セキュリティとコンプライアンス

UiPath® サービスのセキュリティ コンテキスト

このセクションでは、UiPath® サービスのセキュリティ コンテキストについて詳しく説明します。

すべての UiPath® サービスは、 spec セクションで定義されたセキュリティ コンテキストを使用して構成されます。

以下のサンプルは、UiPath® サービスの一般的な構成を示しています。

spec:
  securityContext:
    runAsNonRoot: true
  containers:
    - securityContext:
        allowPrivilegeEscalation: false
        privileged: false
        readOnlyRootFilesystem: true
        capabilities:
          drop: ["ALL"]
  hostPID: false
  hostNetwork: false

一部の UiPath® サービスでは、一般的なセキュリティ コンテキストの構成とは異なる例外があります。

• Insights には、Chromium Linux SUID サンドボックスを使用する機能が複数あります。 Insights のインストールに管理者特権でのアクセスは必須ではありませんが、特定の機能を利用するには必須です。 詳しくは、「 Insights のカスタム セキュリティ コンテキストを設定する」をご覧ください。

• Process Mining は以下の Airflow サービスを使用します。これらのサービス セキュリティ コンテキストは UiPath® サービスの一般的な構成とは異なります。

  • statsd サービス (次の サンプルを参照)

    securityContext:
        runAsUser: 65534
        seLinuxOptions:
          level: s0:c27,c4

  • scheduler、webserver、およびその他の Airflow ポッド (次の例を参照)。

    securityContext:
        fsGroup: 1000
        runAsGroup: 1000
        runAsNonRoot: true
        runAsUser: 50000
        seLinuxOptions:
          level: s0:c27,c4
        supplementalGroups:
          - 1000

  • 動的ランタイム ポッド (以下のサンプルを参照)。

    securityContext:
        fsGroup: 1000
        runAsGroup: 1000
        runAsNonRoot: true
        runAsUser: 1001
        seLinuxOptions:
          level: s0:c27,c4
        supplementalGroups:
          - 1000

場合によっては、環境によっては、ユーザー ID とグループ ID が 1000 以上になることがあります。 ユーザー ID とグループ ID は、必ずセキュリティ原則と組織のセキュリティ ガイドラインに従って構成してください。

ネットワーク ポリシー

次の表に、ネットワーク ポリシーの一般的なガイドラインを示します。これには、 <uipath> 名前空間を構成するために必要なルートのリストが含まれています。

ソース	ターゲット	方向	ポート	ポリシーの種類	条件
uipath内のすべてのポッド	すべての外部	拒否	すべて	ネットワーク ポリシー	既定の deny-all ポリシー
uipath内のすべてのポッド	uipath内のすべてのポッド	許可	すべて	ネットワーク ポリシー	名前空間の内部通信
uipath内のすべてのポッド	KubeシステムDNS	出口	53 TCP/UDPの	ネットワーク ポリシー	DNS 解決
uipath内のすべてのポッド	外部 IP	出口	すべて	ネットワーク ポリシー	外信
uipath内のすべてのポッド	Istiod	出口	すべて	ネットワーク ポリシー	サービス・メッシュ制御
Prometheus	uipath内のすべてのポッド	Ingress	カスタム スクレイピング ポート	ネットワーク ポリシー	アクセスの監視
Istio ゲートウェイ	uipath内のすべてのポッド	Ingress	すべて	ネットワーク ポリシー	ゲートウェイ トラフィック
Kubeシステム	uipath内のすべてのポッド	Ingress	すべて	ネットワーク ポリシー	システムアクセス
Redis システム	uipath内のすべてのポッド	Ingress	9091/TCPの	ネットワーク ポリシー	Redis の監視
リストされているサービス	Redis 名前空間	出口	すべて	ネットワーク ポリシー	Redis へのアクセス

クラスターの特権の要件

Automation Suite では、インストール プロセス全体を自動化するために、インストール時にクラスター管理者ロールが必要です。 または、より低い権限で Automation Suite をインストールすることもできます。 より低いアクセス許可でのインストールには、いくつかの追加手順が含まれます。 インストールに必要な権限については、「 手順 2: 必要なロールを作成する」をご覧ください。

FIPS 140-2

Federal Information Processing Standards 140-2 (FIPS 140-2) は、暗号化モジュールの有効性を検証するセキュリティ標準です。

の Automation Suite は、FIPS 140-2 が有効化されたマシンで実行できます。

新規インストールで FIPS 140-2 を有効化する

Automation Suite の新規インストールを実行する予定のマシンで FIPS 140-2 を有効化するには、次の手順を実行します。

1. Automation Suite のインストールを開始する前に、お使いのマシンで FIPS 140-2 を有効化します。
2. このガイドのインストール手順に従って、Automation Suite のインストールを実行します。
   注:

   • FIPS 140-2 が有効化されたマシンに AI Center をインストールし、Microsoft SQL Server も使用する場合は、追加の構成が必要です。詳しくは、「AI Center のための SQL の要件」をご覧ください。

   • Insights と Integration Service は FIPS 140-2 ではサポートされていないため、無効化されていることを確認してください。

3. input.json ファイルで fips_enabled_nodes フラグを true に設定します。
4. 証明書が FIPS 140-2 に対応していることを確認します。
   注:

   Automation Suite では、既定で FIPS 140-2 対応の自己署名証明書が生成されます。この証明書の有効期限は、選択した Automation Suite インストールの種類によって異なります。

   これらの自己署名証明書を、インストール時に CA によって発行された証明書に置き換えることを強くお勧めします。 FIPS 140-2 が有効化されたマシンで Automation Suite を使用するには、新たに提供される証明書が FIPS 140-2 に対応している必要があります。 RHEL でサポートされる有効な暗号のリストについては、 RHEL のドキュメントをご覧ください。

   独自の FIPS 140-2 準拠のトークン署名および TLS 証明書を追加する方法について詳しくは、「証明書の設定」をご覧ください。