Architektur und Sicherheit

Wie es funktioniert

Der Relay-Client – eine leichte Binärdatei, die auf einem Gerät in Ihrem Netzwerk installiert wird – baut einen beständigen, reinen ausgehenden TLS-Tunnel (Port 443) zum Relayserver in der Test Cloud auf. Wenn ein UiPath-Clouddienst einen Ihrer lokalen Endpunkte erreichen muss, gelangt die Anfrage vom Cloud-Dienst durch den Relayserver und den Tunnel zum Relay-Client und von dort durch Ihr lokales Netzwerk zum Zieldienst.

Da der Relay-Client alle Tunnelverbindungen ausgehend initiiert, akzeptiert Ihr Netzwerk nie eine eingehende Verbindung aus dem Internet.

Konnektivitätsflow

1. Sie registrieren lokale Endpunkte unter einer Relay-Gruppe in der UiPath-Verwaltung. Die Endpunktliste wird im Relay-Dienst gespeichert.
2. Der Relay-Client führt einen authentifizierten Erkennungsaufruf bei der Test Cloud durch, um die Liste der zu veröffentlichenden Endpunkte abzurufen.
3. Der Relay-Client stellt eine persistente Steuerelementverbindung (TLS) zum regionsspezifischen Relay-Server her – z. B. eu-relay.uipath.com.
4. Der Relay-Server validiert die Verbindung über OIDC und überprüft die Client-Konfiguration anhand der registrierten Relay-Gruppe, wodurch verhindert wird, dass ein Client Endpunkte unternimmt, die er nicht besitzt.
5. Wenn ein UiPath-Dienst einen lokalen Endpunkt aufrufen muss, ruft er die Relay-URL von der Relay-API ab und erhält ein Relay-Scope-Token von UiPath Identity.
6. Der Dienst ruft die Relay-URL auf. Die Relay-Infrastruktur validiert das Token und die Autorisierung des verbrauchenden Mandanten, bevor die Anforderung durch den Tunnel weitergeleitet wird.
7. Der Relay-Client beendet die eingehende Tunnelverbindung und initiiert eine HTTP- oder HTTPS-Verbindung zum lokalen Endpunkt über das lokale Netzwerk erneut.

Hinweis:

Für besten Durchsatz stellen Sie den Relay-Client in der gleichen geografischen Region wie Ihr Cloud-Mandant bereit. Der Datenverkehr folgt dem Pfad UiPath Cloud → Relay-Server → Relay-Knoten → lokaler Dienst, sodass regionsübergreifende Tunnels eine Latenz hinzufügen, die korrekt zur Round Trip Time zwischen den Regionen verfügbar ist – für Szenarien mit großen Nutzlasten ist dieser Unterschied signifikant.

Hohe Verfügbarkeit (High Availability)

Stellen Sie für Produktionsumgebungen mindestens zwei Relay-Clients innerhalb derselben Relay-Gruppe mit identischem Netzwerkzugriff und Vertrauensspeicherkonfiguration bereit. Clients in einer Gruppe teilen sich die Last über eine Round-Robin-Verteilung und ein automatisches Failover erfolgt, wenn ein Client nicht verfügbar ist.

Wenn mehrere Clients eine proaktive Wiederverbindung verwenden, koordinieren sie sich so, dass nur ein Client gleichzeitig entleert wird und die Gruppe während jedes Wiederverbindungszyklus kontinuierlich verfügbar bleibt.

Sicherheitsmodell

• Authentifizierung. Der Relay-Client authentifiziert sich mit OAuth 2.0 Client-Anmeldeinformationen bei der Cloud-Plattform. Der Relay-Server validiert jede Steuerelementverbindung über OIDC und überprüft, ob der Client mit der registrierten Relay-Gruppe übereinstimmt.
• Verschlüsselung im Ruhezustand. Anmeldeinformationen, die auf der Relay-Clientmaschine gespeichert sind, sind verschlüsselt: AES-256-GCM unter Linux, DMAPI unter Windows.
• Verschlüsselung bei der Übertragung. Der gesamte Datenverkehr zwischen dem Relay-Client und dem Relay-Server ist mit TLS verschlüsselt.
• Token-Scoping. UiPath-Dienste erhalten ein Relay-Scope-Token, bevor sie eine Relay-URL aufrufen. Die Relay-Infrastruktur validiert dieses Token und die Autorisierung des verbrauchenden Mandanten, bevor die Anforderung weitergeleitet wird.

TLS und Zertifikatsvertrauenswürdig

Der Relay-Client beendet und initiiert HTTP- oder HTTPS-Verbindungen mit lokalen Zielen erneut. Wenn der lokale Endpunkt HTTPS verwendet, muss der Vertrauensspeicher des Betriebssystems auf der Relay-Clientmaschine der Zertifizierungsstelle vertrauen, die das Zertifikat des lokalen Endpunkts signiert hat.

Wenn Ihr Endpunkt ein selbstsigniertes Zertifikat oder eine private Unternehmens-ZS verwenden, fügen Sie die ausstellende Zertifizierungsstelle zum Vertrauensspeicher der Relay-Clientmaschine hinzu, bevor Sie den Relay-Dienst starten. Andernfalls weist der Relay-Client die Verbindung zum internen Ziel zurück.