25.10.15

Data de lançamento: 1º de maio de 2026

• Adicione os parâmetros --ca-cert e --pinnedpubkey para confiança TLS personalizada em Orchestrators com PKI internos

Novidades

Confiança em certificados personalizados

Dois novos parâmetros opcionais estão disponíveis em cada verbo CLI autenticado (a cada comando solution, package, asset, job e test ). Eles permitem que a CLI se conecte a instâncias do Orchestrator cujos certificados TLS não são assinados por uma CA confiável publicamente, sem modificar o armazenamento de confiança do sistema operacional.

--ca-cert

Fornece um ou mais certificados de CA raiz confiáveis que a CLI aceitará ao validar o servidor. O sinalizador é cumulativo - seu armazenamento de confiança do sistema ainda funciona para todo o resto; isso apenas expande o que é aceito na parte superior.

uipcli ... --ca-cert "C:\certs\as-root.pem"

Formatos de arquivo de certificado compatíveis:

• PEM - formato de texto com marcadores -----BEGIN CERTIFICATE----- . Um único arquivo pode conter vários certificados concatenados (um "pacote").
• DER - binário X.509.
• PKCS#7 (.p7b, .p7c) - coleção de certificados sem chaves privadas, o formato que o Windows certmgr exporta por padrão.

PFX/PKCS#12 (.pfx, .p12) não é compatível - eles carregam chaves privadas e são destinados à identidade do cliente, não à confiança do servidor.

Vários certificados:

Você pode fornecer várias raizes ao conectar-se a vários Orchestrators internos com diferentes CAs de cluster ou ao agrupar uma raiz corporativa ao lado de uma raiz do Automation Suite. Três formulários equivalentes:

--ca-cert "C:\certs\as-root.pem" --ca-cert "C:\certs\corp-root.pem"
--ca-cert "C:\certs\as-root.pem,C:\certs\corp-root.pem"
--ca-cert "C:\certs\bundle.pem"          # single PEM file containing both roots

--pinnedpubkey

Fixa a chave pública do certificado leaf do servidor a um hash SHA-256 específico. O formato é compatível com curl: sha256// seguido pelo hash de base64 do SubjectPublicKeyInfo.

uipcli ... --pinnedpubkey "sha256//5FAF491D9F7AC8274B1353B9E2E9317733033EFC22341ABAEA6466037D5123EE="

O pino é verificado além da validação de certificado padrão, não em vez dela. Ao conectar-se a um Orchestrator com uma CA privada, passe --ca-cert junto com --pinnedpubkey.

Quando usar esses parâmetros

• Conexão ao UiPath Automation Suite - o certificado TLS do cluster é assinado por um UiPath AS Root CA autoassinado. Passe --ca-cert apontando para o certificado raiz exportado do cluster.
• Executores de CI/CD onde você não pode instalar certificados em todo o sistema - trabalhadores que executam efêmera ou em uma conta de serviço muitas vezes não podem modificar o armazenamento de confiança. --ca-cert para delimitar a confiança apenas para a invocação da CLI.
• Vários destinos do Orchestrator em um pipeline - fornece a raiz de cada cluster por meio de sinalizadores --ca-cert repetidos.
• Proteção extra contra CAs públicas comprometidas - adicione --pinnedpubkey para que um certificado emitido incorretamente de qualquer CA em que seu sistema já confie seja rejeitado, a menos que sua chave pública corresponda ao seu PIN.

Quando nenhum sinalizador é fornecido, a CLI se comporta exatamente como antes - a validação é executada apenas no armazenamento de confiança do sistema.