Arquitetura e segurança

Como funciona

The Relay client — a lightweight binary installed on a machine inside your network — establishes a persistent, outbound-only connection on port 443 to UiPath relay infrastructure. For Relay client 26.4.2 or later, new configurations connect through cloud.uipath.com using WSS (WebSocket over TLS).

Relay client versions earlier than 26.4.2 connect through a regional relay hostname over TLS.

When a UiPath cloud service needs to reach one of your on-premises endpoints, the request travels from the cloud service through UiPath relay infrastructure, down the outbound connection to the Relay client, and from there across your local network to the target service.

Como o cliente de Relay inicia todas as conexões de túnel de saída, sua rede nunca aceita uma conexão de entrada da internet.

Fluxo de conectividade

1. Você registra pontos de extremidade locais em um Grupo de Relay na UiPath Administration. A lista de pontos de extremidade é armazenada no serviço de Relay.
2. O cliente de Relay executa uma chamada de descoberta autenticada para o Test Cloud para recuperar a lista de pontos de extremidade a expor.
3. O cliente de Relay estabelece uma conexão de controle de saída persistente. O cliente de Relay 26.4.2 ou posterior conecta-se por meio de cloud.uipath.com:443 usando WSS (WebSocket sobre TLS). Versões do cliente de Relay anteriores a 26.4.2 conectam-se ao Nome do Host de Relay específico da região — por exemplo, eu-relay.uipath.com — sobre TLS na porta 443.
4. A infraestrutura de relay da UiPath valida a conexão por meio de OIDC e verifica a configuração do cliente contra o Grupo de Relay registrado, impedindo que um cliente reivindicar pontos de extremidade que não possui.
5. Quando um serviço da UiPath precisa chamar um endpoint local, ele recupera o URL do relay da API do relay e obtém um token com escopo de relay do UiPath Identity.
6. O serviço chama a URL do relay. A infraestrutura de relay valida o token e a autorização do tenant de consumo antes de encaminhar a solicitação por meio do túnel.
7. O cliente de Relay recebe a solicitação encaminhada por meio de sua conexão de saída e abre uma conexão HTTP ou HTTPS para o endpoint local pela rede local.

Observação:

Para obter a melhor taxa de transferência, implante o cliente de Relay na mesma região geográfica que seu tenant de nuvem. O tráfego segue o caminho UiPath Cloud → infraestrutura de relay → nó de relay → serviço no local, então os túnels entre regiões adicionam latência proporcional ao tempo de ida e volta entre as regiões — para cenários de cargas grandes, essa diferença é significativa.

Alta disponibilidade

Para ambientes de produção, implante pelo menos dois clientes de Relay dentro do mesmo Grupo de Relay com acesso de rede idêntico e configuração de armazenamento de confiança. Os clientes em um grupo compartilham a carga por meio da distribuição Round Robin e falham automaticamente se um cliente ficar indisponível.

Quando vários clientes usam a reconexão proativa, eles se coordenam para que apenas um cliente seja drenado de cada vez, mantendo o grupo continuamente disponível em todo o ciclo de reconexão.

Modelo de segurança

• Autenticação. O cliente de Relay autentica-se na plataforma de nuvem usando as Credenciais do Cliente do OAuth 2.0. A infraestrutura de relay da UiPath valida cada conexão de controle por meio de OIDC e verifica a correspondência do cliente com o Grupo de Relay registrado.
• Criptografia em repouso. As credenciais armazenadas na máquina cliente de Relay são criptografadas: AES-256-GCM no Linux, DPAPI no Windows.
• Criptografia em trânsito. Todo o tráfego entre o cliente de Relay e a infraestrutura de relay da UiPath é criptografado em trânsito na porta 443. As conexões de relay usam TLS 1.2 ou TLS 1.3. Os conjuntos de cifras são selecionados pela pilha Go TLS usando padrões seguros; o cliente de Relay não expõe a configuração personalizada do pacote de cifras.
• Escopo de tokens. Os serviços da UiPath obtém um token com escopo de relay antes de chamar um URL de relay. A infraestrutura de relay valida esse token e a autorização do tenant de consumo antes de encaminhar a solicitação.

TLS e confiança do certificado

O cliente de Relay encerra e reinicia conexões HTTP ou HTTPS com destinos locais. Quando o ponto de extremidade local usa HTTPS, o armazenamento de confiança do SO na máquina cliente de Relay deve confiar na autoridade de certificação (CA) que assinou o certificado do ponto de extremidade local.

Se seu ponto de extremidade usar um certificado autoassinado ou uma CA corporativa privada, adicione a CA emissora ao armazenamento de confiança da máquina cliente do Relay antes de iniciar o relay. Não fazer isso faz com que o cliente de Relay rejeite a conexão com o destino interno.