25.10.15

Date de publication: 1er mai 2026

• Ajoutez les paramètres --ca-cert et --pinnedpubkey pour l'approbation TLS personnalisée sur les Orchestrator-PK internes

Nouveautés

Approbation des certificats personnalisés

Deux nouveaux paramètres facultatifs sont disponibles sur chaque verbe CLI authentifié (chaque solution, package, asset, job et test ). Ils permettent à la CLI de se connecter aux instances Orchestrator dont les certificats TLS ne sont pas signés par une autorité de certification publiquement approuvée, sans modifier le magasin approuvé du système d'exploitation.

--ca-cert

Fournit un ou plusieurs certificats CA racine approuvés supplémentaires que la CLI acceptera lors de la validation du serveur. L'indicateur s'ajoute: votre magasin de confiance système fonctionne toujours pour tout le reste; cela développe simplement ce qui est accepté en haut.

uipcli ... --ca-cert "C:\certs\as-root.pem"

Formats de fichiers de certificat pris en charge:

• PEM : format de texte avec -----BEGIN CERTIFICATE----- marqueurs. Un même fichier peut contenir plusieurs certificats concaténés (un « bundle»).
• DER - binaire X.509.
• PKCS#7 (.p7b, .p7c) - collection de certificats sans clés privées, le format que Windows certmgr exporte par défaut.

PFX/PKCS#12 (.pfx, .p12) n'est pas pris en charge; ceux-ci comportent des clés privées et sont destinés à l'identité du client, et non à la confiance du serveur.

Plusieurs certificats:

Vous pouvez fournir plusieurs racines lorsque vous vous connectez à plusieurs Orchestrator internes avec des certificats CA différents, ou lorsque vous regroupez une racine d'entreprise avec une racine Automation Suite. Trois formulaires équivalents:

--ca-cert "C:\certs\as-root.pem" --ca-cert "C:\certs\corp-root.pem"
--ca-cert "C:\certs\as-root.pem,C:\certs\corp-root.pem"
--ca-cert "C:\certs\bundle.pem"          # single PEM file containing both roots

--pinnedpubkey

Épingle la clé publique de certificat de la feuille du serveur à un hachage SHA-256 spécifique. Le format est compatible curl: sha256// suivi du hachage base64 de l'objet TenantPublicKeyInfo.

uipcli ... --pinnedpubkey "sha256//5FAF491D9F7AC8274B1353B9E2E9317733033EFC22341ABAEA6466037D5123EE="

La épingle est vérifiée en plus de la validation du certificat standard, et non à la place. Lors de la connexion à un Orchestrator avec une autorité de certification privée, transmettez --ca-cert avec --pinnedpubkey

Quand utiliser ces paramètres

• Connexion à UiPath Automation Suite - le certificat TLS du cluster est signé par un UiPath AS Root CA auto-signé. Transmettez --ca-cert pointant vers le certificat racine exporté du cluster.
• Exécutions CI/CD où vous ne pouvez pas installer de certificats au niveau du système : les travailleurs s'exécutant de manière éphémère ou sous un compte de service ne peuvent souvent pas modifier le magasin approuvé. Utilisez --ca-cert pour étendre la confiance à l'invocation de CLI uniquement.
• Plusieurs cibles Orchestrator dans un même pipeline : fournissent la racine du cluster via des indicateurs --ca-cert répétés.
• Protection supplémentaire contre les certificats CA publics compromis : ajoutez --pinnedpubkey afin qu'un certificat erroné émis par une autorité de certification que votre système ait déjà approuvée soit rejeté, sauf si sa clé publique correspond à votre code PIN.

Lorsqu’aucun indicateur n’est fourni, la CLI se comporte exactement comme avant - la validation s’exécute uniquement par rapport au magasin d’approbation du système.