25.10.15

公開日: 2026 年 5 月 1 日

• 内部 PKI Orchestrator でのカスタム TLS 信頼の --ca-cert パラメーターと --pinnedpubkey パラメーターを追加する

更新内容

カスタム証明書を信頼する

認証されたすべてのCLI動詞で、2つの新しいオプションパラメータ(すべての solution、 package、 asset、 job、および test コマンド)を使用できます。これにより、TLS 証明書が公的に信頼された CA によって署名されていない Orchestrator インスタンスに、オペレーティング システムの信頼ストアを変更することなく CLI で接続できます。

--ca-cert

サーバの検証時にCLIが受け入れる1つ以上の追加の信頼できるルートCA証明書を提供します。フラグは付加的であり、システム信頼ストアは他のすべてに対して引き続き機能します。これは、上で受け入れられているものを拡張するだけです。

uipcli ... --ca-cert "C:\certs\as-root.pem"

サポートされている証明書ファイル形式:

• PEM - -----BEGIN CERTIFICATE----- マーカーを含むテキスト形式。1 つのファイルに、複数の連結された証明書 ("バンドル") が含まれる場合があります。
• DER - バイナリ X.509。
• PKCS#7 (.p7b, .p7c) - 秘密キーを含まない証明書コレクションです。Windows certmgr 既定でエクスポートする形式です。

PFX/PKCS#12 (.pfx、 .p12 ) はサポートされていません - これらは秘密キーを保持し、サーバーの信頼ではなくクライアント ID を対象としています。

複数の証明書:

異なるクラスター CA を持つ複数の内部 Orchestrator に接続する場合や、企業ルートを Automation Suite ルートとバンドルする場合は、複数のルートを指定できます。3つの同等の形式:

--ca-cert "C:\certs\as-root.pem" --ca-cert "C:\certs\corp-root.pem"
--ca-cert "C:\certs\as-root.pem,C:\certs\corp-root.pem"
--ca-cert "C:\certs\bundle.pem"          # single PEM file containing both roots

--pinnedpubkey

サーバーのリーフ証明書の公開鍵を特定の SHA-256 ハッシュに固定します。形式は curl 互換です: sha256// の後に SubjectPublicKeyInfo の base64 ハッシュが続きます。

uipcli ... --pinnedpubkey "sha256//5FAF491D9F7AC8274B1353B9E2E9317733033EFC22341ABAEA6466037D5123EE="

ピンは、標準の証明書の検証 に加えて チェックされますが、代わりにチェックされません。プライベート CA を使用して Orchestrator に接続する場合は、--pinnedpubkeyと一緒に--ca-cert渡します。

これらのパラメーターを使用する状況

• UiPath Automation Suite に接続する - クラスターの TLS 証明書は、自己署名 UiPath AS Root CAによって署名されています。クラスターのエクスポートされたルート証明書を指す Pass --ca-cert 。
• システム全体に証明書をインストールできない CI/CD ランナー - エフェメラルまたはサービス アカウントで実行されているワーカーは、多くの場合、信頼ストアを変更できません。--ca-cert を使用して、信頼のスコープを CLI 呼び出しのみに制限します。
• 1 つのパイプラインに複数の Orchestrator ターゲットがある場合 - 繰り返し --ca-cert フラグを使用して各クラスターのルートを指定します。
• 侵害されたパブリック CA に対する追加の保護 - --pinnedpubkey を追加して、システムがすでに信頼している CA からの証明書の誤発行は、公開キーが PIN と一致しない限り拒否されるようにします。

どちらのフラグも指定しない場合、CLI は以前とまったく同じように動作し、検証はシステムの信頼ストアに対してのみ実行されます。