Sécurité et conformité

Politiques du contrôleur d'accès et de l'OPA

Automation Suite is pre-configured with Gatekeeper and OPA policies. If you bring your own Gatekeeper component and OPA policies, you can skip these components from the Automation Suite installation. For details, see Automation Suite stack. In this case, review the OPA policies and the exceptions needed for installing and running Automation Suite.

Stratégies OPA

Policy	Actionsd’application	Espaces de noms/images à exclure
Autoriser l’escalade de privilèges dans le conteneur Contrôle la restriction de l’escalade aux privilèges root. Correspond au champ allowPrivilegeEscalation dans PodSecurityPolicy	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air
Protection de l'application Configure une liste d'autorisation de profils Apparmor à utiliser par les conteneurs. Cela correspond à des annotations spécifiques appliquées à PodSecurityPolicy.	deny	kube-system
Capabilities Contrôle les capacités Linux sur les conteneurs. Correspond aux champs allowedCapabilities et requiredDropCapabilities dans PodSecurityPolicy.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air
FlexVolumes Contrôle la liste d’autorisation des pilotes FlexVolume. Correspond au champ allowedFlexVolumes dans PodSecurityPolicy.	deny	S/O
Sysctls interdits	deny	istio-system
Groupe FS Contrôle l'attribution d'un FSGroup qui possède les volumes du pod. Correspond au champ fsGroup dans PodSecurityPolicy.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air prereq**
Système de fichiers de l'hôte Contrôle l’utilisation du système de fichiers hôte. Correspond au champ allowedHostPaths dans PodSecurityPolicy.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argocd Par défaut istio-system gestionnaire-certificats surveillance
Host Namespace Interdit le partage des espaces de noms PID et IPC de l'hôte par les conteneurs de pods. Correspond aux champs hostPID et hostIPC dans PodSecurityPolicy.	deny	kube-system surveillance
Ports de mise en réseau de l'hôte Contrôle l'utilisation de l'espace de noms du réseau hôte par les conteneurs de pods.	deny	Gatekeeper logging dapr-system uipath-installer kube-system argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air prereq**
Conteneur privilégié Contrôle la capacité de n'importe quel conteneur à activer le mode privilégié. Correspond au champ privileged dans PodSecurityPolicy.	deny	Gatekeeper logging dapr-system uipath-installer kube-system argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air
Proc Mount Contrôle les types procMount autorisés pour le conteneur. Correspond au champ allowedProcMountTypes d'une PodSecurityPolicy.	deny	S/O
Système de fichiers racine en lecture seule Nécessite l'utilisation d'un système de fichiers racine en lecture seule par les conteneurs de pods.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air prereq**
CompSec. Contrôle le profil seccomp utilisé par les conteneurs. Correspond à l'annotation seccomp.security.alpha.kubernetes.io/allowedProfileNames sur PodSecurityPolicy.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air
SELinux V2 Définit une liste d'autorisation de configurations seLinuxOptions pour les conteneurs de pods.	deny	S/O
Utilisateurs autorisés Contrôle les ID d'utilisateur et de groupe du conteneur et de certains volumes.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air velero
Types de volumes Limite les types de volumes montables à ceux spécifiés par l'utilisateur.	deny	surveillance logging

Remarque :

• L'espace de noms dapr-system n'est nécessaire que si vous installez Process Mining et Task Mining.
• L'espace de noms airflow n'est nécessaire que si vous installez Process Mining.
• prereq** sont des espaces de noms temporaires créés lors de l'exécution d'un prérequis ou d'une vérification de l'état. Les espaces de noms s'auto-suppriment une fois terminés.

Autres politiques OPA

Policy	Actionsd’application	Espaces de noms/images à exclure
Jeton de compte de service de montage automatique pour le pod Contrôle la capacité de n'importe quel pod à activer automountServiceAccountToken.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air prereq**
Référentiels autorisés Exige que les images de conteneur commencent par une chaîne de la liste spécifiée.	dryrun	registry.uipath.com registry-data.uipath.com
Bloquer le point de terminaison Modifier le rôle par défaut	deny	S/O
Bloquer les services avec le type LoadBalancer Interdit tous les services de type LoadBalancer.	deny	kube-system
Bloquer NodePort Interdit tous les services de type NodePort.	deny	istio-system vérifications préalables au réseau
Bloquer l'entrée de caractères génériques Les utilisateurs ne doivent pas pouvoir créer des entrées avec un nom d'hôte vide ou générique (*), car cela leur permettrait d'intercepter le trafic pour d'autres services du cluster, même s'ils n'ont pas accès à ces services.	deny	S/O
Limites des conteneurs Exige que les conteneurs aient des limites de mémoire et de processeur définies. Contraint les limites à respecter les valeurs maximales spécifiées.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air prereq**
Requêtes de conteneur Nécessite que les requêtes de mémoire et de processeur des conteneurs soient définies. Contraint les requêtes à se situer dans les valeurs maximales spécifiées.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air prérequis**"
Rapports de conteneur Définit un ratio maximal entre les limites des ressources de conteneur et les requêtes.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air prereq**
Ressources requises Nécessite que les conteneurs aient des ressources définies.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air prereq**
Interdire l’accès anonyme Interdit d’associer les ressources ClusterRole et Role à l’utilisateur system:anonymous et au groupe system:unauthenticated .	deny	S/O
Disallow tags Exige que les images de conteneur aient une balise d'image différente de celles de la liste spécifiée.	deny	S/O
Limite de stockage éphémère du conteneur Exige que les conteneurs aient une limite de stockage éphémère définie et que la limite se situe dans les valeurs maximales spécifiées.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd Par défaut istio-system gestionnaire-certificats surveillance flux d’air prereq**
Autoscaler de pod horizontal	deny	S/O
HTTPS uniquement Exige que les ressources Ingress soient uniquement HTTPS. Les ressources d'entrée doivent inclure l'annotation kubernetes.io/ingress.allow-http , définie sur false. Par défaut, une configuration TLS {} valide est requise. Cela peut être rendu facultatif en définissant le paramètre tlsOptional sur true.	dryrun	surveillance
Condensés d'image Les images de conteneur doivent contenir un résumé.	dryrun	UiPath
Bloquer la mise à jour du compte de service Bloque la mise à jour du compte de service sur les ressources qui extraient les pods. Cette stratégie est ignorée en mode audit.	dryrun	S/O
budget de perturbation du pod	deny	flux d’air
Sondes requises Les pods doivent disposer de sondes de disponibilité et/ou de vitalité.	dryrun	UiPath
Classe de stockage Les classes de stockage doivent être spécifiées lors de l'utilisation.	dryrun	S/O
Unique Ingress Host Nécessite que tous les hôtes de règles Ingress soient uniques.	dryrun	S/O
Unique Service Selector Nécessite que les services aient des sélecteurs uniques dans un espace de noms. Les sélecteurs sont considérés comme identiques s'ils ont des clés et des valeurs identiques. Les sélecteurs peuvent partager une paire clé/valeur tant qu’il existe au moins une paire clé/valeur distincte entre eux.	dryrun	S/O

Remarque :

• L'espace de noms dapr-system n'est nécessaire que si vous installez Process Mining et Task Mining.
• L'espace de noms airflow n'est nécessaire que si vous installez Process Mining.
• prereq** sont des espaces de noms temporaires créés lors de l'exécution d'un prérequis ou d'une vérification de l'état. Les espaces de noms s'auto-suppriment une fois terminés.

Politiques de mise en réseau

Automation Suite is pre-configured with standard Kubernetes Network Policies to follow the principle of least privilege network access. You can choose to skip installing UiPath-provided network policies by adding network-policies under the exclude components list in input.json. To learn more about optional components, see the Automation Suite stack.

Automation Suite applique le réseau depuis, vers et dans l'espace de noms uipath. Si vous apportez vos propres stratégies réseau ou si vous avez un CNI personnalisé (par ex., Cilium Enterprise ou Calico Tigera Enterprise), veillez à mettre à jour vos stratégies pour qu'elles reflètent le graphique Helm network-policies.

Vous pouvez trouver le graphique Helm Automation Suite network-policies en exécutant la commande suivante.

Remarque :

• Vous devez remplacer <automation-suite-version> par votre version actuelle d'Automation Suite dans la commande suivante.
• Vous devez décompresser le fichier pour extraire le graphique Helm.

helm pull oci://registry.uipath.com/helm/network-policies --version <automation-suite-version>

Exigences en matière de privilèges de cluster

L'accès à l'administrateur de cluster est requis pour uipathctl sur votre nœud de gestion afin d'installer et de gérer Automation Suite sur votre cluster dédié. Ce niveau d'accès est nécessaire pour les composants de niveau système dans Automation Suite, tels qu'Istio (routage/service mesh) et ArgoCD (déploiement et gestion du cycle de vie des applications), et pour créer des espaces de noms liés à Automation Suite.