凭据密码存储配置

在 EKS/AKS 上的 Automation Suite 中使用密码存储分离和管理凭据。

Automation Suite 中的密码存储是用于存储敏感凭据的外部来源。它可以是 Kubernetes 密码、Azure 密钥保险库、HashiCorp 保险库或 AWS Secrets Manager（只读）。

要在 Automation Suite 中使用密码存储作为凭据，请参阅“使用密码存储获取凭据” 。

如果您使用 Azure 密钥保险库、HashiCorp 保险库或 AWS Secrets Manager 作为外部密码管理系统，并计划使用自己的外部 Secrets Operator，请参阅在 Kubernetes 中安装外部 Secrets Operator 。

在这种情况下，请确保将external-secrets添加到已排除的组件列表中，如下所示：

"exclude_components": [
        ...
        "external-secrets"
  ]

启用密码存储时，必须运行uipathctl prereq create 。有关详细信息，请参阅uipathctl Prereq create和uipathctl Prereq Run 。

将密码存储用于凭据

部署 Automation Suite 时， input.json文件通常以纯文本形式包含多个敏感数据字段和凭据。为提高安全性，您可以将这些凭据存储在密码存储区中，而不是直接将其包含在input.json文件中。

密码存储充当安全保存敏感凭据和配置数据的外部系统。配置后，Automation Suite 会在部署期间从定义的密码存储区检索凭据。

要启用密码存储，请将以下部分添加到input.json文件中：

"secret_store": {
    "enabled": true
}

启用此配置后，Automation Suite 从密码存储库中读取凭据，而不是直接从input.json文件中读取。

保险库引用模式

使用以下模式引用input.json中的密码：

vault/{vault-name}/{secret-key}?key={property}&version={version}

下表描述了保险库引用模式的参数。

参数	必填	描述
vault-name	是	映射到provider_configs中的name字段
secret-key	是	外部保险库中的密码的密钥/路径
key	否	要提取的特定 JSON 属性（适用于结构化密码）
version	否	要固定的特定密码版本。如果未提供，则“ESO”将使用最新版本。

Automation Suite 支持以下密码存储类型：

• Kubernetes 密码
• Azure 密钥保管库
• HashiCorp 保险库
• AWS Secrets Manager

如果存储在密码存储区中的任何凭据发生变化，您必须执行凭据更新过程。有关详细信息，请参阅更新凭据。