Arquitectura y seguridad

Cómo funciona

El cliente de Relay, un binario ligero instalado en una máquina dentro de tu red, establece un túnel TLS persistente y solo de salida (puerto 443) al servidor de Relay en Test Cloud. Cuando un servicio en la nube de UiPath necesita llegar a uno de tus puntos finales locales, la solicitud viaja desde el servicio en la nube a través del servidor de Relay, baja por el túnel hasta el cliente de Relay y desde allí a través de tu red local hasta el servicio de destino.

Debido a que el cliente de Relay inicia todas las conexiones de túnel salientes, su red nunca acepta una conexión entrante desde Internet.

Flujo de conectividad

1. Los puntos finales locales se registran en un Grupo de Relay en Administración de UiPath. La lista de puntos finales se almacena en el servicio de Relay.
2. El cliente de Relay realiza una llamada de descubrimiento autenticada a Test Cloud para recuperar la lista de puntos finales para exponer.
3. El cliente de Relay establece una conexión de control persistente (TLS) al servidor de Relay específico de la región, por ejemplo, eu-relay.uipath.com.
4. El servidor de Relay valida la conexión a través de OIDC y verifica la configuración del cliente con el Grupo de Relay registrado, evitando que un cliente reclame puntos finales que no son de su propiedad.
5. Cuando un servicio de UiPath necesita llamar a un punto final local, recupera la URL de Relay de la API de Relay y obtiene un token de ámbito de Relay de UiPath Identity.
6. El servicio llama a la URL de Relay. La infraestructura de Relay valida el token y la autorización del tenant consumidor antes de reenviar la solicitud a través del túnel.
7. El cliente de Relay finaliza la conexión del túnel entrante y reinicia una conexión HTTP o HTTPS al punto final local a través de la red local.

Nota:

Para obtener el mejor rendimiento, implemente el cliente de Relay en la misma región geográfica que su tenant en la nube. El tráfico sigue la ruta UiPath Cloud → servidor de retransmisión → nodo de retransmisión → servicio local, por lo que los túneles entre regiones añaden latencia proporcional al tiempo de ida y vuelta entre las regiones; para escenarios de gran carga útil, esta diferencia es significativa.

Alta disponibilidad

Para entornos de producción, implemente al menos dos clientes de Relay dentro del mismo Grupo de Relay con acceso a la red y configuración de almacén de confianza idénticos. Los clientes de un grupo comparten la carga a través de una distribución por turnos y conmutan por error automáticamente si un cliente deja de estar disponible.

Cuando varios clientes utilizan la reconexión proactiva, se coordinan para que solo un cliente se agote a la vez, manteniendo el grupo continuamente disponible a lo largo de cada ciclo de reconexión.

Modelo de seguridad

• Autenticación. El cliente de Relay se autentica en la plataforma en la nube utilizando credenciales de cliente OAuth 2.0. El servidor de Relay valida cada conexión de control a través de OIDC y verifica que el cliente coincida con el Grupo de Relay registrado.
• Cifrado en reposo. Las credenciales almacenadas en la máquina cliente de Relay están cifradas: AES-256-GCM en Linux, DPAPI en Windows.
• Cifrado en tránsito. Todo el tráfico entre el cliente de Relay y el servidor de Relay se cifra con TLS.
• Ámbito del token. Los servicios de UiPath obtienen un token de ámbito de Relay antes de llamar a una URL de Relay. La infraestructura de Relay valida este token y la autorización del tenant consumidor antes de reenviar la solicitud.

TLS y certificado de confianza

El cliente de Relay finaliza y reinicia las conexiones HTTP o HTTPS a destinos locales. Cuando el punto final local utiliza HTTPS, el almacén de confianza del sistema operativo en la máquina cliente de Relay debe confiar en la autoridad de certificación (AC) que firmó el certificado del punto final local.

Si su punto final utiliza un certificado autofirmado o una CA corporativa privada, añada la CA emisora al almacén de confianza de la máquina cliente de Relay antes de iniciar el Relay. De lo contrario, el cliente de Relay rechazará la conexión con el destino interno.