外部对象存储配置

常规配置

Automation Suite 允许您使用自己的外部存储提供程序。您可以从以下存储提供程序中进行选择：

• Azure
• AWS
• 兼容 S3

您可以通过以下方式之一配置外部对象存储：

• 在安装过程中；
• 安装后，使用 cluster_config.json 文件。

备注：

• 为了使 Automation Suite 在使用预签名 URL 时正常运行，您必须确保可从 Automation Suite 集群、浏览器和所有计算机（包括工作站和机器人计算机）访问外部对象存储。
• 只能在 2014 年 1 月 30 日之后创建的任何区域中部署的 Automation Suite 存储桶上启用使用密钥管理服务 (SSE-KMS) 的服务器端加密。

  SSE-KMS 功能需要纯 SignV4 API。由于与 SignV2 向后兼容，2014 年 1 月 30 日之前创建的区域不使用纯 SignV4 API。因此，SSE-KMS 仅在使用 SignV4 进行通信的区域中起作用。要了解配置各个区域的时间，请参阅 AWS 文档。

下表列出了可用于配置每个外部对象存储提供程序的 cluster_config.json 参数：

参数	Azure	AWS	兼容 S3	描述
external_object_storage.enabled	✅	✅	✅	指定是否要使用自己的对象存储。可能的值：true 和 false。
external_object_storage.create_bucket	✅	✅	✅	指定是否要配置存储桶。可能的值：true 和 false。
external_object_storage.storage_type	✅	✅	✅	指定要配置的存储提供程序。该值区分大小写。 可能的值：azure 和 s3。 许多 S3 对象存储要求将 CORS 设置为来自 Automation Suite 集群的所有流量。您必须在对象存储级别配置 CORS 策略，以允许使用集群的 FQDN。
external_object_storage.fqdn	❌	✅	✅	指定 S3 服务器的 FQDN。对于 AWS 实例和非实例配置文件为必需。
external_object_storage.port	❌	✅	✅	指定 S3 端口。对于 AWS 实例和非实例配置文件为必需。
external_object_storage.region	❌	✅	✅	指定托管存储桶的 AWS 区域。对于 AWS 实例和非实例配置文件为必需。
external_object_storage.access_key	❌	✅	✅	指定 S3 帐户的访问密钥。 仅在 AWS 非实例配置文件的情况下才需要。
external_object_storage.secret_key	❌	✅	✅	指定 S3 帐户的密钥。 仅在 AWS 非实例配置文件的情况下才需要。
external_object_storage.use_instance_profile	❌	✅	✅	指定是否要使用实例配置文件。AWS 身份和访问管理 (IAM) 实例配置文件可为在 Amazon Elastic Compute Cloud (EC2) 实例上运行的应用程序或服务授予对 AWS 资源的安全访问权限。如果您选择 AWS S3，则实例配置文件允许 EC2 实例与 S3 存储桶交互，而无需将显式 AWS 凭据（例如访问密钥）存储在实例上。
external_object_storage.use_managed_identity	✅	❌	❌	将托管标识与 Azure 存储帐户结合使用。可能的值：true 和 false。
external_object_storage.bucket_name_prefix 1	❌	✅	✅	指定存储桶名称的前缀。对于 AWS 非实例配置文件为可选。
external_object_storage.bucket_name_suffix 2	❌	✅	✅	指定存储桶名称的后缀。对于 AWS 非实例配置文件为可选。
external_object_storage.account_key	✅	❌	❌	指定 Azure 帐户密钥。仅在使用非托管标识时才需要。
external_object_storage.account_name	✅	❌	❌	指定 Azure 帐户名称。
external_object_storage.azure_fqdn_suffix	✅	❌	❌	指定 Azure FQDN 后缀。 可选参数。
external_object_storage.client_id	✅	❌	❌	指定 Azure 客户端 ID。仅在使用托管标识时才需要。

¹ 如果您计划禁用预签名 URL 访问，请注意，Task Mining 以及以下从对象存储上传或检索数据的活动不支持此配置：

• 写入存储文本
• 上传存储文件
• 列出存储文件
• 读取存储文本
• 下载存储文件
• 删除存储文件

^2，3配置外部对象存储时，您必须遵循提供程序为bucket_name_prefix和bucket_name_suffix提供的命名规则和约定。除此之外，后缀和前缀的总长度不得超过 25 个字符，并且您不得以连字符 ( - ) 作为前缀结尾或后缀开头，因为我们已经为您自动添加了字符。

为确保与 Automation Suite 进行安全且兼容的通信，兼容 S3 的对象存储必须支持以下一个或多个安全 TLS 密码套件：

• TLS 1.3：
  • TLS_AES_128_GCM_SHA256
  • TLS_AES_256_GCM_SHA384
  • TLS_CHACHA20_POLY1305_SHA256
• TLS 1.2：
  • TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
  • TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256

备注：

受支持的密码套件列表可能会随着时间的推移而不断变化，以与 Go 密码库中的安全最佳实践和更新保持一致。有关当前列表，请参阅最新的 Go 文档。

特定于产品的配置

您可以使用“常规配置”部分中描述的参数来更新 Automation Suite 的常规配置。这意味着所有已安装的产品将共享相同的配置。如果要以不同方式配置一个或多个产品，可以覆盖常规配置。您只需指定要以不同方式设置外部对象存储的产品，并使用相同的参数来定义配置。请注意，所有其他已安装的产品将继续继承常规配置。

以下示例显示了如何覆盖 Orchestrator 的常规配置：

"external_object_storage": {
  "enabled": false, // <true/false>
  "create_bucket": true, // <true/false>
  "storage_type": "s3", // <s3,azure,aws>
  "fqdn": "",  // <needed in the case of aws instance and non-instance profile>
  "port": 443, // <needed in the case of aws instance and non-instance profile>
  "region": "", 
  "access_key": "", // <needed in the case of aws non instance profile>
  "secret_key": "", // <needed in the case of aws non instance profile>
  "use_managed_identity": false, // <true/false>
  "bucket_name_prefix": "",
  "bucket_name_suffix": "",
  "account_key": "", // <needed only when using non managed identity>
  "account_name": "",
  "azure_fqdn_suffix": "core.windows.net",
  "client_id": "" // <optional field in case of managed identity>
},

"orchestrator": {
  "external_object_storage": {
    "enabled": false, // <true/false>
    "create_bucket": true, // <true/false>
    "storage_type": "s3", // <s3,azure>
    "fqdn": "",  // <needed in the case of aws instance and non-instance profile>
    "port": 443, // <needed in the case of aws instance and non-instance profile>
    "region": "", 
    "access_key": "", // <needed in case of aws non instance profile>
    "secret_key": "", // <needed in case of aws non instance profile>
    "use_managed_identity": false, // <true/false>
    "bucket_name_prefix": "",
    "bucket_name_suffix": "",
    "account_key": "", // <needed only when using non managed identity>
    "account_name": "",
    "azure_fqdn_suffix": "core.windows.net",
    "client_id": "" // <optional field in case of managed identity>
  }
}

轮换 Process Mining 的 Blob 存储凭据

要轮换 Automation Suite 中 Process Mining 的 Blob 存储凭据，必须使用新凭据更新存储的密码。请参阅轮换 Blob 存储凭据。

为 Insights 配置外部对象存储

为 Insights 配置外部对象存储时，如果 create_bucket 参数设置为 false，则必须确保用于 Insights 的 bucket_name 值与平台的相同。如果将 create_bucket 设置为 true，则您无需执行任何操作。

 "insights": {
    "enabled": true,
    "external_object_storage": {
      "bucket_name": "<same_as_platform_bucket_name"
    }
  },