Configuring input.json

EKS/AKS での Automation Suite インストールのinput.json構成オプションと構造については、こちらをご覧ください。

input.json ファイルでは、デプロイする UiPath® 製品、選択した製品に適用するパラメーター、設定、およびクラウド インフラストラクチャの設定を構成できます。クラスターに対する既定値を変更したり、何らかの高度な構成を使用したりする場合は、このファイルを更新する必要があります。

注:

Some products might have dependencies. For details, refer to Automation Suite products.

input.json を編集するには、クライアント マシン上でお気に入りのテキスト エディターを使用できます。

次の表で、Automation Suite を適切に構成するために更新する必要がある主な input.json パラメーターについて説明します。

一般的なパラメーター	説明
kubernetes_distribution	使用する Kubernetes ディストリビューションを指定します。aks または eks を指定できます。
install_type	クラスターをオンライン モードまたはオフライン モードのどちらでデプロイするかを指定します。指定しない場合、クラスターはオンライン モードでデプロイされます。クラスターをオフライン モードでデプロイするには、install_type パラメーターの値を明示的に offline に設定する必要があります。 設定可能な値: online および offline。 既定値: online
registries	UiPath® 製品および Automation Suite の Docker イメージと Helm チャートをプルするための URL です。 registry.uipath.com
istioMinProtocolVersion	セキュリティで保護された通信のために Istio で受け入れられている TLS プロトコルの最小バージョンです。 TLSV1_2 または TLSV1_3のいずれかに設定できます。
fqdn	Automation Suite のロード バランサーのエンドポイントです。
admin_username	ホスト組織の管理者として設定するユーザー名です。
admin_password	設定されるホスト管理者パスワード。
profile	インストールのプロファイルを設定します。使用可能なプロファイルは次のとおりです。 - lite:ライトモードプロファイル。 - ha:マルチノードの HA 対応の運用プロファイル。 For details about managing profiles, refer to Profile configuration.
network	Enables IPv4/IPv6 operation for the cluster networking stack used by Automation Suite. For details, refer to Networking.
telemetry_optout	true または false - UiPath® へのテレメトリ送信をオプトアウトするために使用します。既定では [ false ] に設定されています。オプトアウトする場合は、[ true] に設定します。
fips_enabled_nodes	Automation Suite をインストールするノードで FIPS 140-2 を有効化するかどうかを指定します。 設定可能な値は true と falseです。
storage_class	PV プロビジョニングに使用するストレージ クラスを指定します。 このストレージ クラスは、最適な高可用性を実現するために複数のレプリカをサポートし、バックアップ機能を備えている必要があります。 For details, refer to the Block storage section.
storage_class_single_replica	PV プロビジョニングに使用するストレージ クラスを指定します。 このストレージ クラスは、高可用性を必要としないコンポーネント用に 1 つのレプリカを持つことができます。 ストレージ クラスにバックアップ機能を持たせることはできません。 For details, refer to the File storage section. storage_class_single_replica値は、storage_class値と同じにすることができます。
storage_class_name_with_rwx_support	ReadWriteMany (RWX) アクセス モードをサポートする StorageClass を指定します。このフィールドにより、共有永続ボリュームを必要とするコンポーネントが、正しい RWX 対応ストレージを使用するようになります。 Studio Web または ECS が有効化されている場合、このフィールドを空にすることはできません。空のままにすると、検証中にエラーがスローされます。 新規インストールの場合は、RWX (ReadWriteMany) がサポートされている StorageClass 名を指定します。 Studio Web を使用して 2.2510.0 より前のバージョンからアップグレードする場合は、 storage_class_single_replicaで指定されているのと同じストレージ クラス名を使用し、RWX アクセス モードをサポートしていることを確認します。
exclude_components	このパラメーターを使用して、重要でないコンポーネントがインストールされないようにします。 For details, refer to Bring your own components.
namespace	Automation Suite をインストールする名前空間を指定します。 For details, refer to Custom namespace configuration.
argocd.application_namespace	インストールする予定のアプリケーションの名前空間です。 これは、Automation Suite をインストールする予定の名前空間と同じにするのが理想的です。
argocd.project	Automation Suite のデプロイに必要な ArgoCD プロジェクト。 これは、専用の ArgoCD インスタンスではなく、共有またはグローバルな ArgoCD インスタンスを使用する場合にのみ必要です。
workload_resources	Configures CPU and memory requests and limits for workloads created by uipathctl. For details, refer to Configuring resource requests and limits for uipathctl-created workloads.

設定例については、以下を参照してください。

• AKS input.json の例
• EKS input.json の例

プロファイル構成

Automation Suite のインストール時に、以下のプロファイル モードから選択できます。

• 設定可能な高可用性プロファイル (ライト モード)
• 標準高可用性プロファイル (HA モード)

ライト モードでのみ、特定の製品を高可用性 (HA) に切り替えることができます。 この柔軟性により、重要ではないワークロードから開始し、重要なワークロードをオンボードするときに簡単に HA モードに自由に切り替えることができます。

製品の高可用性 (HA) を有効化するには、 input.json ファイルを変更する必要があります。具体的には、可用性を高める製品の profile パラメーターを ha に変更する必要があります。

  ....
  "automation_ops": {
    "enabled": true,
    "profile": "ha" // flag for turning on high availability
  },
  "action_center": {
    "enabled": true,
    "profile": "lite"
  },
  ...

ライト モードから HA モードに切り替えるには、次の手順を実行します。

1. プラットフォーム レベルで Standard HA に切り替えるのに十分なインフラストラクチャ機能があることを確認します。 既定では、ライト モードでは、水平ポッド スケーリングが有効化されたレプリカが各製品に 1 つ設定されます。
2. input.json構成ファイルを編集し、対象製品の profile パラメーターを変更します。
3. 変更を適用するには、次のコマンドを実行します。

    uipathctl manifest apply
   

UiPath® 製品

You can enable and disable products in Automation Suite at the time of installation and at any point post-installation. For details on each product configuration, refer to Managing products.

注:

選択した製品によっては、一部の構成が利用できない場合があります。たとえば、Insights では現在、Microsoft Entra がサポートされている SQL、ストレージ、およびその他のリソースにアクセスするための Microsoft Entra ID (旧称 Azure Active Directory) の認証設定はサポートされていません。

Orchestrator の例:

"orchestrator": {
  "enabled": true,
  "external_object_storage": {
    "bucket_name": "uipath-as-orchestrator"
  },
  "testautomation": {
    "enabled": true
  },
  "updateserver": {
    "enabled": true
  }

独自のコンポーネントを利用する

Automation Suite では、独自の Gatekeeper および OPA ポリシー、Cert Manager、Istio、監視、ログ コンポーネントなどを利用できます。これらのコンポーネントを除外する場合は、Automation Suite をインストールする前に、対応するコンポーネントで利用可能なことを確認してください。

• For the list of optional components and responsibility matrix, refer to Automation Suite stack.
• Make sure to review the compatibility matrix for versions that are validated with Automation Suite.

以下のサンプルは、除外されたコンポーネントの一覧を示しています。Automation Suite でプロビジョニングするコンポーネントは削除できます。

   "exclude_components": [
        "alerts",
        "auth",
        "istio",
        "cert-manager",
        "logging",
        "monitoring",
        "gatekeeper",
        "network-policies",
        "velero",
    "external-secrets"
  ]

Istio を除外する

If you bring your own Istio component, make sure to include the gateway_selector labels from your Istio gateway in the input.json file. Starting from Automation Suite 2.2510.2, you can also set the istio_gateway_service_name parameter in the ingress section of input.json to configure the Istio ingress gateway service name. For more details, refer to AKS input.json example or EKS input.json example.

ゲートウェイ セレクターのラベルを見つけるには、以下の手順を実行します。

1. kubectl get pods -n <istio-system> コマンドを実行して、名前空間 <istio-system> 内のすべてのポッドを一覧表示します。
2. お使いの Istio ゲートウェイのデプロイ用ラベルを 1 つ見つけます。

注:

WASM プラグインを自身でインストールする予定で、Automation Suite インストーラーに <istio-system> 名前空間への書き込みアクセス権を付与しないようにするには、 istio-configure コンポーネントを exclude_components リストに追加する必要があります。

Cert Manager を除外する

独自の Cert Manager を使用することを選択し、TLS 証明書がプライベートまたは非公的 CA によって発行されている場合は、リーフ証明書と中間 CA 証明書の両方を TLS 証明書ファイルに手動で追加する必要があります。 公的 CA の場合は、クライアント システムによって自動的に信頼されるので、ユーザーの操作は不要です。

証明書の設定

インストール時に証明書を指定しない場合、インストーラーが自己発行の証明書を作成し、それをクラスターに設定します。

注:

インストール時に証明書を作成できるのは、インストール時に Automation Suite インストーラーに管理者権限を付与した場合のみです。 インストーラーの管理者権限を付与できない場合は、証明書を自分で作成して管理する必要があります。

For details on how to obtain a certificate, refer to Managing the certificates.

注:

必ず、証明書ファイルの絶対パスを指定してください。pwd を実行して、ファイルが配置されているディレクトリのパスを取得し、 input.json に記載された証明書ファイル名を付加します。

パラメーター	説明
server_certificate.ca_cert_file	証明機関 (CA) の証明書への絶対パスです。この証明機関は、TLS 証明書に署名する権威となります。CA バンドルには、TLS 証明書への署名に使用するチェーン証明書のみを含める必要があります。チェーンの証明書の制限は 9 個です。 自己署名証明書を使用している場合は、前に作成した rootCA.crt へのパスを指定する必要があります。インストーラーで生成する場合は空白のままにします。
server_certificate.tls_cert_file	TLS 証明書への絶対パス (server.crt は自己署名証明書)。インストーラーで生成する場合は空白のままにします。 証明書を自分で提供する場合は、次の例に示すように、 server.crt ファイルにチェーン全体が含まれている必要があります。 -----server cert----- -----root ca chain-----
server_certificate.tls_key_file	証明書のキーへの絶対パス (server.key は自己署名証明書)。インストーラーで生成する場合は空白のままにします。
identity_certificate.token_signing_cert_file	トークンへの署名に使用する ID トークン署名証明書への絶対パス (identity.pfx は自己署名証明書) です。サーバー証明書を使用して、インストーラーで ID 証明書を生成する場合は、空白のままにします。
identity_certificate.token_signing_cert_pass	ID トークン署名証明書をエクスポートする際に設定するプレーン テキストのパスワードです。
additional_ca_certs	Automation Suite の一部として実行されるすべてのサービスに信頼させる、追加の CA 証明書を含むファイルへの絶対パス。ファイルに含まれるすべての証明書は、有効な PEM 形式である必要があります。 たとえば、証明書が公的証明機関によって発行されていない場合、SQL Server の CA 証明書を含むファイルを指定する必要があります。

インフラストラクチャの前提条件

Azure または AWS に設定した前提条件の構成の詳細を指定する必要があります。input.jsonパラメーターの要件については、以下の前提条件のセクションを参照してください。

• SQL database (mandatory)
• Caching (mandatory)
• Storage (mandatory)
• Networking (mandatory)
• NGINX ingress configuration (optional)
• Proxy configuration (optional)

外部 ObjectStore の構成

全般的な構成

Automation Suite では、独自の外部ストレージ プロバイダーを利用できます。以下のストレージ プロバイダーから選択できます。

• Azure
• AWS
• S3 互換

外部オブジェクト ストレージは、次のいずれかの方法で構成できます。

• インストール中に設定する。
• インストール後に input.json ファイルを使用する

注:

• 署名付き URL を使用しても Automation Suite が正しく機能するためには、Automation Suite クラスター、ブラウザー、すべてのマシン (ワークステーションとロボット端末を含む) から外部 ObjectStore にアクセスできることを確認する必要があります。
• キー管理サービスによるサーバー側の暗号化 (SSE-KMS) は、2014 年 1 月 30 日以降に作成されたリージョンにデプロイされた Automation Suite バケットでのみ有効化できます。

  SSE-KMS 機能には、純粋な SignV4 API が必要です。2014 年 1 月 30 日より前に作成されたリージョンでは、SignV2 との下位互換性があるため、純粋な SignV4 API は使用されません。したがって、SSE-KMS は、通信に SignV4 を使用するリージョンでのみ機能します。それぞれのリージョンがプロビジョニングされた時期を確認するには、AWS のドキュメントをご覧ください。

プライベート エンドポイントを使用してコンテナーにアクセスする場合は、input.json ファイルに fqdn パラメーターを追加し、値としてプライベート エンドポイントを指定する必要があります。

次の表に、外部オブジェクト ストレージの各プロバイダーを設定するために使用できる input.json のパラメーターを示します。

パラメーター	Azure	AWS	S3 互換	説明
external_object_storage.enabled	✅	✅	✅	独自のオブジェクト ストアを使用するかどうかを指定します。 設定可能な値: true および false。
external_object_storage.create_bucket	✅	✅	✅	バケットをプロビジョニングするかどうかを指定します。 設定可能な値: true および false。
external_object_storage.storage_type	✅	✅	✅	構成するストレージ プロバイダーを指定します。この値は大文字と小文字が区別されます。 設定可能な値: azure および s3。 多くの S3 ObjectStore では、Automation Suite クラスターからのトラフィックすべてに CORS を設定する必要があります。CORS ポリシーを ObjectStore レベルで設定して、クラスターの FQDN を許可する必要があります。
external_object_storage.fqdn	❌	✅	✅	S3 サーバーの FQDN を指定します。 AWS インスタンスおよび非インスタンス プロファイルの場合に必要です。
external_object_storage.port	❌	✅	✅	S3 ポートを指定します。 AWS インスタンスおよび非インスタンス プロファイルの場合に必要です。
external_object_storage.region	❌	✅	✅	バケットをホストする AWS リージョンを指定します。 AWS インスタンスおよび非インスタンス プロファイルの場合に必要です。
external_object_storage.access_key	❌	✅	✅	S3 アカウントのアクセス キーを指定します。 AWS 非インスタンス プロファイルの場合に必要です。
external_object_storage.secret_key	❌	✅	✅	S3 アカウントのシークレット キーを指定します。 AWS 非インスタンス プロファイルの場合に必要です。
external_object_storage.use_instance_profile	❌	✅	✅	インスタンス プロファイルを使用するかどうかを指定します。AWS Identity and Access Management (IAM) インスタンス プロファイルは、Amazon Elastic Compute Cloud (EC2) インスタンス上で実行されるアプリケーションやサービスに対し、AWS リソースへのセキュリティで保護されたアクセスを付与します。AWS S3 を選択した場合は、インスタンス プロファイルにより、EC2 インスタンスは、明示的な AWS 資格情報 (アクセス キーなど) をインスタンスに保存することなく、S3 バケットと対話できます。
external_object_storage.bucket_name_prefix1	❌	✅	✅	バケット名のプレフィックスを指定します。 AWS 非インスタンス プロファイルの場合は任意です。
external_object_storage.bucket_name_suffix1	❌	✅	✅	バケット名のサフィックスを指定します。 AWS 非インスタンス プロファイルの場合は任意です。
external_object_storage.account_key	✅	❌	❌	Azure アカウント キーを指定します。
external_object_storage.account_name	✅	❌	❌	Azure のアカウント名を指定します。
external_object_storage.azure_fqdn_suffix	✅	❌	❌	Azure FQDN のサフィックスを指定します。 任意パラメーターです。

¹ 外部オブジェクト ストレージを設定する場合、 bucket_name_prefix と bucket_name_suffixの両方で、プロバイダーの命名規則に従う必要があります。さらに、サフィックスとプレフィックスの合計長は 25 文字以下でなければならず、プレフィックスの末尾やサフィックスの先頭はハイフン (-) であってはなりません。ハイフン ( ) は自動的に追加されているからです。

Automation Suite とのセキュリティで相互運用性のある通信を確保するには、S3 互換の ObjectStore で、次のセキュリティで保護された TLS 暗号スイートを 1 つ以上サポートする必要があります。

• TLS 1.3:
  • TLS_AES_128_GCM_SHA256
  • TLS_AES_256_GCM_SHA384
  • TLS_CHACHA20_POLY1305_SHA256
• TLS 1.2:
  • TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
  • TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256

注:

サポートされている暗号スイートのリストは、Go暗号化ライブラリのセキュリティのベストプラクティスと更新に合わせて、時間の経過とともに進化する可能性があります。最新のリストについては、 Go のドキュメントをご覧ください。

製品固有の設定

You can use the parameters described in the General configuration section to update the general Automation Suite configuration. This means that all installed products would share the same configuration.

1 つ以上の製品を別の構成にする場合は、全般的な構成を上書きできます。その場合、外部オブジェクト ストレージを異なる設定で使用する製品を指定し、同じパラメーターを使用して構成を定義するだけです。インストール済みのその他の製品はすべて、引き続き全般的な構成を継承します。

以下の例では、Orchestrator の全般的な構成を上書きする方法を示します。

"external_object_storage": {
  "enabled": false, // <true/false>
  "create_bucket": true, // <true/false>
  "storage_type": "s3", // <s3,azure,aws>
  "fqdn": "",  // <needed in the case of aws instance and non-instance profile>
  "port": 443, // <needed in the case of aws instance and non-instance profile>
  "region": "", 
  "access_key": "", // <needed in the case of aws non instance profile>
  "secret_key": "", // <needed in the case of aws non instance profile>
  "bucket_name_prefix": "",
  "bucket_name_suffix": "",
  "account_key": "",
  "account_name": "",
  "azure_fqdn_suffix": "core.windows.net",
},

"orchestrator": {
  "external_object_storage": {
    "enabled": false, // <true/false>
    "create_bucket": true, // <true/false>
    "storage_type": "s3", // <s3,azure>
    "fqdn": "",  // <needed in the case of aws instance and non-instance profile>
    "port": 443, // <needed in the case of aws instance and non-instance profile>
    "region": "", 
    "access_key": "", // <needed in case of aws non instance profile>
    "secret_key": "", // <needed in case of aws non instance profile>
    "bucket_name_prefix": "",
    "bucket_name_suffix": "",
    "account_key": "",
    "account_name": "",
    "azure_fqdn_suffix": "core.windows.net",
  }
}

Process Mining の BLOB ストレージの資格情報をローテーションする

To rotate the blob storage credentials for Process Mining in Automation Suite the stored secrets must be updated with the new credentials. Refer to Rotating blob storage credentials.

署名済み URL の構成

disable_presigned_url フラグを使用して署名済み URL アクセスをグローバル レベルで無効にするかどうかを指定しできます。既定では、署名済み URL はプラットフォーム全体で有効化されています。設定可能な値は true および false です。

{
  "disable_presigned_url" : true
}

注:

• このパラメーターの既定値を変更できるのは、新規インストールの場合のみです。 この操作は元に戻すことができず、既存のクラスターには適用されません。
• この設定は、プラットフォーム全体にのみ適用できます。 グローバル設定は製品レベルで上書きできません。

外部の OCI 準拠レジストリの設定

外部の OCI 準拠レジストリを構成するには、input.json ファイルで以下のパラメーターを更新します。

キー	値 (Value)
registries.docker.url	既定値: registry.uipath.com コンテナー イメージをホストするために Automation Suite で使用するレジストリの URL または FQDN。
registries.docker.username registries.docker.password	レジストリから Docker イメージをプルするために使用する認証情報。 入力ファイルでいずれかの値が見つかった場合は、外部レジストリの構成時に両方の値を指定する必要があります。
registries.docker.pull_secret_value	レジストリのプル シークレット。 このフィールドへの入力は任意です。
registries.helm.url	既定値: registry.uipath.com サービスの Helm グラフをホストするために Automation Suite で使用される、レジストリの URL または FQDN です。
registries.helm.username registries.helm.password	レジストリから Helm グラフをプルするために使用する認証情報です。 入力ファイルでいずれかの値が見つかった場合は、外部レジストリの構成時に両方の値を指定する必要があります。
registry_ca_cert	レジストリ用に構成された証明書に対応する CA ファイルの場所。 オンプレミスでホストされているプライベート証明機関によってレジストリが署名されている場合は、信頼を確立するためにレジストリを提供する必要があります。
registries.docker.pull_secret_name	レジストリの資格情報を格納する Kubernetes シークレットの名前です。このパラメータを使用して、レジストリの認証情報を含む既存のシークレットを参照します。

注:

Docker を使用する方法など、さまざまな方法を使用して、エンコードされたバージョンの pull_secret_valueを生成できます。

次の構成サンプルは、レジストリの資格情報を格納するために使用される Kubernetes シークレット定義を示しています。

apiVersion: v1
kind: Secret
metadata:
  name: registry-credentials
data:
  url: base64Encode(sfbrdevhelmweacr.azurecr.io)
  username: base64Encode(registry-username)
  password: base64Encode(registry-password)

次の構成サンプルは、一般的なOCI準拠のレジストリ設定を示しています:

{
    "registries": {
        "docker": {
            "url": "registry.domain.io",
            "username": "username",
            "password": "password", 
            "pull_secret_value": "pull-secret-value"
        },
        "helm": {
            "url": "registry.domain.io",
            "username": "username",
            "password": "password"
        },
        "trust": {
            "enabled": true,
            "public_key": "LS0tLS1CRUdJTiBQVUJMSUMgS0VZLS0tLS0KTUZrd0V3WUhLb1pJemowQ0FRWUlLb1pJemowREFRY0RRZ0FFNE4vSzNzK2VXUTJHU3NnTTJNcUhsdEplVHlqRQp1UC9sd0dNTnNNUjhUZTI2Ui9TTlVqSVpIdnJKcEx3YmpDc0ZlZUI3L0xZaFFsQzlRdUU1WFhITDZ3PT0KLS0tLS1FTkQgUFVCTElDIEtFWS0tLS0tCg==",
            "detection_mode": false
        }
    },
    "registry_ca_cert": "/etc/pki/ca-trust/extracted/ca-bundle.trust.crt"
}

注:

プロジェクトの使用が必要な Harbor などのレジストリの場合は、レジストリ URL にプロジェクト名を追加する必要があります。この要件は、input.json ファイル内の registries.docker.url パラメーターと registries.helm.url パラメーターに適用されます。以下に例を示します。

{
"registries": {
"docker": {
"url": "registry.domain.io/myproject",
"username": "username",
"password": "password"
"pull_secret_value": "pull-secret-value"
},
"helm": {
"url": "registry.domain.io/myproject",
"username": "username",
"password": "password"
}
"trust": {
"enabled": true,
"public_key": "LS0tLS1CRUdJTiBQVUJMSUMgS0VZLS0tLS0KTUZrd0V3WUhLb1pJemowQ0FRWUlLb1pJemowREFRY0RRZ0FFNE4vSzNzK2VXUTJHU3NnTTJNcUhsdEplVHlqRQp1UC9sd0dNTnNNUjhUZTI2Ui9TTlVqSVpIdnJKcEx3YmpDc0ZlZUI3L0xZaFFsQzlRdUU1WFhITDZ3PT0KLS0tLS1FTkQgUFVCTElDIEtFWS0tLS0tCg==",
"detection_mode": false
}
},
"registry_ca_cert": "/etc/pki/ca-trust/extracted/ca-bundle.trust.crt"
}

カスタム名前空間の設定

既定の uipath、 uipath-check、および uipath-installer 名前空間を置き換える単一のカスタム名前空間を指定できます。 カスタム名前空間を定義するには、任意の namespace パラメーターに値を指定します。 namespace パラメーターに値を指定しないと、代わりに既定の名前空間が使用されます。

カスタム名前空間ラベルの設定

UiPath 名前空間にカスタムの名前空間ラベルを含める場合は、以下のセクションを input.json ファイルに追加します。必ず、独自のラベルを追加してください。

 "namespace_labels": {
        "install-type": "aksoffline",
        "uipathctlversion": "rc-10_0.1",
        "updatedLabel": "rerun"
    },

カスタムのノード toleration 設定

Automation Suite をインストールするノードでカスタム taint と toleration が必要な場合は、input.json を以下のフラグで更新します。必ず、spec フィールドに適切な値を指定してください。

"tolerations": [
  {
    "spec": {
      "key": "example-key", 
      "operator": "Exists",
      "value": "optional-value",
      "effect": "NoSchedule"
    }
  },
  {
    "spec": {
      "key": "example-key2", 
      "operator": "Exists",
      "value": "optional-value2",
      "effect": "NoSchedule"
    }
  }
]

内部ロード バランサーの構成

AKS と EKS の両方のインストールの種類で、デプロイに内部ロード バランサーを使用できます。 これを行うには、input.json ファイルの ingress セクションでこれを指定する必要があります。

次の注釈は、AKS 内部ロード バランサーを構成します。

• azure-load-balancer-internal: ロード バランサーが内部にあるかどうかを指定します。

次の表で、EKS の内部ロード バランサーの構成フィールドについて説明します。

パラメーター	説明
aws-load-balancer-backend-protocol	バックエンド プロトコルを指定します。
aws-load-balancer-nlb-target-type	NLB 用に構成するターゲットの種類を指定します。 [instance] と [ip] から選択できます。
aws-load-balancer-scheme	NLB をインターネットに接続するか、内部にするかを指定します。 有効な値は internal または internet-facing です。 指定しない場合、既定値は internalです。
aws-load-balancer-type	ロード バランサーの種類を指定します。 このコントローラーは、このアノテーションを nlb または external に設定したサービス リソースを調整します。
aws-load-balancer-internal	NLB をインターネットに接続するか、内部にするかを指定します。

AKS の例

 "ingress": {
    "service_annotations": {
      "service.beta.kubernetes.io/azure-load-balancer-internal": "true"
    }
  },

EKS の例

  "ingress": {
    "service_annotations": {
      "service.beta.kubernetes.io/aws-load-balancer-backend-protocol": "ssl",
      "service.beta.kubernetes.io/aws-load-balancer-nlb-target-type": "ip",
      "service.beta.kubernetes.io/aws-load-balancer-scheme": "internal",
      "service.beta.kubernetes.io/aws-load-balancer-type": "nlb",
      "service.beta.kubernetes.io/aws-load-balancer-internal": "true"
    }
  },

AKS および EKS での内部ロード バランサーの作成について詳しくは、以下のリンクをご覧ください。

• AKS の内部ロード バランサー。
• EKS の内部ロード バランサー

ワークロード ID の構成

ワークロード ID はマネージド ID のバリアントであり、AKS で Automation Suite を使用する場合に利用できます。 ワークロード ID を使用すると、ポッドでサービス アカウントなどの Kubernetes ID を使用できるため、資格情報の管理を回避できます。 また、ワークロード ID を使用すると、Kubernetes アプリケーションは、注釈付きサービス アカウントに基づいて、Microsoft Entra ID を使用して Azure リソースに安全にアクセスできます。

ワークロード ID について詳しくは、「 AKS で Microsoft Entra ワークロード ID を使用する - Azure Kubernetes Service」をご覧ください。

注:

Insights では現在、ワークロード ID はサポートされていません。

ワークロード ID を使用するには、以下の手順に従います。

1. クラスターのワークロード ID と OIDC 発行者を有効にし、OIDC 発行者の URL を取得し、ワークロード ID で使用されるユーザー割り当てマネージド ID を作成します。これらの操作を実行するには、「 ワークロード ID を使用して AKS クラスターをデプロイおよび構成する - Azure Kubernetes Service」の手順に従います。

2. ユーザー割り当てマネージド ID のクライアント ID を保存し、 input.json ファイルで指定します。

   {
     ...
     "pod_identity" : {
       "enabled": true,
       "aks_managed_identity_client_id":<client-id>,
     }
     ...
   }
   

3. 次のスクリプトを実行して、Automation Suite 用に作成するすべてのサービス アカウントのフェデレーション資格情報を作成します。

   #!/bin/bash
   
   # Variables
   RESOURCE_GROUP="<resource-group-name>"
   USER_ASSIGNED_IDENTITY_NAME="<user-assigned-identity-name>"
   AKS_OIDC_ISSUER="<aks-oidc-issuer>"
   AUDIENCE="api://AzureADTokenExchange"
   
   # Helper function to create federated credentials
   create_federated_credentials() {
     local NAMESPACE=$1
     shift
     local SERVICE_ACCOUNTS=("$@")
   
     for SERVICE_ACCOUNT_NAME in "${SERVICE_ACCOUNTS[@]}"; do
       # Generate a unique federated identity credential name
       FEDERATED_IDENTITY_CREDENTIAL_NAME="${NAMESPACE}-${SERVICE_ACCOUNT_NAME}"
   
       echo "Creating federated credential for namespace: ${NAMESPACE}, service account: ${SERVICE_ACCOUNT_NAME}"
   
       # Run the Azure CLI command
       az identity federated-credential create \
         --name "${FEDERATED_IDENTITY_CREDENTIAL_NAME}" \
         --identity-name "${USER_ASSIGNED_IDENTITY_NAME}" \
         --resource-group "${RESOURCE_GROUP}" \
         --issuer "${AKS_OIDC_ISSUER}" \
         --subject "system:serviceaccount:${NAMESPACE}:${SERVICE_ACCOUNT_NAME}" \
         --audience "${AUDIENCE}"
   
       if [ $? -eq 0 ]; then
         echo "Federated credential created successfully for ${NAMESPACE}:${SERVICE_ACCOUNT_NAME}"
       else
         echo "Failed to create federated credential for ${NAMESPACE}:${SERVICE_ACCOUNT_NAME}"
       fi
     done
   }
   
   
   # Call the function for each namespace and its service accounts
   create_federated_credentials "uipath" "default" "asrobots-sa" "dataservice-be-service-account" "dataservice-fe-service-account" "insights-adf" "du-documentmanager-service-account" "services-configure-uipath-ba" "aicenter-jobs" "aicenter-deploy" "ailoadbalancer-service-account" "airflow"
   create_federated_credentials "uipath-check" "default"
   create_federated_credentials "velero" "velero-server"
   

To use workload identity with SQL, refer toWorkload identity-based access to SQL from AKS.

To use workload identity with your storage account, refer to Workload identity-based access to your storage account from AKS.

To use workload identity with Azure Key Vault, refer to Using Workload Identity authentication.

注:

SQL Server がワークロード ID ベースの認証をサポートするように構成されていない場合は、SQL に接続するコンポーネントごとに enable_sql_wi を false に設定します。次の例は、Document Understanding の設定を示しています。

"documentunderstanding": {
  "enabled": true,
  "enable_sql_wi": false
}

Orchestrator 固有の設定

Orchestrator はロボット ログを Elasticsearch サーバーに保存できます。この機能は、orchestrator.orchestrator_robot_logs_elastic セクションで設定できます。指定しない場合、ロボット ログは Orchestrator のデータベースに保存されます。

次の表に、orchestrator.orchestrator_robot_logs_elastic パラメーターのリストを示します。

パラメーター	説明
orchestrator_robot_logs_elastic	Elasticsearch の構成。
elastic_uri	使用する Elasticsearch インスタンスのアドレスです。URI の形式で指定する必要があります。指定すると、ユーザー名とパスワードも必要になります。
elastic_auth_username	認証に使用される Elasticsearch のユーザー名です。
elastic_auth_password	認証に使用される Elasticsearch のパスワードです。

Insights 固有の構成

Insights を有効化する場合、スケジュールされたメールやアラート メールの送信に使用する SMTP サーバーの構成を含めることができます。—これを指定しない場合、スケジュールされたメールやアラート メールは機能しません。

You can use the uipathctl command-line tool to apply configuration changes. For details, refer to the uipathctl reference guide.

次の表で、 insights.smtp_configuration フィールドについて説明します。

パラメーター	説明
tls_version	有効な値は TLSv1_2、TLSv1_1、SSLv23 です。TLS を使用しない場合は、すべてのキーを省略します。
from_email	アラート メールやスケジュールされたメールの送信元となるアドレスです。
host	SMTP サーバーのホスト名。
port	SMTP サーバーのポート。
username	SMTP サーバー認証用のユーザー名。
password	SMTP サーバー認証用のパスワード。
enable_realtime_monitoring	Insights のリアルタイム監視を有効化するフラグ。有効な値は true または false です。既定値は false です。

例

"insights": {
    "enabled": true,
    "enable_realtime_monitoring": true,
    "smtp_configuration": {
      "tls_version": "TLSv1_2",
      "from_email": "[e-mail]",
      "host": "smtp.sendgrid.com",
      "port": 587,
      "username": "login",
      "password": "password123"
    }
  }

Process Mining 固有の構成

Process Mining を有効化する場合、プライマリ Automation Suite SQL Server とは別に、データ ウェアハウスとして機能するセカンダリ SQL Server を指定することをお勧めします。データ ウェアハウス SQL Server には重い負荷がかかります。この SQL Server は processmining セクションで構成できます。

パラメーター	説明
sql_connection_str	データベースをプレースホルダー Initial Catalog=DB_NAME_PLACEHOLDER に設定した .NET 形式の接続文字列。
airflow.metadata_db_connection_str1	これはPostgreSQL AutomationSuite Airflow データベースに適用されます。カスタム Airflow メタデータ データベースの場所を表す SQLAlchemy PSYCOPG2形式の接続文字列は PostgreSQL:5432/DB_NAME_PLACEHOLDERです。 例： postgresql+psycopg2://testadmin:<password>@postgres.company.com:5432/DB_NAME_PLACEHOLDER また、input.json ファイルのグローバル レベルの processmining セクションのmetadata_db_connection_strを使用して、Airflow メタデータベースの値を指定することもできます。この場合、 airflow.metadata_db_connection_str は任意です。
warehouse.sql_connection_str	dbname のプレースホルダーを含む、processmining データ ウェアハウス SQL Server への DotNet 形式の SQL 接続文字列 Initial Catalog=DB_NAME_PLACEHOLDER。
warehouse.sqlalchemy_pyodbc_sql_connection_str	dbname のプレースホルダーを含む、ProcessMining データ ウェアハウス SQL Server への SQLAlchemy の PYODBC 形式の SQL 接続文字列: sqlServer:1433/DB_NAME_PLACEHOLDERを使用します。
warehouse.master_sql_connection_str	インストーラーが sql.create_db: true の設定を使用してデータベースを作成する場合は、Process Mining のデータ ウェアハウス SQL Server に対して .NET 形式のマスター SQL 接続文字列を指定する必要があります。接続文字列内のデータベースは、master に設定する必要があります。

¹ 設定例:

"processmining": {
  "enabled": true,
  "app_security_mode": "system_managed",
  "airflow": {
    "metadata_db_connection_str": "postgresql+psycopg2://testadmin:<password>@sfdev8454496-postgresql.postgres.database.azure.com:5432/AutomationSuite_Airflow"
  }
}

Process Mining と PostgreSQL の接続文字列のサンプル AutomationSuite_Airflow

"processmining": {
    "enabled": true,
    "app_security_mode": "system_managed",
    "airflow": {
      "metadata_db_connection_str": "postgresql+psycopg2://testadmin:<password>@sfdev8454496-postgresql.postgres.database.azure.com:5432/AutomationSuite_Airflow"
    },
    "warehouse": {
      "sql_connection_str": "Server=tcp:kerberossql.autosuitead.local,1433;Initial Catalog=AutomationSuite_Warehouse;Persist Security Info=False;User Id=testadmin;Password='<password>';MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=True;Connection Timeout=30;Max Pool Size=100;",
      "sqlalchemy_pyodbc_sql_connection_str": "mssql+pyodbc://testadmin:<password>@kerberossql.autosuitead.local:1433/AutomationSuite_Warehouse?driver=ODBC+Driver+17+for+SQL+Server&TrustServerCertificate=YES&Encrypt=YES",
      "master_sql_connection_str": "Server=tcp:kerberossql.autosuitead.local,1433;Initial Catalog=master;Persist Security Info=False;User Id=testadmin;Password='<password>';MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=True;Connection Timeout=30;Max Pool Size=100;"

Kerberos 認証を使用する場合は、 Integrated Security および Trusted_Connection パラメーターを使用します。 [ Integrated Security ] を [ true ] に設定し、[ Trusted_Connection ] を [ yes] に設定すると、現在ログインしているユーザーの認証情報が接続に使用されます。 この場合、ユーザ名とパスワードを別途指定する必要はありません。

注:

Process Mining のデータ ウェアハウス SQL Server の接続文字列を設定する場合、SQL Server の名前付きインスタンスを省略する必要があります。

SQL Server の名前付きインスタンスは、同じ TCP ポートでは動作できません。 したがって、インスタンスを区別するにはポート番号だけで十分です。

たとえば、tcp:server\namedinstance,1445 の代わりに tcp:server,1445 を使用します。

テンプレート PYODBC 接続文字列 postgresql_connection_string_template_sqlalchemy_pyodbc (PostgreSQL の場合) の名前と、独自のデータベースを利用するときに使用される PYODBC 接続文字列sqlalchemy_pyodbc_sql_connection_str名前は異なります。テンプレート SQL sql_connection_string_templateと、独自のデータベースを利用するときに使用されるsql_connection_strでも、接続文字列名が異なります。

独自のデータベースを利用し、sql_connection_str と input.json ファイルの processmining セクションのsqlalchemy_pyodbc_sql_connection_strまたはairflow.metadata_db_connection_str接続文字列を使用して構成した場合、テンプレート接続文字列 sql_connection_string_template と postgresql_connection_string_template_sqlalchemy_pyodbc (PostgreSQL の場合) は指定しても無視されます。

Automation Suite ロボット固有の構成

Automation Suite ロボットは、パッケージのキャッシュを使用してプロセスの実行を最適化し、実行速度を向上できます。NuGet パッケージは、インターネット/ネットワークからダウンロードするのではなく、ファイルシステムから取得します。そのためには 10 GB 以上の領域が追加で必要で、その領域を専用ノードのホスト マシンのファイルシステム上のフォルダーに割り当てる必要があります。

パッケージのキャッシュを有効化するには、input.json の以下のパラメーターを更新する必要があります。

パラメーター	既定値	説明
packagecaching	true	true に設定すると、ロボットはローカル キャッシュを使用してパッケージを解決します。
packagecachefolder	/uipath_asrobots_package_cache	パッケージが保存されているサーバーレス エージェント ノード上のディスクの場所です。

クラスターの RBAC ポリシーでノードに対する get 権限と list 権限が制限されている場合、Automation Suite ロボットは同時実行ジョブの最大数を自動的に決定できません。この場合、次の input.json パラメーターを設定して、制限を明示的に定義します。

パラメーター	既定値	説明
concurrency_limit	未設定	同時に実行できるジョブの最大数です。設定されていない場合、Automation Suite ロボットはノードの get 権限と list 権限を使用し、利用可能なノードの容量に基づいて制限を自動的に決定します。

AI Center 固有の構成

このセクションは、S3 エンドポイントにのみ適用されます (Azure Storage には必要ありません)。

AI Center が正常に機能するには、input.json ファイルで aicenter.external_object_storage.port パラメーターと aicenter.external_object_storage.fqdn パラメーターを設定する必要があります。

注:

ファイルの external_object_storage セクションを設定しても、input.json ファイルの aicenter セクションでパラメーターを設定する必要があります。

以下のサンプルは、AI Center の有効な input.json 構成を示しています。

"aicenter": {
  "external_object_storage" {
    "port": 443,
    "fqdn": "s3.us-west-2.amazonaws.com"
  }
},
"external_object_storage": {
  "enabled": true,
  "create_bucket": false,
  "storage_type": "s3", 
  "region": "us-west-2", 
  "use_instance_profile": true
}
...

Integration Service 固有の構成

ソブリン クラウド キューの構成

キュー エンドポイントが非標準の FQDN サフィックスを使用するソブリン クラウド環境またはナショナル クラウド環境では、input.jsonの [integrationservices] にある任意の queue_config.fqdn_suffix フィールドを使用して、既定値を上書きできます。

既定では、Integration Service は AWS に amazonaws.com 、Azure に core.windows.net を使用します。

ユース ケースの例: 中国 AWS (amazonaws.com.cn)、 中国 Azure (core.chinacloudapi.cn)、 Azure 米国政府 (core.usgovcloudapi.net)。

"integrationservices": {
  "queue_config": {
    "fqdn_suffix": ""
  }
}

• fqdn_suffix が空のままの場合、またはフィールドが省略された場合は、グラフの既定値 (AWS の場合は amazonaws.com、Azure の場合は core.windows.net) が適用されます。
• 空でない値を指定すると、AWS と Azure の両方のキュー URL のキュー エンドポイントの FQDN サフィックスが上書きされます。
• azure_fqdn_suffix が external_object_storageで設定されている場合、Integration Service は自動的にキュー エンドポイントのサフィックスに同じ値を使用します。この場合、 queue_config.fqdn_suffix を個別に設定する必要はありません。

SQL のサービス プリンシパル認証

データベース接続に Azure Active Directory サービス プリンシパルで SQL 認証を使用する場合は、input.jsonの integrationservices ブロックに advanced_configuration セクションを明示的に追加する必要があります。your-tenant-id を自分の Azure テナント ID に置き換えます。

"integrationservices": {
  "enabled": true,
  "advanced_configuration": {
    "gallupx": {
      "extraEnv": {
        "AZURE_TENANT_ID": "your-tenant-id"
      }
    }
  }
}

Document Understanding 固有の構成

SQL のサービス プリンシパル認証

データベース接続に Azure Active Directory サービス プリンシパルで SQL 認証を使用する場合は、input.jsonの documentunderstanding ブロックに advanced_configuration セクションを明示的に追加する必要があります。your-tenant-id を自分の Azure テナント ID に置き換えます。

"documentunderstanding": {
    "enabled": true,
    "enable_sql_wi": null,
    "advanced_configuration": {
      "du-annotations": {
        "additionalConfigs": {
          "AZURE_TENANT_ID": "your-tenant-id"
        }
      }
    },
},