Configuração do cluster

Ferramenta de configuração

O script configureUiPathAS.sh ajuda você a controlar e gerenciar o Automation Suite. A ferramenta vem com o pacote de instalação e está disponível na pasta principal do instalador. configureUiPathAS.sh atualmente é capaz de executar apenas algumas operações.

Para ver mais informações sobre configureUiPathAS.sh, execute:

sudo ./configureUiPathAS.sh --help

Você deve ver a seguinte saída:

configureUiPathAS.sh controls and manage UiPath Automation Suites

Usage:
  configureUiPathAS.sh [command]
  configureUiPathAS.sh [flags]

Available Commands:
  config                               Manage cluster configuration
  tls-cert                             Manage tls and server certificate
  additional-ca-certs                  Manage additional ca certificates
  identity                             Manage identity service
  objectstore                          Manage objectstore
  registry                             Manage registry
  monitoring                           Manage monitoring
  rabbitmq                             Manage rabbitmq
  mongodb                              Manage mongo
  node                                 Manage k8s nodes
  enable-maintenance-mode              Enables maintenance mode on the Cluster
  disable-maintenance-mode             Disables maintenance mode on the Cluster
  is-maintenance-enabled               Checks if maintenance mode is enabled on the Cluster
  resume-scheduled-backups             Resumes the paused scheduled backups
  verify-volumes-backup                Verify if all volumes are backed up
Flags:
  -h|--help                           Display help

***************************************************************************************```

Você pode usar o script configureUiPathAS.sh para gerenciar os seguintes componentes no cluster do Automation Suite:

• Certificado do servidor – Gerencie TLS e certificado do servidor (atualize e obtenha o certificado)
• Certificados de CA adicionais – Gerencie os certificados de CA adicionais, como certificados do SQL Server, certificados de servidor proxy etc.
• Serviço de identidade – Gerencie as configurações do serviço de identidade, como certificado de assinatura de token, certificados SAML, autenticação do Kerberos e do Windows etc.
• Objectstore – Gerencie o ceph objectstore (atualmente fornecendo apenas o redimensionamento de pvc/armazenamento do ceph)
• Registro – Gerencie o registro do Docker (atualmente fornecendo apenas o redimensionamento de pvc/armazenamento do registro)
• Monitoramento – Gerencie o servidor da Rancher (atualmente fornecendo apenas redimensionamento de pvc/armazenamento do servidor da Rancher)
• RabbitMQ – Gerencie a fila de mensagens do rabbitmq (atualmente suportando apenas o redimensionamento de pvc/armazenamento do rabbitmq)
• MongoDB – Gerencie o datastore do mongodb (atualmente suportando apenas redimensionamento de pvc/armazenamento do mongodb e gerenciamento de certificados)

Como atualizar a conexão do SQL Server

Para atualizar a string de conexão ou as credenciais do SQL Server, edite diretamente o arquivo cluster_config.json no nó do servidor principal. Você pode editar diretamente os campos do SQL (sql.username, sql.password e sql.server_url) no arquivo com base no que precisa atualizar.

Depois de atualizar o arquivo, execute novamente o assistente de instalação interativo na mesma máquina com a configuração atualizada como o parâmetro. Você só precisa executar novamente a instalação no servidor principal.

Como atualizar a autenticação do Kerberos

Como atualizar a configuração da autenticação do Kerberos

Para atualizar a configuração de autenticação comum do Kerberos, execute as seguintes etapas:

1. Faça SSH em qualquer máquina servidora.
2. Execute o seguinte comando:

   ./configureUiPathAS.sh identity kerberos-auth global-config update --enabled [kerberos-enabled] --adDomain [ad-domain] --username [default-ad-username] --keytab [default-ad-user-keytab] --lifetime [ticketLifeTimeInHour]

   Observação:

   • Para gerar manualmente o arquivo keytab, consulte Como configurar a autenticação do Kerberos.
   • O controlador de domínio do AD tem a configuração Vida útil máxima do tíquete do usuário do Kerberos dentro da Política de domínio padrão. Certifique-se de que a vida útil do tíquete configurada aqui não seja maior que a configurada no controlador de domínio.

   

Sucesso na saída do console

Updating kerberos auth.....Success!
If you wish to utilize SQL Integrated Auth using Kerberos, 
please update the SQL connection string to enable Integrated Auth. 
For more info on kerberos auth, <link>

Falha na saída do console

Updating kerberos auth.....Failed!
Please provide valid kerberos auth configuration values.

Como atualizar o nome de usuário do AD e o keytab do usuário do AD para um grupo de serviço

Para atualizar o nome de usuário do AD e/ou o keytab do usuário do AD para um serviço específico, execute a seguinte etapa:

Execute o seguinte comando:

./configureUiPathAS.sh identity kerberos-auth service-config update --sg [service-group] --username [new-ad-username] --keytab [new-ad-user-keytab]

Os seguintes grupos de serviços estão disponíveis (diferencia maiúsculas de minúsculas):

• Orchestrator
• Plataforma
• discoverygroup
• Test Manager
• Automation Ops
• AI Center
• Document Understanding
• Insights

• dataservice

  Observação: para gerar manualmente o arquivo keytab, consulte Como configurar a autenticação do Kerberos.

Sucesso na saída do console

Updating kerberos config for <service-group> service group.....Success!
If you want to enable sql integrated auth for the <service-group> service goup, 
please update the service's sql connection string. For more info on kerberos auth, <link>

Falha na saída do console

Updating kerberos config for <service-group> service group.....Failed!
Please provided a valid kerberos auth configuration values.
For more info on kerberos auth, <link>

Como adicionar administradores do sistema

Um administrador de sistema é criado no Automation Suite por padrão com o nome de usuário admin na organização host.

Se o acesso à organização do host for perdido (por exemplo, se a senha do administrador do sistema for perdida ou se os únicos usuários com contas de administrador do sistema deixarem a empresa), há uma ferramenta para adicionar ou restaurar um administrador do sistema.

Este script não funciona se o parâmetro de string de conexão do SQL "Integrated Security=true" existir para serviços de plataforma.

./configureUiPathAS.sh identity add-host-admin --username [new-admin-username] --email [new-admin-email] --password [new-admin-password]

• --username é um campo obrigatório.
• --password é obrigatório apenas se o novo administrador usar a autenticação básica para fazer login.
• --email é opcional, a menos que seu provedor de identidade externo o exija (por exemplo, correspondências do Google por email, não por nome de usuário).

Há algumas observações importantes sobre como o administrador é criado ou restaurado:

• Novos administradores não podem ter o mesmo nome de usuário ou email de um administrador existente. Se você usar o mesmo nome de usuário ou email de um administrador existente, o administrador existente será atualizado. Isso é útil se você quiser alterar a senha.
• Se um administrador foi excluído e você usar o mesmo nome de usuário ou email para um novo usuário, o administrador excluído será restaurado em vez de criar outro. O campo de senha não é substituído neste caso. Um caso excepcional é se vários administradores forem excluídos com o mesmo nome de usuário ou email, o que resulta na criação de outro administrador.
• Se algum dos provedores de identidade externos configurados no host for forçado, isso impõe restrições aos parâmetros. Por exemplo, se o Windows AD for forçado, o nome de usuário deverá estar no formato user@domain. Se o Google for forçado, o email será obrigatório.
• Ao fazer login em uma nova conta de administrador pela primeira vez, a senha deve ser alterada.

Como reativar a autenticação básica

Os administradores da organização e do sistema podem não conseguir fazer login devido a um problema com o Azure Active Directory configurado ou outro provedor de identidade externo. Os administradores da organização podem ser bloqueados porque o sinalizador Disable basic authentication está marcado nas configurações de autenticação. Os administradores da organização e do sistema podem ser bloqueados porque um provedor de identidade externo foi configurado como force/exclusive. Esta ferramenta tentará reativar a autenticação básica de uma organização.

Este script não funciona se o parâmetro Integrated Security=true da string de conexão do SQL existir para serviços de plataforma.

./configureUiPathAS.sh identity enable-basic-auth --orgname [org-name]

Observação: --orgname é um campo obrigatório. Se a autenticação básica for restrita no nível do host, defina o orgname como host.

Atualizando o protocolo TLS

O gateway de entrada Istio configurado no Automation Suite para roteamento, comunicação entre os serviços e mais usa TLS para proteger as trocas. Para evitar qualquer ameaça à segurança, a versão obsoleta do protocolo TLS é desativada por padrão.

Atualmente, apenas o TLS versão 1.2 e superior é compatívele, se você usar uma versão anterior, é recomendável fazer upgrade. No entanto, ainda é possível se conectar usando uma versão anterior do TLS, mas primeiro você deve ativá-la no servidor Automation Suite.

Importante: o TLS 1.0 e 1.1 estão obsoletos, e habilitar essas versões pode representar um risco para a segurança. Recomendamos fortemente atualizar para a versão TLS 1.2 ou posterior, em vez de habilitar versões mais antigas no servidor.

Para habilitar uma versão TLS sem suporte, execute uma das seguintes etapas:

• Para ativar o suporte para TLS 1.0 e superior, execute o seguinte comando:

  kubectl -n istio-system patch gateway main-gateway --type=json \
      -p='[{ "op": "replace", "path": "/spec/servers/0/tls/minProtocolVersion", "value": "TLSV1_0"}]'

• Para habilitar o suporte para o TLS 1.1 e posterior, execute o comando a seguir:

  kubectl -n istio-system patch gateway main-gateway --type=json \
      -p='[{ "op": "replace", "path": "/spec/servers/0/tls/minProtocolVersion", "value": "TLSV1_1"}]'