25.10.15

Data de lançamento: 1º de maio de 2026

Novidades

Confiança em certificados personalizados

Dois novos parâmetros opcionais estão disponíveis em cada verbo CLI autenticado (a cada comando solution, package, asset, job e test ). Eles permitem que a CLI se conecte a instâncias do Orchestrator cujos certificados TLS não são assinados por uma CA confiável publicamente, sem modificar o armazenamento de confiança do sistema operacional.

--ca-cert

Fornece um ou mais certificados de CA raiz confiáveis que a CLI aceitará ao validar o servidor. O sinalizador é cumulativo - seu armazenamento de confiança do sistema ainda funciona para todo o resto; isso apenas expande o que é aceito na parte superior.

uipcli ... --ca-cert "C:\certs\as-root.pem"

Formatos de arquivo de certificado compatíveis

• PEM - formato de texto com marcadores -----BEGIN CERTIFICATE----- . Um único arquivo pode conter vários certificados concatenados (um "pacote").
• DER - binário X.509.
• PKCS#7 (.p7b, .p7c) - coleção de certificados sem chaves privadas, o formato que o Windows certmgr exporta por padrão.

PFX/PKCS#12 (.pfx, .p12) não é compatível - eles carregam chaves privadas e são destinados à identidade do cliente, não à confiança do servidor.

Vários certificados

Você pode fornecer várias raizes ao conectar-se a vários Orchestrators internos com diferentes CAs de cluster ou ao agrupar uma raiz corporativa ao lado de uma raiz do Automation Suite. Três formulários equivalentes:

--ca-cert "C:\certs\as-root.pem" --ca-cert "C:\certs\corp-root.pem"
--ca-cert "C:\certs\as-root.pem,C:\certs\corp-root.pem"
--ca-cert "C:\certs\bundle.pem"          # single PEM file containing both roots

--pinnedpubkey

Fixa a chave pública do certificado leaf do servidor a um hash SHA-256 específico. O formato é compatível com curl: sha256// seguido pelo hash de base64 do SubjectPublicKeyInfo.

uipcli ... --pinnedpubkey "sha256//5FAF491D9F7AC8274B1353B9E2E9317733033EFC22341ABAEA6466037D5123EE="

O pino é verificado além da validação de certificado padrão, não em vez dela. Ao conectar-se a um Orchestrator com uma CA privada, passe --ca-cert junto com --pinnedpubkey.

Quando usar esses parâmetros

• Conexão ao UiPath Automation Suite - o certificado TLS do cluster é assinado por um UiPath AS Root CA autoassinado. Passe --ca-cert apontando para o certificado raiz exportado do cluster.
• Executores de CI/CD onde você não pode instalar certificados em todo o sistema - trabalhadores que executam efêmera ou em uma conta de serviço muitas vezes não podem modificar o armazenamento de confiança. --ca-cert para delimitar a confiança apenas para a invocação da CLI.
• Vários destinos do Orchestrator em um pipeline - fornece a raiz de cada cluster por meio de sinalizadores --ca-cert repetidos.
• Proteção extra contra CAs públicas comprometidas - adicione --pinnedpubkey para que um certificado emitido incorretamente de qualquer CA em que seu sistema já confie seja rejeitado, a menos que sua chave pública corresponda ao seu PIN.

Quando nenhum sinalizador é fornecido, a CLI se comporta exatamente como antes - a validação é executada apenas no armazenamento de confiança do sistema.