セキュリティとコンプライアンス

UiPath® サービスのセキュリティ コンテキスト

このセクションでは、UiPath® サービスのセキュリティ コンテキストについて詳しく説明します。

すべての UiPath® サービスは、 spec セクションで定義されたセキュリティ コンテキストを使用して構成されます。

以下のサンプルは、UiPath® サービスの一般的な構成を示しています。

spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 1000
    runAsGroup: 1000
    fsGroup: 1000
  containers:
    - securityContext:
        allowPrivilegeEscalation: false
        readOnlyRootFilesystem: true
        capabilities:
          drop: ["ALL"]
  hostPID: false
  hostNetwork: false

場合によっては、環境によっては、ユーザー ID とグループ ID が 1000 以上になることがあります。 ユーザー ID とグループ ID は、必ずセキュリティ原則と組織のセキュリティ ガイドラインに従って構成してください。

FIPS 140-2 を有効化する

Federal Information Processing Standards 140-2 (FIPS 140-2) は、暗号化モジュールの有効性を検証するセキュリティ標準です。

以下のシナリオでは、Automation Suite をインストールするマシンで FIPS 140-2 を有効化できます。

1. Automation Suite 2023.4 以降のクリーン インストールを実行する前に、FIPS 140-2 を有効化してください。詳しくは、以下のページをご覧ください。新規インストールで FIPS 140-2 を有効化する
2. FIPS-140-2 が無効化されているマシンで Automation Suite のインストールを実行した後は、FIPS 140-2 を有効化してください。詳しくは、「 既存のインストールで FIPS 140-2 を有効化する」を参照してください。

注:

The fips-mode-setup tool has been removed starting with RHEL 10. RHEL 10 requires FIPS mode to be enabled during OS installation. Switching to FIPS mode after installation is not supported in RHEL 10.

新規インストールで FIPS 140-2 を有効化する

Automation Suite の新規インストールを実行する予定のマシンで FIPS 140-2 を有効化するには、次の手順を実行します。

1. Automation Suite のインストールを開始する前に、お使いのマシンで FIPS 140-2 を有効化します。

   詳しくは、「FIPS 140-2 を有効化する」を参照してください。

2. このガイドのインストール手順に従って、Automation Suite のインストールを実行します。

   注:

   • FIPS 140-2 が有効化されたマシンに AI Center をインストールし、Microsoft SQL Server も使用する場合は、追加の構成が必要です。詳しくは、「AI Center のための SQL の要件」をご覧ください。
   • Make sure Insights is disabled, as it does not currently support FIPS 140-2. If you need to use Insights, you can deploy it on a dedicated non-FIPS node. For details, refer to How to deploy Insights in a FIPS-enabled cluster.

3. cluster_config.json ファイルで fips_enabled_nodes フラグを true に設定します。

4. 証明書が FIPS 140-2 に対応していることを確認します。

   注:

   Automation Suite では、既定で FIPS 140-2 対応の自己署名証明書が生成されます。この証明書の有効期限は、選択した Automation Suite インストールの種類によって異なります。これらの自己署名証明書を、インストール時に CA によって発行された証明書に置き換えることを強くお勧めします。FIPS 140-2 が有効化されたマシンで Automation Suite を使用するには、新たに提供される証明書が FIPS 140-2 に対応している必要があります。RHEL でサポートされる有効な暗号のリストについては、 RHEL のドキュメントをご覧ください。

   • トークン署名証明書を更新するには、以下を実行します。 割り当て

   ./bin/uipathctl config token-signing-certificates update --cert-file-path /path/to/cert --cert-key-file-path /path/to/certkey
   

   • TLS 証明書を更新するには、以下を実行します。 割り当て

   ./bin/uipathctl config additional-ca-certificates update --ca-cert-file /path/to/ca/certs
   

既存のインストールでの FIPS 140-2 の有効化

FIPS 140-2 を無効にした Automation Suite をインストールし、同じマシンでこのセキュリティ標準を有効化することができます。 これは、Automation Suite の新しいバージョンにアップグレードする場合にも可能です。

Automation Suite のインストールを既に実行したマシンで FIPS 140-2 を有効化するには、次の手順を実行します。

1. FIPS 140-2 が無効化されたマシンで、通常の Automation Suite のインストールまたはアップグレード操作を実行します。

2. すべてのマシンで次のコマンドを実行して、FIPS 140-2 を有効化します。

   fips-mode-setup --enable
   

3. 証明書が FIPS 140-2 に対応していることを確認します。

   注:

   FIPS 140-2 が有効化されたマシンで Automation Suite を使用するには、証明書を CA によって署名された新しい FIPS 140-2 対応の証明書に置き換える必要があります。RHEL でサポートされる有効な暗号のリストについては、RHEL のドキュメントをご覧ください。

   • トークン署名証明書を更新するには、以下を実行します。 割り当て

   ./bin/uipathctl config token-signing-certificates update --cert-file-path /path/to/cert --cert-key-file-path /path/to/certkey
   

   • TLS 証明書を更新するには、以下を実行します。 割り当て

   ./bin/uipathctl config additional-ca-certificates update --ca-cert-file /path/to/ca/certs
   

   証明書の詳細については、「証明書を管理する」をご覧ください。

4. 製品の選択が FIPS 140-2 の要件に沿っていることを確認します。

   • FIPS 140-2 が有効化されたマシンに AI Center をインストールし、Microsoft SQL Server も使用する場合は、追加の構成が必要です。詳しくは、「AI Center のための SQL の要件」をご覧ください。
   • If you previously enabled Insights, you must disable it as it does not currently support FIPS 140-2. If you need to use Insights, you can deploy it on a dedicated non-FIPS node. For details, refer to How to deploy Insights in a FIPS-enabled cluster. For details on how to disable products post-installation, see Managing products.

5. マシンを再起動し、FIPS 140-2 が正常に有効化されたかどうかを確認します。

   fips-mode-setup --check
   

6. uipathctl インストーラーを再実行します。

   • オンラインの環境で、以下を実行します。

     ./bin/uipathctl rke2 install -i cluster_config.json -o output.json -s --accept-license-agreement - Online -- online
     

   • オフライン環境で、以下を実行します。

     ./bin/uipathctl rke2 install -i ./cluster_config.json -o ./output.json -s --offline-bundle /uipath/tmp/sf.tar.gz --offline-tmp-folder /uipath/tmp --accept-license-agreement