Configuração externa do Objectstore

Referência para opções de configuração de armazenamento de objetos externos, incluindo Azure, AWS e provedores compatíveis com S3, no Automation Suite.

Configuração geral

O Automation Suite permite que você traga seu próprio provedor de armazenamento externo. Você pode escolher entre os seguintes provedores de armazenamento:

• Azure
• AWS
• compatível com S3

Você pode configurar o armazenamento de objeto externo de uma das seguintes maneiras:

• durante a instalação;
• pós-instalação, usando o arquivo cluster_config.json .

Observação:

• Para que o Automation Suite funcione corretamente ao usar URLs pré-assinadas, você deve certificar-se de que seu objectstore externo esteja acessível a partir do cluster do Automation Suite, navegadores e todas as suas máquinas, incluindo estações de trabalho e máquinas de robôs.

• A Criptografia do lado do servidor com Serviço de Gerenciamento de Chaves (SSE-KMS) só pode ser habilitada nos buckets do Automation Suite implantados em qualquer região criada após 30 de janeiro de 2014.

  A funcionalidade SSE-KMS requer APIs SignV4 puras. As regiões criadas antes de 30 de janeiro de 2014 não usam APIs puras do SignV4 devido à compatibilidade com versões anteriores com o SignV2. Portanto, o SSE-KMS é funcional apenas em regiões que usam o SignV4 para comunicação. Para descobrir quando as várias regiões foram provisionadas, consulte a documentação da AWS.

A tabela a seguir lista os parâmetros cluster_config.json que você pode usar para configurar cada provedor de armazenamento de objeto externo:

Parâmetro	Azure	AWS	compatível com S3	Description
external_object_storage.enabled	✅	✅	✅	Especifique se você gostaria de trazer seu próprio armazenamento de objetos. Valores possíveis: true e false.
external_object_storage.create_bucket	✅	✅	✅	Especifique se você gostaria de provisionar o bucket. Valores possíveis: true e false.
external_object_storage.storage_type	✅	✅	✅	Especifique o provedor de armazenamento que você gostaria de configurar. O valor diferencia maiúsculas de minúsculas. Valores possíveis: azure e s3 . Muitos objetos S3 requerem o CORS definido para todo o tráfego do cluster do Automation Suite. Você deve configurar a política CORS no nível do objectstore para permitir o FQDN do cluster.
external_object_storage.fqdn	❌	✅	✅	Especifique o FQDN do servidor S3. Necessário no caso da instância da AWS e perfil não instância.
external_object_storage.port	❌	✅	✅	Especifique a porta S3. Necessário no caso da instância da AWS e perfil não instância.
external_object_storage.region	❌	✅	✅	Especifique a região da AWS onde os buckets estão hospedados. Necessário no caso da instância da AWS e perfil não instância.
external_object_storage.access_key	❌	✅	✅	Especifique a chave de acesso para a conta S3. Necessário apenas no caso do perfil de não instância da AWS.
external_object_storage.secret_key	❌	✅	✅	Especifique a chave secreta para a conta S3. Necessário apenas no caso do perfil de não instância da AWS.
external_object_storage.use_instance_profile	❌	✅	✅	Especifique se você deseja usar um perfil de instância. Um perfil de instância do AWS Identity e Access Management (IAM) concede acesso seguro a recursos da AWS para aplicativos ou serviços em execução nas instâncias do Amazon Elastic Compute Cloud (EC2). Se você optar pelo AWS S3, um perfil de instância permite que uma instância do EC2 interaja com buckets do S3 sem a necessidade de que credenciais explícitas da AWS (como chaves de acesso) sejam armazenadas na instância.
external_object_storage.use_managed_identity	✅	❌	❌	Use a identidade gerenciada com sua conta de armazenamento do Azure. Valores possíveis: true e false.
external_object_storage.bucket_name_prefix 1	❌	✅	✅	Indique o prefixo para os nomes dos depósitos. Opcional no caso do perfil de não instância da AWS.
external_object_storage.bucket_name_suffix 1	❌	✅	✅	Indique o sufixo para os nomes dos depósitos. Opcional no caso do perfil de não instância da AWS.
external_object_storage.account_key	✅	❌	❌	Especifique a chave de conta do Azure. Necessário apenas ao usar identidade não gerenciada.
external_object_storage.account_name	✅	❌	❌	Especifique o nome da conta do Azure.
external_object_storage.azure_fqdn_suffix	✅	❌	❌	Especifique o sufixo FQDN do Azure. Parâmetro opcional.
external_object_storage.client_id	✅	❌	❌	Especifique sua ID de cliente do Azure. Necessário apenas ao usar a identidade gerenciada.

¹ Ao configurar o armazenamento de objetos externo, você deve seguir as regras e convenções de nomenclatura do seu provedor para bucket_name_prefix e bucket_name_suffix. Além disso, o sufixo e o prefixo devem ter um comprimento combinado de não mais do que 25 caracteres, e você não deve terminar o prefixo ou iniciar o sufixo com um hífen (-), pois já adicionamos o caractere automaticamente para você.

Para garantir uma comunicação segura e compatível com o Automation Suite, seu objectstore compatível com S3 deve oferecer suporte a um ou mais dos seguintes conjuntos de cifras TLS seguros:

• TLS 1.3:
  • TLS_AES_128_GCM_SHA256
  • TLS_AES_256_GCM_SHA384
  • TLS_CHACHA20_POLY1305_SHA256
• TLS 1.2:
  • TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
  • TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256

Observação:

A lista de conjuntos de cifras compatíveis pode evoluir ao longo do tempo para se alinhar às melhores práticas de segurança e atualizações na biblioteca criptográfica do Go. Para obter a lista atualizada, consulte a documentação do Go.

Configuração específica do produto

Você pode usar os parâmetros descritos na seção Configuração geral para atualizar a configuração geral do Automation Suite. Isso significa que todos os produtos instalados compartilhariam a mesma configuração.

Se você quiser configurar um ou mais produtos de forma diferente, poderá substituir a configuração geral. Você só precisa especificar o(s) produto(s) para o qual deseja configurar o armazenamento de objetos externo de forma diferente e usar os mesmos parâmetros para definir sua configuração. Observe que todos os outros produtos instalados continuariam a herdar a configuração geral.

O exemplo a seguir mostra como você pode substituir a configuração geral do Orchestrator:

"external_object_storage": {
  "enabled": false, // <true/false>
  "create_bucket": true, // <true/false>
  "storage_type": "s3", // <s3,azure,aws>
  "fqdn": "",  // <needed in the case of aws instance and non-instance profile>
  "port": 443, // <needed in the case of aws instance and non-instance profile>
  "region": "", 
  "access_key": "", // <needed in the case of aws non instance profile>
  "secret_key": "", // <needed in the case of aws non instance profile>
  "use_managed_identity": false, // <true/false>
  "bucket_name_prefix": "",
  "bucket_name_suffix": "",
  "account_key": "", // <needed only when using non managed identity>
  "account_name": "",
  "azure_fqdn_suffix": "core.windows.net",
  "client_id": "" // <optional field in case of managed identity>
},

"orchestrator": {
  "external_object_storage": {
    "enabled": false, // <true/false>
    "create_bucket": true, // <true/false>
    "storage_type": "s3", // <s3,azure>
    "fqdn": "",  // <needed in the case of aws instance and non-instance profile>
    "port": 443, // <needed in the case of aws instance and non-instance profile>
    "region": "", 
    "access_key": "", // <needed in case of aws non instance profile>
    "secret_key": "", // <needed in case of aws non instance profile>
    "use_managed_identity": false, // <true/false>
    "bucket_name_prefix": "",
    "bucket_name_suffix": "",
    "account_key": "", // <needed only when using non managed identity>
    "account_name": "",
    "azure_fqdn_suffix": "core.windows.net",
    "client_id": "" // <optional field in case of managed identity>
  }
}

Rotating the blob storage credentials for Process Mining

Para rotacionar as credenciais de armazenamento de Blobs para o Process Mining no Automation Suite, os segredos armazenados devem ser atualizados com as novas credenciais. Consulte Rotação de credenciais de armazenamento de blobs.

Configurando o Objectstore externo para o Insights

Ao configurar o Objectstore externo para o Insights, se o parâmetro create_bucket for definido como false, você deve garantir que o valor bucket_name usado para o Insights seja o mesmo da plataforma. Se create_bucket estiver definido como true, nenhuma ação será necessária de sua parte.

 "insights": {
    "enabled": true,
    "external_object_storage": {
      "bucket_name": "<same_as_platform_bucket_name"
    }
  },