Firma de paquetes

La firma de paquetes está disponible con el fin de garantizar la seguridad e integridad de los procesos y bibliotecas publicados desde Studio.

NuGet ofrece dos formas de firmar paquetes, ya sea por un autor o por un repositorio.

Aplicar el uso de paquetes firmados

Para aplicar el uso de paquetes firmados, el parámetro signatureValidationMode del archivo Nuget.config debe establecerse en require. El archivo está ubicado en %ProgramFiles%\UiPath\Studio. Puedes hacerlo de dos formas:

• Durante la instalación, instalando desde la línea de comandos con la opción ENFORCE_SIGNED_EXECUTION=1.
  For example, the following command installs Studio, a Robot as a Windows service, and enforces the usage of signed packaged in your UiPath^® environment: UiPathStudio.msi ADDLOCAL=DesktopFeature,Studio,Robot,RegisterService ENFORCE_SIGNED_EXECUTION=1.
• Después de la instalación, editando el archivo Nuget.config.

  Si estás configurando el parámetro después de la instalación, los cambios tienen efecto después de que:

  1. Reinicies el servicio de UiPath Robot.
  2. Elimines todos los paquetes .NuGet existentes de %ProgramFiles%\UiPath\Studio\Packages y %userprofile%\.nuget\packages.
  3. Reinicies Studio/Assistant.

De forma predeterminada, los paquetes de UiPath son repositorio y firmados por autor. Esto significa que dichos paquetes se pueden descargar e instalar usando Administrar paquetes sin tener que realizar ninguna acción adicional. Para obtener información sobre cómo añadir autores de confianza adicionales y/o propietarios de esta página, consulta la siguiente sección de esta página.

Importante: cuando se utilizan varios feeds, NuGet elige el que responde más rápido. Si una de las transmisiones no incluye paquetes y dependencias firmados, el UiPath Robot podría recibir un paquete o dependencia que no esté firmado, lo que provocará que la automatización falle. Para evitarlo, asegúrate de que todas las transmisiones configuradas tengan paquetes y dependencias firmados.

Añadir fuentes de confianza

Para descargar, instalar y ejecutar paquetes firmados con un certificado determinado, añade el certificado necesario como fuente de confianza. Para ello, se puede modificar el archivo nuget.config en la carpeta de instalación, principalmente la sección <trustedSigners>.

Añadir un autor de confianza

Para añadir un autor de confianza, debes abrir el archivo NuGet.config ubicado en %ProgramFiles%\UiPath\Studio\NuGet.config. Después, proporciona el certificatefingerprint y hashAlgorithm. Consulta esta página para obtener más información sobre la huella del certificado.

Establece el allowUntrustedRoot como true o false:

• allowUntrustedRoot = "true": el/la firmante de confianza debería poder encadenarse a una raíz que no sea de confianza.
• allowUntrustedRoot = "false": el/la firmante de confianza no debería poder encadenarse a una raíz que no sea de confianza.

La entrada debe ser similar al siguiente ejemplo:

<trustedSigners>
<author name="UiPath">
<certificate fingerprint="1234512345123451234512345123123123123123123123123123112312312E5" hashAlgorithm="SHA256" allowUntrustedRoot="true"/>
</author>
</trustedSigners>

Para obtener más información sobre cómo añadir UiPath como firmante de confianza, consulta Verificación de la firma de paquete en la guía de UiPath Robot.

Añadir un repositorio de confianza

Añadir un repositorio de confianza se hace más o menos igual que añadir un autor, con la diferencia de que el serviceIndex también debe ser añadido.

A continuación se muestra un ejemplo de un repositorio de confianza añadido al archivo NuGet.config:

<trustedSigners>    
<repository name="UiPath Repository" serviceIndex="https://uipath.repository">
<certificate fingerprint="1234512345123451234512345123123123123123123123123123112312312E5" hashAlgorithm="SHA256" allowUntrustedRoot="true" />
</repository>
</trustedSigners>

Añadir propietarios de confianza

Un repositorio puede tener varios paquetes firmados por un autor. En este caso, se puede utilizar la etiqueta <owners> para instalar los paquetes firmados por los autores de confianza.

Agrega los autores de confianza entre las etiquetas <owners>, como en el siguiente ejemplo:

<trustedSigners>
<repository name="UiPath Repository" serviceIndex="https://uipath.repository">
<certificate fingerprint="1234512345123451234512345123123123123123123123123123112312312E5" hashAlgorithm="SHA256" allowUntrustedRoot="true" />
<owners>Author1;Author2</owners> 
</repository>
</trustedSigners>

Firmar un paquete

1. En Studio, la firma de paquetes puede realizarse desde la ventana Publicar, la pestaña Firma de certificados, tanto para los procesos como para las bibliotecas.
   
   

   

   
   
2. En la pestaña Firma de certificado, añade la ruta del certificado en tu máquina local. Si es necesario, utiliza el botón para navegar hasta la ruta. Solo .pfx y .p12 son aceptados como formatos de archivo de certificado.
3. A continuación, escribe la Contraseña de certificado y añade un Marcador de tiempo de certificado opcional si es preciso. Haz clic en Publicar. El archivo .nupkg resultante se firma con un certificado y un marcador de tiempo, si se indica.

Las Marcas de tiempo son una forma de mantener la ruta de la fecha y hora en la que se firmó un paquete. Para obtener más información sobre marcas de tiempo en el contexto de la firma del paquete NuGet, consulta este enlace.

Si la marca de tiempo del certificado no es válida, se mostrará un mensaje de error con el nombre del proyecto en Studio después de hacer clic en el botón Publicar. Aparecerá un mensaje de error similar en el panel Salida.

Nota: si la verificación de la firma NO se aplica, los procesos creados con Studio antes de la v2019.4 se siguen ejecutando, independientemente de si están firmados o no.

Usa la herramienta Línea de comandos para actualizaciones masivas para firmar varios paquetes que luego se publican en una ubicación.

Nota: tener una dependencia sin firmar en el proyecto puede impedir que se resuelvan otras dependencias al utilizar la función Reparación de dependencias. Elimina el paquete no firmado del proyecto para resolver dependencias firmadas.