Concessão de permissões de instalação

Importante:

As permissões de instalação são relevantes apenas se você não puder fornecer privilégios de administrador ao instalador do Automation Suite. Se você puder fornecer os privilégios de administrador necessários ao instalador, você não precisará seguir as instruções nesta seção.

O Automation Suite depende de permissões específicas durante a instalação. Essas permissões são atribuídas à conta de serviço, que desempenha um papel fundamental na instalação dos vários componentes do Automation Suite.

Para configurar todas as permissões necessárias para a instalação, siga as seguintes etapas:

Etapa 4.1: criação de uma conta de serviço

Etapa 4.2: criação das funções necessárias

Etapa 4.3: Associação das funções à conta de serviço do uipathadmin

Etapa 4.4: geração do arquivo kubeconfig

Etapa 1: criação de uma conta de serviço

Para criar uma conta de serviço, siga os seguintes passos:

1. Crie o namespace <uipath> :

   kubectl create namespace <uipath>
   

2. Crie uma conta de serviço chamada uipathadmin:

    kubectl create serviceaccount uipathadmin -n <uipath>
   

3. Use a função de cluster admin existente para conceder permissões de administrador à conta de serviço uipathadmin no namespace. <uipath>

   kubectl create rolebinding uipathadmin --clusterrole=admin --serviceaccount=<uipath>:uipathadmin -n <uipath>
   

Etapa 2: criação das funções necessárias

A conta de serviço uipathadmin requer certas permissões durante a instalação do Automation Suite. Você fornece as permissões necessárias criando funções. Para criar cada função, salve sua configuração como um arquivo YAML e execute o seguinte comando, substituindo o espaço reservado <file_name.yaml> pelo nome real do arquivo YAML:

kubectl apply -f <file_name.yaml>

Você pode criar o arquivo YAML para cada função copiando sua configuração correspondente da seguinte tabela:

Figura 1. Permissões de instalação do Automation Suite

Permissões	Finalidade	Configuração
Consultar o namespace [somente leitura]	Obrigatório para verificar se os namespaces, como o namespace <istio-system> , estão disponíveis ou não.	apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: namespace-reader-clusterrole rules: - apiGroups: [""] resources: ["namespaces"] verbs: ["get"]
Listar nós e CRDs [somente leitura]	A verificação de pré-requisitos e a ferramenta de verificação de integridade de diagnóstico exigem essa permissão para realizar validações de nós, como verificar a capacidade disponível no nó.	apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: list-nodes-and-crd-clusterrole rules: - apiGroups: [""] resources: ["nodes"] verbs: ["list", "get"] - apiGroups: ["apiextensions.k8s.io"] resources: ["customresourcedefinitions"] verbs: ["list"] - apiGroups: ["metrics.k8s.io"] resources: ["nodes"] verbs: ["list", "get"] - apiGroups: ["scheduling.k8s.io"] resources: ["priorityclasses"] verbs: ["get"]
Obter classes de armazenamento [somente leitura]	A ferramenta de verificação de pré-requisitos e de verificação de integridade do diagnóstico requer essa permissão para executar as validações.	apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: storage-class-reader rules: - apiGroups: ["storage.k8s.io"] resources: ["storageclasses"] verbs: ["get"]
uipath funções [gravar]	A maior parte da instalação do Automation Suite é executada por meio do ArgoCD. No entanto, alguns componentes são instalados por meio de gráficos do Helm. A ferramenta uipathctl executa um trabalho de instalação que se conecta ao kube-api-server e instala gráficos do Helm no namespace <uipath> , o que requer permissões de criador de função no nível do namespace.	apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: name: uipath-automationsuite-role namespace: <uipath> rules: - apiGroups: ["rbac.authorization.k8s.io"] resources: ["roles", "rolebindings"] verbs: ["*"] - apiGroups: ["*"] resources: ["secrets", "configmaps"] verbs: ["get", "watch", "list", "patch", "update", "create"] - apiGroups: ["security.istio.io", "networking.istio.io"] resources: ["*"] verbs: ["*"]
<istio-system> funções [gravar] Forneça essas permissões apenas se você quiser que o instalador configure o plug-inWASM.	As seguintes operações são realizadas no namespace. <istio-system> A ferramenta de verificação de pré-requisitos lê pods e serviços para validar se o Istio está instalado e configurado corretamente. O Automation Suite instala o plug-in Warm, que requer a criação de um segredo de extração de imagem e permissões de criador de função no nível do namespace.	apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: name: istio-system-automationsuite-role namespace: <istio-system> rules: - apiGroups: [""] resources: ["services", "pods"] verbs: ["list"] - apiGroups: ["rbac.authorization.k8s.io"] resources: ["roles", "rolebindings"] verbs: ["*"] - apiGroups: ["*"] resources: ["secrets", "configmaps"] verbs: ["get", "watch", "list", "patch", "update", "create"] - apiGroups: ["networking.istio.io", "extensions.istio.io"] resources: ["*"] verbs: ["*"]
<istio-system> funções [somente leitura] Forneça essas permissões se o Istio e o plug-in do Warm já estiverem configurados.	As seguintes operações são realizadas no namespace. <istio-system> Leia pods e serviços para validar a instalação do Istio. Leia segredos para copiar certificados no namespace <uipath> .	apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: name: istio-system-automationsuite-role namespace: <istio-system> rules: - apiGroups: [""] resources: ["services", "pods"] verbs: ["list"] - apiGroups: ["*"] resources: ["secrets"] resourceNames: ["istio-ingressgateway-certs"] verbs: ["get"]

Etapa 3: vinculando as funções

Você deve vincular as funções que você criou na etapa anterior à conta de serviço uipathadmin , executando os seguintes comandos:

kubectl -n <istio-system> create rolebinding istio-system-automationsuite-rolebinding \
  --role=istio-system-automationsuite-role --serviceaccount=<uipath>:uipathadmin
  
kubectl -n <istio-system> create rolebinding namespace-reader-rolebinding \
  --clusterrole=namespace-reader-clusterrole --serviceaccount=<uipath>:uipathadmin
  
kubectl -n <uipath> create clusterrolebinding list-nodes-and-crd-rolebinding \
  --clusterrole=list-nodes-and-crd-clusterrole --serviceaccount=<uipath>:uipathadmin
  
kubectl -n <uipath> create rolebinding uipath-automationsuite-rolebinding \
  --role=uipath-automationsuite-role --serviceaccount=<uipath>:uipathadmin
  
kubectl -n <uipath> create clusterrolebinding storage-class-reader-binding \
  --clusterrole=storage-class-reader --serviceaccount=<uipath>:uipathadmin

# This step is needed only if you want installer to configure the WASM Plugin. Otherwise skip it.
kubectl -n <istio-system> create rolebinding uipadmin-istio-system \
  --clusterrole=admin --serviceaccount=<uipath>:uipathadmin

Etapa 4: geração do arquivo kubeconfig

Após atribuir todas as permissões à conta de serviço, você deve criar um arquivo kubeconfig para passar à ferramenta uipathctl para a instalação.

Gerando o arquivo kubeconfig no Linux ou Mac

Para gerar o arquivo kubeconfig no Linux ou Mac, execute os seguintes comandos:

# Create a token
token="$(kubectl -n <uipath> create token uipathadmin --duration=8760h)"
# copy current kubeconfig to a temp file
mkdir temp
cp ~/.kube/config temp/kubeconfig.tmp
# Find the user name and unset it in the temp file
kube_user_name="$(kubectl config view -o jsonpath="{.users[0].name}")"
kubectl -n <uipath> config unset users."${kube_user_name}" --kubeconfig="temp/kubeconfig.tmp"
# Update the credentials in the temp file
kubectl -n <uipath> --kubeconfig="temp/kubeconfig.tmp" config set-credentials uipathadmin --token="$token"
# Set the context and the namespace
kubectl --kubeconfig="temp/kubeconfig.tmp" config set-context --current --namespace=<uipath> --user=uipathadmin
mv temp/kubeconfig.tmp temp/uipathadminkubeconfig

Se a operação tiver sido bem-sucedida, você deverá ver um arquivo kubeconfig chamado uipathadminkubeconfig.

Gerando o arquivo kubeconfig no Windows

Observação:

Você deve executar essa etapa usando o Windows Powershell.

Para gerar o arquivo kubeconfig no Windows, execute os seguintes comandos:

# Create a token
$token = kubectl -n <uipath> create token uipathadmin --duration=8760h
# copy current kubeconfig to a temp file
mkdir temp
cp ~/.kube/config temp/kubeconfig.tmp
# Find the user name and unset it in the temp file
$kube_user_name = kubectl config view -o jsonpath="{.users[0].name}"
kubectl -n <uipath> config unset users."${kube_user_name}" --kubeconfig="temp/kubeconfig.tmp"
# Update the credentials in the temp file
kubectl -n <uipath> --kubeconfig="temp/kubeconfig.tmp" config set-credentials uipathadmin --token="$token"
# Set the context and the namespace
kubectl --kubeconfig="temp/kubeconfig.tmp" config set-context --current --namespace=<uipath> --user=uipathadmin
mv temp/kubeconfig.tmp temp/uipathadminkubeconfig

Se a operação tiver sido bem-sucedida, você deve ver um arquivo kubeconfig chamado uipathadminkubeconfig na pasta temp .