Configuring input.json

Referência para opções de configuração de input.json e estrutura para instalação do Automation Suite no EKS/AKS.

O arquivo input.json permite que você configure os produtos da UiPath® que você deseja implantar, os parâmetros, configurações e preferências aplicadas aos produtos selecionados e as configurações de sua infraestrutura de nuvem. Você deve atualizar esse arquivo para alterar os padrões e usar qualquer configuração avançada para seu cluster.

Observação:

Alguns produtos podem ter dependências. Para obter detalhes, consulte Produtos do Automation Suite.

Para editar input.json, você pode usar seu editor de texto favorito na sua máquina de cliente.

A tabela a seguir descreve os principais parâmetros input.json que você deve atualizar para configurar corretamente o Automation Suite.

Parâmetros gerais	Description
kubernetes_distribution	Especifique qual distribuição do Kubernetes você usa. Pode ser aks ou eks.
install_type	Determina se o cluster é implantado no modo online ou offline. Se não for especificado, o cluster é implantado no modo online. Para implantar o cluster no modo offline, você deve definir explicitamente o valor do parâmetro install_type como offline. Possíveis valores: online ou offline Valor padrão: online
registries	URLs para extrair as imagens do docker e gráficos do helm para produtos da UiPath® e Automation Suite. registry.uipath.com
istioMinProtocolVersion	A versão mínima do protocolo TLS aceita pelo Istio para comunicações seguras. Ele pode ser definido como TLSV1_2 ou TLSV1_3.
fqdn	O ponto de extremidade do balanceador de carga para o Automation Suite.
admin_username	O nome de usuário que você deseja definir como um administrador para a organização do host.
admin_password	A senha de administrador do host a ser definida.
profile	Define o perfil da instalação. Os perfis disponíveis são: - lite: perfil do modo Lite. - ha: perfil de produção pronto para alta disponibilidade de vários nós. Para obter detalhes sobre o gerenciamento de perfis, consulte Configuração de perfil.
network	Habilita a operação IPv4/IPv6 para a pilha de rede do cluster usada pelo Automation Suite. Para obter detalhes, consulte Rede.
telemetry_optout	true ou false – usado para cancelar o envio de telemetria de volta à UiPath®. Ele é definido como false por padrão. Se você quiser cancelar, defina como true.
fips_enabled_nodes	Indique se você deseja habilitar o FIPS 140-2 nos nós nos quais você planeja instalar o Automation Suite. Os valores possíveis são true e false.
storage_class	Especifique a classe de armazenamento a ser usada para o provisionamento PV. Essa classe de armazenamento deve suportar várias réplicas para uma alta disponibilidade ideal e possuir recursos de backup. Para obter detalhes, consulte a seção Armazenamento de blocos .
storage_class_single_replica	Forneça a classe de armazenamento a ser usada para o provisionamento PV. Essa classe de armazenamento pode ter uma única réplica para os componentes que não exigem Alta Disponibilidade. A classe de armazenamento não pode ter recursos de backup. Para obter detalhes, consulte a seção Armazenamento de arquivos . O valor storage_class_single_replica pode ser igual ao valor storage_class .
storage_class_name_with_rwx_support	Especifica a StorageClass que dá suporte ao modo de acesso ReadWriteMany (RWX). Este campo garante que os componentes que requerem volumes persistentes compartilhados usem o armazenamento correto habilitado para RWX. Este campo não pode ficar vazio se o Studio Web ou o ECS estiver habilitado. Se deixado em branco, um erro será gerado durante a validação. Para instalações novas, forneça um nome de StorageClass com suporte para RWX (ReadWriteMany). Para atualizações de versões anteriores a 2.2510.0 usando o Studio Web, use o mesmo nome de classe de armazenamento especificado em storage_class_single_replica, garantindo que ele seja compatível com o modo de acesso RWX.
exclude_components	Use esse parâmetro para evitar que componentes não essenciais sejam instalados. Para obter detalhes, consulte Traga seus próprios componentes.
namespace	Especifique o namespace no qual você deseja instalar o Automation Suite. Para obter detalhes, consulte Configuração de namespace personalizado.
argocd.application_namespace	O namespace do aplicativo que você planeja instalar. Idealmente, deve ser o mesmo que o namespace no qual você planeja instalar o Automation Suite.
argocd.project	O projeto do ArgoCD necessário para implantar o Automation Suite. Isso é necessário apenas se você quiser usar a instância do ArgoCD compartilhada ou global em vez de uma instância do ArgoCD dedicada.
workload_resources	Configura solicitações e limites de solicitações de CPU e memória para cargas de trabalho criadas por uipathctl. Para obter detalhes, consulte Configuração de solicitações de recursos e limites para cargas de trabalho criadas pelo uipathctl.

Para obter um exemplo de configuração, consulte:

• Exemplo do input.json do AKS
• Exemplo do input.json do EKS

Configuração do perfil

Você pode escolher entre os seguintes modos de perfil ao instalar o Automation Suite:

• Perfil de alta disponibilidade configurável (modo Lite)
• Perfil padrão de alta disponibilidade (modo HA)

Apenas no modo Lite, você pode alternar produtos específicos para alta disponibilidade (HA). Essa flexibilidade permite que você comece com uma carga de trabalho não crítica e tenha a liberdade de alternar facilmente para o modo HA ao integrar cargas críticas.

Para habilitar a alta disponibilidade (HA) para um produto, você deve modificar o arquivo input.json . Especificamente, você deve alterar o parâmetro profile para ha para os produtos que você deseja tornar altamente disponíveis:

  ....
  "automation_ops": {
    "enabled": true,
    "profile": "ha" // flag for turning on high availability
  },
  "action_center": {
    "enabled": true,
    "profile": "lite"
  },
  ...

Para alternar do modo Lite para o modo HA, siga os seguintes passos:

1. Certifique-se de ter recursos de infraestrutura suficientes para alternar para o HA padrão no nível da plataforma. Por padrão, o modo Lite define cada produto para ter uma réplica com o dimensionamento do pod horizontal habilitado.
2. Edite o arquivo de configuração input.json e altere o parâmetro profile para os produtos de destino.
3. Para aplicar as alterações, execute o seguinte comando:

    uipathctl manifest apply
   

Produtos da UiPath®

Você pode habilitar e desabilitar produtos no Automation Suite no momento da instalação e a qualquer momento após a instalação. Para obter detalhes sobre a configuração de cada produto, consulte Gerenciamento de produtos.

Observação:

Dependendo da sua seleção de produtos, algumas configurações podem não estar disponíveis. Por exemplo, o Insights não é compatível atualmente com a configuração de autenticação do Microsoft Entra ID (anteriormente Azure Active Directory) para acesso ao SQL, armazenamento e outros recursos que são compatíveis com o Microsoft Entra.

Exemplo do Orchestrator:

"orchestrator": {
  "enabled": true,
  "external_object_storage": {
    "bucket_name": "uipath-as-orchestrator"
  },
  "testautomation": {
    "enabled": true
  },
  "updateserver": {
    "enabled": true
  }

Traga seus próprios componentes

O Automation Suite permite que você traga suas próprias Políticas do Gateway e OPA, Gerenciador de certificados, Istio, monitoramento, registros em log e muito mais. Se você optar por excluir esses componentes, verifique se estão disponíveis no seu cluster antes de instalar o Automation Suite.

• Para obter a lista de componentes opcionais e a matriz de responsabilidades, consulte a pilha do Automation Suite.
• Make sure to review the compatibility matrix for versions that are validated with Automation Suite.

O exemplo a seguir mostra uma lista de componentes excluídos. Você pode remover os componentes que deseja que o Automation Suite provisione.

   "exclude_components": [
        "alerts",
        "auth",
        "istio",
        "cert-manager",
        "logging",
        "monitoring",
        "gatekeeper",
        "network-policies",
        "velero",
    "external-secrets"
  ]

Excluindo o Istio

Se você trouxer seu próprio componente do Istio, certifique-se de incluir os rótulos gateway_selector do seu gateway do Istio no arquivo input.json . A partir do Automation Suite 2.2510.2, você também pode definir o parâmetro istio_gateway_service_name na seção ingress de input.json para configurar o nome do serviço do gateway do Istio ingress. Para obter mais detalhes, consulte o Exemplo do input.json do AKS ou o Exemplo do input.json do EKS.

Para encontrar sua etiqueta de seletor de gateway, siga as seguintes etapas:

1. Liste todos os pods no namespace <istio-system>, executando o comando kubectl get pods -n <istio-system>.
2. Encontre o ideal para a sua implantação do Gateway do Istio.

Observação:

Se você planeja instalar o plug-in doWASM por conta própria e deseja evitar fornecer ao instalador do Automation Suite acesso de gravação ao namespace <istio-system> , você deve adicionar o componente istio-configure à lista exclude_components .

Exclusão do Gerenciador de certificados

Se você optar por trazer seu próprio Gerenciador de certificados e seu certificado TLS for emitido por uma CA privada ou não pública, você deve incluir manualmente o certificado de folha e os certificados de CA intermediários no arquivo do certificado TLS. No caso de CAs públicas, elas são automaticamente confiáveis pelos sistemas do cliente, e nenhuma ação adicional é necessária de sua parte.

Configuração de Certificados

Se nenhum certificado for fornecido no momento da instalação, o instalador criará certificados emitidos automaticamente e os configurará no cluster.

Observação:

Os certificados podem ser criados no momento da instalação apenas se você conceder ao instalador do Automation Suite privilégios de administrador durante a instalação. Se você não puder conceder os privilégios de administrador do instalador, então você deve criar e gerenciar os certificados por conta própria.

Para detalhes sobre como obter um certificado, consulte Gerenciamento dos certificados.

Observação:

Não se esqueça de especificar o caminho absoluto para arquivos de certificado. Execute pwd para obter o caminho do diretório no qual os arquivos foram colocados e anexe o nome do arquivo de certificado no input.json.

Parâmetro	Description
server_certificate.ca_cert_file	O caminho absoluto para o certificado da Autoridade de Certificação (CA). Essa CA é a autoridade que assina o certificado TLS. Um pacote de CA deve conter apenas os certificados de cadeia usados para assinar o certificado TLS. O limite de cadeia é de nove certificados. Se você usar um certificado assinado automaticamente, será necessário especificar o caminho para rootCA.crt, que você criou anteriormente. Deixe em branco se você quiser que o instalador o gere.
server_certificate.tls_cert_file	Caminho absoluto para o certificado TLS (server.crt é o certificado assinado automaticamente). Deixe em branco se você quiser que o instalador o gere. Se você fornecer o certificado por conta própria, o arquivo server.crt deve conter toda a cadeia, conforme mostrado no exemplo a seguir: -----server cert----- -----root ca chain-----
server_certificate.tls_key_file	Caminho absoluto para a chave de certificado (server.key é o certificado assinado automaticamente). Deixe em branco se você quiser que o instalador o gere.
identity_certificate.token_signing_cert_file	Caminho absoluto para o certificado de assinatura de token de identidade usado para assinar tokens (identity.pfx é o certificado assinado automaticamente). Deixe em branco se você quiser que o instalador gere um certificado de identidade usando o certificado do servidor.
identity_certificate.token_signing_cert_pass	Senha de texto simples definida ao exportar o certificado de assinatura de token de identidade.
additional_ca_certs	O caminho absoluto para o arquivo contendo os certificados de CA adicionais que você deseja que seja confiável para todos os serviços em execução como parte do Automation Suite. Todos os certificados no arquivo devem ter um formato PEM válido. Por exemplo, você precisa fornecer o arquivo que contém o certificado de CA do SQL Server se o certificado não for emitido por uma autoridade de certificação pública.

Pré-requisitos da infraestrutura

Você deve fornecer detalhes de configurações dos pré-requisitos que você configurou no Azure ou na AWS. Para requisitos de parâmetros input.json , consulte as seguintes seções de pré-requisitos:

• SQL database (mandatory)
• Caching (mandatory)
• Armazenamento (obrigatório)
• Rede (obrigatório)
• Configuração de ingresso do NGINX (opcional)
• Configuração de proxy (opcional)

Configuração externa do Objectstore

Configuração geral

O Automation Suite permite que você traga seu próprio provedor de armazenamento externo. Você pode escolher entre os seguintes provedores de armazenamento:

• Azure
• AWS
• compatível com S3

Você pode configurar o armazenamento de objeto externo de uma das seguintes maneiras:

• durante a instalação;
• pós-instalação, usando o arquivo input.json .

Observação:

• Para que o Automation Suite funcione corretamente ao usar URLs pré-assinadas, você deve certificar-se de que seu objectstore externo esteja acessível a partir do cluster do Automation Suite, navegadores e todas as suas máquinas, incluindo estações de trabalho e máquinas de robôs.
• A Criptografia do lado do servidor com Serviço de Gerenciamento de Chaves (SSE-KMS) só pode ser habilitada nos buckets do Automation Suite implantados em qualquer região criada após 30 de janeiro de 2014.

  A funcionalidade SSE-KMS requer APIs SignV4 puras. As regiões criadas antes de 30 de janeiro de 2014 não usam APIs puras do SignV4 devido à compatibilidade com versões anteriores com o SignV2. Portanto, o SSE-KMS é funcional apenas em regiões que usam o SignV4 para comunicação. Para descobrir quando as várias regiões foram provisionadas, consulte a documentação da AWS.

Se você usar um Ponto de extremidade privado para acessar o contêiner, deverá adicionar o parâmetro fqdn no arquivo input.json e especificar o Ponto de extremidade privado como valor.

A tabela a seguir lista os parâmetros input.json que você pode usar para configurar cada provedor de armazenamento de objeto externo:

Parâmetro	Azure	AWS	compatível com S3	Description
external_object_storage.enabled	✅	✅	✅	Especifique se você gostaria de trazer seu próprio armazenamento de objetos. Valores possíveis: true e false.
external_object_storage.create_bucket	✅	✅	✅	Especifique se você gostaria de provisionar o bucket. Valores possíveis: true e false.
external_object_storage.storage_type	✅	✅	✅	Especifique o provedor de armazenamento que você gostaria de configurar. O valor diferencia maiúsculas de minúsculas. Valores possíveis: azure e s3. Muitos objetos S3 requerem o CORS definido para todo o tráfego do cluster do Automation Suite. Você deve configurar a política CORS no nível do objectstore para permitir o FQDN do cluster.
external_object_storage.fqdn	❌	✅	✅	Especifique o FQDN do servidor S3. Necessário no caso da instância da AWS e perfil não instância.
external_object_storage.port	❌	✅	✅	Especifique a porta S3. Necessário no caso da instância da AWS e perfil não instância.
external_object_storage.region	❌	✅	✅	Especifique a região da AWS onde os buckets estão hospedados. Necessário no caso da instância da AWS e perfil não instância.
external_object_storage.access_key	❌	✅	✅	Especifique a chave de acesso para a conta S3. Necessário no caso do perfil que não é instância da AWS.
external_object_storage.secret_key	❌	✅	✅	Especifique a chave secreta para a conta do S3. Necessário no caso do perfil que não é instância da AWS.
external_object_storage.use_instance_profile	❌	✅	✅	Especifique se você deseja usar um perfil de instância. Um perfil de instância do AWS Identity e Access Management (IAM) concede acesso seguro a recursos da AWS para aplicativos ou serviços em execução nas instâncias do Amazon Elastic Compute Cloud (EC2). Se você optar pelo AWS S3, um perfil de instância permite que uma instância do EC2 interaja com buckets do S3 sem a necessidade de que credenciais explícitas da AWS (como chaves de acesso) sejam armazenadas na instância.
external_object_storage.bucket_name_prefix1	❌	✅	✅	Indique o prefixo para os nomes dos buckets. Opcional no caso do perfil que não é instância da AWS.
external_object_storage.bucket_name_suffix1	❌	✅	✅	Indique o sufixo para os nomes dos buckets. Opcional no caso do perfil que não é instância da AWS.
external_object_storage.account_key	✅	❌	❌	Especifique a chave da conta do Azure.
external_object_storage.account_name	✅	❌	❌	Especifique o nome da conta do Azure.
external_object_storage.azure_fqdn_suffix	✅	❌	❌	Especifique o sufixo do FQDN do Azure. Parâmetro opcional.

¹ Ao configurar o armazenamento de objetos externo, você deve seguir as regras e convenções de nomenclatura do seu provedor para bucket_name_prefix e bucket_name_suffix. Além disso, o sufixo e o prefixo devem ter um comprimento combinado de não mais do que 25 caracteres, e você não deve terminar o prefixo ou iniciar o sufixo com um hífen (-), pois já adicionamos o caractere automaticamente para você.

Para garantir uma comunicação segura e compatível com o Automation Suite, seu objectstore compatível com S3 deve oferecer suporte a um ou mais dos seguintes conjuntos de cifras TLS seguros:

• TLS 1.3:
  • TLS_AES_128_GCM_SHA256
  • TLS_AES_256_GCM_SHA384
  • TLS_CHACHA20_POLY1305_SHA256
• TLS 1.2:
  • TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
  • TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256

Observação:

A lista de conjuntos de cifras compatíveis pode evoluir ao longo do tempo para se alinhar às melhores práticas de segurança e atualizações na biblioteca criptográfica do Go. Para obter a lista atualizada, consulte a documentação do Go.

Configuração específica do produto

Você pode usar os parâmetros descritos na seção Configuração geral para atualizar a configuração geral do Automation Suite. Isso significa que todos os produtos instalados compartilhariam a mesma configuração.

Se você quiser configurar um ou mais produtos de forma diferente, poderá substituir a configuração geral. Você só precisa especificar o(s) produto(s) para o qual deseja configurar o armazenamento de objetos externo de forma diferente e usar os mesmos parâmetros para definir sua configuração. Observe que todos os outros produtos instalados continuariam a herdar a configuração geral.

O exemplo a seguir mostra como você pode substituir a configuração geral do Orchestrator:

"external_object_storage": {
  "enabled": false, // <true/false>
  "create_bucket": true, // <true/false>
  "storage_type": "s3", // <s3,azure,aws>
  "fqdn": "",  // <needed in the case of aws instance and non-instance profile>
  "port": 443, // <needed in the case of aws instance and non-instance profile>
  "region": "", 
  "access_key": "", // <needed in the case of aws non instance profile>
  "secret_key": "", // <needed in the case of aws non instance profile>
  "bucket_name_prefix": "",
  "bucket_name_suffix": "",
  "account_key": "",
  "account_name": "",
  "azure_fqdn_suffix": "core.windows.net",
},

"orchestrator": {
  "external_object_storage": {
    "enabled": false, // <true/false>
    "create_bucket": true, // <true/false>
    "storage_type": "s3", // <s3,azure>
    "fqdn": "",  // <needed in the case of aws instance and non-instance profile>
    "port": 443, // <needed in the case of aws instance and non-instance profile>
    "region": "", 
    "access_key": "", // <needed in case of aws non instance profile>
    "secret_key": "", // <needed in case of aws non instance profile>
    "bucket_name_prefix": "",
    "bucket_name_suffix": "",
    "account_key": "",
    "account_name": "",
    "azure_fqdn_suffix": "core.windows.net",
  }
}

Rotating the blob storage credentials for Process Mining

Para girar as credenciais de armazenamento de blobs para o Process Mining no Automation Suite, os segredos armazenados devem ser atualizados com as novas credenciais. Consulte Rotação de credenciais de armazenamento de blobs.

Configuração de URL pré-assinada

Você pode usar o sinalizador disable_presigned_url para especificar se você gostaria de desabilitar o acesso à URL pré-assinada no nível global. Por padrão, as URLs pré-assinadas são habilitadas para toda a plataforma. Os valores possíveis são: true e false.

{
  "disable_presigned_url" : true
}

Observação:

• Você pode alterar o valor padrão desse parâmetro apenas para novas instalações. A operação é irreversível e não se aplica a um cluster existente.
• Você pode aplicar essa configuração apenas a toda a plataforma. Você não pode substituir a configuração global no nível do produto.

Configuração de registro externo compatível com OCI

Para configurar um registro externo compatível com OCI, atualize os seguintes parâmetros no arquivo input.json:

Chaves	Valor
registries.docker.url	Valor padrão: registry.uipath.com O URL ou FQDN do registro a ser usado pelo Automation Suite para hospedar as imagens do contêiner.
registries.docker.username registries.docker.password	Informações de autenticação a serem usadas para extrair as imagens do Docker do registro. Se um dos valores for encontrado no arquivo de entrada, você deve fornecer ambos ao configurar o registro externo.
registries.docker.pull_secret_value	A senha de extração do registro. Este campo é opcional.
registries.helm.url	Valor padrão: registry.uipath.com O URL ou FQDN do registro a ser usado pelo Automation Suite para hospedar o gráfico do Helm do serviço.
registries.helm.username registries.helm.password	Informações de autenticação a serem usadas para extrair gráficos do Helm do registro. Se um dos valores for encontrado no arquivo de entrada, você deve fornecer ambos ao configurar o registro externo.
registry_ca_cert	O local do arquivo do CA correspondente ao certificado configurado para o registro. Se o registro for assinado por uma autoridade de certificação privada hospedada em suas instalações, você deve fornecê-la para estabelecer a confiança.
registries.docker.pull_secret_name	O nome do segredo do Kubernetes que armazena as credenciais de registro. Use esse parâmetro para fazer referência a um segredo existente que contém as informações de autenticação para o registro.

Observação:

Você pode usar métodos diferentes para gerar a versão codificada do pull_secret_value, incluindo a que usa o Docker.

O exemplo de configuração a seguir mostra uma definição de segredo do Kubernetes usada para armazenar credenciais de registro:

apiVersion: v1
kind: Secret
metadata:
  name: registry-credentials
data:
  url: base64Encode(sfbrdevhelmweacr.azurecr.io)
  username: base64Encode(registry-username)
  password: base64Encode(registry-password)

O exemplo de configuração a seguir mostra uma configuração típica de registro compatível com OCI:

{
    "registries": {
        "docker": {
            "url": "registry.domain.io",
            "username": "username",
            "password": "password", 
            "pull_secret_value": "pull-secret-value"
        },
        "helm": {
            "url": "registry.domain.io",
            "username": "username",
            "password": "password"
        },
        "trust": {
            "enabled": true,
            "public_key": "LS0tLS1CRUdJTiBQVUJMSUMgS0VZLS0tLS0KTUZrd0V3WUhLb1pJemowQ0FRWUlLb1pJemowREFRY0RRZ0FFNE4vSzNzK2VXUTJHU3NnTTJNcUhsdEplVHlqRQp1UC9sd0dNTnNNUjhUZTI2Ui9TTlVqSVpIdnJKcEx3YmpDc0ZlZUI3L0xZaFFsQzlRdUU1WFhITDZ3PT0KLS0tLS1FTkQgUFVCTElDIEtFWS0tLS0tCg==",
            "detection_mode": false
        }
    },
    "registry_ca_cert": "/etc/pki/ca-trust/extracted/ca-bundle.trust.crt"
}

Observação:

Para registros como o Harbor, que exigem o uso de um projeto, você deve anexar o nome do projeto à URL do registro. O requisito se aplica aos parâmetros registries.docker.url e registries.helm.url no arquivo input.json , conforme mostrado no exemplo a seguir:

{
"registries": {
"docker": {
"url": "registry.domain.io/myproject",
"username": "username",
"password": "password"
"pull_secret_value": "pull-secret-value"
},
"helm": {
"url": "registry.domain.io/myproject",
"username": "username",
"password": "password"
}
"trust": {
"enabled": true,
"public_key": "LS0tLS1CRUdJTiBQVUJMSUMgS0VZLS0tLS0KTUZrd0V3WUhLb1pJemowQ0FRWUlLb1pJemowREFRY0RRZ0FFNE4vSzNzK2VXUTJHU3NnTTJNcUhsdEplVHlqRQp1UC9sd0dNTnNNUjhUZTI2Ui9TTlVqSVpIdnJKcEx3YmpDc0ZlZUI3L0xZaFFsQzlRdUU1WFhITDZ3PT0KLS0tLS1FTkQgUFVCTElDIEtFWS0tLS0tCg==",
"detection_mode": false
}
},
"registry_ca_cert": "/etc/pki/ca-trust/extracted/ca-bundle.trust.crt"
}

Configuração de namespace personalizada

Você pode especificar um único namespace personalizado que substitua os namespaces padrão uipath, uipath-check e uipath-installer . Para definir um namespace personalizado, forneça um valor para o parâmetro opcional namespace . Se você não fornecer um valor para o parâmetro namespace , os namespaces padrão serão usados.

Configuração de rótulo de namespace personalizado

Se quiser que os namespaces da UiPath contenham rótulos de namespace personalizados, adicione a seguinte seção ao arquivo input.json. Certifique-se de adicionar seus próprios rótulos.

 "namespace_labels": {
        "install-type": "aksoffline",
        "uipathctlversion": "rc-10_0.1",
        "updatedLabel": "rerun"
    },

Configuração de tolerância de nó personalizada

Se você precisar de taints e tolerâncias personalizados nos nós em que planeja instalar o Automation Suite, atualize input.json com os seguintes sinalizadores. Certifique-se de fornecer os valores apropriados para o campo spec .

"tolerations": [
  {
    "spec": {
      "key": "example-key", 
      "operator": "Exists",
      "value": "optional-value",
      "effect": "NoSchedule"
    }
  },
  {
    "spec": {
      "key": "example-key2", 
      "operator": "Exists",
      "value": "optional-value2",
      "effect": "NoSchedule"
    }
  }
]

Configuração do balanceador de carga interno

Você pode usar um balanceador de carga interno para sua implantação nos tipos de instalação do AKS e EKS. Para fazê-lo, você deve especificar isso na seção ingress do arquivo input.json.

A anotação a seguir configura o balanceador de carga interno do AKS:

• azure-load-balancer-internal: especifica se o balanceador de carga é interno.

A tabela a seguir descreve os campos de configuração do balanceador de carga interno do EKS:

Parâmetro	Description
aws-load-balancer-backend-protocol	Especifica o protocolo de back-end.
aws-load-balancer-nlb-target-type	Especifica o tipo de destino a configurar para NLB. Você pode escolher entre instance e ip.
aws-load-balancer-scheme	Especifica se o NLB será voltado para a internet ou interno. Os valores válidos são internal ou internet-facing. Se não for especificado, o padrão é internal.
aws-load-balancer-type	Especifica o tipo de balanceador de carga. Esse controlador reconcilia esses recursos de serviço com essa anotação definida como nlb ou external.
aws-load-balancer-internal	Especifica se o NLB será voltado para a internet ou interno.

Exemplo de AKS

 "ingress": {
    "service_annotations": {
      "service.beta.kubernetes.io/azure-load-balancer-internal": "true"
    }
  },

Exemplo de EKS

  "ingress": {
    "service_annotations": {
      "service.beta.kubernetes.io/aws-load-balancer-backend-protocol": "ssl",
      "service.beta.kubernetes.io/aws-load-balancer-nlb-target-type": "ip",
      "service.beta.kubernetes.io/aws-load-balancer-scheme": "internal",
      "service.beta.kubernetes.io/aws-load-balancer-type": "nlb",
      "service.beta.kubernetes.io/aws-load-balancer-internal": "true"
    }
  },

Para obter detalhes sobre a criação de balanceadores de carga internos no AKS e EKS, consulte os seguintes links:

• Balanceador de carga interno para o AKS.
• Balanceador de carga interno para o EKS

Configuração de identidade da carga de trabalho

A identidade da carga de trabalho é uma variante da identidade gerenciada, disponível se você usar o Automation Suite no AKS. A identidade da carga de trabalho ajuda você a evitar o gerenciamento de credenciais, permitindo que os pods usem uma identidade do Kubernetes, como uma conta de serviço. A identidade da carga de trabalho também permite que os aplicativos do Kubernetes acessem os recursos do Azure de forma segura com o Microsoft Entra ID, com base em contas de serviço anotadas.

Para saber mais sobre a identidade da carga de trabalho, consulte Usar uma ID de carga de trabalho do Microsoft Entra no AKS - Serviço do Azure Kubernetes.

Observação:

Atualmente, o Insights não é compatível com a identidade de carga de trabalho.

Para usar a identidade da carga de trabalho, execute as seguintes etapas:

1. Habilite a identidade da carga de trabalho e o emissor do OIDC para o cluster, recupere a URL do emissor do OIDC e crie uma identidade gerenciada atribuída pelo usuário, que será usada na identidade da carga de trabalho. Para realizar essas operações, siga as instruções em Implantar e configurar um cluster do AKS com identidade de carga de trabalho - Serviço do Azure Kubernetes.

2. Salve o ID do cliente da identidade gerenciada atribuída pelo usuário e forneça-o em seu arquivo input.json .

   {
     ...
     "pod_identity" : {
       "enabled": true,
       "aks_managed_identity_client_id":<client-id>,
     }
     ...
   }
   

3. Execute o seguinte script que cria as credenciais federadas para todas as contas de serviço que criamos para o Automation Suite:

   #!/bin/bash
   
   # Variables
   RESOURCE_GROUP="<resource-group-name>"
   USER_ASSIGNED_IDENTITY_NAME="<user-assigned-identity-name>"
   AKS_OIDC_ISSUER="<aks-oidc-issuer>"
   AUDIENCE="api://AzureADTokenExchange"
   
   # Helper function to create federated credentials
   create_federated_credentials() {
     local NAMESPACE=$1
     shift
     local SERVICE_ACCOUNTS=("$@")
   
     for SERVICE_ACCOUNT_NAME in "${SERVICE_ACCOUNTS[@]}"; do
       # Generate a unique federated identity credential name
       FEDERATED_IDENTITY_CREDENTIAL_NAME="${NAMESPACE}-${SERVICE_ACCOUNT_NAME}"
   
       echo "Creating federated credential for namespace: ${NAMESPACE}, service account: ${SERVICE_ACCOUNT_NAME}"
   
       # Run the Azure CLI command
       az identity federated-credential create \
         --name "${FEDERATED_IDENTITY_CREDENTIAL_NAME}" \
         --identity-name "${USER_ASSIGNED_IDENTITY_NAME}" \
         --resource-group "${RESOURCE_GROUP}" \
         --issuer "${AKS_OIDC_ISSUER}" \
         --subject "system:serviceaccount:${NAMESPACE}:${SERVICE_ACCOUNT_NAME}" \
         --audience "${AUDIENCE}"
   
       if [ $? -eq 0 ]; then
         echo "Federated credential created successfully for ${NAMESPACE}:${SERVICE_ACCOUNT_NAME}"
       else
         echo "Failed to create federated credential for ${NAMESPACE}:${SERVICE_ACCOUNT_NAME}"
       fi
     done
   }
   
   
   # Call the function for each namespace and its service accounts
   create_federated_credentials "uipath" "default" "asrobots-sa" "dataservice-be-service-account" "dataservice-fe-service-account" "insights-adf" "du-documentmanager-service-account" "services-configure-uipath-ba" "aicenter-jobs" "aicenter-deploy" "ailoadbalancer-service-account" "airflow"
   create_federated_credentials "uipath-check" "default"
   create_federated_credentials "velero" "velero-server"
   

Para usar a identidade da carga de trabalho com o SQL, consulteAcesso baseado em identidade da carga de trabalho ao SQL do AKS.

Para usar a identidade da carga de trabalho com sua conta de armazenamento, consulte Acesso baseado em identidade da carga de trabalho à sua conta de armazenamento do AKS.

Para usar a identidade da carga de trabalho com o Azure Key Vault, consulte Usar a autenticação do Workload Identity.

Observação:

Se o SQL Server não estiver configurado para oferecer suporte à autenticação baseada em identidade de carga de trabalho, defina enable_sql_wi como false para cada componente que se conecta ao SQL. O exemplo a seguir mostra a configuração do Document Understanding:

"documentunderstanding": {
  "enabled": true,
  "enable_sql_wi": false
}

Configuração específica do Orchestrator

O Orchestrator pode salvar logs de robô em um servidor do Elasticsearch. Você pode configurar esta funcionalidade na seção orchestrator.orchestrator_robot_logs_elastic. Se não forem fornecidos, os logs de robô serão salvos no banco de dados do Orchestrator.

A tabela a seguir lista os parâmetros orchestrator.orchestrator_robot_logs_elastic:

Parâmetro	Description
orchestrator_robot_logs_elastic	Configuração do Elasticsearch.
elastic_uri	O endereço da instância do Elasticsearch que deve ser usado. Ele deve ser fornecido na forma de um URI. Se fornecidos, o nome de usuário e senha também são necessários.
elastic_auth_username	O nome de usuário do Elasticsearch usado para autenticação.
elastic_auth_password	A senha do Elasticsearch, usada para autenticação.

Configuração específica do Insights

Se habilitar o Insights, os usuários podem incluir a configuração do servidor SMTP que será usada para enviar emails agendados/emails de alerta. Se não for fornecida, os emails agendados e os emails de alerta não funcionarão.

Você pode usar a ferramenta de linha de comando uipathctl para aplicar alterações de configuração. Para obter detalhes, consulte o guia de referência do uipathctl.

A tabela a seguir descreve os campos insights.smtp_configuration :

Parâmetro	Description
tls_version	Os valores válidos são TLSv1_2, TLSv1_1, SSLv23. Omita a chave completamente se não estiver usando TLS.
from_email	Endereço do qual os emails de alerta/agendados serão enviados.
host	Nome do host do servidor SMTP.
port	Porta do servidor SMTP.
username	Nome de usuário para a autenticação do servidor SMTP.
password	Senha para a autenticação do servidor SMTP.
enable_realtime_monitoring	Sinalize para habilitar o monitoramento em tempo real do Insights. Os valores válidos são true, false. O valor padrão é false.

Exemplo

"insights": {
    "enabled": true,
    "enable_realtime_monitoring": true,
    "smtp_configuration": {
      "tls_version": "TLSv1_2",
      "from_email": "[e-mail]",
      "host": "smtp.sendgrid.com",
      "port": 587,
      "username": "login",
      "password": "password123"
    }
  }

Process Mining-specific configuration

If enabling Process Mining, we recommend users to specify a SECONDARY SQL server to act as a data warehouse that is separate from the primary Automation Suite SQL Server. The data warehouse SQL Server will be under heavy load and can be configured in the processmining section:

Parâmetro	Description
sql_connection_str	Cadeia de conexão formatada DotNet com banco de dados definido como um espaço reservado: Initial Catalog=DB_NAME_PLACEHOLDER.
airflow.metadata_db_connection_str1	Isso se aplica ao banco de dados PostgreSQL AutomationSuite Airflow . String de conexão formatada em PSYCOPG2 em Sqlalchemy para um local personalizado do banco de dados de metadados do Airflow: PostgreSQL:5432/DB_NAME_PLACEHOLDER. Exemplo: postgresql+psycopg2://testadmin:<password>@postgres.company.com:5432/DB_NAME_PLACEHOLDER Você também pode usar na seção do processmining no nível global no arquivo input.json metadata_db_connection_str fornecer o valor para o metadados do Airflow. Nesse caso, airflow.metadata_db_connection_str é opcional.
warehouse.sql_connection_str	String de conexão SQL formatada em DotNet para o SQL Server do data warehouse do processmining com espaço reservado para dbname: Initial Catalog=DB_NAME_PLACEHOLDER.
warehouse.sqlalchemy_pyodbc_sql_connection_str	String de conexão SQL formatada em Sqlalchemy PYODBC para o SQL Server do data warehouse do processmining com espaço reservado para dbname: sqlServer:1433/DB_NAME_PLACEHOLDER.
warehouse.master_sql_connection_str	If the installer is creating databases through sql.create_db: true setting, a DotNet formatted master SQL connection string must be provided for the processmining data warehouse SQL Server. Database in the connection string must be set as master.

¹ Exemplo de configuração:

"processmining": {
  "enabled": true,
  "app_security_mode": "system_managed",
  "airflow": {
    "metadata_db_connection_str": "postgresql+psycopg2://testadmin:<password>@sfdev8454496-postgresql.postgres.database.azure.com:5432/AutomationSuite_Airflow"
  }
}

Exemplo de string de conexão do Process Mining com PostgreSQL para AutomationSuite_Airflow

"processmining": {
    "enabled": true,
    "app_security_mode": "system_managed",
    "airflow": {
      "metadata_db_connection_str": "postgresql+psycopg2://testadmin:<password>@sfdev8454496-postgresql.postgres.database.azure.com:5432/AutomationSuite_Airflow"
    },
    "warehouse": {
      "sql_connection_str": "Server=tcp:kerberossql.autosuitead.local,1433;Initial Catalog=AutomationSuite_Warehouse;Persist Security Info=False;User Id=testadmin;Password='<password>';MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=True;Connection Timeout=30;Max Pool Size=100;",
      "sqlalchemy_pyodbc_sql_connection_str": "mssql+pyodbc://testadmin:<password>@kerberossql.autosuitead.local:1433/AutomationSuite_Warehouse?driver=ODBC+Driver+17+for+SQL+Server&TrustServerCertificate=YES&Encrypt=YES",
      "master_sql_connection_str": "Server=tcp:kerberossql.autosuitead.local,1433;Initial Catalog=master;Persist Security Info=False;User Id=testadmin;Password='<password>';MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=True;Connection Timeout=30;Max Pool Size=100;"

Ao usar a autenticação do Kerberos, utilize os parâmetros Integrated Security e Trusted_Connection . Ao definir Integrated Security como true e definir Trusted_Connection como yes, as credenciais do usuário atualmente logado serão usadas para a conexão. Nesse caso, você não precisa especificar um nome de usuário e senha separados.

Observação:

Ao configurar as strings de conexão para o SQL Server do data warehouse do Process Mining, a instância nomeada do SQL Server deve ser omitida.

As instâncias nomeadas do SQL Server não podem operar na mesma porta TCP. Portanto, o número da porta por si só é suficiente para distinguir entre instâncias.

Por exemplo, use tcp:server,1445 em vez de tcp:server\namedinstance,1445.

Os nomes para a string de conexão PYODBC do modelo postgresql_connection_string_template_sqlalchemy_pyodbc (para PostgreSQL) e a string de conexão PYODBC sqlalchemy_pyodbc_sql_connection_str usadas quando você traz seu próprio banco de dados são diferentes. Os nomes das strings de conexão também são diferentes para o modelo SQL sql_connection_string_template e sql_connection_str usado quando você traz seu próprio banco de dados.

Se você trouxer seu próprio banco de dados e o configurou usando as strings de conexão sql_connection_str e sqlalchemy_pyodbc_sql_connection_str ou airflow.metadata_db_connection_str na seção processmining do arquivo input.json , as strings de conexão do modelo sql_connection_string_template e postgresql_connection_string_template_sqlalchemy_pyodbc (para PostgreSQL) são ignorados se especificado.

Automation Suite Robots-specific configuration

Os robôs do Automation Suite podem usar o cache de pacotes para otimizar a execução do processo e permitir que sejam executados mais rapidamente. Os pacotes NuGet são obtidos do sistema de arquivos em vez de serem baixados da Internet/rede. Isso requer um espaço adicional mínimo de 10 GB e deve ser alocado para uma pasta no sistema de arquivos da máquina host dos nós dedicados.

Para ativar o armazenamento em cache do pacote, você precisa atualizar os seguintes parâmetros input.json :

Parâmetro	Valor padrão	Description
packagecaching	true	Quando definido como true, os robôs usam um cache local para resolução de pacote.
packagecachefolder	/uipath_asrobots_package_cache	O local do disco no nó do agente sem servidor em que os pacotes são armazenados.

Se as políticas RBAC do seu cluster restringirem as permissões get e list em nós, os Automation Suite Robots não poderão determinar automaticamente o número máximo de trabalhos simultâneos. Nesse caso, configure o seguinte parâmetro input.json para definir o limite explicitamente:

Parâmetro	Valor padrão	Description
concurrency_limit	Indefinido	O número máximo de trabalhos que podem ser executados simultaneamente. Quando não definido, o Automation Suite Robots usa as permissões get e list em nós para determinar o limite automaticamente com base na capacidade do nó disponível.

Configuração específica do AI Center

Esta seção se aplica apenas a endpoints S3 (não necessários para o Armazenamento do Azure).

Para que o AI Center funcione corretamente, você deve configurar os parâmetros aicenter.external_object_storage.port e aicenter.external_object_storage.fqdn no arquivo input.json .

Observação:

Você deve configurar os parâmetros na seção aicenter do arquivo input.json , mesmo que tenha configurado a seção external_object_storage do arquivo.

O exemplo a seguir mostra uma configuração input.json válida para o AI Center:

"aicenter": {
  "external_object_storage" {
    "port": 443,
    "fqdn": "s3.us-west-2.amazonaws.com"
  }
},
"external_object_storage": {
  "enabled": true,
  "create_bucket": false,
  "storage_type": "s3", 
  "region": "us-west-2", 
  "use_instance_profile": true
}
...

Configuração específica do Integration Service

Configuração de fila de cloud Soberano

Em ambientes de nuvem soberana ou nacionais onde os pontos de extremidade de fila usam um sufixo FQDN não padrão, você pode substituir o padrão usando o campo opcional queue_config.fqdn_suffix em integrationservices em input.json.

Por padrão, o Integration Service usa amazonaws.com para AWS e core.windows.net para Azure.

Exemplos de casos de uso: AWS da China (amazonaws.com.cn), Azure da China (core.chinacloudapi.cn), Azure Governo dos EUA (core.usgovcloudapi.net).

"integrationservices": {
  "queue_config": {
    "fqdn_suffix": ""
  }
}

• Se fqdn_suffix for deixado vazio ou o campo for omitido, os padrões do gráfico se aplicam: amazonaws.com para AWS ou core.windows.net para Azure.
• Se um valor não vazio for fornecido, ele substitui o sufixo FQDN do ponto de extremidade da fila para URLs de fila do AWS e do Azure.
• Se azure_fqdn_suffix estiver definido em external_object_storage, o Integration Service usará automaticamente o mesmo valor para o sufixo do endpoint da fila. Você não precisa definir queue_config.fqdn_suffix separadamente nesse caso.

Autenticação principal de serviço para SQL

Ao usar a Autenticação SQL com uma Entidade de Serviço do Azure Active Directory para a conexão com o banco de dados, você deve adicionar explicitamente uma seção advanced_configuration ao bloco integrationservices em input.json. Substitua your-tenant-id por seu ID de tenant do Azure.

"integrationservices": {
  "enabled": true,
  "advanced_configuration": {
    "gallupx": {
      "extraEnv": {
        "AZURE_TENANT_ID": "your-tenant-id"
      }
    }
  }
}

Configuração específica do Document Understanding

Autenticação principal de serviço para SQL

Ao usar a Autenticação SQL com uma Entidade de Serviço do Azure Active Directory para a conexão com o banco de dados, você deve adicionar explicitamente uma seção advanced_configuration ao bloco documentunderstanding em input.json. Substitua your-tenant-id por seu ID de tenant do Azure.

"documentunderstanding": {
    "enabled": true,
    "enable_sql_wi": null,
    "advanced_configuration": {
      "du-annotations": {
        "additionalConfigs": {
          "AZURE_TENANT_ID": "your-tenant-id"
        }
      }
    },
},