架构和安全性

Test Cloud 中的中继架构，包括客户端如何建立仅限出站的 TLS 隧道，以及流量如何在云服务与本地端点之间流动。

工作方式

The Relay client, a lightweight binary installed on a machine inside your network, establishes a persistent, outbound-only connection on port 443 to UiPath relay infrastructure. For Relay client 26.4.2 or later, new configurations connect through cloud.uipath.com using WSS (WebSocket over TLS).

早于 26.4.2 版本的 Relay 客户端通过 TLS 连接到区域中继主机名。

当 UiPath Cloud 服务需要访问您的某个本地端点时，请求会从 Cloud 服务发出并经过 UiPath Relay 基础架构，随后经由出站连接传输至 Relay 客户端，然后经由本地网络到达目标服务。

由于中继客户端会启动所有出站隧道连接，因此您的网络永远不会接受来自互联网的入站连接。

连接流程

1. 您可以在 UiPath 管理中的中继组下注册内部部署端点。端点列表存储在中继服务中。
2. Relay 客户端会向 Test Cloud 发出一次经过身份验证的发现请求，以此获取需要对外公开的端点列表。
3. The Relay client establishes a persistent outbound control connection. Relay client 26.4.2 or later connects through cloud.uipath.com:443 using WSS (WebSocket over TLS). Relay client versions earlier than 26.4.2 connect to the region-specific relay hostname, for example eu-relay.uipath.com, over TLS on port 443.
4. UiPath 中继基础架构通过 OIDC 验证连接，并根据已注册的中继组验证客户端配置，以防止客户端声明不属于其的端点。
5. 当 UiPath 服务需要调用本地部署端点时，它会从 Relay API 检索 Relay URL，并从 UiPath 身份中获取中继作用域的令牌。
6. 该服务调用中继 URL。在通过隧道转发请求之前，中继基础架构会验证令牌和使用方租户的授权。
7. Relay 客户端通过其出站连接接收转发的请求，并通过本地网络与本地部署端点打开 HTTP 或 HTTPS 连接。
8. For a supported TCP-based endpoint, the Relay client instead hands the request to the on-prem executor over the loopback interface. The executor translates the request into the connector's protocol (for SAP BAPI, SAP RFC over TCP) and opens the connection to the on-premises endpoint.

备注：

For best throughput, deploy the Relay client in the same geographic region as your cloud tenant. Traffic travels from UiPath Cloud through the relay infrastructure and the relay node to the on-premises service, so cross-region tunnels add latency proportional to the round-trip time between the regions. For large-payload scenarios this difference is significant.

高可用性

对于生产环境，请在同一个 Relay 组中至少部署两个具有相同网络访问权限和信任存储区配置的 Relay 客户端。组中的客户端通过轮询分配共享加载，并在一个客户端不可用时自动进行故障转移。

当多个客户端使用主动重新连接时，它们会进行协调，以便一次只有一个客户端会处于消耗状态，从而保持组在每个重新连接周期中持续可用。

安全模型

• 身份验证。中继客户端使用 OAuth 2.0 客户端凭据对云平台进行身份验证。UiPath 中继基础架构通过 OIDC 验证每个控制连接，并验证客户端与已注册的中继组匹配。
• 静态时加密。存储在中继客户端计算机上的凭据已加密：在 Linux 上使用 AES-256-GCM，在 Windows 上使用 DPAPI。
• 传输中加密。中继客户端和 UiPath 中继基础架构之间的所有流量在端口 443 上传输时都会加密。Relay 连接使用 TLS 1.2 或 TLS 1.3。Go TLS 堆栈使用安全默认值选择密码套件；中继客户端不会公开自定义密码套件配置。
• 令牌作用域。UiPath 服务在调用 Relay URL 之前会获取Relay作用域的令牌。在转发请求之前，Relay 基础架构会验证此令牌和使用方租户的授权。
• On-prem executor isolation. For supported TCP-based connections, the Relay client starts the on-prem executor as a local Java process and communicates with it over the loopback interface, on port 18080 by default. The executor accepts no connections from outside the host, and the Relay client service supervises its lifecycle.

TLS 和证书信任

The Relay client terminates and re-initiates HTTP or HTTPS connections to on-premises targets. For supported TCP-based connections, the on-prem executor establishes the connection to the target instead. When the on-premises endpoint uses HTTPS, the OS trust store on the Relay client machine must trust the certificate authority (CA) that signed the on-premises endpoint's certificate.

如果您的端点使用自签名证书或公司私有 CA，请在启动中继之前将颁发 CA 添加到中继客户端计算机的信任存储中。否则，中继客户端会拒绝与内部目标的连接。