セキュリティとコンプライアンス

Gatekeeper と OPA ポリシー

Automation Suite には、Gatekeeper と OPA ポリシーが事前に構成されています。独自の Gatekeeper コンポーネントと OPA ポリシーを使用する場合は、Automation Suite のインストール時にこれらのコンポーネントをスキップできます。詳しくは、Automation Suite のスタックをご覧ください。この場合、OPA ポリシーと、Automation Suite のインストールと実行に必要な例外を確認してください。

OPA ポリシー

ポリシー	適用されるアクション	除外される名前空間/イメージ
Allow Privilege Escalation in Container ルート権限へのエスカレーションの制限を制御します。PodSecurityPolicy の allowPrivilegeEscalation フィールドに対応します。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argocd 既定 istio-system cert-manager 監視 airflow
App Armor コンテナーで使用する AppArmor プロファイルの許可リストを設定します。PodSecurityPolicy に適用される特定の注釈に対応します。	deny	kube-system
機能 コンテナーでの Linux の機能を制御します。PodSecurityPolicy の allowedCapabilities フィールドと requiredDropCapabilities フィールドに対応します。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argocd 既定 istio-system cert-manager 監視 airflow
FlexVolumes FlexVolume ドライバーの許可リストを制御します。PodSecurityPolicy の allowedFlexVolumes フィールドに対応します。	deny	N/A
Forbidden Sysctls	deny	istio-system
FS グループ ポッドのボリュームを所有する FSGroup の割り当てを制御します。PodSecurityPolicy の fsGroup フィールドに対応します。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd 既定 istio-system cert-manager 監視 airflow prereq**
Host Filesystem ホスト ファイルシステムの使用を制御します。PodSecurityPolicy の allowedHostPaths フィールドに対応します。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argocd 既定 istio-system cert-manager 監視
Host Namespace ポッド コンテナーでホストの PID 名前空間と IPC 名前空間を共有することを禁止します。PodSecurityPolicy の hostPID フィールドと hostIPC フィールドに対応します。	deny	kube-system 監視
Host Networking Ports ポッド コンテナーによるホスト ネットワーク名前空間の使用を制御します。	deny	Gatekeeper logging dapr-system uipath-installer kube-system argocd 既定 istio-system cert-manager 監視 airflow prereq**
Privileged Container 特権モードを有効化するコンテナーの機能を制御します。PodSecurityPolicy の privileged フィールドに対応します。	deny	Gatekeeper logging dapr-system uipath-installer kube-system argocd 既定 istio-system cert-manager 監視 airflow
Proc Mount コンテナーで許可される procMount の種類を制御します。PodSecurityPolicy の allowedProcMountTypes フィールドに対応します。	deny	N/A
Read Only Root Filesystem ポッド コンテナーは読み取り専用のルート ファイル システムを使用する必要があります。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argocd 既定 istio-system cert-manager 監視 airflow prereq**
Seccomp コンテナーで使用する seccomp プロファイルを制御します。PodSecurityPolicy の seccomp.security.alpha.kubernetes.io/allowedProfileNames 注釈に対応します。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd 既定 istio-system cert-manager 監視 airflow
SELinux V2 ポッド コンテナーの seLinuxOptions 設定の許可リストを定義します。	deny	N/A
Allowed Users コンテナーおよび一部のボリュームのユーザー ID とグループ ID を制御します。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd 既定 istio-system cert-manager 監視 airflow velero
Volume Types マウント可能なボリュームの種類を、ユーザーが指定したものに制限します。	deny	監視 logging

注:

• 名前空間 dapr-system は、Process Mining と Task Mining をインストールする場合にのみ必要です。
• 名前空間 airflow は、Process Mining をインストールする場合にのみ必要です。
• prereq** は前提条件の実行または健全性チェックの間に作成される一時的な名前空間です。完了するとこの名前空間は自己削除されます。

その他の OPA ポリシー

ポリシー	適用されるアクション	除外される名前空間/イメージ
Automount Service Account Token for Pod automountServiceAccountToken を有効化するポッドの機能を制御します。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd 既定 istio-system cert-manager 監視 airflow prereq**
Allowed Repositories コンテナー イメージは指定したリストの文字列で始まる必要があります。	dryrun	registry.uipath.com registry-data.uipath.com
Block Endpoint Edit Default Role	deny	N/A
Block Services with type LoadBalancer 種類が LoadBalancer であるサービスをすべて禁止します。	deny	kube-system
Block NodePort NodePort のすべてのサービスを禁止します。	deny	istio-system network-prereq-checks
Block Wildcard Ingress ユーザーが空白またはワイルドカード (*) のホスト名を持つ Ingress を作成できないようにします。このようなホスト名を使用すると、アクセス権がなくてもクラスター内の他のサービスのトラフィックをインターセプトできるためです。	deny	N/A
Container Limits コンテナーにメモリと CPU の制限を設定する必要があります。制限値を、指定した最大値の範囲内に制限します。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd 既定 istio-system cert-manager 監視 airflow prereq**
Container Requests コンテナーがメモリと CPU の要件セットを含むよう要求します。要求が指定した最大値の範囲内となるよう強制します。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd 既定 istio-system cert-manager 監視 airflow prereq**"
コンテナーの比率 要求に対するコンテナー リソース制限の最大比率を設定します。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd 既定 istio-system cert-manager 監視 airflow prereq**
Required Resources コンテナーに、定義済みのリソースを設定する必要があります。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd 既定 istio-system cert-manager 監視 airflow prereq**
Disallow Anonymous Access ClusterRole リソースと Role リソースを system:anonymous ユーザーと system:unauthenticated グループに関連付けることを禁止します。	deny	N/A
Disallow tags コンテナー イメージに、指定したリストのイメージ タグとは異なるイメージ タグを付ける必要があります。	deny	N/A
コンテナーのエフェメラル ストレージの制限です。 コンテナーにエフェメラル ストレージの制限を設定する必要があります。また、その制限値を、指定した最大値の範囲内に制限します。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd 既定 istio-system cert-manager 監視 airflow prereq**
Horizontal Pod Autoscaler	deny	N/A
HTTPS Only Ingress リソースを HTTPS 専用にする必要があります。Ingress リソースに kubernetes.io/ingress.allow-http 注釈を含め、false に設定する必要があります。既定では、TLS {} の有効な設定が必要です。tlsOptional パラメーターを true に設定すると、この設定を任意にすることができます。	dryrun	監視
Image Digests コンテナー イメージにダイジェストを含める必要があります。	dryrun	UiPath
Block updating Service Account ポッド上で抽象化されたリソースでサービス アカウントの更新をブロックします。このポリシーは監査モードでは無視されます。	dryrun	N/A
Pod Disruption Budget	deny	airflow
Required Probes ポッドが Readiness Probe および/または Liveness Probe を持つ必要があります。	dryrun	UiPath
ストレージ クラス 使用する場合はストレージ クラスを指定する必要があります。	dryrun	N/A
Unique Ingress Host すべての Ingress ルール ホストが一意である必要があります。	dryrun	N/A
Unique Service Selector サービスは名前空間内で一意のセレクターを使用する必要があります。キーと値が同一のセレクターは同じと見なされます。複数のセレクターで 1 つのキー/値のペアを共有できます。ただし、セレクター間で異なるキー/値のペアが 1 つ以上あることが条件です。	dryrun	N/A

注:

• 名前空間 dapr-system は、Process Mining と Task Mining をインストールする場合にのみ必要です。
• 名前空間 airflow は、Process Mining をインストールする場合にのみ必要です。
• prereq** は前提条件の実行または健全性チェックの間に作成される一時的な名前空間です。完了するとこの名前空間は自己削除されます。

ネットワーク ポリシー

Automation Suite には、最小特権ネットワーク アクセスの原則に従うための標準の Kubernetes ネットワーク ポリシーが事前に構成されています。UiPath が提供するネットワーク ポリシーのインストールをスキップするには、input.json の exclude components リストに network-policies を追加します。任意のコンポーネントの詳細については、Automation Suite のスタックをご覧ください。

Automation Suite は、uipath 名前空間との間で、この名前空間内のネットワークを適用します。独自のネットワーク ポリシーを利用する場合や、カスタム CNI (Cilium Enterprise や Calico Tigera Enterprise など) を使用している場合は、ポリシーを更新して Helm チャート network-policies を反映させてください。

Automation Suite の network-policies Helm チャートは、次のコマンドを使用して確認できます。

注:

• 以下のコマンドでは、<automation-suite-version> の部分を現在の Automation Suite のバージョンで置換する必要があります。
• Helm チャートを抽出するには、このファイルを解凍する必要があります。

helm pull oci://registry.uipath.com/helm/network-policies --version <automation-suite-version>

クラスターの特権の要件

管理ノードで uipathctl が専用クラスターに Automation Suite をインストールおよび管理するには、クラスター管理者のアクセス権が必要です。 Istio (ルーティング/サービス メッシュ) や ArgoCD (デプロイとアプリケーション ライフサイクル管理) などの Automation Suite のシステム レベルのコンポーネント、および Automation Suite 関連の名前空間の作成には、このレベルのアクセス権が必要です。