アーキテクチャとセキュリティ

動作のしくみ

Relay クライアント (ネットワーク内のマシンにインストールされる軽量のバイナリ) は、Test Cloud 内の Relay サーバーへの送信専用の永続的な TLS トンネル (ポート 443) を確立します。UiPath クラウド サービスがオンプレミスのエンドポイントの 1 つに接続する必要がある場合、要求はクラウド サービスから Relay サーバーを経由し、トンネルを通って Relay クライアントまで移動し、そこからローカル ネットワーク上でターゲット サービスに到達します。

Relay クライアントはアウトバウンドのすべてのトンネル接続を開始するため、ネットワークはインターネットからのインバウンド接続を受け入れません。

接続フロー

1. オンプレミスのエンドポイントは、UiPath Administration の Relay グループに登録します。エンドポイントリストは Relay サービスに保存されます。
2. Relay クライアントは、Test Cloud に対して認証された検出呼び出しを実行し、公開するエンドポイントのリストを取得します。
3. リレー クライアントは、リージョン固有のリレー サーバ ( eu-relay.uipath.comなど) への永続的な制御接続 (TLS) を確立します。
4. Relay Server は、OIDC 経由で接続を検証し、登録済みの Relay グループに対してクライアント設定を検証し、クライアントが所有していないエンドポイントを要求しないようにします。
5. UiPath サービスは、オンプレミスのエンドポイントを呼び出す必要がある場合に、リレー API からリレー URL を取得し、UiPath Identity からリレー範囲のトークンを取得します。
6. サービスはリレー URL を呼び出します。リレー インフラストラクチャは、トンネル経由で要求を転送する前に、トークンと消費するテナントの認可を検証します。
7. リレー クライアントは、受信トンネル接続を終了し、ローカル ネットワーク経由でオンプレミス エンドポイントへの HTTP または HTTPS 接続を再度開始します。

注:

最適なスループットを得るには、クラウド テナントと同じ地理的リージョンに Relay クライアントをデプロイします。トラフィックは UiPath Cloud → のパスをたどり、サーバー → リレー ノード→オンプレミス サービスです。したがって、リージョン間トンネルでは、リージョン間の往復時間に比例した待機時間が増加します。ペイロードが大きいシナリオでは、この差は大きくなります。

高可用性

運用環境の場合は、同じRelayグループ内に少なくとも2つのRelayクライアントを、同一のネットワークアクセスとトラストストア構成で展開します。グループ内のクライアントは、ラウンドロビン分散を介してロードし、1 つのクライアントが使用できなくなった場合は自動的にフェールオーバーします。

複数のクライアントがプロアクティブ再接続を使用する場合、一度に 1 つのクライアントのみがドレインするように調整し、各再接続サイクルを通じてグループを継続的に使用できるようにします。

セキュリティ モデル

• 認証。Relay クライアントは、OAuth 2.0 クライアント資格情報を使用してクラウド プラットフォームに対して認証を行います。Relay Server は、OIDC を介した各制御接続を検証し、クライアントが登録済みの Relay グループと一致することを確認します。
• 保存時の暗号化。リレークライアントマシンに保存される資格情報は暗号化されます(LinuxではAES-256-GCM、WindowsではDPAPI)。
• 転送中の暗号化。Relay クライアントと Relay Server 間のすべてのトラフィックは TLS で暗号化されます。
• トークンのスコープ。UiPath サービスは、リレー URL を呼び出す前に、リレー スコープのトークンを取得します。リレー インフラストラクチャは、要求を転送する前に、このトークンと使用するテナントの認可を検証します。

TLS と証明書の信頼性

Relay クライアントは、オンプレミス ターゲットへの HTTP または HTTPS 接続を終了し、再度開始します。オンプレミスエンドポイントが HTTPS を使用する場合、リレークライアントマシン上の OS 信頼ストアは、オンプレミスエンドポイントの証明書に署名した認証局 (CA) を信頼する必要があります。

エンドポイントで自己署名証明書またはプライベート企業 CA を使用している場合は、リレーを開始する前に、発行元 CA をリレークライアントマシンの信頼ストアに追加します。そうしないと、リレークライアントは内部ターゲットへの接続を拒否します。