Gouvernance avec Automation Ops

Application centralisée des contrôles de sécurité de Delegate par le biais d’UiPath Automation Ops, y compris le ciblage des politiques et la base recommandée pour les environnements réglementés.

Aucun des contrôles de sécurité décrits dans Configuration de la sécurité locale n'est un paramètre personnel auquel les utilisateurs doivent avoir confiance. Tous peuvent être gérés de manière centralisée via UiPath Automation Ops, le même plan de gouvernance que vous utilisez déjà pour le reste de votre domaine UiPath.

Créer une politique

Prerequisites:

• You have Automation Ops administrator access in your Automation Cloud organization.
• The Assistant policy template is set to version 26.10.0 or later. To change the policy template version, see Select a policy template.

Pour créer et déployer une politique de gouvernance pour Delegate, procédez comme suit:

1. Connectez-vous à Automation Cloud et accédez à Automation Ops → Gouvernance.
2. Sélectionnez Ajouter une politique.
3. Select Assistant as the product the policy governs.
4. Donnez un nom à la politique.
5. Configurez la politique dans ses onglets: Outils, Agents d’assistance, Serveurs MCP, Sécurité, Autorisations d’outil, Modèles et Compétences & Connaissances - voir ci-dessous ce que chacun fait.
6. Sélectionnez Déployer la politique.

Résultat: la politique s'applique à la cible que vous avez configurée (utilisateur, groupe ou locataire) au prochain démarrage de l'application ou au début d'une nouvelle conversation. Si plusieurs stratégies ciblent le même utilisateur, la plus spécifique l' prisera. La propagation des modifications peut prendre jusqu’à 30 minutes. Les paramètres appliqués de cette manière sont réappliqués à partir de la stratégie en production à chaque fois et ne sont jamais stockés selon le choix de l’utilisateur.

Appliquer de manière centralisée

Ce que chaque onglet de politique contrôle:

Outils

Active ou désactive des outils individuels par catégorie et définit de manière centralisée les restrictions de chemin, de commande, de site et d'application — les mêmes contrôles décrits dans Terminal et fichiers, Fichiers protégés et Automatisation de l'interface utilisateur dans Référence des paramètres de sécurité, appliqués au niveau de la politique plutôt que localement.

Agents d’aide

Permet ou bloque la capacité de Delegate à déléguer du travail à un agent d’assistance, pour toutes les cibles de la politique.

Serveurs MCP

Contrôle si les utilisateurs peuvent ajouter leurs propres serveurs MCP et vous permet d’enregistrer automatiquement des serveurs MCP distants pour tous les membres du groupe de stratégie - les utilisateurs s’y connectent sans aucune configuration et ne peuvent pas les supprimer. Les serveurs enregistrés doivent être des points de terminaison distants; les serveurs locaux ne peuvent pas être enregistrés de manière centralisée de cette façon. Voir Connexion des outils pour le fonctionnement quotidien des serveurs MCP.

Sécurité

Verrouille le mode d'approbation et le mode de contexte d'écran afin que les utilisateurs ne puissent pas les modifier localement, et vous permet d'ajouter des instructions personnalisées à l'échelle de l'organisation à chaque conversation en plus de ce que l'utilisateur ajoute lui-même. Consultez la section Configuration de la sécurité locale pour connaître l'apparence de ces contrôles côté utilisateur.

Autorisations de l’outil

Définit Autoriser, Demander ou Bloquer pour chaque opération d'outil et de connecteur individuelle — les contrôles granulaires décrits dans les autorisations des outils dans la référence des paramètres de sécurité, appliqués au niveau de la politique. La lecture et l'écriture sont contrôlées séparément: la lecture d'une boîte de réception et l'envoi d'un e-mail, ou la lecture d'une feuille de calcul et la suppression d'une feuille, sont chacune leur opération. Par défaut, les opérations de lecture s'exécutent automatiquement et les opérations d'écriture demandent d'abord. Par exemple, vous pouvez définir l'opération de suppression d'Outlook sur Bloquer, afin que Delegate puisse lire et envoyer des e-mails, mais ne peut jamais les supprimer.

Modèles

Sélectionne le modèle par défaut et les modèles qui sont disponibles pour les utilisateurs. Voir Choix du modèle LLM.

Compétences et connaissances

Autorise ou bloque les connaissances d’ancrage dans le contexte — bases de connaissances de l’organisation et index de documents utilisés pour les réponses ancrées. Voir les Index d'ancrage dans le contexte dans la référence des paramètres.

Base de référence recommandée pour les environnements réglementés

Gardez les voies puissantes disponibles mais étroitement contrôlées, plutôt que de les désactiver. Tous les éléments suivants peuvent être appliqués de manière centralisée via Automation Ops:

Autorisation et accès

• Autorisation: définissez le Mode d’approbation sur Attention et fermez-le. Ne déployez pas le mode Autonome pour les utilisateurs réglementés.
• Privilege: exécutez Delegate sans privilèges d'administrateur, afin que les applications exécutées en tant qu'administrateur restent hors de sa portée.
• Par opération: définissez les opérations destructrices, telles que la suppression d’e-mails ou de fichiers, sur Rejeter pour les utilisateurs qui ne devront jamais les effectuer.
• Pré-approbation: pré-approuver uniquement les applications et les sites que vous avez validés, et examiner la liste périodiquement.

Scripts et restrictions

• Scripts: conservez la sandbox stricte et accordez uniquement les besoins de script des dossiers. Désactivez l'accès au réseau, sauf si cela est requis.
• Restriction: appliquez des sites et des applications bloqués, en utilisant le catalogue de sites sensibles intégré comme point de départ, et des chemins bloqués pour les outils et les compétences.
• Intégrations: laissez MCP désactivé, sauf s’il existe un besoin spécifique et examiné.

Données et modèle

• Informations d’identification: stockez les informations d’identification dont le Delegate a besoin dans UiPath Orchestrator et faites en sorte qu’il les récupère à partir de là au moment de l’exécution, plutôt que de les saisir ou de les stocker sur l’appareil.
• Modèle: pour les besoins les plus stricts de résidence des données, apportez votre propre modèle, hébergé localement, afin que l’intégralité du flux de données reste dans votre environnement et sous votre contrôle.
• Données: utilisez le stockage des conversations uniquement en local où l’historique de chat ne doit pas quitter l’appareil.

Confirmez la base de référence exacte auprès de votre équipe UiPath par rapport à vos exigences de conformité spécifiques.

Questions fréquemment posées

Nous sommes une banque. Quels paramètres recommandez-vous par défaut?

Définissez le Mode d’approbation sur Avertissement et verrouiller, exécutez Delegate sans privilèges d’administrateur, conservez la sandbox stricte activée pour les scripts et accordez uniquement les dossiers dont il a besoin, appliquez des sites et des applications bloqués à l’aide du catalogue intégré comme point de départ, définissez des opérations destructrices telles que Rejeter, stocker les informations d'identification dans UiPath Orchestrator, pré-approuver uniquement les applications et les sites que vous avez validés, laisser MCP désactivé et utiliser le stockage des conversations uniquement en local si l'historique de chat doit rester sur l'appareil. Consultez la liste de contrôle de base ci-dessus pour obtenir la liste complète.

Nous installons Delegate dans un environnement approuvé et isolé pour les tests. Que recommandez-vous?

Dans un environnement de test approuvé sans données de production et sans informations d'identification réelles, vous pouvez étirer les contrôles pour évaluer l'ensemble des fonctionnalités. Le mode équilibré est une valeur par défaut sensible pour les tests, et le mode Autonome peut être utilisé pour explorer librement les scripts et l'automatisation. Gardez les secrets et les systèmes de production réels en dehors de cet environnement et appliquez la base de référence ci-dessus avant de passer à la production.