Signieren von Projektpaketen

Signieren von Projektpaketen

UiPath CLI 25.10 führt die Möglichkeit ein, Automatisierungsprojektpakete während des Packvorgangs digital zu signieren. Die Paketsignatur ermöglicht die Überprüfung der Authentizität und stellt sicher, dass Pakete nach der Erstellung nicht manipuliert wurden. Dadurch wird die Sicherheit Ihrer CI/CD-Pipeline erhöht.

Wenn Sie ein Projektpaket signieren, führt die CLI Folgendes aus:

1. Erstellt die .nupkg -Paketdatei
2. Wendet eine digitale Signatur mit Ihrem Zertifikat an
3. Optional mit Zeitstempeln für die Signatur für langfristige Gültigkeit

Unterstützte Zertifikatstypen

Die CLI unterstützt das Zertifikatsformat PKCS#12 (.pfx).

Wichtig:

Das Zertifikat muss:

• Fügen Sie einen privaten Schlüssel zum Signieren ein
• Gültig sein (nicht abgelaufen)
• Funktionen zum Signieren von Code haben

Parameter

Der Befehl package pack unterstützt die folgenden Signaturparameter:

Parameter	Beschreibung	Erforderlich
--certificatePath	Pfad zur Zertifikatsdatei (.pfx)	Ja (wenn Signierung)
--certificatePassword	Kennwort für die Zertifikatsdatei	Nein
--timestampServerUrl	URL des RFC 3161-Zeitstempelservers	Nein

Anwendungsbeispiele

Grundlegende Signierung mit Zertifikat

# Windows
uipcli package pack "C:\Projects\MyRobot\project.json" `
  -o "C:\Packages" `
  --certificatePath "C:\Certificates\codesign.pfx" `
  --certificatePassword "YourPassword123"

# Linux/macOS
uipcli package pack "./MyRobot/project.json" \
  -o "./packages" \
  --certificatePath "./certificates/codesign.pfx" \
  --certificatePassword "YourPassword123"

Signieren mit dem Zeitstempelserver

Durch Hinzufügen eines Zeitstempels wird sichergestellt, dass die Signatur auch nach Ablauf des Zertifikats gültig bleibt.

uipcli package pack "./MyRobot/project.json" \
  -o "./packages" \
  --certificatePath "./certificates/codesign.pfx" \
  --certificatePassword "YourPassword123" \
  --timestampServerUrl "http://timestamp.digicert.com"

Signieren mit Version und Ausgabetyp

uipcli package pack "./MyRobot/project.json" \
  -o "./packages" \
  -v "1.0.5" \
  --outputType "Process" \
  --certificatePath "./certificates/codesign.pfx" \
  --certificatePassword "YourPassword123" \
  --timestampServerUrl "http://timestamp.digicert.com"

Signieren mit einem kennwortlosen Zertifikat

uipcli package pack "./MyRobot/project.json" \
  -o "./packages" \
  --certificatePath "./certificates/codesign.pfx"

Signieren mit Orchestrator-Bibliotheksabhängigkeiten

uipcli package pack "./MyRobot/project.json" \
  -o "./packages" \
  --libraryOrchestratorUrl "https://cloud.uipath.com/" \
  --libraryOrchestratorTenant "Default" \
  -A "myorg" \
  -I "becc663c-8f1e-409a-a75f-c00330d80bc8" \
  -S '********' \
  --libraryOrchestratorApplicationScope "OR.Folders OR.Execution" \
  --certificatePath "./certificates/codesign.pfx" \
  --certificatePassword "YourPassword123" \
  --timestampServerUrl "http://timestamp.digicert.com"

Empfohlene Zeitstempelserver

Die Verwendung eines Zeitstempelservers wird empfohlen, um sicherzustellen, dass Signaturen nach dem Ablauf des Zertifikats gültig bleiben:

• http://timestamp.digicert.com – DigiCert
• http://timestamp.comodoca.com – Sekiertgo (Comodo)
• http://timestamp.globalsign.com – GlobalSign
• http://timestamp.sectigo.com – Sekgo

Best Practices

Sicherer Zertifikatspeicher

• Commit niemals Zertifikate an die Versionskontrolle
• Verwenden Sie sichere Speicherlösungen:
  • Azure Key Vault
  • AWS Secrets Manager
  • HashiCorp Vault
  • GitHub-Geheimnisse/Sichere Azure DevOps-Dateien
  • Verwaltung von geheimen Schlüsseln der CI/CD-Plattform

Umgebungsvariablen

• Verwenden Sie Umgebungsvariablen oder die Verwaltung von geheimen Schlüsseln für Kennwörter
• Vermeiden Sie das Hartcodieren vertraulicher Informationen in Skripten

Zeitstempelnutzung

• Verwenden Sie in Produktionsumgebungen immer einen Zeitstempelserver
• Zeitstempel stellen die Gültigkeit der Signatur über den Ablauf des Zertifikats hinaus sicher

Zertifikatverwaltung

• Verwenden Sie dedizierte Codesignaturzertifikate
• Zertifikate vor ihrem Ablauf rotieren
• Bewahren Sie Zertifikatsicherungen sicher auf