Configurando o AWS Secrets Manager como um Secretstore

Configure o AWS Secrets Manager como segredo para gerenciar credenciais confidenciais no Automation Suite no OpenShift.

Você pode configurar o AWS Secrets Manager como um armazenamento secreto usando Chaves de Acesso (Credenciais Estáticas).

Observação:

A autenticação da função IAM do nó não é compatível com o OpenShift. Para autenticação baseada em função do nó IAM, consulte o guia de instalação EKS/AKS.

O AWS Secrets Manager armazena segredos como pares de chave-valor ou strings de texto simples.

Por padrão, todos os dados confidenciais são definidos em input.json. Você pode separar esses dados em duas partes:

• input.json - contém apenas dados de configuração.
• AWS Secrets Manager - armazena credenciais com segurança.

Observação:

Você não pode armazenar caminhos de certificados ou credenciais relacionadas a certificados como parte do Secretstore.

Usando Chaves de Acesso

As chaves de acesso usam o ID explícito da chave de acesso da AWS e a chave de acesso secreta armazenada em um segredo do Kubernetes.

Pré-requisitos

• Usuário do AWS IAM com permissões secretsmanager:GetSecretValue
• Segredo do Kubernetes pré-criado com credenciais de chave de acesso

Configuring input.json

Para configurar o AWS Secrets Manager como um armazenamento secreto usando Chaves de Acesso, siga as seguintes etapas:

1. Crie o segredo do Kubernetes que armazena as credenciais da AWS:

   kubectl create secret generic aws-credentials \
     --namespace uipath \
     --from-literal=access-key-id=AKIAIOSFODNN7EXAMPLE \
     --from-literal=secret-access-key=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
   

   O segredo deve conter as seguintes chaves:

   • access-key-id - ID da Chave de Acesso da AWS
   • secret-access-key - Chave de Acesso Secreto da AWS

2. Adicione a seguinte seção a input.json:

   {
     "secret_store": {
       "enabled": true,
       "provider_configs": [
         {
           "name": "aws-prod",
           "type": "aws",
           "credentials_secret_name": "aws-credentials",
           "aws_kv": {
             "region": "us-east-1"
           }
         }
       ]
     }
   }
   

Campos de configuração

A tabela a seguir descreve os campos de configuração disponíveis.

Campo	Required	Description
aws_kv.region	Sim	Região da AWS onde os segredos são armazenados (por exemplo, us-east-1)
credentials_secret_name	Sim	Segredo do Kubernetes que contém as chaves access-key-id e secret-access-key

Referenciando segredos em input.json

Para fazer referência a uma credencial armazenada no AWS Secrets Manager, use um dos seguintes formatos em input.json:

• String simples: vault/aws-prod/secret-name
• Extração da propriedade JSON: vault/aws-prod/secret-name?key=password

Usando a AWS GovCloud

Se você estiver usando a AWS GovCloud, defina o campo region como uma região da AWS GovCloud (por exemplo, us-gov-west-1 ou us-gov-east-1). Nenhuma outra alteração de configuração é necessária - o valor da região determina a partição da AWS e os endpoints usados.

{
  "secret_store": {
    "enabled": true,
    "provider_configs": [
      {
        "name": "aws-gov",
        "type": "aws",
        "credentials_secret_name": "aws-credentials",
        "aws_kv": {
          "region": "us-gov-west-1"
        }
      }
    ]
  }
}