セキュリティとコンプライアンス

OpenShift の Automation Suite のセキュリティとコンプライアンス機能。

UiPath サービスのセキュリティ コンテキスト制約 (SCC)

UiPath® Automation Suite では、すべてのワークロード ポッドに既定の SCC ( restricted-v2 Security Context Constraint) が必要です。このSCCはOpenShiftに組み込まれており、デフォルトの ClusterRoleBinding system:openshift:scc:restricted-v2を介してすべての認証されたユーザーが自動的に使用できます。

重要:

Automation Suite 名前空間内のサービス アカウントに対する SCC の割り当ては変更しないでください。たとえば、デフォルトのサービスアカウントに anyuid またはその他の制限の少ないSCCを付与しないでください。

UiPath® サービスのセキュリティ コンテキスト

このセクションでは、UiPath® サービスのセキュリティ コンテキストについて詳しく説明します。

すべての UiPath® サービスは、 spec セクションで定義されたセキュリティ コンテキストを使用して構成されます。

以下のサンプルは、UiPath® サービスの一般的な構成を示しています。

spec:
  securityContext:
    runAsNonRoot: true
  containers:
    - securityContext:
        allowPrivilegeEscalation: false
        privileged: false
        readOnlyRootFilesystem: true
        capabilities:
          drop: ["ALL"]
  hostPID: false
  hostNetwork: false

一部の UiPath® サービスでは、一般的なセキュリティ コンテキストの構成とは異なる例外があります。

• Insights has multiple features that use the Chromium Linux SUID Sandbox. While elevated access is not required for installing Insights, it is essential for specific feature functionality. For details, refer to Configuring the Insights custom security context.
• Process Mining は以下の Airflow サービスを使用します。これらのサービス セキュリティ コンテキストは UiPath® サービスの一般的な構成とは異なります。
  • statsd サービス (次の サンプルを参照)

    securityContext:
        runAsUser: 65534
        seLinuxOptions:
          level: s0:c27,c4
    

  • scheduler、webserver、およびその他の Airflow ポッド (次の例を参照)。

      securityContext:
        fsGroup: 1000
        runAsGroup: 1000
        runAsNonRoot: true
        runAsUser: 50000
        seLinuxOptions:
          level: s0:c27,c4
        supplementalGroups:
          - 1000
    

  • 動的ランタイム ポッド (以下のサンプルを参照)。

      securityContext:
        fsGroup: 1000
        runAsGroup: 1000
        runAsNonRoot: true
        runAsUser: 1001
        seLinuxOptions:
          level: s0:c27,c4
        supplementalGroups:
          - 1000
    

場合によっては、環境によっては、ユーザー ID とグループ ID が 1000 以上になることがあります。 ユーザー ID とグループ ID は、必ずセキュリティ原則と組織のセキュリティ ガイドラインに従って構成してください。

ネットワーク ポリシー

次の表に、ネットワーク ポリシーの一般的なガイドラインを示します。これには、 <uipath> 名前空間を構成するために必要なルートのリストが含まれています。

ソース	ターゲット	方向	ポート	ポリシーの種類	条件
内のすべてのポッドが uipath	すべての外部	拒否	すべて	ネットワーク ポリシー	既定の deny-all ポリシー
内のすべてのポッドが uipath	内のすべてのポッドが uipath	許可	すべて	ネットワーク ポリシー	名前空間の内部通信
内のすべてのポッドが uipath	KubeシステムDNS	出口	53 TCP/UDPの	ネットワーク ポリシー	DNS 解決
内のすべてのポッドが uipath	外部 IP	出口	すべて	ネットワーク ポリシー	外信
内のすべてのポッドが uipath	Istiod	出口	すべて	ネットワーク ポリシー	サービス・メッシュ制御
Prometheus	内のすべてのポッドが uipath	Ingress	カスタム スクレイピング ポート	ネットワーク ポリシー	アクセスの監視
Istio ゲートウェイ	内のすべてのポッドが uipath	Ingress	すべて	ネットワーク ポリシー	ゲートウェイ トラフィック
Kubeシステム	内のすべてのポッドが uipath	Ingress	すべて	ネットワーク ポリシー	システムアクセス
Redis システム	内のすべてのポッドが uipath	Ingress	9091/TCPの	ネットワーク ポリシー	Redis の監視
リストされているサービス	Redis 名前空間	出口	すべて	ネットワーク ポリシー	Redis へのアクセス

クラスターの特権の要件

Automation Suite requires the cluster admin role during the installation to automate the entire installation process. Alternatively, you can install Automation Suite with lower permissions. An installation with lower permissions involves some additional steps. For the permissions that the installation requires, refer to Step 2: Creating the required roles.

FIPS 140-2

Federal Information Processing Standards 140-2 (FIPS 140-2) は、暗号化モジュールの有効性を検証するセキュリティ標準です。

の Automation Suite は、FIPS 140-2 が有効化されたマシンで実行できます。

新規インストールで FIPS 140-2 を有効化する

Automation Suite の新規インストールを実行する予定のマシンで FIPS 140-2 を有効化するには、次の手順を実行します。

1. Automation Suite のインストールを開始する前に、お使いのマシンで FIPS 140-2 を有効化します。

2. このガイドのインストール手順に従って、Automation Suite のインストールを実行します。

   注:

   • If you install AI Center on a FIPS 140-2-enabled machine and also use Microsoft SQL Server, some additional configuration is required. For details, refer to SQL requirements for AI Center.
   • Make sure Insights is disabled, as it is not supported on FIPS 140-2. If you need to use Insights, you can deploy it on a dedicated non-FIPS node. For details, refer to How to deploy Insights in a FIPS-enabled cluster.

3. input.json ファイルで fips_enabled_nodes フラグを true に設定します。

4. 証明書が FIPS 140-2 に対応していることを確認します。

   注:

   Automation Suite では、既定で FIPS 140-2 対応の自己署名証明書が生成されます。この証明書の有効期限は、選択した Automation Suite インストールの種類によって異なります。

   これらの自己署名証明書を、インストール時に CA によって発行された証明書に置き換えることを強くお勧めします。FIPS 140-2 が有効化されたマシンで Automation Suite を使用するには、新たに提供される証明書が FIPS 140-2 に対応している必要があります。RHEL でサポートされる有効な暗号のリストについては、 RHEL のドキュメントをご覧ください。

   For details on how to add your own FIPS 140-2-compliant token-signing and TLS certificates, refer to Certificate configuration.