Authentication

Authentifizieren Sie die UiPath CLI mithilfe von interaktiven OAuth2, externen App-Anmeldeinformationen oder umgebungsvariablen Token-Flows.

UiPath CLI unterstützt fünf Authentifizierungsflows: einen Entwickler auf einem Laptop, eine CI/CD-Pipeline, die den Orchestrator mit einer externen Anwendung aufruft, eine CI/CD-Plattform, die ihre eigenen OIDC-Token ausstellen kann, anstatt ein langlebiges Geheimnis, einen Container oder ein flüchtiges Geheimnis zu speichern der bereits ein Zugriffstoken enthält, und einen Prozess, der neben einem lokalen UiPath-Roboter ausgeführt wird. Die ersten drei enden an der gleichen Stelle – eine authentifizierte Sitzung, die in einem Anmeldeinformationsordner beibehalten wird, den jeder nachfolgende uip -Befehl wiederverwendet – aber sie unterscheiden sich darin, wie sie das Token erhalten und wie die CLI es aktualisiert. Die vierte umgangen den Status auf der Festplatte vollständig. Die fünfte bezieht sich auf die eigene Identität des Roboters über einen lokalen IPC-Kanal.

Wählen Sie einen Flow aus

Sie sind…	Verwenden Sie diese Option	So geht's
Ein Entwickler auf einem Laptop oder einer Workstation	Interaktive OAuth2	uip login öffnet sich ein Browser, Sie melden sich einmal an, Token werden gespeichert und automatisch aktualisiert.
Eine CI/CD-Pipeline oder ein Server	Externe Anwendung (Client-Anmeldeinformationen)	Erstellen Sie eine externe App in UiPath und übergeben Sie ihre ID und ihr Geheimnis an uip login --client-id … --client-secret …. Token werden gespeichert und aktualisiert.
Eine CI/CD-Plattform, die ihre eigenen OIDC-Token (Workload-Identität) prägen kann	Verbundanmeldeinformationen	uip login --client-id <app-id> --client-assertion env.OIDC_TOKEN – Ein OIDC JWT steht für das Clientgeheimnis, sodass es kein langlebiges Geheimnis zum Speichern oder Rotieren gibt. Erfordert --client-id; sich gegenseitig mit --client-secret ausschließen.
Ein Container, ein flüchtiger Runtime oder ein beliebiger Prozess, der bereits ein Token enthält	Authentifizierung der Umgebungsvariablen	Legen Sie UIPATH_CLI_ENABLE_ENV_AUTH=true fest und stellen Sie das Token + Organisation/Mandant über env vars bereit. Es wird keine Datei geschrieben; Keine Aktualisierung.
Ein Prozess, der auf einer Maschine mit einem lokalen UiPath Robot ausgeführt wird	Anmeldeinformationen für Roboter	Legen Sie UIPATH_CLI_ENFORCE_ROBOT_AUTH=true fest. uip authentifiziert sich über den lokalen IPC-Kanal des Roboters anstelle eines der oben genannten.

uip logout löscht alle Anmeldeinformationen auf dem Datenträger aus den ersten drei Flows. Der env-var-Flow hat nichts zu löschen – deaktivieren Sie die env vars. Auch die Roboter-Anmeldeinformationen haben nichts zu löschen – der Roboter besitzt die Identität.

Tipp:

--profile <name> ist ein globales Flag (siehe Globale Optionen), das eine Sitzung benennt, sodass mehrere Anmeldungen – über einen der ersten drei Flows hinweg – nebeneinander vorhanden sein können. Übergeben Sie dieselbe --profile für jeden Befehl, der eine bestimmte benannte Sitzung wiederverwenden soll; es schließt sich gegenseitig mit --file/-f auf uip login und uip logout aus.

Flow 1 – Interaktives OAuth2

uip login ohne Argumente ausführen:

uip login

uip öffnet Ihren Standardbrowser auf der Anmeldeseite von UiPath. Nach der Authentifizierung leitet UiPath zu einem lokalen Rückruf um, den uip überwacht, und die CLI fordert Sie auf, einen Mandanten auszuwählen. Wenn der Mandant ausgewählt ist, wird die Sitzung gespeichert und Sie sind fertig.

Nützliche Flags:

uip login --tenant DefaultTenant                 # skip the tenant picker
uip login --organization my-org                  # skip the org picker for users in multiple orgs
uip login --interactive                          # explicitly show the tenant picker even if --tenant was set
uip login --authority https://example.com        # point at a non-default identity authority (Automation Suite, staging)
uip login --scope "OR.Folders OR.Jobs"           # restrict the session to specific scopes
uip login --file /path/to/creds                  # store credentials in a non-default folder

Wo Anmeldeinformationen gespeichert werden

Standardmäßig wird die Sitzung in einem .uipath/ -Ordner gespeichert. uip sucht diesen Ordner an drei Stellen in dieser Reihenfolge:

1. Expliziter Ordner – Wenn Sie --file <folder> übergeben haben, verwendet die CLI diesen Ordner. Übergeben Sie den Ordner, nicht einen Dateipfad.
2. Verlassen Sie das aktuelle Arbeitsverzeichnis auf der Suche nach .uipath/ – damit ein Projektordner seine eigene Sitzung übertragen kann, ohne die Startseite des Benutzers zu beeinträchtigen.
3. ~/.uipath/ – das Standard-Fallback.

Wenn an keiner Stelle in der Gehen-up-Kette .uipath/ vorhanden ist, erstellt uip login eines unter ~/.uipath/. Behandeln Sie die Inhalte des Ordners als undurchsichtig – sie werden von uip login, uip login tenant set und uip logout verwaltet.

Verwalten Sie Mandanten mitten in der Sitzung

In der Sitzung wird jeweils ein einzelner aktiver Mandant gespeichert. Wechseln Sie, ohne den vollständigen Anmeldeablauf erneut auszuführen:

uip login tenant list           # show all tenants available to your account
uip login tenant set MyTenant   # switch the active tenant

uip login status zeigt die aktuelle Organisation, den Mandanten und den Tokenablauf an.

Die Aktualisierung erfolgt automatisch

uip aktualisiert Zugriffstoken im Hintergrund, wenn sie kurz vor dem Ablauf sind. Sie müssen uip login nicht erneut ausführen, es sei denn, das Aktualisierungstoken selbst läuft ab oder wird widerrufen oder Sie wechseln die Mandanten/Organisationen.

Headless-interaktive Anmeldung (--no-browser)

uip login öffnet normalerweise Ihren Systembrowser. In einer monitorlosen Umgebung – einem CI-Treiber, der eine echte Benutzeridentität (mit einem Aktualisierungstoken) anstelle einer externen App benötigt, aber keine Anzeige hat – übergeben Sie --no-browser (oder legen Sie UIPATH_CLI_NO_BROWSER=true fest):

uip login --no-browser --tenant DefaultTenant

Dadurch wird der gesamte interaktive Flow (PKCE, Status, lokaler Rückruf, Tokenspeicherung) beibehalten, aber es wird kein Browser gestartet. Stattdessen wird die Autorisierungs-URL als stabile Markerzeile an s Wenner ausgegeben:

UIPATH_AUTH_URL https://cloud.uipath.com/identity_/connect/authorize?...

Eine externe Automatisierung (z. B. ein Playwright-Skript) liest diese Zeile, öffnet die URL in einem Browser, der von ihr gesteuert wird, schließt die Anmeldung ab und der Identitätsanbieter leitet wie gewohnt zum lokalen Rückruf von uip weiter – die Anmeldung wird abgeschlossen so, als ob ein Mensch sich durchgeklickt hätte.

Die gedruckte URL kann sicher in CI-Protokollen angezeigt werden: Sie enthält nur öffentliche OAuth-Werte (PKCE code_challenge, state, client_id, redirect_uri, scope) – kein Geheimnis und kein Token. --no-browser hat keine Auswirkungen auf Flow 2 oder Flow 3 (Client-Anmeldeinformationen und Verbundanmeldungen öffnen unabhängig davon nie einen Browser) – eine Warnung wird protokolliert, wenn Sie sie zusammen mit --client-secret oder --client-assertion übergeben.

Flow 2 – Externe Anwendung (Client-Anmeldeinformationen)

Erstellen Sie eine externe Anwendung in UiPath (Automation Cloud: Admin → Externe Anwendungen) mit:

• Anwendungstyp: Vertraulich
• Gewährungstyp: Client-Anmeldeinformationen
• Scopes: Die Scopes, die Ihre Pipeline benötigt (z. B. OR.Folders, OR.Jobs, OR.Execution, OR.Assets, OR.Users)

Kopieren Sie die generierte App-ID und das App-Geheimnis und speichern Sie sie im Geheimnisspeicher der Pipeline (GitHub Actions-Geheimnisse, Azure DevOps-Variablengruppen, Jenkins-Anmeldeinformationen, Tresor usw.).

Melden Sie sich über die Pipeline an:

uip login \
  --client-id env.UIPATH_CLIENT_ID \
  --client-secret env.UIPATH_CLIENT_SECRET \
  --tenant "$UIPATH_TENANT"

Das Präfix env.VAR_NAME

--client-id und --client-secret akzeptieren entweder einen Literalwert oder das spezielle Präfix env. , das zur Laufzeit in eine Umgebungsvariable aufgelöst wird. env.UIPATH_CLIENT_ID bedeutet „Wert aus der Umgebungsvariable UIPATH_CLIENT_ID lesen“. Dadurch werden geheime Werte aus dem Shell-Verlauf und den Prozessauflistungen herausgehalten – im Gegensatz zu --client-secret "$UIPATH_CLIENT_SECRET", das in der Befehlszeile erweitert wird.

Literalwerte funktionieren weiterhin:

uip login --client-id 3c7af0…-… --client-secret s3cr3t…   # works, but the secret is visible in history

Warnung:

Legen Sie UIPATH_CLIENT_ID / UIPATH_CLIENT_SECRET nicht als Umgebungsvariablen fest und erwarten Sie, dass uip login sie automatisch aufnimmt. Vor UiPath CLI 1.0 wurden uip login --env und das implizite env-var-Lesen unterstützt; sie wurden entfernt. Sie müssen das Flag explizit übergeben, entweder mit einem Literalwert oder mit dem Präfix env. .

Scope-Überschreibungen

Wenn die externe App mehrere Scopes hat und Sie eine begrenzte Sitzung für ein bestimmtes Skript möchten, übergeben Sie --scope:

uip login \
  --client-id env.UIPATH_CLIENT_ID \
  --client-secret env.UIPATH_CLIENT_SECRET \
  --tenant "$UIPATH_TENANT" \
  --scope "OR.Folders OR.Jobs"

Fluss 3 – Verbundanmeldeinformationen (Workload-Identität)

Für CI/CD-Plattformen, die ihr eigenes OIDC-Token minen können – kein Geheimnis des externen App-Clients zum Erstellen, Speichern oder Rotieren:

uip login \
  --client-id "$UIPATH_CLIENT_ID" \
  --client-assertion env.OIDC_TOKEN \
  --tenant "$UIPATH_TENANT"

--client-assertion nimmt ein OIDC JWT anstelle von --client-secret und akzeptiert – wie --client-id/--client-secret – das Präfix env., um das Token zur Laufzeit aus einer Umgebungsvariable zu lesen (empfohlen: Übergeben Sie das unformatierte JWT als Der Literalwert gibt eine Warnung aus, da er andernfalls im Shell-Verlauf und in den Prozessauflistungen sichtbar wäre.

Von uip login erzwungene Regeln:

• Erfordert --client-id. Bei der Verbundanmeldung wird die externe App weiterhin anhand ihrer Client-ID identifiziert; nur das Geheimnis wird ersetzt.
• Sich gegenseitig mit --client-secret ausschließen. Das Übergeben von beiden schlägt mit --client-secret cannot be combined with --client-assertion.fehl.
• --organization wird ignoriert – die Organisation wird durch die Client-ID festgelegt, genauso wie bei der Anmeldung mit Client-Anmeldeinformationen.
• --no-browser hat keine Auswirkungen – wie bei der Anmeldung mit Client-Anmeldeinformationen wird für diesen Ablauf unabhängig davon kein Browser geöffnet.

Nach der Authentifizierung verhält sich die Sitzung wie eine externe App-Sitzung: Sie wird beibehalten, automatisch aktualisiert und mit uip logout gelöscht.

Flow 4 – Authentifizierung der Umgebungsvariablen (Zugriffstoken bereits vorhanden)

Einige Umgebungen – von einer anderen Pipeline erstellte Container, geplante Aufträge, Testeinrichtung – enthalten bereits ein gültiges UiPath-Zugriffstoken und erfordern keine interaktive Anmeldung oder den Austausch von Client-Anmeldeinformationen. Aktivieren Sie den env-var-Authentifizierungsflow, indem Sie Folgendes festlegen:

export UIPATH_CLI_ENABLE_ENV_AUTH=true

export UIPATH_CLI_AUTH_TOKEN="$UIPATH_TOKEN"            # JWT access token
export UIPATH_CLI_ORGANIZATION_NAME=my-org
export UIPATH_CLI_ORGANIZATION_ID="$UIPATH_ORG_ID"
export UIPATH_CLI_TENANT_NAME=DefaultTenant
export UIPATH_CLI_TENANT_ID="$UIPATH_TENANT_ID"

Mit UIPATH_CLI_ENABLE_ENV_AUTH=true authentifiziert jeder uip -Aufruf über diese Variablen und umgibt den Ordner .uipath/ vollständig. Es gibt keinen uip login -Schritt und es wird nichts auf den Datenträger geschrieben.

Hinweise und Einschränkungen

• Undurchsichtiges Token. Der Aufrufer ist für die Frische des Tokens verantwortlich. Es gibt keinen Aktualisierungsflow. Wenn das Token abläuft, meldet uip login status Expired und Befehle schlagen fehl, bis die Variable rotiert wird.
• Server-URL ist von einem JWT abgeleitet. Wenn UIPATH_CLI_AUTH_TOKEN ein JWT-Zugriffstoken enthält, ist sein Anspruch iss autoritative – Sie legen UIPATH_URL nicht fest. Dies verhindert ein falsches Routing, wenn eine Pipeline UIPATH_URL inkonsistent mit dem Token festlegt. Dies gilt nicht für ein persönliches Zugriffstoken – siehe unten.
• Das Gateway ist wichtig. Wenn UIPATH_CLI_ENABLE_ENV_AUTH nicht festgelegt oder auf etwas anderes als die Literalzeichenfolge true festgelegt ist, wird der dateibasierte Flow verwendet. Ein falsch geschriebenes Gateway fällt im Hintergrund zurück – prüfen Sie mit uip login status.
• Fehlende Werte schlagen explizit fehl. Wenn eine erforderliche Variable leer ist, gibt uip einen eindeutigen Fehler beim Benennen der fehlerhaften Variablen zurück, kein generisches „Nicht authentifiziert“.

Beispielschritt für GitHub-Aktionen mit env-var-Authentifizierung:

- name: Run uip against Orchestrator
  env:
    UIPATH_CLI_ENABLE_ENV_AUTH: "true"
    UIPATH_CLI_AUTH_TOKEN: ${{ secrets.UIPATH_TOKEN }}
    UIPATH_CLI_ORGANIZATION_NAME: contoso
    UIPATH_CLI_ORGANIZATION_ID: ${{ secrets.UIPATH_ORG_ID }}
    UIPATH_CLI_TENANT_NAME: Default
    UIPATH_CLI_TENANT_ID: ${{ secrets.UIPATH_TENANT_ID }}
  run: uip or folders list --output json

Verwenden eines persönlichen Zugriffstokens anstelle eines JWT

UIPATH_CLI_AUTH_TOKEN akzeptiert auch ein UiPath Personal Access Token (PAT – ein undurchsichtiges „Referenztoken“), das mit uip admin pat create verknüpft und mit uip admin pat list/revoke/regenerate verwaltet wird. Ein PAT ist kein JWT, also hat es keinen iss -Antrag – wodurch eine Regel von oben geändert wird:

• UIPATH_URL wird erforderlich. Da die CLI keine Server-URL von einem undurchsichtigen Token ableiten kann, legen Sie UIPATH_URL (z. B. https://cloud.uipath.com). Es wird ignoriert, wenn das Token ein JWT ist, ist aber erforderlich, wenn es ein PAT ist.
• Es wird kein Ablauf gemeldet. uip login status zeigt Logged in ohne Ablaufdatum und ohne Identitätsfelder – das Token ist undurchsichtig, sodass die CLI auch keine Möglichkeit hat, dies zu erkennen. Befehle schlagen mit 401 fehl, sobald das PAT widerrufen wird oder abläuft, ohne lokale Warnung vorher – verfolgen Sie das Ablaufdatum selbst.
• Jede andere Variable in diesem Flow (das Gateway, die Mandanten-/Organisationsnamen und die IDs) funktioniert wie bei einem JWT.

Flow 5 – Roboter-Anmeldeinformationen (lokaler UiPath Robot)

Bei Prozessen, die neben einem lokalen UiPath-Roboter ausgeführt werden – Studio Desktop und andere von Robotern gehostete Kontexte – kann sich die Authentifizierung vollständig auf die eigene Identität des Roboters über einen lokalen IPC-Kanal beziehen, anstatt auf ein Token, das die CLI selbst verwaltet:

export UIPATH_CLI_ENFORCE_ROBOT_AUTH=true
uip or folders list

Wenn das Gate festgelegt ist, kommuniziert uip mit dem IPC-Endpunkt des Roboters sowohl für das Zugriffstoken als auch für die Ressourcenbasis-URL, wobei der Anmeldeinformationsordner .uipath/ und der env-var-Flow vollständig umgangen werden. UIPATH_CLI_ENFORCE_ROBOT_AUTH und UIPATH_CLI_ENABLE_ENV_AUTH schließen sich gegenseitig aus – das Festlegen von beiden ist ein Fehler und keine stille Überschreibung. Es gibt keinen uip login -Schritt, keine Aktualisierung zu verwalten und nichts zu löschen uip logout.

Abmelden

uip logout                         # clear the default credentials folder
uip logout --file /path/to/creds   # clear a non-default credentials folder

logout löscht die gespeicherte Sitzung in .uipath/. Beim env-var-Flow gibt es nichts zu entfernen – die Variablen werden deaktiviert.

Fehlersuche und ‑behebung

❌ Nicht angemeldet

Entweder wurde in der Gehen-up-Kette kein .uipath/ -Ordner gefunden, oder die gespeicherte Sitzung ist nicht lesbar. Führen Sie uip login aus (oder legen Sie den env-var-Flow fest) und versuchen Sie es erneut.

Token abgelaufen

Interaktive und externe App-Sitzungen werden automatisch aktualisiert, wenn sie kurz vor dem Ablauf sind. Wenn Sie Expired sehen, ist das Aktualisierungstoken selbst abgelaufen oder wurde widerrufen – führen Sie uip login erneut aus. Rotieren Sie für die env-var-Authentifizierung UIPATH_CLI_AUTH_TOKEN.

Mehrere Organisationsmitglieder, falsche Organisation ausgewählt

Übergeben Sie --organization <logical-name> an uip login , um die Organisationsauswahl zu umgehen, oder uip login tenant list nach der Tatsache, dass die Sitzung tatsächlich gebunden ist.

Enterprise Proxy blockiert den Browserrückruf

Der interaktive Flow öffnet einen lokalen Rückrufport auf 127.0.0.1. Die meisten Proxys lassen das Loopback intakt, aber einige agile Setups blockieren es. Problemumgehung mithilfe von Flow 2 (Externe App), Flow 3 (Verbundene Anmeldeinformationen) oder Flow 4 (env-var auth) – alle drei vermeiden den Browser-Rückruf vollständig.

Siehe auch

• Installieren von UiPath CLI – einmaliges Setup vor der Authentifizierung.
• Konfiguration – Umgebungsvariablen und Flag-Priorität.
• Sitzungen und Anmeldeinformationen – Layout des Anmeldeinformationsordners auf der Festplatte.
• UIP-Anmeldereferenz, UIP-Abmeldereferenz.