paramètre	Azure	AWS	Compatible S3	Description
external_object_storage.enabled	✅	✅	✅	Indiquez si vous souhaitez apporter votre propre magasin d'objets. Valeurs possibles : true et false .
external_object_storage.create_bucket	✅	✅	✅	Indiquez si vous souhaitez enregistrer le compartiment. Valeurs possibles : true et false .
external_object_storage.storage_type	✅	✅	✅	Indiquez le fournisseur de stockage que vous souhaitez configurer. La valeur est sensible à la casse. Valeurs possibles : azure et s3. De nombreux magasins d'objets S3 nécessitent que CORS soit défini sur l'ensemble du trafic provenant du cluster Automation Suite. Vous devez configurer la stratégie CORS au niveau du magasin d'objets pour autoriser le nom de domaine complet du cluster.
external_object_storage.fqdn	❌	✅	✅	Indiquez le nom de domaine complet du serveur S3. Obligatoire dans le cas d’une instance AWS et d’un profil sans instance.
external_object_storage.port	❌	✅	✅	Indiquez le port S3. Obligatoire dans le cas d’une instance AWS et d’un profil sans instance.
external_object_storage.region	❌	✅	✅	Indiquez la région AWS où les compartiments sont hébergés. Obligatoire dans le cas d’une instance AWS et d’un profil sans instance.
external_object_storage.access_key	❌	✅	✅	Spécifiez la clé d'accès du compte S3. Uniquement requis dans le cas du profil AWS sans instance.
external_object_storage.secret_key	❌	✅	✅	Spécifiez la clé secrète du compte S3. Uniquement requis dans le cas du profil AWS sans instance.
external_object_storage.use_instance_profile	❌	✅	✅	Spécifiez si vous souhaitez utiliser un profil d’instance. Un profil d’instance AWS Identity and Access Management (IAM) accorde un accès sécurisé aux ressources AWS pour les applications ou les services exécutés sur des instances Amazon Elastic Compute Cloud (EC2). Si vous optez pour AWS S3, un profil d’instance permet à une instance EC2 d’interagir avec des compartiments S3 sans avoir besoin que les informations d’identification AWS explicites (telles que les clés d’accès) soient stockées sur l’instance.
external_object_storage.use_managed_identity	✅	❌	❌	Utilisez l'identité managée avec votre compte de stockage Azure. Valeurs possibles : true et false .
external_object_storage.bucket_name_prefix 1	❌	✅	✅	Indiquez le préfixe des noms de compartiment. Facultatif dans le cas du profil AWS sans instance.
external_object_storage.bucket_name_suffix 1	❌	✅	✅	Indiquez le suffixe des noms de compartiment. Facultatif dans le cas du profil AWS sans instance.
external_object_storage.account_key	✅	❌	❌	Spécifiez la clé de compte Azure. Uniquement requis lors de l’utilisation d’une identité non managée.
external_object_storage.account_name	✅	❌	❌	Spécifiez le nom du compte Azure.
external_object_storage.azure_fqdn_suffix	✅	❌	❌	Spécifiez le suffixe du nom de domaine complet Azure. Paramètre facultatif.
external_object_storage.client_id	✅	❌	❌	Indiquez votre ID de client Azure. Uniquement requis lors de l’utilisation de l’identité gérée.

¹ Lors de la configuration du stockage d'objets externe, vous devez suivre les règles de nommage et les conventions de votre fournisseur pour bucket_name_prefix et bucket_name_suffix. De plus, le suffixe et le préfixe doivent avoir une longueur combinée de 25 caractères maximum, et vous ne devez pas terminer le préfixe ou commencer le suffixe par un trait d'union (-) car nous ajoutons déjà le caractère pour vous automatiquement.

Pour garantir une communication sécurisée et compatible avec Automation Suite, votre magasin d'objets compatible S3 doit prendre en charge une ou plusieurs des suites de chiffrement TLS sécurisées suivantes :

• TLS 1.3 :
  • TLS_AES_128_GCM_SHA256
  • TLS_AES_256_GCM_SHA384
  • TLS_CHACHA20_POLY1305_SHA256
• TLS 1.2 :
  • TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
  • TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256

Remarque :

La liste des suites de chiffrement prises en charge peut évoluer au fil du temps pour s'aligner sur les meilleures pratiques de sécurité et les mises à jour dans la bibliothèque cryptographique Go. Pour obtenir la liste à jour, consultez la documentation Go.

Configuration spécifique au produit

Vous pouvez utiliser les paramètres décrits dans la section Configuration générale (General configuration) pour mettre à jour la configuration générale d'Automation Suite. Cela signifie que tous les produits installés partageraient la même configuration.

Si vous souhaitez configurer un ou plusieurs produits différemment, vous pouvez remplacer la configuration générale. Il vous suffit de spécifier le ou les produits pour lesquels vous souhaitez configurer différemment le stockage d'objets externes et d'utiliser les mêmes paramètres pour définir votre configuration. Notez que tous les autres produits installés continueront d'hériter de la configuration générale.

L'exemple suivant montre comment remplacer la configuration générale d'Orchestrator :

"external_object_storage": {
  "enabled": false, // <true/false>
  "create_bucket": true, // <true/false>
  "storage_type": "s3", // <s3,azure,aws>
  "fqdn": "",  // <needed in the case of aws instance and non-instance profile>
  "port": 443, // <needed in the case of aws instance and non-instance profile>
  "region": "", 
  "access_key": "", // <needed in the case of aws non instance profile>
  "secret_key": "", // <needed in the case of aws non instance profile>
  "use_managed_identity": false, // <true/false>
  "bucket_name_prefix": "",
  "bucket_name_suffix": "",
  "account_key": "", // <needed only when using non managed identity>
  "account_name": "",
  "azure_fqdn_suffix": "core.windows.net",
  "client_id": "" // <optional field in case of managed identity>
},

"orchestrator": {
  "external_object_storage": {
    "enabled": false, // <true/false>
    "create_bucket": true, // <true/false>
    "storage_type": "s3", // <s3,azure>
    "fqdn": "",  // <needed in the case of aws instance and non-instance profile>
    "port": 443, // <needed in the case of aws instance and non-instance profile>
    "region": "", 
    "access_key": "", // <needed in case of aws non instance profile>
    "secret_key": "", // <needed in case of aws non instance profile>
    "use_managed_identity": false, // <true/false>
    "bucket_name_prefix": "",
    "bucket_name_suffix": "",
    "account_key": "", // <needed only when using non managed identity>
    "account_name": "",
    "azure_fqdn_suffix": "core.windows.net",
    "client_id": "" // <optional field in case of managed identity>
  }
}

Rotation des identifiants de stockage d'objets blob pour Process Mining

Pour effectuer une rotation des informations d'identification de stockage d'objets blob pour Process Mining dans Automation Suite, les clés secrètes stockées doivent être mises à jour avec les nouvelles informations d'identification. Reportez-vous à Rotation des informations d'identification de stockage d'objets blob.

Configuration du magasin d'objets externe pour Insights

Lors de la configuration du magasin d'objets externe pour Insights, si le paramètre create_bucket est défini sur false, vous devez vous assurer que la valeur bucket_name que vous utilisez pour Insights est la même que celle de la plate-forme. Si create_bucket est défini sur true, aucune action n'est requise de votre part.

 "insights": {
    "enabled": true,
    "external_object_storage": {
      "bucket_name": "<same_as_platform_bucket_name"
    }
  },