Bereitstellen des Relay-Clients unter Windows

Stellen Sie den Relay-Client als Windows-Dienst bereit, um einen ausgehenden Tunnel zwischen Ihrem Netzwerk und Test Cloud zu erstellen.

Diese Seite behandelt spezifische Details zur Produktionseinrichtung für Windows. Informationen zu plattformübergreifenden Voraussetzungen und Netzwerkanforderungen finden Sie unter Bereitstellen des Relay-Clients.

Anforderungen des Betriebssystems

Der Relay-Client verwendet den Windows Service Control Manager (SCM) für die Installation und Verwaltung seines Hintergrunddiensts. SCM ist in allen unterstützten Windows-Versionen integriert. Es ist keine zusätzliche Software erforderlich.

Edition	Mindestversion
Windows-Server	2019
Windows-Desktop	10 Unternehmen

Zusätzliche Anforderungen

• PowerShell 5.1+: Standardmäßig enthalten; Wird für die Dienstverwaltung verwendet (Get-Service, Test-NetConnection). Überprüfen: $PSVersionTable.PSVersion.
• Administratorberechtigungen: Erforderlich für die Interaktion mit SCM für das Installieren, Starten, Stoppen und Löschen des Dienstes; in C:\ProgramData\UiPathRelay\ schreiben; kopieren Sie die Binärdatei nach C:\Program Files\UiPathRelay\.

Standardmäßig wird der Dienst als LocalSystem ausgeführt. Um unter einem bestimmten Konto auszuführen, verwenden Sie --service-account beim Start. Siehe Dienstkonto und Berechtigungen.

Voraussetzungen

System

• Windows Server 2019+ oder Windows 10 Enterprise+
• PowerShell 5.1 oder höher
• Administratorzugriff auf die Zielmaschine
• Mindestens 200 MB freier Speicherplatz
• Wenn Sie eine unterstützte TCP-basierte Verbindung verwenden, die den lokalen Executor erfordert:
  • Überprüfen Sie die empfohlene Host- und Executor-Kapazität
  • Eine JRE oder ein JDK für Java 21 oder höher, entweder auf PATH oder mit --onprem-executor-java-home übergeben. Eine vorhandene Installation funktioniert.

Netzwerk

• Für den Relay-Client 26.4.2 oder höher ist ausgehendes HTTPS (Port 443) nach cloud.uipath.com zulässig, einschließlich WebSocket-Upgrades
• Für Relay-Client-Versionen vor 26.4.2 ist ausgehendes TLS (Port 443) zu <region>-relay.uipath.com zulässig und TLS-Password ist konfiguriert
• Der Relay-Host kann jeden registrierten HTTP- oder HTTPS-Endpunkt sowie den Host und Port jedes unterstützten TCP-basierten Endpunkts auflösen und eine Verbindung damit herstellen

Sicherheit

• Dienstkonto erstellt (wenn LocalSystem nicht verwendet wird) (siehe Dienstkonto und Berechtigungen)
• Windows Docker- und Antiviren-Ausnahmen geplant (siehe Virenschutz und Endpunktschutz)
• Wenn Sie den lokalen Executor verwenden: ein Connector-Abhängigkeitsverzeichnis und eine Java-Laufzeit, beides an Speicherorten, die nur Administratoren ändern können, z. B. unter C:\Program Files. Der Executor lädt Code von beiden

Konfiguration

• Relay-Gruppe erstellt und Client-Konfigurationszeichenfolge bereit (siehe Konfigurieren einer Relay-Gruppe)

Validieren Sie die Voraussetzungen

Führen Sie die folgenden Befehle in PowerShell aus:

# Check PowerShell version (must be 5.1+)
$PSVersionTable.PSVersion

# Verify Administrator access
([Security.Principal.WindowsPrincipal][Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)

# Check available disk space
Get-PSDrive C | Select-Object Used, Free

# On-prem executor only: Java 21+ on PATH, or pass --onprem-executor-java-home
java -version

Installieren

1. Herunterladen und Extrahieren

Laden Sie das Relay-Client-Archiv für Ihre Architektur (x86_64 oder ARM64) aus dem UiPath Customer Portal herunter.

Extrahieren Sie das ZIP-Archiv. Beginnend mit Relay-Client 26.4.3 enthält relay.exe und onprem-executor.jar. Lassen Sie beide Dateien zusammen im extrahierten Verzeichnis und führen Sie Installations- oder Upgrade-Befehle in diesem Verzeichnis aus.

2. Starten

Öffnen Sie PowerShell als Administrator, bevor Sie einen Startbefehl ausführen.

Sie können die Client-Konfigurationszeichenfolge (in der UiPath-Verwaltung generiert, wie in Konfigurieren einer Relay-Gruppe beschrieben) auf zwei Arten bereitstellen:

Option A: Inline. Übergeben Sie die Konfigurationszeichenfolge direkt. Keine Datei zum Erstellen oder Bereinigen:

.\relay.exe start --config "<your-config>" --accept-license-agreement

Option B: Datei. Speichern Sie die Konfiguration in einer Datei und verweisen Sie dann darauf. Dies ist die empfohlene Option, da sie das Geheimnis aus dem Shell-Verlauf heraushält:

Set-Content -Path ".\config.txt" -Value "<your-config>"
.\relay.exe start --config-file ".\config.txt" --accept-license-agreement

Für eine unterstützte TCP-basierte Verbindung, die den lokalen Executor erfordert, stellen Sie zuerst die Connector-Bibliotheken bereit, wie unter Connector-Abhängigkeiten hinzufügen beschrieben, und starten Sie dann den Client mit einem einzigen Befehl.

Connector-Abhängigkeiten hinzufügen

Einige Connectors erfordern Bibliotheken von Drittanbietern, die nicht im Relay-Client enthalten sind. Rufen Sie sie vom Connector-Anbieter ab und platzieren Sie sie alle in einem speziellen Verzeichnis auf dem Relay-Host. Der Relay-Client speichert den Verzeichnispfad, kopiert aber nicht die Bibliotheken. Ein Verzeichnis unter C:\Program Files, z. B. C:\Program Files\UiPathRelay\executor-deps, ist standardmäßig nur für Administratoren schreibgeschützt.

Wichtig:

Der lokale Executor lädt und führt diese Bibliotheken mit den Berechtigungen des Relay-Dienstkontos aus. Verwenden Sie ein dauerhaftes Verzeichnis, das das Dienstkonto lesen kann und in das nur Administratoren schreiben können. Jeder, der den Inhalt ändern kann, kann Code mit diesen Berechtigungen ausführen.

Rufen Sie für SAP BAPI die SAP JCo 3-Bibliotheken von SAP ab und platzieren Sie diese Dateien im Abhängigkeitsverzeichnis:

Erforderliche Datei	Zweck
sapjco3.jar	SAP JCo Java-Bibliothek
sapidoc3.jar	SAP IDoc-Java-Bibliothek
sapjco3.dll	SAP JCo Windows-native Bibliothek, die der Java-Laufzeitarchitektur entspricht

Platzieren Sie für einen anderen unterstützten Connector die Anbieterbibliotheken, die in der Dokumentation dieses Connectors aufgeführt sind, im selben Verzeichnis.

Beginnen Sie mit dem lokalen Executor

Erstellen Sie das Abhängigkeitsverzeichnis, kopieren Sie die Bibliotheken hinein und starten Sie den Relay-Client mit aktiviertem Executor. Verweisen Sie auf --onprem-executor-java-home auf eine Runtime für Java 21 oder höher, die unter C:\Program Files installiert ist, sodass der Executor die von Ihnen gewünschte Runtime verwendet:

.\relay.exe start --config-file ".\config.txt" `
  --accept-license-agreement `
  --enable-onprem-executor `
  --onprem-executor-java-home "C:\Program Files\Java\jdk-21" `
  --onprem-executor-dep-dir "C:\Program Files\UiPathRelay\executor-deps"

Hinweis:

Die Flags --config und --config-file schließen sich gegenseitig aus. Um im Vordergrund statt als Hintergrunddienst ausgeführt zu werden (nützlich für das Debuggen), übergeben Sie --detach=false.

Der Relay-Client überprüft die Verbindung, authentifiziert sich mit OAuth, registriert sich bei Test Cloud, lädt die Proxykonfiguration herunter und installiert einen Windows-Dienst, alles in einem einzigen Befehl.

Erwartete Ausgabe:

Running prerequisite checks...
  ✓ Directory permissions: OK
  ✓ Cloud portal connectivity: OK
✓ All prerequisite checks passed
Waiting for service to start...
  ✓ Service is running

✓ Relay is now running in the background.
Check status:
  PowerShell: Get-Service "Relay-<id>"
  Services:   services.msc (look for "Relay - <id>")

Hinweis:

Während des Starts kopiert der Relay-Client automatisch die Binärdatei nach C:\Program Files\UiPathRelay\relay.exe. Alle Relay-Gruppen auf der Maschine teilen sich diese einzelne Binärdatei. Überschreiben Sie das Installationsverzeichnis mit --bin-dir.

So starten Sie unter einem benutzerdefinierten Dienstkonto statt unter LocalSystem:

.\relay.exe start --config-file C:\path\to\config.txt `
  --accept-license-agreement `
  --service-account "DOMAIN\svc-relay" `
  --service-account-password "<password>"

3. Überprüfen

.\relay.exe list

Ein fehlerfreier Client zeigt ● running in der Spalte Status an. Der angezeigte ID -Wert wird in allen nachfolgenden Befehlen verwendet (.\relay.exe stop <id>, .\relay.exe logs <id> usw.). Sie finden sie auch in der UiPath-Verwaltung auf der Seite mit den Details zur Relay-Gruppe.

Bestätigen Sie, dass der Tunnel eingerichtet ist, indem Sie die Protokolle auf login to server success überprüfen:

.\relay.exe logs <id> -f

Wenn der lokale Executor aktiviert ist, bestätigen Sie seine Konfiguration:

.\relay.exe describe <id>

Der Abschnitt „On-Prem Executor“ meldet Enabled: true mit dem Listen-Port, der Runtime-Version, dem Runtime-Pfad, der Java-Startseite und dem verwendeten Abhängigkeitsverzeichnis. Prüfen Sie, ob das Java-Start- und Abhängigkeitsverzeichnis die von Ihnen beabsichtigten sind.

Bestätigen Sie dann, dass der Executor gestartet wurde. Das Protokoll enthält einen Started OnPremRuntimeApplication -Eintrag, sobald er bereit ist:

Select-String -Path "C:\ProgramData\UiPathRelay\logs\<id>\onprem-executor.log" -Pattern "Started OnPremRuntimeApplication"
Get-Content "C:\ProgramData\UiPathRelay\logs\<id>\onprem-executor.log" -Tail 20

Wenn Sie ein benutzerdefiniertes Protokollverzeichnis konfiguriert haben, verwenden Sie stattdessen dessen Pfad onprem-executor.log. Führen Sie dann einen Testaufruf von dem Connector aus, der diesen Endpunkt verwendet, um zu bestätigen, dass der vollständige Pfad funktioniert.

Verwalten

Alle Verwaltungsbefehle erfordern Administrator PowerShell, mit Ausnahme von list und version.

Liste

Zeigt alle installierten Relay-Gruppen auf dieser Maschine mit Status, Version und Gruppenname an, wenn verfügbar. Erfordert keine Administratorrechte.

.\relay.exe list
.\relay.exe list --json

Beschreiben

Hinweis:

Verfügbar mit Relay-Client 26.4.2 und höher. Führen Sie .\relay.exe version aus, um Ihre installierte Version zu überprüfen.

Zeigt detaillierte Informationen für eine Relay-Gruppe an, einschließlich Diensteinstellungen, konfigurierter Pfade, Status, Version und Gruppenname, sofern verfügbar. Erfordert keine Administratorrechte.

.\relay.exe describe <id>
.\relay.exe describe <id> --json

Stoppen

Stoppt den Relay-Dienst. Konfiguration und Protokolle werden beibehalten. Der Relay-Dienst kann später neu gestartet werden.

.\relay.exe stop <id>

Neustart und Upgrade

Startet den Relay-Dienst neu und ruft die neueste Proxykonfiguration aus der Test Cloud ab.

.\relay.exe restart <id>

Upgrade: Extrahieren Sie das neue Relay-Client-Archiv. Behalten Sie die neuen relay.exe und onprem-executor.jar zusammen und führen Sie dann .\relay.exe restart <id> über das extrahierte Verzeichnis aus. Der Befehl „Neu starten“ aktualisiert die installierte Binärdatei und, wenn der Executor aktiviert ist, dessen JAR.

Um den Executor auf einem Dienst zu aktivieren, der bereits installiert ist, führen Sie .\relay.exe restart <id> --enable-onprem-executor aus dem extrahierten Archivverzeichnis aus, sodass der übereinstimmende onprem-executor.jar verfügbar ist.

Szenario	Befehl
In der Test Cloud hinzugefügte oder entfernte Endpunkte	.\relay.exe restart <id>
Rotation des geheimen Clientschlüssels (inline)	.\relay.exe restart --config "<new-config>"
Rotation des geheimen Clientschlüssels (Datei)	.\relay.exe restart --config-file new-config.txt
Änderung der Protokollebene	.\relay.exe restart <id> --log-level debug
Änderung des Protokollverzeichnisses oder der Aufbewahrung	.\relay.exe restart <id> --logs-dir "D:\MyCompany" --log-retention-days 30
Aktivieren Sie den lokalen Executor	.\relay.exe restart <id> --enable-onprem-executor
Deaktivieren Sie den lokalen Executor	.\relay.exe restart <id> --disable-onprem-executor
Relay-Client-Upgrade	Neues Archiv extrahieren und dann ausführen .\relay.exe restart <id>

Hinweis:

Wenn --config oder --config-file angegeben wird, ist das <id> -Argument optional. Er wird aus der Konfiguration extrahiert.

Löschen

Stoppt den Dienst, meldet sich von der Test Cloud ab und entfernt alle lokalen Konfigurations- und Protokolldateien.

.\relay.exe delete <id>

So erzwingen Sie die lokale Bereinigung ohne Cloud-Deregistrierung, z. B. wenn Anmeldeinformationen verloren gehen oder die cloudseitige Relay-Gruppe bereits gelöscht wurde:

.\relay.exe delete <id> --force

Version

.\relay.exe version

Hinweis:

Es gibt kein automatisches Upgrade. Extrahieren Sie das neue Archiv und führen Sie .\relay.exe restart <id> aus dem Verzeichnis für jede Gruppe aus.

Verzeichnisstruktur

Alle Verzeichnisse werden bei der ersten Ausführung automatisch erstellt.

C:\Program Files\UiPathRelay\
  relay.exe                                  # Shared binary

C:\ProgramData\UiPathRelay\
  groups\<id>\
    client_config                            # OAuth credentials (encrypted via DPAPI)
    metadata.json                            # State, PID, install timestamps
    .credentials.key                         # Encryption key
    onprem-executor.jar                      # Executor runtime when enabled
  logs\<id>\
    relay.log                                # Current log
    relay.YYYYMMDD-HHMMSS.log                # Rotated logs
    onprem-executor.log                      # Executor log when enabled

Der Name des Windows-Dienstes ist Relay-<id> und der Anzeigename (angezeigt in services.msc) ist Relay - <id>. Der Starttyp ist automatisch; Standardkonto ist LocalSystem.

Benutzerdefinierte Pfade

Überschreiben Sie die Standardverzeichnisse beim Installieren des Relay-Clients.

.\relay.exe start --config-file C:\path\to\config.txt `
  --accept-license-agreement `
  --bin-dir "D:\MyCompany\bin" `
  --data-dir "D:\MyCompany" `
  --logs-dir "D:\MyCompany"

Markieren	Standard	Beschreibung
--bin-dir	C:\Program Files\UiPathRelay	Verzeichnis für die freigegebene Binärdatei
--data-dir	C:\ProgramData	Stamm für Konfigurationsdaten
--logs-dir	C:\ProgramData	Stamm für Protokolldateien; kann mit geändert werden restart

Der Relay-Client fügt UiPathRelay\ unter den benutzerdefinierten Daten- und Protokollstammsätzen an:

--bin-dir  D:\MyCompany\bin  =>  D:\MyCompany\bin\relay.exe
--data-dir D:\MyCompany      =>  D:\MyCompany\UiPathRelay\groups\<id>\
--logs-dir D:\MyCompany      =>  D:\MyCompany\UiPathRelay\logs\<id>\

Hinweis:

--bin-dir und --data-dir werden nur vom Befehl start akzeptiert. --logs-dir wird von start und restart akzeptiert. Andere Befehle (stop, delete, list) erkennen Pfade automatisch in der Konfiguration des installierten Dienstes.

Dienstkonto und Berechtigungen

Dieser Abschnitt gilt nur, wenn der Dienst unter einem benutzerdefinierten Konto anstelle des Standardkontos LocalSystem ausgeführt wird.

Erforderliche Benutzerrechte

Rechts	Beschreibung	Konfigurieren
SeServiceLogonRight	Anmelden als Dienst	Lokale Sicherheitsrichtlinie > Zuweisung von Benutzerrechten > Als Dienst anmelden

Konfigurieren Sie dies für Domänenumgebungen direkt über die Gruppenrichtlinie, um die Konsistenz zwischen den Servern sicherzustellen.

NTFS-Berechtigungen

Pfad	Erforderliche Berechtigungen
C:\Program Files\UiPathRelay\	Read & Execute
C:\ProgramData\UiPathRelay\	Lesen, Schreiben, Ändern
C:\ProgramData\UiPathRelay\logs\	Lesen, Schreiben, Ändern, Löschen
Abhängigkeitsverzeichnis (nur Executor)	Lesen & Ausführbar und nicht für nicht privilegierte Benutzer beschreibbar. Standardmäßig von C:\Program Files geerbt
Java-Installation (nur Executor)	Lesen & Ausführbar und nicht für nicht privilegierte Benutzer beschreibbar

Über PowerShell

$account = "DOMAIN\svc-relay"

$acl = Get-Acl "C:\Program Files\UiPathRelay"
$rule = New-Object System.Security.AccessControl.FileSystemAccessRule($account, "ReadAndExecute", "ContainerInherit,ObjectInherit", "None", "Allow")
$acl.SetAccessRule($rule)
Set-Acl "C:\Program Files\UiPathRelay" $acl

$acl = Get-Acl "C:\ProgramData\UiPathRelay"
$rule = New-Object System.Security.AccessControl.FileSystemAccessRule($account, "Modify", "ContainerInherit,ObjectInherit", "None", "Allow")
$acl.SetAccessRule($rule)
Set-Acl "C:\ProgramData\UiPathRelay" $acl

Diese Befehle fügen das Dienstkonto den Berechtigungen hinzu, die sich bereits auf jedem Pfad befinden. Sie entfernen keine Berechtigungen, die andere Konten möglicherweise haben. Wenn sich das Abhängigkeitsverzeichnis außerhalb von C:\Program Files befindet, gewähren Sie dem Konto auch Read & Führen Sie dort aus und entfernen Sie den Schreibzugriff für Nicht-Administratoren.

Beginnend mit einem benutzerdefinierten Dienstkonto

.\relay.exe start --config-file C:\path\to\config.txt `
  --accept-license-agreement `
  --service-account "DOMAIN\svc-relay" `
  --service-account-password "<password>"

--service-account-password ist für Domänen- oder lokale Benutzerkonten erforderlich. PowerShell zeichnet die Befehlszeile in der Verlaufsdatei auf und das Kennwort ist in der Prozessbefehlszeile sichtbar, während der Befehl ausgeführt wird. Verwenden Sie daher ein gruppenverwaltetes Dienstkonto (gMSA), das kein Kennwort erfordert.

Wenn der lokale Executor aktiviert ist, führen Sie den Dienst unter einem dedizierten Konto und nicht unter LocalSystem aus. Der Executor lädt Connector-Bibliotheken von Drittanbietern mit den Berechtigungen des Dienstkontos, wobei LocalSystem das lokale Konto mit den höchsten Berechtigungen ist.

Für dieses Konto:

• Gewähren Sie nur die Berechtigungen in NTFS-Berechtigungen sowie das Recht, sich als Dienst anzumelden.
• Fügen Sie ihn nicht zur Gruppe „Administrators“ hinzu.
• Wenden Sie diese Berechtigungen erneut an, einschließlich des Abhängigkeitsverzeichnisses und der Java-Installation, wenn Sie das Konto später ändern.

Gruppenverwaltete Dienstkonten (gMSA)

# Install the gMSA on the server (run once per server)
Install-ADServiceAccount -Identity "gMSA-Relay$"

# Start the Relay client with gMSA (no password required)
.\relay.exe start --config-file config.txt --service-account "DOMAIN\gMSA-Relay$" --accept-license-agreement

gMSAs rotieren Kennwörter automatisch und beseitigen einen Aufwand für die Verwaltung von Anmeldeinformationen.

Details zum Windows-Dienst

Der Dienststatus wird angezeigt

Über die Dienstkonsole

1. Öffnen Sie Ausführung (Win + R) und geben Sie services.msc ein.
2. Suchen Sie den Dienst mit dem Anzeigenamen Relay - <id>.
3. Öffnen Sie das Kontextmenü, um Eigenschaften zu starten, anzuhalten, neu zu starten oder anzuzeigen.

Über PowerShell

# All Relay services
Get-Service "Relay-*"

# Detailed information
Get-Service "Relay-<id>" | Format-List *

# Service configuration (account, start mode)
Get-CimInstance Win32_Service -Filter "Name LIKE 'Relay-%'" | Select-Object Name, StartMode, State, StartName

Dienstwiederherstellung

Wenn sich der Relay-Client selbst als Dienst installiert, konfiguriert er die automatische Wiederherstellung:

• Erster Fehler: Neustart nach 10 Sekunden
• Zweiter Fehler: Neustart nach 30 Sekunden
• Nachfolgende Fehler: Neustart mit eskalierenden Verzögerungen

Um die Wiederherstellungseinstellungen zu überprüfen oder anzupassen: Öffnen Sie services.msc > klicken Sie mit der rechten Maustaste auf den Dienst > Eigenschaften > Registerkarte Wiederherstellung .

Ereignisanzeige

Verwenden Sie die Ereignisanzeige (eventvwr.msc), um Dienstprobleme zu diagnostizieren.

Protokoll (Log)	Pfad	Events
System	Windows-Protokolle > System	Start, Stopp, Absturz und Wiederherstellung des Dienstes (7000-Serie)
Anwendung	Windows-Protokolle > Anwendung	Anwendungsfehler

Relay-Ereignisse über PowerShell abfragen

Get-WinEvent -FilterHashtable @{LogName='System'; ID=7000,7009,7031,7034,7036,7045} -MaxEvents 100 |
  Where-Object { $_.Message -like '*Relay*' } |
  Format-Table TimeCreated, Id, Message -Wrap

Ereignis-ID	Bedeutung
7000	Dienst konnte nicht gestartet werden. Überprüfen Sie die Kontoberechtigungen
7009	Timeout beim Warten auf den Dienst. Überprüfen Sie die Netzwerkkonnektivität
7031	Dienst ist abgestürzt und Wiederherstellungsaktion wurde durchgeführt. Einchecken relay.log
7034	Dienst unerwartet beendet. Prüfen Sie, ob die Ressourcen erschöpft sind
7045	Neuer Dienst installiert (bestätigungen erfolgreiche Installation)

Proxykonfiguration

Windows-Dienste erben Umgebungsvariablen vom System (HKLM). Legen Sie Proxyvariablen auf Maschinenebene fest, bevor Sie den Relay-Client starten:

[Environment]::SetEnvironmentVariable("HTTPS_PROXY", "http://proxy.corp.example.com:8080", "Machine")
[Environment]::SetEnvironmentVariable("NO_PROXY", "localhost,127.0.0.1,.corp.example.com", "Machine")
.\relay.exe start --config "<your-config>" --accept-license-agreement

Das Festlegen von Proxyvariablen auf Benutzerebene reicht nicht aus. Systemdienste ignorieren Umgebungsvariablen auf Benutzerebene.

So aktualisieren Sie den Proxy: Ändern Sie die Variable auf Systemebene und führen Sie .\relay.exe restart <id> aus.

So entfernen Sie den Proxy: [Environment]::SetEnvironmentVariable("HTTPS_PROXY", $null, "Machine") und dann .\relay.exe restart <id>.

Zu überprüfen: [Environment]::GetEnvironmentVariable("HTTPS_PROXY", "Machine").

Unterstützte Proxyschemas und Authentifizierung finden Sie im Abschnitt Proxy unter Bereitstellen des Relay-Clients.

Windows-Firewall

Wenn der ausgehende Datenverkehr durch die Windows-Firewall eingeschränkt wird, fügen Sie eine ausgehende Regel für die Relay-Client-Binärdatei hinzu.

Wenn der lokale Executor aktiviert ist und ausgehende Programmregeln erzwungen werden, lassen Sie auch die vom Executor verwendete ausführbare Java-Datei eine Verbindung mit dem Zielhost und Port jeder unterstützten TCP-basierten Verbindung herstellen. Scope die Regel auf diese Ziele, anstatt den gesamten ausgehenden Datenverkehr zuzulassen.

Es ist keine eingehende Regel erforderlich. Der Executor überwacht nur die Loopback-Schnittstelle, standardmäßig auf Port 18080, und akzeptiert keine Verbindungen von außerhalb des Hosts. Öffnen Sie diesen Port nicht. Um zu bestätigen, dass der Listener an Loopback gebunden ist, führen Sie Get-NetTCPConnection -LocalPort 18080 -State Listen aus und überprüfen Sie, ob LocalAddress 127.0.0.1 oder ::1 ist.

Einstellung	Wert
Richtung	Ausgehend
Programm	C:\Program Files\UiPathRelay\relay.exe
Protokoll/Port	TCP/443
Profile	Domäne, Privat

Über PowerShell

New-NetFirewallRule -DisplayName "UiPath Relay - Outbound HTTPS" `
  -Direction Outbound `
  -Program "C:\Program Files\UiPathRelay\relay.exe" `
  -Protocol TCP `
  -RemotePort 443 `
  -Action Allow `
  -Profile Domain,Private

# Verify rule
Get-NetFirewallRule -DisplayName "UiPath Relay*" | Format-Table Name, Enabled, Direction, Action

Über GUI (Windows Edge-Firewall mit erweiterter Sicherheit):

1. Öffnen Sie wf.msc.
2. Ausgehende Regeln > Neue Regel auswählen.
3. Wählen Sie Programm aus und geben Sie Folgendes an: C:\Program Files\UiPathRelay\relay.exe.
4. Wählen Sie die Verbindung zulassen aus.
5. Anwenden auf Domäne und die Profile „Privat“ .
6. Benennen Sie die Regel: UiPath Relay - Outbound HTTPS.

Wenn Ihre Organisation Firewallregeln über eine Gruppenrichtlinie oder eine Firewall eines Drittanbieters verwaltet, wenden Sie sich an Ihren Windows-Administrator, um eine gleichwertige Regel hinzuzufügen.

Viren- und Endpunktschutz

Fügen Sie Ausdrücke für die Relay-Client-Binärdatei und ihre Datenverzeichnisse hinzu, um Interferenzen zu verhindern.

Typ	Pfad
Binär	C:\Program Files\UiPathRelay\relay.exe
Daten und Protokolle	C:\ProgramData\UiPathRelay\
Ausführbare Java-Datei (nur Executor)	Der vollständige Pfad von java.exe, den der Executor verwendet
Connector-Bibliotheken (nur Executor)	Das Abhängigkeitsverzeichnis

Fügen Sie keinen Prozessausschluss für java.exe hinzu. Es verhindert, dass der Endpunktschutz einen Prozess inspiziert, dessen Auftrag darin besteht, Code von Drittanbietern zu laden und interne Systeme zu erreichen. Außerdem gilt ein leerer Dateiname für jeden Java-Prozess auf dem Host. Verwenden Sie Pfadausnahmen und geben Sie jeden Prozessausschluss als vollständigen Pfad an.

Wenn Sie ein Anwendungssteuerelement wie Windows Docker Application Control (WDAC) oder AppBlocker verwenden, beachten Sie, dass onprem-executor.jar bei jedem Relay-Client-Upgrade ersetzt wird, sodass eine Regel, die einen bestimmten Datei-Hash zulässt, nach jedem Upgrade angehalten wird. Verwenden Sie Pfad- oder Veröffentlichungsregeln und genehmigen Sie die JAR-Datei im Rahmen Ihres Upgrade-Vorgangs erneut.

Wenn Sie benutzerdefinierte Pfade über --bin-dir, --data-dir oder --logs-dir verwendet haben, schließen Sie stattdessen diese Pfade aus.

Windows Docker über PowerShell

Add-MpPreference -ExclusionPath "C:\Program Files\UiPathRelay"
Add-MpPreference -ExclusionPath "C:\ProgramData\UiPathRelay"
Add-MpPreference -ExclusionProcess "relay.exe"

Windows Attended über die GUI

1. Öffnen Sie Windows-Sicherheit > Viren- und Bedrohungsschutz > Einstellungen verwalten.
2. Wählen Sie unter Ausschluss die Option Ausschluss hinzufügen oder entfernen aus.
3. Ordnerausnahmen hinzufügen: C:\Program Files\UiPathRelay\ und C:\ProgramData\UiPathRelay\.
4. Prozessausschluss hinzufügen: relay.exe.

Für den zentral verwalteten Endpunktschutz (CrowdStrike, Attended, Microsoft Edge für den Endpunkt über Intune/SCCM) arbeiten Sie mit Ihrem Sicherheitsadministrator zusammen, um die oben genannten Ausnahmen hinzuzufügen.

Deinstallieren

1. Alle Relay-Clients löschen ( .\relay.exe list verwenden, um installierte Gruppen anzuzeigen):

   .\relay.exe delete <id>
   

2. Entfernen Sie die freigegebene Binärdatei:

   Remove-Item "C:\Program Files\UiPathRelay" -Recurse
   

3. Entfernen Sie verbleibende Datenverzeichnisse:

   Remove-Item "C:\ProgramData\UiPathRelay" -Recurse
   

4. Entfernen Sie Windows Docker-Ausnahmen:

   Remove-MpPreference -ExclusionPath "C:\Program Files\UiPathRelay"
   Remove-MpPreference -ExclusionPath "C:\ProgramData\UiPathRelay"
   Remove-MpPreference -ExclusionProcess "relay.exe"
   

5. Entfernen Sie die Windows-Firewall-Regel:

   Remove-NetFirewallRule -DisplayName "UiPath Relay - Outbound HTTPS"
   

Regeln, die über eine Gruppenrichtlinie oder eine Firewall eines Drittanbieters hinzugefügt wurden, entfernen Sie zusammen mit Ihrem Windows-Administrator.

Fehlersuche und ‑behebung

Symptome	Ursache	Resolution
Dienst kann nicht gestartet werden	Unzureichende Berechtigungen	Öffnen Sie PowerShell als Administrator
permission denied	Es kann nicht in Programmdateien oder Programmdaten geschrieben werden	Überprüfen Sie den Administratorzugriff, oder verwenden Sie --bin-dir / --data-dir für beschreibbare Pfade
does not have the 'Log on as a service' right	Benutzerdefiniertes Konto fehlt SeServiceLogonRight	Gewähren Sie über „Lokale Sicherheitsrichtlinie“ > „Zuweisung von Benutzerrechten“ oder verwenden Sie eine Gruppenrichtlinie
not a valid Windows account	Falsches Format für --service-account	Verwenden Sie .\username für lokale Konten oder DOMAIN\username für Domänenkonten
marked for deletion /Dienst ausstehende Löschung	services.msc ein offenes Handle hat	services.msc schließen und erneut versuchen; neu starten, wenn das Problem weiterhin besteht
service is disabled	Über services.msc oder Gruppenrichtlinie deaktiviert	Erneut aktivieren: Set-Service -Name "Relay-<id>" -StartupType Automatic
file is locked by another process	Binärdatei, die während der Aktualisierung verwendet wird	Halten Sie zuerst den Relay-Clientdienst an und versuchen Sie es dann erneut
path exceeds Windows path length limit	Der Daten-/Protokollpfad ist länger als 260 Zeichen	Kürzere Pfade für --data-dir und --logs-dirverwenden
Virenschutzblockierung relay.exe	Binärdatei für Endpunktschutz in Quarantäne	Ausfälle hinzufügen (siehe Virenschutz und Endpunktschutz); Quarantäne überprüfen und wiederherstellen
Dienst wird ausgeführt, aber Tunnel nicht eingerichtet	Netzwerk- oder Authentifizierungsproblem	Prüfen Sie relay.log auf login to server Fehler; Überprüfen Sie die Verbindung zu cloud.uipath.com; Überprüfen Sie bei Relay-Client-Versionen vor 26.4.2 den TLS-Passdurchlauf zum regionalen Relay-Hostnamen
DPAPI decrypt failed	Maschinenidentität nach VM-Klonen oder Reimage geändert	Stellen Sie das Relay mit einer neuen Konfiguration von der UiPath-Verwaltung erneut bereit
Proxy wird vom Dienst nicht verwendet	Proxy auf Benutzerebene festgelegt, nicht auf Systemebene	Legen Sie HTTPS_PROXY auf Maschinenebene fest (siehe Proxykonfiguration); Starten Sie den Dienst neu

Diagnosebefehle

# Real-time logs
.\relay.exe logs <id> -f

# Service details
Get-Service "Relay-<id>" | Format-List *

# Connectivity test
Test-NetConnection -ComputerName cloud.uipath.com -Port 443

# Required only for Relay client versions earlier than 26.4.2
Test-NetConnection -ComputerName <region>-relay.uipath.com -Port 443

Informationen zu Authentifizierungs- und Verbindungsfehlern, die plattformübergreifend genutzt werden, finden Sie unter Fehlerbehebung.

Schnellreferenz

Aktion	Befehl
Starten	.\relay.exe start --config-file config.txt --accept-license-agreement
Stoppen	.\relay.exe stop <id>
Neustart/Upgrade	.\relay.exe restart <id>
Löschen	.\relay.exe delete <id>
Löschen (erzwingen)	.\relay.exe delete <id> --force
Liste	.\relay.exe list
Beschreiben	.\relay.exe describe <id>
Protokolle	.\relay.exe logs <id> -f
Status des Dienstes	Get-Service "Relay-<id>"
Dienstekonsole	services.msc