Authentication

UiPath-CLI unterstützt drei Authentifizierungsflows, die den drei gängigen Anwendungsfällen zugeordnet sind: einen Entwickler auf einem Laptop, eine CI/CD-Pipeline, die den Orchestrator mit einer externen Anwendung aufruft, und einen Container oder eine flüchtige Ausführung, die bereits ein Zugriffstoken enthält. Alle drei enden am selben Ort – einer authentifizierten Sitzung, die jeder nachfolgende uip -Befehl wiederverwendet – aber sie unterscheiden sich darin, wie sie das Token erhalten und wie die CLI es aktualisiert.

Wählen Sie einen Flow aus

Sie sind…	Verwenden Sie diese Option	So geht's
Ein Entwickler auf einem Laptop oder einer Workstation	Interaktive OAuth2	uip login öffnet sich ein Browser, Sie melden sich einmal an, Token werden gespeichert und automatisch aktualisiert.
Eine CI/CD-Pipeline oder ein Server	Externe Anwendung (Client-Anmeldeinformationen)	Erstellen Sie eine externe App in UiPath und übergeben Sie ihre ID und ihr Geheimnis an uip login --client-id … --client-secret …. Token werden gespeichert und aktualisiert.
Ein Container, ein flüchtiger Runtime oder ein beliebiger Prozess, der bereits ein Token enthält	Authentifizierung der Umgebungsvariablen	Legen Sie UIPATH_CLI_ENABLE_ENV_AUTH=true fest und stellen Sie das Token + Organisation/Mandant über env vars bereit. Es wird keine Datei geschrieben; Keine Aktualisierung.

uip logout löscht alle Anmeldeinformationen auf dem Datenträger aus den ersten beiden Flows. Der env-var-Flow hat nichts zu löschen – deaktivieren Sie die env vars.

Flow 1 – Interaktives OAuth2

uip login ohne Argumente ausführen:

uip login

uip öffnet Ihren Standardbrowser auf der Anmeldeseite von UiPath. Nach der Authentifizierung leitet UiPath zu einem lokalen Rückruf um, den uip überwacht, und die CLI fordert Sie auf, einen Mandanten auszuwählen. Wenn der Mandant ausgewählt ist, wird die Sitzung gespeichert und Sie sind fertig.

Nützliche Flags:

uip login --tenant DefaultTenant                 # skip the tenant picker
uip login --organization my-org                  # skip the org picker for users in multiple orgs
uip login --interactive                          # explicitly show the tenant picker even if --tenant was set
uip login --authority https://example.com        # point at a non-default identity authority (Automation Suite, staging)
uip login --scope "OR.Folders OR.Jobs"           # restrict the session to specific scopes
uip login --file /path/to/creds                  # store credentials in a non-default folder

Wo Anmeldeinformationen gespeichert werden

Standardmäßig wird die Sitzung in einem .uipath/ -Ordner gespeichert. uip sucht diesen Ordner an drei Stellen in dieser Reihenfolge:

1. Expliziter Ordner – Wenn Sie --file <folder> übergeben haben, verwendet die CLI diesen Ordner. Übergeben Sie den Ordner, nicht einen Dateipfad.
2. Verlassen Sie das aktuelle Arbeitsverzeichnis auf der Suche nach .uipath/ – damit ein Projektordner seine eigene Sitzung übertragen kann, ohne die Startseite des Benutzers zu beeinträchtigen.
3. ~/.uipath/ – das Standard-Fallback.

Wenn an keiner Stelle in der Gehen-up-Kette .uipath/ vorhanden ist, erstellt uip login eines unter ~/.uipath/. Behandeln Sie die Inhalte des Ordners als undurchsichtig – sie werden von uip login, uip login tenant set und uip logout verwaltet.

Verwalten Sie Mandanten mitten in der Sitzung

In der Sitzung wird jeweils ein einzelner aktiver Mandant gespeichert. Wechseln Sie, ohne den vollständigen Anmeldeablauf erneut auszuführen:

uip login tenant list           # show all tenants available to your account
uip login tenant set MyTenant   # switch the active tenant

uip login status zeigt die aktuelle Organisation, den Mandanten und den Tokenablauf an.

Tipp:

Jeder uip or … -Befehl akzeptiert auch --tenant <name> , um den Sitzungsmandanten für einen einzelnen Aufruf zu überschreiben – nützlich, wenn Sie zwei Mandanten im selben Skript ohne erneute Protokollierung ausführen müssen.

Die Aktualisierung erfolgt automatisch

uip aktualisiert Zugriffstoken im Hintergrund, wenn sie kurz vor dem Ablauf sind. Sie müssen uip login nicht erneut ausführen, es sei denn, das Aktualisierungstoken selbst läuft ab oder wird widerrufen oder Sie wechseln die Mandanten/Organisationen.

Flow 2 – Externe Anwendung (Client-Anmeldeinformationen)

Erstellen Sie eine externe Anwendung in UiPath (Automation Cloud: Admin → Externe Anwendungen) mit:

• Anwendungstyp: Vertraulich
• Gewährungstyp: Client-Anmeldeinformationen
• Scopes: Die Scopes, die Ihre Pipeline benötigt (z. B. OR.Folders, OR.Jobs, OR.Execution, OR.Assets, OR.Users)

Kopieren Sie die generierte App-ID und das App-Geheimnis und speichern Sie sie im Geheimnisspeicher der Pipeline (GitHub Actions-Geheimnisse, Azure DevOps-Variablengruppen, Jenkins-Anmeldeinformationen, Tresor usw.).

Melden Sie sich über die Pipeline an:

uip login \
  --client-id env.UIPATH_CLIENT_ID \
  --client-secret env.UIPATH_CLIENT_SECRET \
  --tenant "$UIPATH_TENANT"

Das Präfix env.VAR_NAME

--client-id und --client-secret akzeptieren entweder einen Literalwert oder das spezielle Präfix env. , das zur Laufzeit in eine Umgebungsvariable aufgelöst wird. env.UIPATH_CLIENT_ID bedeutet „Wert aus der Umgebungsvariable UIPATH_CLIENT_ID lesen“. Dadurch werden geheime Werte aus dem Shell-Verlauf und den Prozessauflistungen herausgehalten – im Gegensatz zu --client-secret "$UIPATH_CLIENT_SECRET", das in der Befehlszeile erweitert wird.

Literalwerte funktionieren weiterhin:

uip login --client-id 3c7af0…-… --client-secret s3cr3t…   # works, but the secret is visible in history

Warnung:

Legen Sie UIPATH_CLIENT_ID / UIPATH_CLIENT_SECRET nicht als Umgebungsvariablen fest und erwarten Sie, dass uip login sie automatisch aufnimmt. Vor UiPath CLI 1.0 wurden uip login --env und das implizite env-var-Lesen unterstützt; sie wurden entfernt. Sie müssen das Flag explizit übergeben, entweder mit einem Literalwert oder mit dem Präfix env. .

Scope-Überschreibungen

Wenn die externe App mehrere Scopes hat und Sie eine begrenzte Sitzung für ein bestimmtes Skript möchten, übergeben Sie --scope:

uip login \
  --client-id env.UIPATH_CLIENT_ID \
  --client-secret env.UIPATH_CLIENT_SECRET \
  --tenant "$UIPATH_TENANT" \
  --scope "OR.Folders OR.Jobs"

Flow 3 – Authentifizierung der Umgebungsvariablen (Zugriffstoken bereits vorhanden)

Einige Umgebungen – von einer anderen Pipeline erstellte Container, geplante Aufträge, Testeinrichtung – enthalten bereits ein gültiges UiPath-Zugriffstoken und erfordern keine interaktive Anmeldung oder den Austausch von Client-Anmeldeinformationen. Aktivieren Sie den env-var-Authentifizierungsflow, indem Sie Folgendes festlegen:

export UIPATH_CLI_ENABLE_ENV_AUTH=true

export UIPATH_CLI_AUTH_TOKEN="$UIPATH_TOKEN"            # JWT access token
export UIPATH_CLI_ORGANIZATION_NAME=my-org
export UIPATH_CLI_ORGANIZATION_ID="$UIPATH_ORG_ID"
export UIPATH_CLI_TENANT_NAME=DefaultTenant
export UIPATH_CLI_TENANT_ID="$UIPATH_TENANT_ID"

Mit UIPATH_CLI_ENABLE_ENV_AUTH=true authentifiziert jeder uip -Aufruf über diese Variablen und umgibt den Ordner .uipath/ vollständig. Es gibt keinen uip login -Schritt und es wird nichts auf den Datenträger geschrieben.

Hinweise und Einschränkungen

• Undurchsichtiges Token. Der Aufrufer ist für die Frische des Tokens verantwortlich. Es gibt keinen Aktualisierungsflow. Wenn das Token abläuft, meldet uip login status Expired und Befehle schlagen fehl, bis die Variable rotiert wird.
• Die Server-URL wird vom Token abgeleitet. Der Anspruch iss im JWT ist autoritative – Sie legen nicht UIPATH_URL fest. Dies verhindert ein falsches Routing, wenn eine Pipeline UIPATH_URL nicht mit dem Token übereinstimmt.
• Das Gateway ist wichtig. Wenn UIPATH_CLI_ENABLE_ENV_AUTH nicht festgelegt oder auf etwas anderes als die Literalzeichenfolge true festgelegt ist, wird der dateibasierte Flow verwendet. Ein falsch geschriebenes Gateway fällt im Hintergrund zurück – prüfen Sie mit uip login status.
• Fehlende Werte schlagen explizit fehl. Wenn eine erforderliche Variable leer ist, gibt uip einen eindeutigen Fehler beim Benennen der fehlerhaften Variablen zurück, kein generisches „Nicht authentifiziert“.

Beispielschritt für GitHub-Aktionen mit env-var-Authentifizierung:

- name: Run uip against Orchestrator
  env:
    UIPATH_CLI_ENABLE_ENV_AUTH: "true"
    UIPATH_CLI_AUTH_TOKEN: ${{ secrets.UIPATH_TOKEN }}
    UIPATH_CLI_ORGANIZATION_NAME: contoso
    UIPATH_CLI_ORGANIZATION_ID: ${{ secrets.UIPATH_ORG_ID }}
    UIPATH_CLI_TENANT_NAME: Default
    UIPATH_CLI_TENANT_ID: ${{ secrets.UIPATH_TENANT_ID }}
  run: uip or folders list --output json

Abmelden

uip logout                         # clear the default credentials folder
uip logout --file /path/to/creds   # clear a non-default credentials folder

logout löscht die gespeicherte Sitzung in .uipath/. Beim env-var-Flow gibt es nichts zu entfernen – die Variablen werden deaktiviert.

Fehlersuche und ‑behebung

❌ Nicht angemeldet

Entweder wurde in der Gehen-up-Kette kein .uipath/ -Ordner gefunden, oder die gespeicherte Sitzung ist nicht lesbar. Führen Sie uip login aus (oder legen Sie den env-var-Flow fest) und versuchen Sie es erneut.

Token abgelaufen

Interaktive und externe App-Sitzungen werden automatisch aktualisiert, wenn sie kurz vor dem Ablauf sind. Wenn Sie Expired sehen, ist das Aktualisierungstoken selbst abgelaufen oder wurde widerrufen – führen Sie uip login erneut aus. Rotieren Sie für die env-var-Authentifizierung UIPATH_CLI_AUTH_TOKEN.

Mehrere Organisationsmitglieder, falsche Organisation ausgewählt

Übergeben Sie --organization <logical-name> an uip login , um die Organisationsauswahl zu umgehen, oder uip login tenant list nach der Tatsache, dass die Sitzung tatsächlich gebunden ist.

Enterprise Proxy blockiert den Browserrückruf

Der interaktive Flow öffnet einen lokalen Rückrufport auf 127.0.0.1. Die meisten Proxys lassen das Loopback intakt, aber einige agile Setups blockieren es. Problemumgehung mithilfe von Flow 2 (Externe App) oder Flow 3 (env-var auth) – beide vermeiden den Browser-Rückruf vollständig.

Siehe auch

• Installieren von UiPath CLI – einmaliges Setup vor der Authentifizierung.
• Konfiguration – Umgebungsvariablen und Flag-Priorität.
• Sitzungen und Anmeldeinformationen – Layout des Anmeldeinformationsordners auf der Festplatte.
• UIP-Anmeldereferenz, UIP-Abmeldereferenz.