25.10.15

Fecha de lanzamiento: 1 de mayo de 2026

• Añadir parámetros --ca-cert y --pinnedpubkey para la confianza TLS personalizada en Orchestrators de PKI interna

Novedades

Confiar en certificados personalizados

Hay dos nuevos parámetros opcionales disponibles en cada verbo CLI autenticado (cada comando solution, package, asset, job y test ). Permiten que CLI se conecte a instancias de Orchestrator cuyos certificados TLS no están firmados por una CA pública de confianza, sin modificar el almacén de confianza del sistema operativo.

--ca-cert

Proporciona uno o más certificados de CA raíz de confianza adicionales que CLI aceptará al validar el servidor. El marcador es aditivo: el almacén de confianza de tu sistema sigue funcionando para todo lo demás; esto solo expande lo que se acepta en la parte superior.

uipcli ... --ca-cert "C:\certs\as-root.pem"

Formatos de archivo de certificado compatibles:

• PEM : formato de texto con marcadores -----BEGIN CERTIFICATE----- . Un solo archivo puede contener varios certificados concatenados (un "paquete").
• DER : binario X.509.
• PKCS#7 (.p7b, .p7c): colección de certificados sin claves privadas, el formato que Windows certmgr exporta de forma predeterminada.

PFX/PKCS#12 (.pfx, .p12) no es compatible: llevan claves privadas y están destinadas a la identidad del cliente, no a la confianza del servidor.

Varios certificados:

Puedes proporcionar varias raíces al conectarte a varios Orchestrators internos con diferentes AC de clúster, o al agrupar una raíz corporativa junto con una raíz de Automation Suite. Tres formas equivalentes:

--ca-cert "C:\certs\as-root.pem" --ca-cert "C:\certs\corp-root.pem"
--ca-cert "C:\certs\as-root.pem,C:\certs\corp-root.pem"
--ca-cert "C:\certs\bundle.pem"          # single PEM file containing both roots

--pinnedpubkey

Ancla la clave pública del certificado de hoja del servidor a un hash SHA-256 específico. El formato es compatible con curl: sha256// seguido del hash base64 de la InformaciónDeClavePúblicaDeAsunto.

uipcli ... --pinnedpubkey "sha256//5FAF491D9F7AC8274B1353B9E2E9317733033EFC22341ABAEA6466037D5123EE="

El pin se comprueba además de la validación del certificado estándar, no en su lugar. Al conectarse a un Orchestrator con una CA privada, pase --ca-cert junto con --pinnedpubkey.

Cuándo utilizar estos parámetros

• Conectar a UiPath Automation Suite : el certificado TLS del clúster está firmado por un UiPath AS Root CA autofirmado. Transfiera --ca-cert apuntando al certificado raíz exportado del clúster.
• Ejecutores CI/CD en los que no puedes instalar certificados en todo el sistema : los trabajadores que se ejecutan de forma efímera o bajo una cuenta de servicio a menudo no pueden modificar el almacén de confianza. Usa --ca-cert para establecer el ámbito de confianza solo en la invocación de CLI.
• Múltiples destinos de Orchestrator en un proceso : proporciona la raíz de cada clúster a través de indicadores --ca-cert repetidos.
• Protección adicional contra las AC públicas comprometidas : añade --pinnedpubkey para que se rechace un certificado emitido erróneamente de cualquier AC en la que tu sistema ya confíe, a menos que su clave pública coincida con tu PIN.

Cuando no se proporciona ningún indicador, la CLI se comporta exactamente como antes: la validación se ejecuta solo en el almacén de confianza del sistema.