安全性与合规性

网守和 OPA 策略

Automation Suite is pre-configured with Gatekeeper and OPA policies. If you bring your own Gatekeeper component and OPA policies, you can skip these components from the Automation Suite installation. For details, see Automation Suite stack. In this case, review the OPA policies and the exceptions needed for installing and running Automation Suite.

OPA 策略

Policy	强制执行 Actions	要排除的命名空间/映像
允许在容器中提升权限 将升级限制为根权限的控件。 对应于 Pod 安全策略中的 allowPrivilegeEscalation 字段	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argod 默认 istio-system 证书管理器 监控 风量
应用程序护甲 配置 AppArmo 配置文件的允许列表，以供容器使用。 这对应于应用于 Pod 安全策略的特定注释。	deny	kube-system
功能 控制容器上的 Linux 功能。 对应于 Pod 安全策略中的 allowedCapabilities 和 requiredDropCapabilities 字段。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argod 默认 istio-system 证书管理器 监控 风量
弹性卷 控制 FlexVolume 驱动程序的允许列表。 对应于 Pod 安全策略中的 allowedFlexVolumes 字段。	deny	不适用
禁止的 Sysctl	deny	istio-system
FS 组 控制分配拥有 Pod 卷的 FS 组。 对应于 Pod 安全策略中的 fsGroup 字段。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argod 默认 istio-system 证书管理器 监控 风量 prereq**
主机文件系统 控制主机文件系统的使用情况。 对应于 Pod 安全策略中的 allowedHostPaths 字段。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argod 默认 istio-system 证书管理器 监控
Host Namespace 禁止 Pod 容器共享主机 PID 和 IPC 命名空间。 对应于 Pod 安全策略中的 hostPID 和 hostIPC 字段。	deny	kube-system 监控
主机网络端口 控制 Pod 容器对主机网络命名空间的使用。	deny	Gatekeeper logging dapr-system uipath-installer kube-system argod 默认 istio-system 证书管理器 监控 风量 prereq**
特权容器 控制任何容器启用特权模式的能力。 对应于 Pod 安全策略中的 privileged 字段。	deny	Gatekeeper logging dapr-system uipath-installer kube-system argod 默认 istio-system 证书管理器 监控 风量
过程装载 控制容器允许的 procMount 类型。 对应于 Pod 安全策略中的 allowedProcMountTypes 字段。	deny	不适用
只读根文件系统 要求 Pod 容器使用只读根文件系统。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system argod 默认 istio-system 证书管理器 监控 风量 prereq**
Seccomp 控制容器使用的 seccomp 配置文件。 对应于 Pod 安全策略上的 seccomp.security.alpha.kubernetes.io/allowedProfileNames 注释。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argod 默认 istio-system 证书管理器 监控 风量
SELinux V2 定义 Pod 容器的seLinuxOptions 配置允许列表。	deny	不适用
允许的用户 控制容器和某些卷的用户和组 ID。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argod 默认 istio-system 证书管理器 监控 风量 velero
卷类型 将可安装的卷类型限制为用户指定的类型。	deny	监控 logging

备注：

• 仅当您安装 Process Mining 和 Task Mining 时，才需要 dapr-system 命名空间。
• 仅当您安装 Process Mining 时，才需要 airflow 命名空间。
• prereq** 是运行先决条件或运行状况检查时创建的临时命名空间。命名空间将在完成后自删除。

其他 OPA 策略

Policy	强制执行 Actions	要排除的命名空间/映像
为 Pod 自动装载服务帐户令牌 控制任何 Pod 启用 automountServiceAccountToken的能力。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argod 默认 istio-system 证书管理器 监控 风量 prereq**
允许的存储库 要求容器映像以指定列表中的字符串开头。	dryrun	registry.uipath.com registry-data.uipath.com
阻止端点编辑默认角色	deny	不适用
阻止类型为“负载均衡器”的服务 禁止所有类型为负载均衡器的服务。	deny	kube-system
阻止节点端口 禁止所有节点端口类型的服务。	deny	istio-system 网络先决条件检查
阻止通配符入口 用户不得创建具有空白或通配符 (*) 主机名的入口，因为这将使他们能够拦截集群中其他服务的流量，即使他们无权访问这些服务。	deny	不适用
容器限制 要求容器设置内存和 CPU 限制。 将限制限制在指定的最大值范围内。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argod 默认 istio-system 证书管理器 监控 风量 prereq**
容器请求 要求容器设置内存和 CPU 请求。 将请求限制在指定的最大值范围内。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argod 默认 istio-system 证书管理器 监控 风量 先决条件**”
容器比率 设置容器资源限制与请求的最大比率。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argod 默认 istio-system 证书管理器 监控 风量 prereq**
所需资源 要求容器具有已定义的资源集。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argod 默认 istio-system 证书管理器 监控 风量 prereq**
禁止匿名访问 不允许将集群角色和角色资源与 system:anonymous 用户和 system:unauthenticated 组相关联。	deny	不适用
Disallow tags 要求容器映像具有与指定列表中不同的映像标签。	deny	不适用
容器临时存储限制 要求容器设置临时存储限制，并将限制限制在指定的最大值范围内。	dryrun	Gatekeeper logging dapr-system uipath-installer kube-system UiPath argod 默认 istio-system 证书管理器 监控 风量 prereq**
水平 Pod 自动调节程序	deny	不适用
仅 HTTPS 仅要求入口资源为 HTTPS。 入口资源必须包含 kubernetes.io/ingress.allow-http 注释，并设置为 false。 默认情况下，需要有效的 TLS {} 配置，可以通过将 tlsOptional 参数设置为 true使其可选。	dryrun	监控
图像摘要 要求容器映像包含摘要。	dryrun	UiPath
阻止更新服务帐户 阻止更新通过 Pod 进行抽象的资源上的服务帐户。 在审核模式下，此策略将被忽略。	dryrun	不适用
Pod 中断预算	deny	风量
所需探测器 要求 Pod 具有就绪探测器和/或活动探测器。	dryrun	UiPath
存储类 使用时需要指定存储类。	dryrun	不适用
Unique Ingress Host 要求所有入口规则主机唯一。	dryrun	不适用
Unique Service Selector 要求服务在命名空间中具有唯一的选取器。 如果选取器具有相同的键和值，则视为相同选取器。 只要选取器之间至少存在一个不同的键/值对，就可以共享一个键/值对。	dryrun	不适用

备注：

• 仅当您安装 Process Mining 和 Task Mining 时，才需要 dapr-system 命名空间。
• 仅当您安装 Process Mining 时，才需要 airflow 命名空间。
• prereq** 是运行先决条件或运行状况检查时创建的临时命名空间。命名空间将在完成后自删除。

网络策略

Automation Suite is pre-configured with standard Kubernetes Network Policies to follow the principle of least privilege network access. You can choose to skip installing UiPath-provided network policies by adding network-policies under the exclude components list in input.json. To learn more about optional components, see the Automation Suite stack.

Automation Suite 强制执行源自 uipath 命名空间、至该命名空间以及在其中的网络。如果您使用自己的网络策略或具有自定义 CNI（例如 Cilium Enterprise 或 CalicoTigera Enterprise），请确保更新策略以镜像 network-policies Helm 图表。

您可以通过运行以下命令来查找 Automation Suite network-policies Helm 图表。

备注：

• 您必须在以下命令中将 <automation-suite-version> 替换为当前的 Automation Suite 版本。
• 您必须解压缩文件才能提取 Helm 图表。

helm pull oci://registry.uipath.com/helm/network-policies --version <automation-suite-version>

集群权限要求

管理节点上的uipathctl需要集群管理员访问权限才能在专用集群上安装和管理 Automation Suite。 Automation Suite 中的系统级组件（例如 Istio（路由/服务网格）和 ArgoCD（部署和应用程序生命周期管理））以及创建与 Automation Suite 相关的命名空间需要此级别的访问权限。