将 Apps 连接到 On-Premises Orchestrator 实例

UiPath^® Apps cloud does provide means to connect to an on-premise deployed version of UiPath^® Orchestrator (19.10 and later) to help leverage the power of RPA to help drive rich app experiences.

有关 Apps 和 Orchestrator 之间数据流的更多信息，请参阅混合数据流示意图。

集成工作流

1. 与 Orchestrator 的所有连接都来自一个位置，即 Apps 服务应用程序。
2. 所有对 Orchestrator 的调用都是经过身份验证的调用，符合 Orchestrator 公开的安全模型。请参阅身份验证一节。

3. 从用户获得的用于与 Orchestrator 通信的凭据将用于在设计时（编写应用程序时）和运行时（执行应用程序时）与 Orchestrator 进行的所有通信。设计或运行应用程序的用户的身份与此处无关。

   • 最初从应用程序设计者获取凭据后，凭据将以静态加密方式存储在 Apps 后端，以便为应用程序的所有用户提供无缝、不间断的设计和运行时体验
4. Apps 服务会针对流程生命周期事件在 https 上设置安全的 Webhook 回调，以帮助检测流程何时启动、停止和发生错误等。这遵循关于 Webhook 页面中提到的最佳实践。
5. Apps 后端不会存储任何与流程相关的数据。唯一保留的信息是与特定应用程序正在使用的流程的身份相关的元数据。
6. Apps can invoke both attended and unattended Orchestrator processes. An app designer can choose to run a process through the connected Orchestrator or directly on the local computer on which the app is running using UiPath^® RobotJS.

• 在本地机器人场景中，系统会从浏览器向本地运行的机器人调用流程执行，并且通信不会越过计算机边界。
• In the process execution via Orchestrator option, the complete lifecycle of the process is managed by Orchestrator, and UiPath^® Apps plays no role in the same other than listening to process lifecycle events using the webhook callback.

Allowing UiPath^® Apps to Access an On-Premise Orchestrator

Apps 服务使用传出 IP 进行所有外部通信：

• 20.103.103.104/30

• 20.82.230.132/30

• 52.226.216.100/30

• 52.149.31.132/30

• 20.103.172.28/30

• 20.82.205.104/30

• 20.92.155.132/30

• 20.70.73.28/30

• 20.116.168.240/30

• 52.229.69.80/30

• 20.63.171.100/30

• 104.215.23.28/30

• 52.175.22.152/30

• 20.198.201.136/30

需要允许来自此 IP 的流量通过组织 DMZ 防火墙和任何其他中间防火墙，包括托管 Orchestrator 应用程序的计算机上的防火墙。

• 托管 Orchestrator 应用程序的相关端口需要通过 DMZ 在所有相关防火墙上公开（请参阅上一点）
• An Orchestrator user who has read and execute access to relevant processes whose credential will be used from UiPath^® Apps to talk to Orchestrator

• 如果通过 Robotjs 执行本地机器人流程，请确保按照 RobotJS 中提供的说明正确配置 Robotjs。

最佳实践

• 确保仅可通过安全 https 通道访问内部部署 Orchestrator
• 在 Orchestrator 中创建一个低权限用户，使其仅对所需的流程/文件夹具有读取和执行访问权限，并将其用于集成。

验证配置

Apps 设计者反映无法连接到 Orchestrator

• Are the UiPath^® Apps outgoing IPs allowlisted?
• Orchestrator 端口是否为允许列表？
• 在 Orchestrator URL 字段中使用的 URL 和端口是否正确？
• 是否已确认连接到 Orchestrator 时提供的凭据正确？
• 提供的凭据是否具有列出/运行文件夹和流程的权限？

Apps 设计者未显示任何流程或显示的流程不正确

• 在应用程序设计期间配置了凭据的用户是否对所需流程所在的文件夹具有读取权限？

预览应用程序和/或运行应用程序并调用流程时，发生错误

• Are the UiPath^® Apps outgoing IPs still allowlisted?
• Orchestrator 端口是否仍为允许列表？
• 在应用程序设计期间配置了凭据的用户是否仍然存在？
• 在应用程序设计期间配置了凭据的用户是否仍具有相同的凭据？
• 流程和执行的确切版本在 Orchestrator 的同一个文件夹中是否仍存在？是否发生了任何更改？
• 如果在本地运行流程，Robotjs 是否配置正确并且能够与机器人正确握手？
• 在通过应用程序执行之前，是否已将在本地机器人上执行的流程下载到机器人上？
• 在应用程序设计期间配置了凭据的用户是否对流程具有执行权限？

不支持的场景

Connecting UiPath^® Apps with an on-premise Orchestrator with custom self-signed certificates is not supported.

A secure connection (HTTPS) between UiPath^® Apps and Orchestrator is needed for mutual authentication to work properly. To achieve this secure connection, both parties must trust each other's certificates. For this to happen, either of the following conditions must be satisfied:

1. Both parties should have certificates obtained from standard Certificate Authorities (CA), such as Google, VeriSign, or others. UiPath^® cloud products already have this, so nothing needs to be done on this part. This needs to be done for on-premise product deployments.
2. If the on-premise deployment uses an internal or self-signed certificate, the connection will not work. For that, the certificate has to be added to the trusted root of the other party. Note that this cannot be done for UiPath^® cloud products, as no custom certificates can be added to the UiPath^® cloud systems.