Architektur und Sicherheit

Relay-Architektur in Test Cloud, einschließlich der Art und Weise, wie der Client einen TLS-Tunnel nur für ausgehende Verbindungen herstellt und wie der Datenverkehr zwischen Cloud-Diensten und lokalen Endpunkten fließt.

Wie es funktioniert

Der Relay-Client – eine einfache Binärdatei, die auf einer Maschine in Ihrem Netzwerk installiert wird – stellt eine dauerhafte, nur ausgehende Verbindung auf Port 443 mit der UiPath Relay-Infrastruktur her. Für den Relay-Client 26.4.2 oder höher stellen neue Konfigurationen eine Verbindung über cloud.uipath.com mit WSS (WebSocket über TLS) her.

Relay-Client-Versionen vor 26.4.2 stellen eine Verbindung über einen regionalen Relay-Hostnamen über TLS her.

Wenn ein UiPath Cloud-Dienst einen Ihrer lokalen Endpunkte erreichen muss, läuft die Anforderung vom Cloud-Dienst über die UiPath-Relay-Infrastruktur über die ausgehende Verbindung zum Relay-Client und von dort in Ihrem lokalen Netzwerk zum Zieldienst.

Da der Relay-Client alle Tunnelverbindungen ausgehend initiiert, akzeptiert Ihr Netzwerk nie eine eingehende Verbindung aus dem Internet.

Konnektivitätsflow

1. Sie registrieren lokale Endpunkte unter einer Relay-Gruppe in der UiPath-Verwaltung. Die Endpunktliste wird im Relay-Dienst gespeichert.
2. Der Relay-Client führt einen authentifizierten Erkennungsaufruf bei der Test Cloud durch, um die Liste der zu veröffentlichenden Endpunkte abzurufen.
3. Der Relay-Client stellt eine persistente ausgehende Steuerelementverbindung her. Der Relay-Client 26.4.2 oder höher verbindet sich über cloud.uipath.com:443 mit WSS (WebSocket über TLS). Relay-Client-Versionen vor 26.4.2 stellen eine Verbindung mit dem regionsspezifischen Relay-Hostnamen – z. B. eu-relay.uipath.com – über TLS auf Port 443 her.
4. Die UiPath Relay-Infrastruktur validiert die Verbindung über OIDC und überprüft die Client-Konfiguration anhand der registrierten Relay-Gruppe, sodass ein Client Endpunkte beanspruchen kann, die er nicht besitzt.
5. Wenn ein UiPath-Dienst einen lokalen Endpunkt aufrufen muss, ruft er die Relay-URL von der Relay-API ab und erhält ein Relay-Scope-Token von UiPath Identity.
6. Der Dienst ruft die Relay-URL auf. Die Relay-Infrastruktur validiert das Token und die Autorisierung des verbrauchenden Mandanten, bevor die Anforderung durch den Tunnel weitergeleitet wird.
7. Der Relay-Client erhält die weitergeleitete Anforderung über seine ausgehende Verbindung und öffnet eine HTTP- oder HTTPS-Verbindung zum lokalen Endpunkt über das lokale Netzwerk.

Hinweis:

Für besten Durchsatz stellen Sie den Relay-Client in der gleichen geografischen Region wie Ihr Cloud-Mandant bereit. Der Datenverkehr folgt dem Pfad UiPath Cloud → Relay-Infrastruktur → Relay-Knoten → lokaler Dienst, sodass regionsübergreifende Tunnels eine Latenz hinzufügen, die korrekt zur Round Trip Time zwischen den Regionen verfügbar ist – für Szenarien mit großen Nutzlasten ist dieser Unterschied signifikant.

Hohe Verfügbarkeit (High Availability)

Stellen Sie für Produktionsumgebungen mindestens zwei Relay-Clients innerhalb derselben Relay-Gruppe mit identischem Netzwerkzugriff und Vertrauensspeicherkonfiguration bereit. Clients in einer Gruppe teilen sich die Last über eine Round-Robin-Verteilung und ein automatisches Failover erfolgt, wenn ein Client nicht verfügbar ist.

Wenn mehrere Clients eine proaktive Wiederverbindung verwenden, koordinieren sie sich so, dass nur ein Client gleichzeitig entleert wird und die Gruppe während jedes Wiederverbindungszyklus kontinuierlich verfügbar bleibt.

Sicherheitsmodell

• Authentifizierung. Der Relay-Client authentifiziert sich mit OAuth 2.0 Client-Anmeldeinformationen bei der Cloud-Plattform. Die UiPath Relay-Infrastruktur validiert jede Steuerelementverbindung über OIDC und überprüft, ob der Client mit der registrierten Relay-Gruppe übereinstimmt.
• Verschlüsselung im Ruhezustand. Anmeldeinformationen, die auf der Relay-Clientmaschine gespeichert sind, sind verschlüsselt: AES-256-GCM unter Linux, DMAPI unter Windows.
• Verschlüsselung bei der Übertragung. Der gesamte Datenverkehr zwischen dem Relay-Client und der UiPath Relay-Infrastruktur wird bei der Übertragung auf Port 443 verschlüsselt. Relay-Verbindungen verwenden TLS 1.2 oder TLS 1.3. Verschlüsselungssammlungen werden vom Go TLS-Stapel mithilfe sicherer Standardeinstellungen ausgewählt; Der Relay-Client macht keine benutzerdefinierte Cipher-Suite-Konfiguration verfügbar.
• Token-Scoping. UiPath-Dienste erhalten ein Relay-Scope-Token, bevor sie eine Relay-URL aufrufen. Die Relay-Infrastruktur validiert dieses Token und die Autorisierung des verbrauchenden Mandanten, bevor die Anforderung weitergeleitet wird.

TLS und Zertifikatsvertrauenswürdig

Der Relay-Client beendet und initiiert HTTP- oder HTTPS-Verbindungen mit lokalen Zielen erneut. Wenn der lokale Endpunkt HTTPS verwendet, muss der Vertrauensspeicher des Betriebssystems auf der Relay-Clientmaschine der Zertifizierungsstelle vertrauen, die das Zertifikat des lokalen Endpunkts signiert hat.

Wenn Ihr Endpunkt ein selbstsigniertes Zertifikat oder eine private Unternehmens-ZS verwenden, fügen Sie die ausstellende Zertifizierungsstelle zum Vertrauensspeicher der Relay-Clientmaschine hinzu, bevor Sie den Relay-Dienst starten. Andernfalls weist der Relay-Client die Verbindung zum internen Ziel zurück.