Segurança e conformidade

Políticas de Gateway e OPA

Automation Suite is pre-configured with Gatekeeper and OPA policies. If you bring your own Gatekeeper component and OPA policies, you can skip these components from the Automation Suite installation. For details, see Automation Suite stack. In this case, review the OPA policies and the exceptions needed for installing and running Automation Suite.

Políticas do OPA

Policy	Actionsde Aplicação	Namespaces/Imagens a serem excluídos
Permitir Escalonamento de Privilégios no Contêiner Controla a restrição do escalonamento para privilégios de “root”. Corresponde ao campo allowPrivilegeEscalation em uma PodSecurityPolicy	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argocd padrão istio-system cert-manager Monitoramento fluxo de ar
Proteção de aplicativos Configura uma lista de permissões de perfis do AppArform para uso por contêineres. Isso corresponde a anotações específicas aplicadas a uma PodSecurityPolicy.	deny	kube-system
Capabilities Controla recursos do Linux em contêineres. Corresponde aos campos allowedCapabilities e requiredDropCapabilities em uma PodSecurityPolicy.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argocd padrão istio-system cert-manager Monitoramento fluxo de ar
Volumes Flex Controla a lista de permissões dos drivers FlexVolume. Corresponde ao campo allowedFlexVolumes em PodSecurityPolicy.	deny	N/A
Sisctls Proibidos	deny	istio-system
Grupo FS Controla a alocação de um FSGroup que possui os volumes do pod. Corresponde ao campo fsGroup em uma PodSecurityPolicy.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd padrão istio-system cert-manager Monitoramento fluxo de ar prereq**
Sistema de arquivos do host Controla o uso do sistema de arquivos do host. Corresponde ao campo allowedHostPaths em uma PodSecurityPolicy.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argocd padrão istio-system cert-manager Monitoramento
Host Namespace Proibiu o compartilhamento de namespaces do host PID e IPC por contêineres de pod. Corresponde aos campos hostPID e hostIPC em uma PodSecurityPolicy.	deny	kube-system Monitoramento
Portas de rede do host Controla o uso do namespace da rede do host pelos contêineres de pod.	deny	Gatekeeper logging dapr-system uipath-installer kube-system argocd padrão istio-system cert-manager Monitoramento fluxo de ar prereq**
Contêiner privilegiado Controla a capacidade de qualquer contêiner de habilitar o modo privilegiado. Corresponde ao campo privileged em uma PodSecurityPolicy.	deny	Gatekeeper logging dapr-system uipath-installer kube-system argocd padrão istio-system cert-manager Monitoramento fluxo de ar
Montagem do processo Controla os tipos de procMount permitidos para o contêiner. Corresponde ao campo allowedProcMountTypes em uma PodSecurityPolicy.	deny	N/A
Sistema de arquivos raiz somente leitura Requer o uso de um sistema de arquivos raiz somente leitura para os contêineres de pod.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argocd padrão istio-system cert-manager Monitoramento fluxo de ar prereq**
Secompu Controla o perfil secompac usado por contêineres. Corresponde à anotação seccomp.security.alpha.kubernetes.io/allowedProfileNames em uma PodSecurityPolicy.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd padrão istio-system cert-manager Monitoramento fluxo de ar
SELinux V2 Define uma lista de permissões de configurações seLinuxOptions para contêineres de pod.	deny	N/A
Usuários Permitidos Controla os IDs de usuários e grupos do contêiner e de alguns volumes.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd padrão istio-system cert-manager Monitoramento fluxo de ar velero
Tipos de volumes Restringe os tipos de volumes montáveis àqueles especificados pelo usuário.	deny	Monitoramento logging

Observação:

• O namespace dapr-system só é necessário se você instalar o Process Mining e o Task Mining.
• O namespace airflow só é necessário se você instalar o Process Mining.
• prereq** são namespaces temporários criados ao executar um pré-requisito ou verificação de integridade. Os namespaces se excluem automaticamente após a conclusão.

Outras políticas do OPA

Policy	Actionsde Aplicação	Namespaces/Imagens a serem excluídos
Token de conta de serviço automático para pod Controla a capacidade de qualquer pod de habilitar o automountServiceAccountToken.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd padrão istio-system cert-manager Monitoramento fluxo de ar prereq**
Repositórios Permitidos Exige que as imagens de contêiner comecem com uma cadeia de caracteres da lista especificada.	dryrun	registry.uipath.com registry-data.uipath.com
Bloquear Função Padrão de Edição de Ponto de Extremidade	deny	N/A
Bloquear Serviços com o tipo LoadBalancer Não permite todos os serviços do tipo LoadBalancer.	deny	kube-system
BloquearNodePort Desabilita todos os Serviços do tipo NodePort.	deny	istio-system rede-prereq-checks
Bloquear Entrada de Curinga Os usuários não devem poder criar Ingresss com um nome de host em branco ou curinga (*), pois isso os permitiria interceptar o tráfego para outros serviços no cluster, mesmo se eles não tiverem acesso a esses serviços.	deny	N/A
Limites do contêiner Exige que os contêineres tenham limites de memória e CPU definidos. Limita os limites para que estejam dentro dos valores máximos especificados.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd padrão istio-system cert-manager Monitoramento fluxo de ar prereq**
Solicitações de contêiner Exige que os contêineres tenham solicitações de memória e de CPU definidas. Limita as solicitações para que fiquem dentro dos valores máximos especificados.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd padrão istio-system cert-manager Monitoramento fluxo de ar pré-requisito**"
Taxas de contêiner Define uma relação máxima dos limites de recursos de contêiner para as solicitações.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd padrão istio-system cert-manager Monitoramento fluxo de ar prereq**
Recursos Necessários Requer que os contêineres tenham recursos definidos definidos.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd padrão istio-system cert-manager Monitoramento fluxo de ar prereq**
Proibir Acesso Anônimo Proibir a associação dos recursos ClusterRole e Função ao usuário system:anonymous e ao grupo system:unauthenticated .	deny	N/A
Disallow tags Exige que as imagens de contêiner tenham uma tag de imagem diferente daquelas na lista especificada.	deny	N/A
Limite de armazenamento efêmero do contêiner Exige que os contêineres tenham um limite de armazenamento efêmero definido e limita esse limite dentro dos valores máximos especificados.	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argocd padrão istio-system cert-manager Monitoramento fluxo de ar prereq**
Dimensionador automático de pod horizontal	deny	N/A
Apenas HTTPS Requer que os recursos do Ingress sejam apenas HTTPS. Os recursos do Ingress devem incluir a anotação kubernetes.io/ingress.allow-http , definida como false. Por padrão, uma configuração {} válida do TLS é necessária; isso pode ser opcional definindo o parâmetro tlsOptional como true.	dryrun	Monitoramento
Resumos de imagens Exige que as imagens de contêiner contenham um resumo.	dryrun	UiPath
Bloquear atualização da Conta de Serviço Blocos que atualizam a conta de serviço em recursos que abstraem sobre pods. Esta política é ignorada no modo de auditoria.	dryrun	N/A
Estimativa de Interrupção do Pod	deny	fluxo de ar
Análises necessárias Exige que os pods tenham testes de prontidão e/ou atividade.	dryrun	UiPath
Classe de Armazenamento Requer que as classes de armazenamento sejam especificadas quando usadas.	dryrun	N/A
Unique Ingress Host Exige que todos os hosts da regra de Ingress sejam exclusivos.	dryrun	N/A
Unique Service Selector Exige que os Serviços tenham seletores exclusivos em um namespace. Os seletores são considerados iguais se tiverem chaves e valores idênticos. Os seletores podem compartilhar um par de chave/valor, desde que haja pelo menos um par de chave/valor distinto entre eles.	dryrun	N/A

Observação:

• O namespace dapr-system só é necessário se você instalar o Process Mining e o Task Mining.
• O namespace airflow só é necessário se você instalar o Process Mining.
• prereq** são namespaces temporários criados ao executar um pré-requisito ou verificação de integridade. Os namespaces se excluem automaticamente após a conclusão.

Políticas de rede

Automation Suite is pre-configured with standard Kubernetes Network Policies to follow the principle of least privilege network access. You can choose to skip installing UiPath-provided network policies by adding network-policies under the exclude components list in input.json. To learn more about optional components, see the Automation Suite stack.

O Automation Suite impõe a rede de, para e dentro do namespace uipath. Se você trouxer suas próprias políticas de rede ou se tiver uma CNI personalizada (por exemplo, Cilium Enterprise ou Calico Tigera Enterprise), certifique-se de atualizar suas políticas para espelhar o gráfico do Helm network-policies.

Você pode encontrar o gráfico do Helm network-policies do Automation Suite executando o seguinte comando.

Observação:

• Você deve substituir <automation-suite-version> por sua versão atual do Automation Suite no seguinte comando.
• Você deve descompactar o arquivo para extrair o gráfico do Helm.

helm pull oci://registry.uipath.com/helm/network-policies --version <automation-suite-version>

Requisitos de privilégio de cluster

O acesso de administrador do cluster é necessário para uipathctl no seu nó de gerenciamento para instalar e gerenciar o Automation Suite no seu cluster dedicado. Esse nível de acesso é necessário para componentes no nível do sistema no Automation Suite, como Istio (roteamento/malha de serviço) e ArgoCD (implantação e gerenciamento do ciclo de vida do aplicativo), e para criar namespaces relacionados ao Automation Suite.