Gouvernance avec Automation Ops

Application centralisée des contrôles de sécurité de Delegate via UiPath Automation Ops, y compris le ciblage de la politique et la base de référence recommandée pour les environnements réglementés.

Aucun des contrôles de sécurité décrits dans la section Configuration de la sécurité locale ne constitue un simple paramètre personnel dont la gestion doit être confiée aux utilisateurs. Tous peuvent être gérés de manière centralisée via UiPath Automation Ops, le même plan de gouvernance que vous utilisez déjà pour le reste de votre environnement UiPath.

Création d’une politique

Prerequisites:

• Vous disposez d'un accès administrateur Automation Ops dans votre organisation Automation Cloud.
• Le modèle de politique Assistant est défini sur la version 26.10.0 ou ultérieure. Pour modifier la version du modèle de politique, consultez la section Sélectionner un modèle de politique.

Pour créer et déployer une politique de gouvernance pour Delegate, procédez comme suit :

1. Connectez-vous à Automation Cloud et accédez à Automation Ops → Governance.
2. Sélectionnez Ajouter une politique.
3. Sélectionnez Assistant comme produit régi par la politique.
4. Donnez un nom à la politique.
5. Configurez la politique dans ses onglets : Outils, Agents d'aide, Serveurs MCP, Sécurité, Autorisations d'outils, Modèles et Compétences et connaissances - vous trouverez ci-dessous une description de la fonction de chacun d'entre eux.
6. Sélectionnez Déployer la politique.

Résultat : la politique s'applique à la cible que vous avez configurée - utilisateur, groupe ou locataire - la prochaine fois que l'application démarre ou qu'une nouvelle conversation commence. Si plusieurs politiques ciblent le même utilisateur, la plus spécifique gagne. La propagation des modifications peut prendre jusqu'à 30 minutes. Les paramètres appliqués de cette manière sont réappliqués à chaque fois à partir de la politique active et ne sont jamais stockés comme le choix de l’utilisateur.

Applicable de manière centralisée

Ce que chaque onglet de politique contrôle :

Outils

Active ou désactive des outils individuels par catégorie et définit les restrictions de chemin d'accès, de commande, de site et d'application de manière centralisée ; les mêmes contrôles décrits dans Terminal et fichiers, Fichiers protégés et UI Automation dans la référence des paramètres de sécurité, appliqués au niveau de la politique plutôt que localement.

Les restrictions d'application se trouvent sous Restrictions d'utilisation de l'ordinateur dans l'onglet Outils . Dans les listes Applications bloquées et Applications pré-approuvées , saisissez chaque application par son nom, sans l'extension .exe ou un chemin de dossier. Par exemple, saisissez Excel ou 1Password, et non EXCEL.EXE ou C:\Program Files\Microsoft Office\root\Office16\EXCEL.EXE.

Une entrée d'application bloquée correspond à toute application dont le nom la contient, en ignorant la casse, de sorte que Excel bloque Microsoft Excel. Choisissez un nom suffisamment spécifique pour éviter de bloquer d’autres applications par accident. Par exemple, Code bloque à la fois le code Visual Studio et Xcode.

Agents d’aide

Autorise ou bloque la possibilité de déléguer du travail à un agent d’assistance, pour toutes les cibles de la politique.

Serveurs MCP

Contrôle si les utilisateurs peuvent ajouter leurs propres serveurs MCP et vous permet d’enregistrer automatiquement des serveurs MCP distants pour tous les membres du groupe de stratégie - les utilisateurs s’y connectent sans aucune configuration et ne peuvent pas les supprimer. Les serveurs enregistrés doivent être des points de terminaison distants; les serveurs locaux ne peuvent pas être enregistrés de manière centralisée de cette façon. Voir Configuration des outils externes avec des serveurs MCP pour le fonctionnement des serveurs MCP au jour le jour.

Sécurité

Verrouille le mode d'approbation, le mode de contexte de l'écran et l'accès restreint afin que les utilisateurs ne puissent pas les modifier localement, vous permet de choisir où les nouvelles tâches sont stockées et de limiter les destinations de télémétrie, et vous permet de pré-ajouter des instructions personnalisées à l'échelle de l'organisation à chaque conversation en plus de ce que l'utilisateur ajoute lui-même. Consultez la section Configuration de la sécurité locale pour savoir à quoi ressemblent ces contrôles du côté de l’utilisateur.

Autorisations de l’outil

Définit Autoriser, Demander ou Bloquer pour chaque opération d'outil et de connecteur - les contrôles granulaires décrits dans la section Autorisations de l'outil dans la référence des paramètres de sécurité, appliqués au niveau de la stratégie. La lecture et l’écriture sont contrôlées séparément : la lecture d’une boîte de réception et l’envoi d’un e-mail, ou la lecture d’une feuille de calcul et la suppression d’une feuille constituent chacune une opération distincte. Par défaut, les opérations de lecture s'exécutent automatiquement et les opérations d'écriture font l'objet d'une demande préalable - par exemple, vous pouvez définir l'opération de suppression d'Outlook sur Bloquer, afin que Delegate puisse lire et envoyer des e-mails, mais ne puisse jamais les supprimer.

Modèles

Sélectionne le modèle par défaut et les modèles disponibles pour les utilisateurs. Consultez la section Choix du modèle LLM.

Compétences et connaissances

Autorise ou bloque les connaissances d’ancrage dans le contexte — bases de connaissances de l’organisation et index de documents utilisés pour les réponses ancrées. Le bouton bascule local se trouve sous Modules complémentaires et intégrations - voir Référence des outils.

Base de référence recommandée pour les environnements réglementés

Conservez les chemins d'accès puissants disponibles, mais étroitement contrôlés, plutôt que de les désactiver. Toutes les options suivantes peuvent être appliquées de manière centralisée via Automation Ops :

Autorisation et accès

• Autorisation: définissez le Mode d’approbation sur Attention et fermez-le. Ne déployez pas le mode d’accès complet pour les utilisateurs réglementés.
• Privilège : exécutez Delegate sans privilèges d'administrateur, afin que les applications s’exécutant en tant qu'administrateur restent hors de portée.
• Par opération : définissez les opérations destructives, telles que la suppression d'e-mails ou de fichiers, sur Rejeter pour les utilisateurs qui ne doivent jamais les effectuer.
• Pré-approbation: pré-approuver uniquement les applications et les sites que vous avez validés, et examiner la liste périodiquement.

Scripts et restrictions

• Scripts: conservez la sandbox stricte et accordez uniquement les besoins de script des dossiers. Désactivez l'accès au réseau, sauf si cela est requis.
• Restriction : appliquez les sites et les applications bloqués, en utilisant le catalogue de sites sensibles intégré comme point de départ, et les chemins d'accès bloqués pour les outils et les compétences.
• Intégrations : laissez MCP désactivé, à moins qu'il n'y ait un besoin spécifique et examiné.

Données et modèle

• Identifiants : stockez les identifiants dont Delegate a besoin dans UiPath Orchestrator, récupérés lors du runtime plutôt que d'être entrés ou stockés sur l'appareil.
• Modèle : pour les besoins de résidence des données les plus stricts, apportez votre propre modèle, hébergé localement, afin que l’ensemble du flux de données reste dans votre environnement et sous votre contrôle.
• Données : utilisez le stockage local des conversations lorsque l'historique des chats ne doit pas quitter l'appareil.

Confirmez la base de référence exacte avec votre équipe UiPath par rapport à vos exigences de conformité spécifiques.

Questions fréquemment posées

Nous sommes une banque. Quels paramètres recommandez-vous par défaut?

Définissez le mode d’approbation sur Prudent et verrouillez-le, exécutez Delegate sans privilèges d'administrateur, conservez le bac à sable strict pour la création de scripts et n'accordez l'accès qu'aux dossiers nécessaires, appliquez le blocage des sites et des applications en utilisant le catalogue intégré comme point de départ, définissez les opérations destructives telles que la suppression sur Rejeter, stockez les identifiants dans UiPath Orchestrator, pré-approuvez uniquement les applications et les sites que vous avez vérifiés, désactivez le MCP et utilisez le stockage uniquement local des conversations si l’historique des chats doit rester sur l’appareil. Consultez la liste de contrôle de référence ci-dessus pour obtenir la liste complète.

Nous installons Delegate dans un environnement approuvé et isolé pour les tests. Que recommandez-vous ?

Dans un environnement de test approuvé sans données de production et sans informations d'identification réelles, vous pouvez étirer les contrôles pour évaluer l'ensemble des fonctionnalités. Le mode adaptatif est un choix par défaut sensible pour les tests, et le mode d'accès complet peut être utilisé pour explorer librement les scripts et l'automatisation. Gardez les secrets et les systèmes de production réels en dehors de cet environnement et appliquez la base de référence ci-dessus avant de passer à la production.