Arquitetura e segurança

Como funciona

O cliente de Relay — um binário leve instalado em uma máquina dentro de sua rede — estabelece um túnel TLS persistente e somente de saída (porta 443) para o Servidor de Relay no Automation Cloud. Quando um serviço de nuvem da UiPath precisa alcançar um de seus pontos de extremidade locais, a solicitação navega do serviço de nuvem pelo Servidor de Relay, desce o túnel até o cliente de Relay e, de lá, por sua rede local até o serviço de destino.

Como o cliente de Relay inicia todas as conexões de túnel de saída, sua rede nunca aceita uma conexão de entrada da internet.

Fluxo de conectividade

1. Você registra pontos de extremidade locais em um Grupo de Relay na UiPath Administration. A lista de pontos de extremidade é armazenada no serviço de Relay.
2. O cliente de Relay realiza uma chamada de descoberta autenticada para a plataforma de nuvem para recuperar a lista de pontos de extremidade a serem expostos.
3. O cliente de Relay estabelece uma conexão de controle persistente (TLS) com o servidor de Relay específico da região — por exemplo eu-relay.uipath.com
4. O Servidor de Relay valida a conexão por meio do OIDC e verifica a configuração do cliente em relação ao Grupo de Relay registrado, impedindo que um cliente solicite pontos de extremidade que não possuem.
5. Quando um serviço da UiPath precisa chamar um endpoint local, ele recupera o URL do relay da API do relay e obtém um token com escopo de relay do UiPath Identity.
6. O serviço chama a URL do relay. A infraestrutura de relay valida o token e a autorização do tenant de consumo antes de encaminhar a solicitação por meio do túnel.
7. O cliente de Relay encerra a conexão do túnel de entrada e reinicia uma conexão HTTP ou HTTPS ao endpoint local pela rede local.

Observação:

Para obter a melhor taxa de transferência, implante o cliente de Relay na mesma região geográfica que seu tenant de nuvem. O tráfego segue o caminho UiPath Cloud → servidor de relay → nó de relay → serviço no local, então os túnels entre regiões adicionam latência proporcional ao tempo de ida e volta entre as regiões — para cenários de cargas grandes, essa diferença é significativa.

Alta disponibilidade

Para ambientes de produção, implante pelo menos dois clientes de Relay dentro do mesmo Grupo de Relay com acesso de rede idêntico e configuração de armazenamento de confiança. Os clientes em um grupo compartilham a carga por meio da distribuição Round Robin e falham automaticamente se um cliente ficar indisponível.

Quando vários clientes usam a reconexão proativa, eles se coordenam para que apenas um cliente seja drenado de cada vez, mantendo o grupo continuamente disponível em todo o ciclo de reconexão.

Modelo de segurança

• Autenticação. O cliente de Relay autentica-se na plataforma de nuvem usando as Credenciais do Cliente do OAuth 2.0. O Servidor de Relay valida cada conexão de controle por meio do OIDC e verifica se o cliente corresponde ao Grupo de Relay registrado.
• Criptografia em repouso. As credenciais armazenadas na máquina cliente de Relay são criptografadas: AES-256-GCM no Linux, DPAPI no Windows.
• Criptografia em trânsito. Todo o tráfego entre o cliente de Relay e o Servidor de Relay é criptografado com TLS.
• Escopo de tokens. Os serviços da UiPath obtém um token com escopo de relay antes de chamar um URL de relay. A infraestrutura de relay valida esse token e a autorização do tenant de consumo antes de encaminhar a solicitação.

TLS e confiança do certificado

O cliente de Relay encerra e reinicia conexões HTTP ou HTTPS com destinos locais. Quando o ponto de extremidade local usa HTTPS, o armazenamento de confiança do SO na máquina cliente de Relay deve confiar na autoridade de certificação (CA) que assinou o certificado do ponto de extremidade local.

Se seu ponto de extremidade usar um certificado autoassinado ou uma CA corporativa privada, adicione a CA emissora ao armazenamento de confiança da máquina cliente do Relay antes de iniciar o relay. Não fazer isso faz com que o cliente de Relay rejeite a conexão com o destino interno.