将 Apps 连接到 On-Premises Orchestrator 实例

虽然 UiPath Apps 目前仅提供云服务，但确实提供了连接到 UiPath Orchestrator 内部部署版本（v19.10 及更高版本）的方法，以帮助利用 RPA 的强大功能来提供丰富的应用程序体验。

有关 Apps 和 Orchestrator 之间的数据流的更多信息，请参阅混合数据流示意图。

集成工作流

1. 与 Orchestrator 的所有连接都来自一个位置，即 Apps 服务应用程序。
2. 所有对 Orchestrator 的调用都是经过身份验证的调用，符合 Orchestrator 公开的安全模型。请参阅身份验证一节。
3. 从用户获得的用于与 Orchestrator 通信的凭据将用于在设计时（编写应用程序时）和运行时（执行应用程序时）与 Orchestrator 进行的所有通信。设计或运行应用程序的用户的身份与此处无关。
   • 最初从应用程序设计者获取凭据后，凭据将以静态加密方式存储在 Apps 后端，以便为应用程序的所有用户提供无缝、不间断的设计和运行时体验
4. Apps 服务会针对流程生命周期事件在 https 上设置安全的 Webhook 回调，以帮助检测流程何时启动、停止和发生错误等。这遵循关于 Webhook 页面中提到的最佳实践。
5. Apps 后端不会存储任何与流程相关的数据。唯一保留的信息是与特定应用程序正在使用的流程的身份相关的元数据。
6. Apps 可以调用 Attended Orchestrator 流程和 Unattended Orchestrator 流程。应用程序设计者可以选择通过连接的 Orchestrator 运行流程，也可以直接使用 UiPath RobotJS 在运行应用程序的本地计算机上运行流程。
   • 在本地机器人场景中，系统会从浏览器向本地运行的机器人调用流程执行，并且通信不会越过计算机边界。
   • 在通过 Orchestrator 选项执行流程时，流程的整个生命周期由 Orchestrator 管理，并且 UiPath Apps 除了使用 Webhook 回调监听流程生命周期事件外，在其他方面均不发挥作用。

出站 IP 范围

For the current and deprecated outbound IP ranges used by UiPath Apps, refer to the Apps section of the firewall configuration pages:

• 为 Automation Cloud 配置防火墙
• 为 Test Cloud 配置防火墙

需要允许来自此 IP 的流量通过组织 DMZ 防火墙和任何其他中间防火墙，包括托管 Orchestrator 应用程序的计算机上的防火墙。

• 托管 Orchestrator 应用程序的关联端口需要通过所有相关防火墙上的 DMZ 公开（请参阅上一点）。
• 一个 Orchestrator 用户，该用户拥有对相关流程的读取和执行访问权限，其凭据将用于 UiPath Apps 与 Orchestrator 之间的通信。
• 如果通过 Robotjs 执行本地机器人流程，请确保按照 RobotJS 中提供的说明正确配置 Robotjs。

最佳实践

• 确保仅可通过安全 HTTPS 通道访问内部部署 Orchestrator。
• 在 Orchestrator 中创建一个低权限用户，使其仅对所需的流程/文件夹具有读取和执行访问权限，并将其用于集成。

存储桶的 CORS 策略要求

使用内部部署或混合 Orchestrator 中的存储桶时，请将https://cloud.uipath.com添加到UiPath.Orchestrator.dll.config 文件 的acceptedRootURLs列表中。

备注：

• 如果您的 Orchestrator 实例托管在 Automation Cloud 中，则已使用此配置。
• 对于外部存储桶，请按照CORS 和 CSP 配置指南中的说明配置允许的来源。

与本地部署环境中托管的存储桶交互时，UiPath Apps 使用 Orchestrator 生成的 SAS URL 上传和下载文件。最终用户必须拥有通过该 SAS URL 授予的适当权限，才能执行上传和下载操作。

重要提示：

所有访问控制都由基础存储帐户配置定义和强制执行。UiPath 不会管理或覆盖这些权限。

如果用户在通过 UiPath Apps 上传或下载文件时遇到错误，则存储所有者应审核和更新存储帐户的 SAS 策略或访问限制，以确保提供所需的访问级别。

验证配置

Apps 设计者反映无法连接到 Orchestrator

• UiPath Apps 的传出 IP 是否为允许列表？
• Orchestrator 端口是否为允许列表？
• 在 Orchestrator URL 字段中使用的 URL 和端口是否正确？
• 是否已确认连接到 Orchestrator 时提供的凭据正确？
• 提供的凭据是否具有列出/运行文件夹和流程的权限？

Apps 设计者未显示任何流程或显示的流程不正确

• 在应用程序设计期间配置了凭据的用户是否对所需流程所在的文件夹具有读取权限？

预览应用程序和/或运行应用程序并调用流程时，发生错误

• UiPath Apps 的传出 IP 是否仍为允许列表？
• Orchestrator 端口是否仍为允许列表？
• 在应用程序设计期间配置了凭据的用户是否仍然存在？
• 在应用程序设计期间配置了凭据的用户是否仍具有相同的凭据？
• 流程和执行的确切版本在 Orchestrator 的同一个文件夹中是否仍存在？是否发生了任何更改？
• 如果在本地运行流程，Robotjs 是否配置正确并且能够与机器人正确握手？
• 在通过应用程序执行之前，是否已将在本地机器人上执行的流程下载到机器人上？
• 在应用程序设计期间配置了凭据的用户是否对流程具有执行权限？

不支持的场景

不支持使用自定义自签名证书将 UiPath Apps 连接到内部部署 Orchestrator。

UiPath Apps 和 Orchestrator 之间需要安全连接 (HTTPS) 才能正常进行相互身份验证。要实现此安全连接，双方必须信任彼此的证书。要实现此目的，必须满足以下任一条件:

1. 双方都应拥有从标准证书颁发机构 (CA) 获取的证书，例如 Google、VeriSign 或其他机构。UiPath 云产品已经具有此功能，因此无需在此部分执行任何操作。需要为内部部署产品完成此操作。
2. 如果内部部署使用内部证书或自签名证书，则连接将不起作用。为此，必须将证书添加到另一方的受信任根中。请注意，这不适用于 UiPath Cloud 产品，因为无法将自定义证书添加到 UiPath Cloud 系统。