Arquitectura y seguridad

Cómo funciona

The Relay client — a lightweight binary installed on a machine inside your network — establishes a persistent, outbound-only connection on port 443 to UiPath relay infrastructure. For Relay client 26.4.2 or later, new configurations connect through cloud.uipath.com using WSS (WebSocket over TLS).

Relay client versions earlier than 26.4.2 connect through a regional relay hostname over TLS.

When a UiPath cloud service needs to reach one of your on-premises endpoints, the request travels from the cloud service through UiPath relay infrastructure, down the outbound connection to the Relay client, and from there across your local network to the target service.

Debido a que el cliente de Relay inicia todas las conexiones de túnel salientes, su red nunca acepta una conexión entrante desde Internet.

Flujo de conectividad

1. Los puntos finales locales se registran en un Grupo de Relay en Administración de UiPath. La lista de puntos finales se almacena en el servicio de Relay.
2. El cliente de Relay realiza una llamada de descubrimiento autenticada a Test Cloud para recuperar la lista de puntos finales que exponer.
3. El cliente de Relay establece una conexión de control saliente persistente. El cliente de Relay 26.4.2 o posterior se conecta a través de cloud.uipath.com:443 utilizando WSS (WebSocket sobre TLS). Las versiones de cliente de Relay anteriores a 26.4.2 se conectan al nombre de host de Relay específico de la región, por ejemplo, eu-relay.uipath.com , a través de TLS en el puerto 443.
4. La infraestructura de Relay de UiPath valida la conexión a través de OIDC y verifica la configuración del cliente con el Grupo de Relay registrado, lo que evita que un cliente reclame puntos finales que no son de su propiedad.
5. Cuando un servicio de UiPath necesita llamar a un punto final local, recupera la URL de Relay de la API de Relay y obtiene un token de ámbito de Relay de UiPath Identity.
6. El servicio llama a la URL de Relay. La infraestructura de Relay valida el token y la autorización del tenant consumidor antes de reenviar la solicitud a través del túnel.
7. El cliente de Relay recibe la solicitud reenviada a través de su conexión saliente y abre una conexión HTTP o HTTPS al punto final local a través de la red local.

Nota:

Para obtener el mejor rendimiento, implemente el cliente de Relay en la misma región geográfica que su tenant en la nube. El tráfico sigue la ruta UiPath Cloud → infraestructura de retransmisión → nodo de retransmisión → servicio local, por lo que los túneles entre regiones añaden latencia proporcional al tiempo de ida y vuelta entre las regiones; para escenarios de gran carga útil, esta diferencia es significativa.

Alta disponibilidad

Para entornos de producción, implemente al menos dos clientes de Relay dentro del mismo Grupo de Relay con acceso a la red y configuración de almacén de confianza idénticos. Los clientes de un grupo comparten la carga a través de una distribución por turnos y conmutan por error automáticamente si un cliente deja de estar disponible.

Cuando varios clientes utilizan la reconexión proactiva, se coordinan para que solo un cliente se agote a la vez, manteniendo el grupo continuamente disponible a lo largo de cada ciclo de reconexión.

Modelo de seguridad

• Autenticación. El cliente de Relay se autentica en la plataforma en la nube utilizando credenciales de cliente OAuth 2.0. La infraestructura de Relay de UiPath valida cada conexión de control a través de OIDC y verifica que el cliente coincida con el grupo de Relay registrado.
• Cifrado en reposo. Las credenciales almacenadas en la máquina cliente de Relay están cifradas: AES-256-GCM en Linux, DPAPI en Windows.
• Cifrado en tránsito. Todo el tráfico entre el cliente de Relay y la infraestructura de Relay de UiPath se cifra en tránsito en el puerto 443. Las conexiones de Relay utilizan TLS 1.2 o TLS 1.3. Los conjuntos de cifrado son seleccionados por la pila Go TLS utilizando valores predeterminados seguros; el cliente de Relay no expone la configuración personalizada de cipher-suite.
• Ámbito del token. Los servicios de UiPath obtienen un token de ámbito de Relay antes de llamar a una URL de Relay. La infraestructura de Relay valida este token y la autorización del tenant consumidor antes de reenviar la solicitud.

TLS y certificado de confianza

El cliente de Relay finaliza y reinicia las conexiones HTTP o HTTPS a destinos locales. Cuando el punto final local utiliza HTTPS, el almacén de confianza del sistema operativo en la máquina cliente de Relay debe confiar en la autoridad de certificación (AC) que firmó el certificado del punto final local.

Si su punto final utiliza un certificado autofirmado o una CA corporativa privada, añada la CA emisora al almacén de confianza de la máquina cliente de Relay antes de iniciar el Relay. De lo contrario, el cliente de Relay rechazará la conexión con el destino interno.