安装前所需的必备程序

Orchestrator 服务器

• Windows Server Operating System - minimum required version: 2012 R2. Check the Software Requirements for the other supported versions.

• Windows PowerShell - 最低要求版本：5.1。若要下载 Windows PowerShell 版本 5.1，请访问此链接并安装 Windows Management Framework 5.1。如需其他帮助，请参阅Windows PowerShell 5.1 安装文档。

• .NET Framework - minimum required version: 4.7.2 To find out which .NET version is installed on your computer, please see Finding the Installed .NET Version.

• IIS - 最低要求版本：8. 这是网页服务器 (IIS) 角色的一部分，由提供的 InstallRolesAndFeatures.ps1 脚本自动启用，可在此处找到。

• ASP.NET Core IIS 模块- 版本 6.0.x（可在此处获取）或 8.0.x（可在此处获取）。作为Hosting Bundle的一部分提供。要下载它，请确保单击“Hosting Bundle”选项。

  备注：

  仅需要 Core 模块，并且可以使用命令行中的 OPT_NO_RUNTIME=1 参数在没有任何运行时的条件下进行安装。

• URL 重写 - 最低要求版本 2.1。使网站能够将呼叫重定向到 https (https://servername)，而不是 http (http://servername)。请通过访问此链接下载并安装 URL 重写。

• Server Roles and Features. We provide a PowerShell script that automatically adds the required roles and features to the application server(s). The list of roles and features is presented in Server Roles and Features. Please note that this chapter is for informational purposes only.

• Web-Deploy extension - minimum required version: 3.6, 64bit version. Please note that this is required only for PowerShell script installations, such as the Azure one. Enables you to deploy a website.

• Web.Config - The <system.webServer> element in web.config must not contain any locked sections. If such sections exist, you need to manually unlock them in IIS.

• 应用程序池用户需要在本地计算机策略中具有以下权限：

  • Log on as a batch job.

• 必须启用匿名身份验证。

  

  重要提示：

  确保运行安装程序的用户 是域用户。

网页证书（SSL 证书）

在用户访问 Web 应用程序的所有浏览器上，对于机器人和 Orchestrator 之间的所有通信，HTTPS 协议都是必需的。

可以使用以下 3 种类型的 Web 证书。

• 由受信任的证书颁发机构颁发的网页证书，如 GoDaddy、VeriSign 等。网页证书必须导入到 IIS 中的服务器证书。您需要知道“颁发给”实体的名称，该实体必须由 Windows 安装程序提示时提供。
• You are a Certification Authority which can issue certificates trusted in the Windows domain. Please see Using a Certificate for the HTTPS Protocol.
• A self-signed certificate, which is not recommended for Production. The certificate is not trusted inside the domain. For that reason, you need to export its public key, and then import it on all Robot machines. See Using a Certificate for the HTTPS Protocol for further information.

The name of the certificate you provide when prompted by the Windows installer, or the one mentioned in the command line using -sslCertificate is the same one that appears in the Issued To column in Server Certificates in IIS.

图 1. 服务器证书

重要提示：

出于安全原因，身份服务器使用的证书需要：

• 具有至少含 2048 位的公钥，
• 具有签名能力，
• 具有可由应用程序池用户访问的私钥，
• 处于有效期（未过期）。

The certificate's location is set in Identity Server's configuration file appsettings.Production.json, in the Signing Credential section.

如果使用自签名证书，则还必须将其放置在受信任的根证书颁发机构证书存储区（通常的个人位置旁边）。

The certificate is used for signing OpenID access tokens that are used for user identification via browser and for service-to-service communication between Orchestrator and Identity Server. Click here for more details about OpenID Connect.

SQL 服务器

• SQL Server 产品可以与应用程序服务器安装在同一台计算机上（不建议用于生产环境），也可以作为单独的计算机提供。SQL Server 计算机可以与其他应用程序共享。它不需要专用于 Orchestrator。单击此处查看有关部署始终启用可用性组的先决条件、限制和建议，并单击此处了解有关物理部署选项的详细信息。

• 如果计划使用 SQL Server 用户将 Orchestrator 连接到数据库，请启用 Windows 和 SQL Server 身份验证模式。否则，便只需启用“Windows 身份验证模式”。如果已安装 SQL Server，请选择此选项，如下图所示：

  备注：

  SQL Server 用户必须具有服务器级别的访问权限，数据库级别的访问权限不足以成功安装。

  图 2. “属性”选项

  

  图 3. 服务器属性

  

• 排序规则序列必须是默认值 - Latin1_General_CI_AS。

• SQL Server Management Studio is necessary to configure the login of the domain user that accesses the SQL Server. The application pool runs on the application server under the name of the domain user.

• 如果您正在考虑安装 Insights，请确保您的数据库同时支持列存储索引和 JSON 函数。

SQL Server 配置

在安装 Orchestrator 之前，必须配置要使用的 SQL Server 实例。

备注：

The Orchestrator SQL database has to be case insensitive (“OrchDB” = “orchdb”). If it is created during the Orchestrator installation process, it is automatically set as such. If not, you have to manually configure it as case insensitive.

要求：

• SQL Server 计算机的名称；

• 实例的名称（如果不是默认实例）；

• TCP 端口的值（如果不是默认端口） - 1433；

• SQL Server 端口已在 SQL Server 计算机的防火墙中打开；

• 必须启用 SQL Server 配置管理器中的 TCP 协议；

• SQL Server 服务需为侦听固定端口，而不是动态分配的端口。

• 运行 Orchestrator 的服务帐户需要具有对 SQL 主数据库的公共访问权限。 这对于安装和将来的升级都是必需的。

  重要提示：

  为提高性能、避免死锁并防止 SQL 中的脏读，请确保将“READ_COMMITTED_SNAPSHOT”选项设置为“ON”。

  要在启用了快照隔离的情况下使用多个机器人处理同一队列，务必将 ALLOW_SNAPSHOT_ISOLATION 选项设置为 ON。

  使用以下查询检查 READ_COMMITTED_SNAPSHOT 是否已启用：

  SELECT is_read_committed_snapshot_on FROM sys.databases
     WHERE name= 'UiPath'
  

  如果已启用，则返回的值为 1。

  如果已禁用，则返回的值为 0。使用以下查询启用它：

  ALTER DATABASE UiPath
  SET READ_COMMITTED_SNAPSHOT ON
  

• 如果您对测试自动化和/或更新服务器使用不同的数据库，则还必须在这些数据库上启用 READ_COMMITTED_SNAPSHOT。

  选择以下选项之一，Orchestrator 可以通过该选项连接到 SQL Server 数据库。

Windows 集成身份验证

对于此选项，SQL Server 需要作为服务帐户进行新的登录。服务帐户应是密码永不过期的域用户。

若要在 SQL Server 管理 Studio 中创建新登录，请执行以下操作：

1. 在“对象资源管理器”面板中，前往“安全”>“登录”。

2. 右键单击“登录名”文件夹，然后选择“新建登录名”。系统将显示“登录名 - 新建”窗口。

3. 选择“Windows 身份验证”选项。窗口会相应地更新。

   图 4. “登录”- “新建”窗口

   

4. 在“登录名”字段中，键入要用作服务帐户的用户域。

5. 从“默认语言”列表中选择“English”。

   重要提示：

   Ensure that the Default Language is set to English. If it isn't, the website cannot start, and the Event Viewer on the computer on which Orchestrator is installed displays the following error message: “The conversion of a varchar data type to a datetime data type resulted in an out of range value”.

6. 单击“确定”。您的配置已保存。

   如果服务帐户已创建并添加到 SQL Server 的“安全”>“登录”部分，请检查该 SQL 帐户的默认语言是否设置为英语。如果不是，请进行必要的调整。

SQL Server 用户名和密码

在这种情况下，需要 SQL Server 用户。我们强烈建议不要使用 sa 帐户。

若要在 SQL Server 管理 Studio 中创建新 SQL 登录，请执行以下操作：

a. 在“对象资源管理器”面板中，导航到“安全”>“登录”。

b. 右键单击“登录”文件夹并选择“新登录”。将显示“登录 - 新”窗口。

c. 选择“SQL Server 身份验证”选项，则窗口将相应地更新。

图 5. “登录”- “新建”窗口

d. 适当填写“登录名”、“密码”和“确认密码”字段。

e. 确保未选择“强制密码过期”和“用户必须在下次登录时更改密码”选项。

重要提示：

Ensure that the Default Language is set to English. If it isn't, the website cannot start, and the Event Viewer on the computer on which Orchestrator is installed displays the following error message: “The conversion of a varchar data type to a datetime data type resulted in an out of range value”.

如果 SQL Server 帐户已创建并添加到 SQL Server 的“安全”>“登录”部分，请检查其默认语言是否设置为英语。如果不是，请进行必要的调整。

无论您要连接到 SQL Server 的用户类型（域或 SQL）如何，请注意，您需要在安装 Orchestrator 之前为其分配dbcreator服务器角色，因为数据库是在此安装过程中创建的。

If security restrictions do not allow the use of thedbcreator Server Role in the service account, create the empty database in SQL Server.

Windows 安装程序连接到 SQL Server 以验证数据库是否存在。

创建数据库后，您需要为连接到 SQL 数据库的用户提供 db_owner 用户映射角色，如以下屏幕截图所示。

图 6. 登录属性

如果安全限制不允许您将 db_owner 用户映射角色与 UiPath 登录名一起使用，请授予以下权限：

• db_datareader

• db_datawriter

• db_ddladmin1

• dbo 架构上的 EXECUTE 权限

  图 7. 登录属性

  

¹ db_ddladmin 角色仅在安装或迁移期间需要。出于安全原因，我们建议您在安装或迁移后（使用 ALTER ROLE db_ddladmin DROP MEMBER [SQLReadWrite]）将其删除，并在升级前将其重新添加（使用 ALTER ROLE db_ddladmin ADD MEMBER [SQLReadWrite]）。

[block:image] { "images": [ { "image": [] } ] } [/block]

必须使用 GRANT EXECUTE SQL 命令授予 EXECUTE 权限，如下所示。

• 如果使用 Windows 集成身份验证：

  USE UiPath
  GO
  GRANT EXECUTE ON SCHEMA::dbo TO [domain\user]
  GO
  

• 如果使用 SQL Server 身份验证：

  USE UiPath
  GO
  GRANT EXECUTE ON SCHEMA::dbo TO [sql_user]
  GO
  

Azure AD 身份验证

要将 Azure AD 身份验证与 SQL Server 一起使用，您必须在 Azure 应用程序服务或 Azure 虚拟机中安装 Orchestrator。

在 Azure 应用程序服务中运行的 Orchestrator

1. 在资源组中创建新的用户托管标识，并复制客户端 ID 以供将来使用。

   图 8. 客户端 ID

   

2. 将身份添加到 Orchestrator、Identity Server 和 Webhook 应用程序服务的用户分配的身份列表。

   图 9. 添加身份

   

3. 为托管 Orchestrator 数据库的 SQL Server 启用 Azure Active Directory 管理员。

   图 10. 设置管理员

   

4. 为在步骤 1 中为 Orchestrator 数据库和主数据库创建的身份创建 SQL 登录名。使用在步骤 3 中设置的管理员帐户登录数据库，然后运行以下命令

   CREATE USER [SQLReadWrite] FROM EXTERNAL PROVIDER
   

5. 在 Orchestrator 数据库上添加用户角色（主数据库也不需要此操作）：

   • 如果 db_owner 角色不受限制，则添加以下角色：ALTER ROLE db_owner ADD MEMBER [SQLReadWrite]

   • 如果 db_owner 角色不可用，请添加以下角色，其中 SQLReadWrite 是在步骤 3 中创建的身份名称：

     ALTER ROLE db_datareader ADD MEMBER [SQLReadWrite]
     ALTER ROLE db_datawriter ADD MEMBER [SQLReadWrite]
     ALTER ROLE db_ddladmin ADD MEMBER [SQLReadWrite]
     GRANT EXECUTE ON SCHEMA::dbo TO [SQLReadWrite]
     

     仅在安装或迁移期间才需要 db_ddladmin 角色。出于安全原因，我们建议您：

   • 安装或迁移后将其删除

     ALTER ROLE db_ddladmin DROP MEMBER [SQLReadWrite]
     

   • 在升级前重新添加

     ALTER ROLE db_ddladmin ADD MEMBER [SQLReadWrite]
     

6. 在“设置-环境变量-连接字符串”下更新 Orchestrator、Identity Server 和 Webhooks 应用程序服务中的连接字符串。连接字符串应为：

   Server=tcp:<http://aad-paas-sql.database.windows.net|aad-paas-sql.database.windows.net>,1433;Initial Catalog=UiPath;Persist Security Info=False;User ID=7e8df0ba-bc41-46d1-bd46-6101e45200a8;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=True;Authentication=Active Directory Managed Identity;
   

   备注：

   • 将 USER ID 设置为在步骤 1 中创建的客户端 ID 的值。
   • 确保使用 Authentication=Active Directory Managed Identity。
   • 不需要密码或令牌。

在 Azure 虚拟机中运行的 Orchestrator

1. 在资源组中创建新的用户托管标识，并复制客户端 ID 以供将来使用。

   图 11. 客户端 ID

   

2. 将身份添加到运行 Orchestrator 的虚拟机的用户分配的身份列表中。

   图 12. 添加身份

   

3. 为托管 Orchestrator 数据库的 SQL Server 启用 Azure Active Directory 管理员。

   图 13. 设置管理员

   

4. 为在步骤 1 中为 Orchestrator 数据库和主数据库创建的身份创建 SQL 登录名。使用在步骤 3 中设置的管理员帐户登录数据库，然后运行以下命令：

   CREATE USER [SQLReadWrite] FROM EXTERNAL PROVIDER
   

5. 在 Orchestrator 数据库上添加用户角色（主数据库也不需要此操作）：

   • 如果 db_owner 角色不受限制，则添加以下角色：ALTER ROLE db_owner ADD MEMBER [SQLReadWrite]

   • 如果 db_owner 角色不可用，请添加以下角色，其中 1SQLReadWrite1 是在步骤 3 中创建的身份名称。

     ALTER ROLE db_datareader ADD MEMBER [SQLReadWrite]
     ALTER ROLE db_datawriter ADD MEMBER [SQLReadWrite]
     ALTER ROLE db_ddladmin ADD MEMBER [SQLReadWrite]
     GRANT EXECUTE ON SCHEMA::dbo TO [SQLReadWrite]
     

     仅在安装或迁移期间才需要 db_ddladmin 角色。出于安全原因，我们建议您：

   • 安装或迁移后将其删除

     ALTER ROLE db_ddladmin DROP MEMBER [SQLReadWrite]
     

   • 在升级前重新添加

     ALTER ROLE db_ddladmin ADD MEMBER [SQLReadWrite]
     

6. 更新 Orchestrator 中的连接字符串：

   <add name="Default" providerName="Microsoft.Data.SqlClient" connectionString="Data Source=aad-paas-sql.database.windows.net;Initial Catalog=UiPath;User ID=7e8df0ba-bc41-46d1-bd46-6101e45200a8;Authentication=Active Directory Managed Identity;" />
   

   备注：

   • 确保将 USER ID 设置为在步骤 1 中创建的客户端 ID 的值。
   • 确保使用 Authentication=Active Directory Managed Identity。
   • 不需要密码或令牌。

High Availability Add-On

Orchestrator 的高可用性加载项 (HAA) 是一个内存数据库，用于缓存并在 Orchestrator 节点之间共享，从而提供近乎即时的同步。

重要提示：

HAA is mandatory in a cluster environment.

多节点 Orchestrator 部署使用 RESP（REdis 序列化协议）进行通信，因此可以使用依赖于此协议的任何解决方案进行配置，但 HAA 是这类解决方案中唯一受 UiPath 支持的解决方案。

以下信息存储在 HAA 中：

• session state - automatically set when installing Orchestrator on multiple nodes
• 来自浏览器的用户会话
• 机器人检测信号缓存
• 用户和角色之间的关联
• 用户与组织单位之间的关联
• 许可证信息
• 设置

Orchestrator 使用 HAA 作为其所有节点的共享缓存。以下示例描述了如何使用缓存在 Orchestrator 节点之间进行协调：

• 示例：用户在 Orchestrator 节点上的上手动启动机器人作业。该特定节点可能不知道机器人连接到哪个 Orchestrator 节点。您从中启动作业的节点会将请求转发到 HAA，而 HAA 会同步信息。已与相关机器人建立连接的 Orchestrator 节点向其发送开始命令。未连接到我们的机器人的其他 Orchestrator 节点只会忽略该命令。

It is also possible to enable SSL encrypted connections between the Orchestrator nodes and the HAA service through the LoadBalancer.Redis.ConnectionString parameter in UiPath.Orchestrator.dll.config. For more information, see this page.

网络负载均衡器

网络负载均衡器使您能够将负载分配到多个节点，从而提高 Orchestrator 实例的整体性能。 此外，如果其中一个节点发生故障，其余节点将承担负载，从而确保您没有停机时间。

重要提示：

A network load balancer is mandatory if you want to deploy Orchestrator in a cluster, taking advantage of a high availability model.

我们建议使用 F5 负载平衡与预测算法，因为负载会被分发到性能更好的节点，因此，提供了更好的 Orchestrator 的整体性能。有关算法的详细信息，请查看此处。

Elasticsearch 服务器

Elasticsearch is optional and is used to store messages logged by the Robots. Logs can be sent to ElasticSearch and/or to a local SQL database, thus enabling you to have non-repudiation logs. When using both ElasticSearch and SQL, they do not affect each other if one of them encounters a problem. These parameters can be changed from the UiPath.Orchestrator.dll.config file (C:\Program Files (x86)\UiPath\Orchestrator). For more information, see Logging Configuration.

如果您选择使用 Elasticsearch，请注意，虽然它是可在 Windows、Linux 或 Unix 上运行的跨平台产品，但仍需要 Java。您可以使用 OpenJDK 或 Oracle JRE。兼容性矩阵由 Elasticsearch在此处提供。

备注：

请注意，从 2019 年 4 月 16 日开始，Oracle 已更改其许可模式。有关更改的信息可在此处获得。

如果计算机在域中，则必须确保将它们添加到“Active Directory 用户和计算机”中的域服务器“计算机”部分中。由于安装过程中会使用计算机名称，因此需要执行此步骤。例如，会使用 http://computername.domain.name 或 http://computername，而不是 http://localhost。

如果无法做到这一点，则应在安装过程中使用计算机名称或 IP 地址。

安装 Elasticsearch

1. 下载 Elasticsearch。

2. Double-click the Elastic Search Windows installer. The Elastisearch wizard is displayed, at the Locations step.

   图 14. Elasticsearch 安装程序

   

3. 使用安装、数据、配置和日志的默认目录，或为每个目录选择自定义位置。

   备注：

   If you have another disk than the one where Elasticsearch is installed, you can configure Elasticsearch to store the data on the disc with more free space.

4. Click Next. The Service step is displayed.

   图 15. Elasticsearch 安装程序

   

5. 确保选择以下选项：

   • 作为服务安装
   • 安装完成后启动服务
   • 在 Windows 启动时启动服务 (自动)

6. Click Next. The Configuration step is displayed.

7. 根据需要配置以下选项：

   • Cluster name - change the value to something that reflects the purpose of this Elasticsearch installation. This is important if you have several servers with Elasticsearch in your intranet, to avoid autodiscovery.

   • Node name - a friendly name for your node.

   • Roles - the default options are recommended.

   • 内存 - 建议使用默认选项。

   • Network host - the computer’s hostname/IP address (you can obtain the machine name in a command prompt by running the command hostname).

   • HTTP Port - the default port for Elasticsearch is 9200

   • Discovery - 为群集中的第一个节点启用“This is the first master in a new cluster”复选框。

     图 16. “发现”字段

     

     重要提示：

     If Orchestrator is installed on a different machine, please remember to open port 9200 in the Firewall of the machine where Elasticsearch is installed.

8. Click Next. The Plugins step is displayed.

9. (Optionally) Select additional plugins for Elasticsearch, such as X-Pack for security.

   图 17. X-Pack 插件

   

10. Click Install. ElasticSearch is installed.

    图 18. Administrator: Elasticsearch

    

减少索引分片的数量

默认情况下，新创建的 Elasticsearch 索引有五个分片。但是，为了提高性能，建议将这个数字减为 2。有关更多信息，请参阅Elasticsearch 官方文档。

To make this change, all you have to do is make a PUT request to your Elasticsearch instance URL in the elasticUrl/_template/uipath_logs format, with the following body:

{
    "template": "*",
    "order": 1,
    "settings": {
        "number_of_shards": 2
    }
}

要测试 ElasticSearch 连接，请使用任意浏览器打开以下 URL： http://computername:9200/。 Computername 代表安装了 Elasticsearch 的计算机的名称。 浏览器应要求您下载 .json 文件，或打开并显示该文件，如下图所示。

图 19. 测试 Elasticsearch 连接

Kibana

Kibana 与 Elasticsearch 结合使用，可帮助您根据发送到 Elasticsearch 的日志（在本例中为机器人发送的日志）创建自定义视图。

安装 Kibana

备注：

Kibana does not need Java to run. If Kibana is installed on a different machine from Elasticsearch, you don’t need to install Java for Kibana to work.

1. 下载 Kibana。

2. 解压缩 Kibana 包。

   备注：

   Unzip to C:\ or D:\ . You do not need to create a new folder named kibana-x.y.z-windows, because the files in the archive are already placed in a folder with that name.

3. 编辑 Kibana 配置文件 (C:\kibana-x.y.z-windows-x86\config\kibana.yml)，如下所示：

   备注：

   At first, open the file with Wordpad and save it to convert the LF (Line Feed) characters into CRLF (Carriage Return Line Feed) characters. Afterwards, open the file with Notepad.

   1. 取消注释包含 server.port 的行。默认值为 5601。它不需要更改，除非您希望 Kibana 在不同的端口上运行。

   2. 取消注释包含 server.host 的行。将值更改为计算机名称。

   3. 取消注释包含 elasticsearch.url 的行。使用安装 Elasticsearch 的计算机的名称将值更改为 Elasticsearch URL。例如 http://computername:9200。

      注意

      For Kibana 6.6.0 or later this line has been replaced by elasticsearch.hosts.

   下面的屏幕截图显示了 Kibana 配置文件的示例，其中 Kibana 和 Elasticsearch 的计算机名称都是 JLTSQL：

   Figure 20. Kibana configuration

   4. Save the file. :::

4. 下载 setup-kibana-service.zip 存档。

5. 将 nssm.exe 和 setup_kibana.bat 文件从 setup-kibana-service.zip 存档复制到 C:\kibana-x.y.z-windows-x86\bin。

6. 打开 setup_kibana.bat 文件，检查是否按照 BAT 文件的 KIBANA_HOME 变量中设置的位置安装了 Kibana。 如果您已将 Kibana 提取到其他位置，请进行必要的更改。

7. 以管理员身份打开命令提示符，并将文件夹更改为 C:\kibana-x.y.z-windows-x86\bin。

8. 运行 setup_kibana.bat 以安装 Kibana。

9. 通过在任何网页浏览器中键入 http://computername:5601 来测试 Kibana 是否响应。 computername 表示安装了 Kibana 的计算机的名称。

   重要提示：

   Open port 5601 in the Firewall of the machine on which Kibana is installed.

10. 使用 Kibana 在 Elasticsearch 数据库中添加测试消息：

    1. 在 Kibana 中，导航到“开发工具”选项卡。
    2. 以下面显示的格式提交 POST 请求。如果未返回任何错误，则将创建名为 default-yyyy.mm 的 Elasticsearch 索引，并会添加消息。

重要提示：

Each time a new tenant is added, a corresponding index pattern should be created in Kibana, starting with the name of the tenant. yyyy stands for the year in which the message was added. mm stands for the month in which the message was added. Read Creating an Index Pattern to Connect to Elasticsearch to learn how to create an index pattern in Kibana.

时间同步

请记住，无论您选择哪种安装类型，为了使计划功能正常工作，您必须确保：

• in clustered mode the clocks on all machines have to be synchronized within less than one second;
• 数据库和 Orchestrator 计算机的时钟也必须同步；
• 如果SQL数据库进入故障状态，建议从IIS重新启动Orchestrator Web服务器。如果您在NLB环境中，请重新启动所有Web服务器。