Automation CloudにおけるTLS1.0/1.1の廃止

本記事の目的

• 2024年6月下旬以降にUiPath Automation Cloudからのアウトバウンド接続による外部サービスとの連携において、通信暗号化プロトコル TLS1.0および1.1が廃止され TLS1.2および1.3のみが使用されます。本記事ではこの変更に伴う影響範囲の確認手順について説明いたします。

• なおAutomation Cloudへのインバウンド接続では既にTLS1.2および1.3のみが許可されており変更はありません。

本記事の注意点

• 本記事の内容は2024年5月29日時点の暫定的な情報です。影響範囲については継続して確認を行っており、判明しだい更新される予定です。あらかじめご了承ください。

TLSとは？

• TLS(Transport Layer Security)とは、インターネットなどのコンピュータネットワークにおいてセキュリティが要求される通信を行うためのプロトコルです。主な機能として通信内容の暗号化・通信相手の認証・改竄の検出を提供します。

• TLSは様々なプロトコルの通信を暗号化できますが、主にHTTPプロトコルとの組み合わせで利用されることが多く、HTTPSなどのセキュアな通信プロトコルを実現できます。

TLS1.0/1.1廃止の理由

• TLSプロトコルには複数のバージョンがあり、TLS1.0および1.1は2021年3月 RFC8996 により非推奨とされております。その理由はTLS1.0および1.1はダウングレード攻撃を受ける恐れがあり、低い強度の暗号アルゴリズムを利用者に使わせることによって通信を解読される危険性があるためです。現在ではTLS1.2または1.3の利用が推奨され、広く一般的に利用されています。

• Automation Cloudのアウトバウンド接続においても接続先の外部サービスが利用可能なTLSバージョンに応じてTLS1.2または1.3で接続することが可能ですが、これまで互換性維持のためTLS1.0または1.1の接続も許可しておりました。

• このたび安全性向上のためTLS1.0および1.1の接続を廃止することとなりました。

影響範囲の確認手順

• 次にTLS1.0/1.1廃止に伴う影響範囲の確認手順について説明いたします。Automation Cloudから外部サービスへの接続を行う主な機能は次の通りです。

  • 1. Integration Service

  • 2. カスタムのメールサーバー

  • 3. SAML連携によるシングルサインオン(SSO)

  • 4. ストレージバケット

  • 5. ログエクスポート

  • 6. 資格情報ストア

  • 7. Webhook

• これらのいずれかのサービスとの連携設定を行っている場合には、下記の対応するセクションを参照し、対象の外部サービスがTLS1.2または1.3に対応していることを各サービスのWebサイトやサポート窓口にてご確認ください。

1. Integration Service

• Integration Serviceは、認可と認証を標準化することでサードパーティアプリケーションを容易に自動化できるUiPath Platformのコンポーネントです。

• 作成済みコネクションによって接続されているサードパーティアプリケーション・サービスがTLS1.2または1.3に対応していることをご確認ください。

2. カスタムのメールサーバー

• Automation Cloudの既定値ではメール配信にはSendGridサービスが使用されますが、明示的にカスタムのメール設定を使用しており「TLSの暗号化を使用」オプションをオンにしている場合、接続先のメールサーバー(例: mail.example.com)がTLS1.2または1.3に対応していることをご確認ください。

3. SAML連携によるシングルサインオン(SSO)

• SAML連携によるシングルサインオン(SSO) を設定している場合、連携するIDプロバイダーがTLS1.2または1.3に対応していることをご確認ください。

4. ストレージバケット

• OrchestratorにてストレージバケットしてAmazon S3やAzureストレージアカウントを使用している場合、使用しているストレージサービスがTLS1.2または1.3に対応していることをご確認ください。

5. ログエクスポート

• ログエクスポート設定にてOrchestratorにて蓄積された実行ログをクラウドストレージ(Amazon S3・Azureストレージアカウント・Google Cloud Storage)に保存している場合、使用しているストレージサービスがTLS1.2または1.3に対応していることをご確認ください。

6. 資格情報ストア

• 資格情報ストアにて機密情報(Unattednedロボットのパスワードやクレデンシャル型アセット)を下記のいずれかのVaultサーバーに保存している場合、使用しているVaultサーバーがTLS1.2または1.3に対応していることをご確認ください。

  • CyberArk

  • Azure Key Vault

  • HashiCorp Vault

  • BeyondTrust

  • Thycotic Secret Server

  • AWS Secrets Manager

7. Webhook

• WebhookにてOrchestratorのイベントを外部システムに送信している場合、送信先のシステムがTLS1.2または1.3に対応していることをご確認ください。

本記事に関するお問い合わせ

• 本記事をお読みいただいた上で影響範囲がご不明な方や、TLS1.0/1.1廃止後に影響が出た場合には下記情報をまとめていただいた上で弊社カスタマーサポートまでご連絡いただきますようお願い申し上げます。

  • エラーが発生している接続先の外部サービス

  • エラーメッセージのスクリーンショット

以上