UiPath Orchestratorのバージョンは2020.10.x以降になりIISのバージョンも10になったことで、自己証明書の作成がより難しくなった。チャレンジはしたが、かなりハードルは高く覚えていられないレベルだった。
まず、前提条件：
UiPath Orchestratorサーバ用のADサーバがありDNSサーバも持っていること。
UiPath OrchestratorサーバはUniversalInstallerを起動する前までの設定が済んでいること。
それぞれの手順はググると出てくるからとりあえず省きUiPath Orchestrator用の証明書を作るポイントだけメモした。
１、ADサーバの機能を追加でAD CSのエンタープライズ＆ルートCAサーバを追加する
ポイント１：このAD CSで発行される証明書はWebサーバテンプレートのキーが1024bitなので2048bit以上のテンプレートを作らないといけない
ポイント２：このAD CSで発行される証明書はSAN属性が有効になっていないので有効にする
２、OrchestratorサーバのIISで証明書発行要求から完了までブラウザでAD CSへアクセスして証明書を発行する
ポイント１：WindowsServer2016ではhttpでcertsvrページにアクセス可能。（これは同じドメイン内限定）
ポイント２：2048bitキーのテンプレートを選ぶこと
ポイント３：SAN属性を追加する※属性のIPはAD CSで指定するとエラーになる。名称のみ。
ポイント４：ダウンロードファイルはcer属性のファイル以外は証明書発行の完了が出来ないので注意。
３、OrchestratorサーバでUniversalInstallerを起動する
ポイント１：2020.10.8からサーバ証明書が信頼できるかどうかのチェックが動く※この証明書だと警告も出ないで動く
ポイント２：証明書発行の完了が出来ていればバインド、80削除もインストーラーがやってくれる。
ポイント３：Identityなる設定画面が追加されている。ここでも証明書の確認がされる
４、SQLServerのスキーマは自作する必要がある。既存は無理でInsightとか入れるならSQLServer認証にする
ポイント１：あらかじめSQLServerにはUiPath社のインストール手順通りスキーマを空で作っておくとスムーズ
５、インストールが終わるとIISにバインドされているのでFullFQDNアクセスするとSSL警告も出ない
ポイント１：IE、Chrome、Edgeは警告が出なくなる。同じドメイン内のマシンは証明書も配布されるので警告は特に何もしなくとも出なくなる。
ポイント２：警告も出ないのでStudio、Robotも問題なく認証が行われる。
６、UiPath Orchestratorをクライアントが接続出来るようにライセンスを導入し設定変更する。
ポイント１：ドメイン外のクライアントは、Orchestratorが所属するドメインのDNSサーバを参照させるようにすると名前解決は出来る。DNSを向けるのが難しい場合は、hostsファイルにエントリを書くと解決出来る
ポイント２：証明書は自動で配布されないので、手動でインストールする。
ポイント３：インストールする証明書はサーバ上のブラウザで正常に表示される証明書をコピーすることで作成したものを使う。※これによりドメイン外はURLを知っていても繋がらないので必要な人にしか提供できないように出来る。
７、クライアント側の設定とStudio、AssistantをOrchestratorへ接続する
ポイント１：ここまで繋がればあとは認証するだけ。
UiPath社的にはおそらくCloudを使うようにしてもらいたいのであろう。滅茶苦茶構築のハードルが上がっている。お客様的には社内でしか使わない全く社外がら繋がれないOrchestratorシステムの証明書を10万円近く掛けて買わなければならないのは負担であるし当然のように自己証明書（いわゆる俺俺証明書）を使うと思われ、IISでSSLはIP使えないとかそういうのはやめて欲しいところなのですが、セキュリティ的には買うべき論が多いのか、これらのネタは一連では無かったので備忘の意味も込めて残す。