Utiliser la liste d’autorisation de stockage FileSystem en toute sécurité

Dans la version v2020.4, nous avons ajouté à Orchestrator une nouvelle fonctionnalité appelée Compartiments de stockage (Storage Buckets). Cette fonctionnalité permet aux clients d'Orchestrator (essentiellement les workflows) de lire et écrire des données de type fichier. Nous avons par ailleurs intégré différentes mémoires auxiliaires, également appelées fournisseurs : Azure Blob Store, Amazon S3, Minio, Orchestrator (utilise le stockage configuré d'Orchestrator) et FileSystem.

Le fournisseur FileSystem permet à l’utilisateur final d'Orchestrator de définir un chemin où les données seront enregistrées, qu'il s'agisse d'un partage réseau (par exemple \\fileserver\\orchestrator_bucket) ou d'un chemin absolu sur le serveur Orchestrator (par exemple c:\data\orchestrator_bucket).

Si l’utilisateur final choisit un emplacement FileSystem contenant des informations sensibles ou généralement considéré comme une zone sensible de configuration et de paramétrage d’un système d’exploitation, cela peut avoir des conséquences non désirées sur le déploiement et l'utilisation d’Orchestrator.

C'est pour cette raison que nous déconseillons l’utilisation du fournisseur FileSystem et que nous l’avons désactivé par défaut pour les installations récentes et les mises à niveau.

Afin d'améliorer encore plus les mesures de sécurité liées à l’utilisation du fournisseur FileSystem, nous avons introduit, à partir des versions v2020.4.5 et v2020.10.7, une fonctionnalité de liste d'autorisation afin que l’administrateur Orchestrator puisse contrôler l’emplacement des compartiments que les utilisateurs finaux peuvent créer. Pour utiliser le fournisseur FileSystem, un administrateur Orchestrator doit d’abord activer le fournisseur et utiliser la fonctionnalité de liste d'autorisation dans le fichier Orchestrator UiPath.Orchestrator.dll.config et inclure la liste des emplacements que les utilisateurs seront autorisés à utiliser. Voir Buckets.FileSystem.Allowlist pour plus de détails à ce sujet.

Afin d'améliorer les problématiques de sécurité, les administrateurs d'Orchestrator doivent adopter les bonnes pratiques suivantes lorsqu’ils définissent les entrées de la liste d'autorisation :

• N’utilisez pas le répertoire racine d'installation d'Orchestrator ou tout répertoire servi par un serveur Web ;
• Assurez-vous que le dossier fourni ou le partage réseau ne contient pas de sous-répertoire ou de fichiers contenant des informations sensibles qui ne doivent pas être accessibles aux utilisateurs d'Orchestrator ou aux automatisations ;
• N’utilisez pas une partition complète, telle que C:\, car celle-ci pourrait permettre l'accès en lecture à des données inattendues ;
• Dans la mesure du possible, limitez l’accès à un sous-répertoire créé spécifiquement pour les compartiments de stockage. Par exemple, si vous utilisez C:\my_data pour stocker toutes vos données, vous pouvez créer un sous-répertoire appelé storage_buckets, puis ajouter C:\my_data\storage_buckets à la liste d'autorisation au lieu de C:\my_data ;
• Recherchez les éventuels fichiers et dossiers cachés avant de sélectionner les chemins autorisés, car ceux-ci peuvent contenir des données sensibles ;
• Utilisez un dossier spécifique d'un partage réseau, et non le partage réseau dans sa totalité (par exemple, \\server.corp\sharedfolder) ;
• N’autorisez pas de dossiers spécifiques au système, tels que C:\Windows, C:\Program Files ou C:\ProgramData, car ceux-ci peuvent contenir des informations sensibles ;
• Interdisez l'utilisation d'un partage administratif (par exemple, \\server.corp\c$\) ;
• Différents utilisateurs peuvent sélectionner le même emplacement sur disque pour les compartiments de stockage. Pour cette raison, aucun utilisateur ne doit stocker de données sensibles dans un compartiment, car il n’y a aucune garantie que les données soient restreintes à cet utilisateur ou à son locataire.