通知を受け取る

UiPath Automation Cloud™

UiPath Automation Cloud™ ガイド

Automation Cloud と UiPath のクラウド サービスの現在のステータスの詳細については、「 ステータス 」ページをご覧ください。

SAML 連携を設定する

Automation Cloud は、SAML 2.0 標準を使用する任意の ID プロバイダー (IdP) に接続できます。ここでは、SAML 連携の設定例をいくつか示して、全体的なプロセスについて説明します。

This feature is only available if you are on the Enterprise licensing plan.

設定プロセスの概要


SAML 連携は、既存のユーザーの混乱を招くことなく、段階的に導入することができます。

プロセスの主なフェーズは、これからこのページで詳しく説明しますが、次のとおりです。

  1. 非アクティブなユーザー アカウントをクリーンアップする
  2. SAML 連携を設定する
  3. SAML SSO でサインインするように既存のユーザーを移行する
  4. 新しいユーザーに権限とロボットを設定する
  5. Discontinue use of local accounts (optional)

 

既知の制限事項


  • Viewing API access information, which allows you to authorize API requests using a user key, is not available for directory users that sign in through the SAML integration.
  • SAML 連携では、ID プロバイダーからすべてのユーザーとグループを検索することはできません。Automation Cloud 内で検索できるのは、プロビジョニングされたディレクトリ ユーザーのみです。

 

前提条件


SAML 連携を設定するには、以下が必要です。

  • Enterprise または Enterprise 無料トライアル ライセンスを持つ Automation Cloud の組織。
  • Automation Cloud とサードパーティ ID プロバイダーの、両方の管理者権限。
    ID プロバイダーの管理者権限がない場合は、管理者とともに設定プロセスを完了できます。
  • UiPath Studio and UiPath Assistant version 2020.10.3 or later, so that you can set them up to use the recommended deployment.

📘

Azure Active Directory との連携からの切り替え

現在、認証に Azure Active Directory との連携を使用している場合は、より豊富な機能を使用できる AAD との連携をそのまま維持することをお勧めします。

AAD との連携から切り替える場合は、アクセス スキーマを完全に再作成しなくても済むように、ディレクトリ グループを使用して行われたロール割り当てを、ディレクトリ アカウントへのロールの直接割り当てに、手動で置き換える必要があります。

 

手順 1: 非アクティブなユーザー アカウントをクリーンアップする


組織でメール アドレスを再利用している場合は、SAML 連携を設定する前に、非アクティブなユーザー アカウントをすべて削除することが重要です。

連携を有効化すると、Automation Cloud に存在するローカル アカウントを、同じメール アドレスを使用する外部 ID プロバイダーのディレクトリ アカウントにリンクできます。このアカウントのリンクは、そのメール アドレスのディレクトリ アカウント ユーザーが初めてサインインしたときに作成されます。移行がシームレスに行われるように、ID プロバイダーの ID は、ローカル アカウントのすべてのロールを継承します。
そのため、Automation Cloud に非アクティブなローカル アカウントが存在する場合、ローカル アカウントとディレクトリ アカウントが一致せず、意図せずに権限が昇格される可能性があります。

非アクティブなユーザー アカウントを削除するには、以下の手順を実行します。

  1. Automation Cloud に組織管理者としてログインします。
  2. Go to Admin, select your organization, and then select Accounts & Groups.
    The Accounts & Groups page for the organization opens on the Users tab.
  3. [最終操作日] 列の列ヘッダーをクリックして、最終ログインの日付が最も古いユーザーが一番上に表示されるように、ユーザーを並べ替えます。
122122

[最終操作日] 列には、ユーザーが最後に Automation Cloud にログインした日付が表示されます。上の例のように、この列に [保留中] と表示された場合、ユーザーがログインしたことがないことを示します。この情報を使用して、非アクティブなユーザーを識別することができます。

  1. 行の端にある削除アイコンをクリックして、そのユーザーのローカル アカウントを削除します。
11741174
  1. 確認ダイアログの [削除] をクリックして、Automation Cloud からアカウントを削除します。
    ページからユーザー アカウントが削除されます。
  2. 操作を続行して、組織の非アクティブなユーザー アカウントをすべて削除します。

 

手順 2: SAML 連携を設定する


続いて、Automation Cloud と ID プロバイダー (IdP) の両方を設定して連携する必要があります。

手順 2.1: SAML サービス プロバイダーの詳細情報を取得する

  1. Automation Cloud に組織管理者としてログインします。
  2. Go to Admin, select your organization, and then select Security.
    The Security Settings page for the organization opens on the Authentication Settings tab.
  3. [ユーザーは、SAML SSO を使用してサインインできます] を選択して、[設定] をクリックします。
    情報ダイアログが開きます。
  4. ダイアログで、[続行] をクリックします。
    次のページで、連携の概要が示されます。
  5. 右下の [次へ] をクリックして設定に進みます。
    [全般設定] 手順の [IdP で構成するデータ] で、ID プロバイダーを Automation Cloud に接続するよう設定するために必要な情報が示されます。
750750
  1. [メタデータ URL][エンティティ ID][アサーション コンシューマー サービス URL] の値をコピーして保存します。これらは、次の手順で必要になります。

このブラウザー タブは、後で使用するために開いたままにします。

手順 2.2: ID プロバイダーを設定する

Automation Cloud は、SAML 2.0 標準を使用する任意のサードパーティの ID プロバイダー (IdP) に接続できます。

設定は選択した IdP によって異なることがありますが、以下のプロバイダーについては設定を検証済みです。連携を設定する際の参考にしてください。
A. Okta
B. PingOne

他の ID プロバイダーについては、それぞれの連携に関するドキュメントに従ってください。

A. Okta の設定例

📘

このセクションの手順は、設定例を示すためのものです。このページに記載されていない IdP の設定について詳しくは、Okta のドキュメントをご覧ください。

  1. 別のブラウザー タブで、Okta の管理コンソールにログインします。
  2. [アプリケーション] > [アプリケーション] に移動します。[アプリ統合を作成] をクリックし、サインオン方法として [SAML 2.0] を選択します。
  3. [一般設定] ページで、連携しているアプリの名前として Automation Cloud を指定します。
  4. [Configure SAML] ページの [General] セクションに、次のように入力します。
    a. シングル・サインオンURL: Automation Cloud から取得したアサーション コンシューマー サービス URL の値を入力します。
    b. [受信者URLおよび宛先URLに使用] チェックボックスをオンにします。
    c. 対象URI: Automation Cloud から取得したエンティティ ID の値を入力します。
    d. 名前IDのフォーマット: [EmailAddress] を選択します。
    e. アプリケーションのユーザー名: [Email] を選択します。
  5. [属性ステートメント] に以下を追加します。
    a. 名前: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    b. [名前のフォーマット][指定なし] のままにします。
    c. [値]user.email に設定するか、ユーザーの一意のメール アドレスを含むユーザー属性に設定します。
    d. 必要に応じて、他の属性マッピングを追加します。Automation Cloud では、姓、名、役職、部門の各ユーザー属性もサポートしています。その後、この情報は Automation Cloud に反映され、Automation Hub など他のサービスで利用できるようになります。
  6. [フィードバック] ページで、好みのオプションを選択します。
  7. [完了] をクリックします。
  8. [サインオン] タブの [設定] セクションの [セットアップ方法を表示] で、[Identity Provider metadata URL] の値をコピーし、後で使用するために保存します。
  9. Automation Cloud 用の [アプリケーション] ページで、新たに作成したアプリケーションを選択します。
  10. [割り当て] タブで、[割り当て] > [ユーザーに割り当てる] を選択し、Automation Cloud での SAML 認証の使用を許可するユーザーを選択します。
    新たに追加されたユーザーが [People] (ユーザー) タブに表示されます。

B. PingOne の設定例

📘

このセクションの手順は、設定例を示すためのものです。このページに記載されていない IdP の設定について詳しくは、PingOne のドキュメントをご覧ください。

  1. 別のブラウザー タブで、PingOne の管理コンソールにログインします。
  2. [Connections] > [Applications] に移動し、プラス記号のアイコン + をクリックします。
  3. [Web App] をクリックし、[SAML] に対して [Configure] をクリックします。
  4. [Create App Profile] ページで Automation Cloud アプリの名前を指定します。
  5. [Configure SAML Connection] ページで [Manually Enter] を選択し、以下の詳細情報を入力します。
    • ACS URLs: Automation Cloud から取得したアサーション コンシューマー サービス URL の値を入力します。
    • Entity ID: Automation Cloud から取得したエンティティ ID の値を入力します。
    • SLO binding: HTTP Redirect
    • Assertion Validity Duration: 有効期間の秒数を入力します。
  6. [Save and Continue] をクリックします。
  7. [Map Attributes] ページで、メール アドレスを入力します。
    a. [+ Add Attribute] を選択します。
    b.[Application Attribute]http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress と入力します。
    c. [Outgoing Value][Email Address] のアドレスに設定するか、ユーザーの一意のメール アドレスを含むユーザー属性に設定します。
    d. [Required] チェックボックスをオンにします。
    e. 必要に応じて、他の属性マッピングを追加します。Automation Cloud では、姓、名、役職、部門の各ユーザー属性もサポートしています。その後、この情報は Automation Cloud に反映され、Automation Hub など他のサービスで利用できるようになります。
  8. [Save and Close] をクリックします。
  9. Automation Cloud アプリのトグルをクリックし、アプリケーションを有効化して、ユーザーがアクセスできるようにします。
  10. [Configuration] タブで、後で使用するために [IdP Metadata URL] の値をコピーして保存します。

手順 2.3.Automation Cloud を設定する

ID プロバイダーを認識するサービス プロバイダーとして Automation Cloud を有効化するには、次の手順に従います。

  1. Automation Cloud の [SAML 設定] タブに戻ります。
  2. [全般設定] で以下の手順を行います。
    a.[IdP からのデータ] 下の [メタデータ URL] フィールドに、設定時に取得したメタデータ URL を入力します。
    b. [データを取得] をクリックします。完了すると、[サインオン URL][ID プロバイダーのエンティティ ID]、および [署名証明書] フィールドに IdP の情報が入力されます。
    c. 右下の [次へ] をクリックして、次の手順に進みます。
  3. [プロビジョニングの設定] で以下の手順を実行します。
    a. [許可されているドメイン] セクションに、ユーザーのサインインを許可するドメインを入力します。設定済みの ID プロバイダーによってサポートされるすべてのドメインを入力します。複数のドメインはコンマで区切ります。
    b. メール アドレスが一致するアカウントがリンクされることに同意するチェックボックスをオンにします。
    c.[属性マッピング] の下の [表示名] フィールドに、ユーザーの名前として Automation Cloud に表示する IdP の属性を入力します。ここで、姓と名の属性を使用できます。
    d. 必要に応じて、残りのフィールドにIdP の属性を入力します。
    e.詳細情報も設定する場合は、右下の [次へ] をクリックして、最後の手順に進みます。
    それ以外の場合は、[テストして保存] をクリックして連携の設定を終了し、このセクションの残りの手順はスキップします。
  4. [詳細設定] ページで、必要に応じてオプションを設定します。
    • 未承諾の認証応答を許可: IdP ダッシュボードから Automation Cloud に移動できるようにする場合は有効化します。
    • SAML binding type: Select how the SAML configuration should communicate, via the HTTP user agent. Select HTTP redirect to use URL parameters, or HTTP post to use an HTML form with base64-encoded content.
    • サービス証明書の使用方法: IdP のサービス証明書を使用する操作を選択します。
  5. [テストして保存] をクリックして、連携の設定を終了します。

手順 2.4: 連携が実行中であることを確認する

SAML SSO 連携が正しく機能していることを確認するには、以下の手順を実行します。

  1. シークレット ブラウザー ウィンドウを開きます。
  2. Automation Cloud の URL に移動します。
  3. 以下を確認します。
    a. SAML ID プロバイダーでサインインを求められるか。
    b. 正常にサインインできるか。
    c. 既存のユーザー アカウントと一致するメール アドレスでサインインしている場合、適切な権限を持っているか。

手順 2.5.プロビジョニング ルールを設定する (任意)

IdP でクレームを使用すると、クレームをプロビジョニング ルールの条件として活用し、ユーザーが Automation Cloud にサインインするときに、適切なライセンスとロールを持つ状態で自動的にプロビジョニングされるようにできます。

プロビジョニング ルールは、ユーザーがサインインしたときに評価されます。ユーザー アカウントがルールの条件を満たしている場合、そのユーザー アカウントはルールに関連付けられたグループに自動的に追加されます。

フェーズ 1. プロビジョニング グループを設定する

Automation Cloud でアカウントをグループに追加すると、そのアカウントは、グループに対して定義されたライセンス、ロール、ロボットの設定がある場合はそれらを継承します。

そのため、特定の種類のユーザーを念頭に置いてグループを設定した場合 (たとえば、オートメーションを作成する従業員やオートメーションをテストする従業員など)、IdP でそれらのアカウントを他の類似のアカウントと同じ方法で設定することで、その特定の種類に該当する新しい従業員を Automation Cloud にオンボーディングできます。

つまりグループを一度設定すれば、必要に応じてそのグループにアカウントを追加することで設定を複製できます。また、特定のユーザー グループの設定を変更する必要がある場合でも、グループを 1 回更新するだけでグループ内のすべてのアカウントに変更が適用されます。

プロビジョニング ルール用にグループを設定する方法

  1. Automation Cloud に新しいローカル グループを作成します。 グループを追加する
    新しいグループを作成する代わりに、既存のグループのいずれかを使用することもできます。
  2. (任意かつ ユーザー ライセンスの管理が必要) グループのユーザーがユーザー ライセンスを必要とする場合は、グループにライセンスの割り当てルールを設定できます。 グループ メンバーシップでユーザーにライセンスを割り当てる
    既存のグループを使用している場合は、グループのライセンス割り当てを確認し、適切なライセンスが割り当てられていることを確認します。割り当てが適切でない場合は、割り当てを変更するか、新しいグループを作成します。
  3. テナント ロールを割り当て、必要に応じてグループのロボット設定を完了します。 ロールをグループに割り当てる
    既存のグループを使用している場合は、グループに現在割り当てられているロールを確認して、グループに追加するユーザーの種類に適切なロールが割り当てられていることを確認します。適切なロールが割り当てられていない場合は、グループに割り当てられたロールを編集するか、新しいグループを作成します。
  4. 必要に応じて、グループをフォルダーに追加し、フォルダー ロールを割り当てます。 フォルダーへのアクセス権を管理する

これで、このグループをプロビジョニング ルールで使用できます。

フェーズ 2. グループのプロビジョニング ルールを作成する

SAML 連携の設定後かつグループの設定後に以下の手順を実行します。

  1. Go to Admin, select your organization, and then select Security.
    The Security Settings page for the organization opens on the Authentication Settings tab.
  2. [SAML SSO] オプション下の [プロビジョニング ルールを表示] をクリックします。
780780

[SAML SSO プロビジョニング ルール] ページが開き、既存のルールが表示されます。

  1. ページの右上隅にある [ルールを追加] をクリックします。
    [新しいルールを追加] ページが開きます。
  2. [基本情報] の下の [ルール名] フィールドに入力します。必要に応じて [説明] フィールドにも入力します。
  3. [条件] の下の [ルールを追加] をクリックします。
    新しい条件のフィールド行が追加されます。これらのフィールドの組み合わせで、アカウントがグループに追加されるためにサインイン時に満たす必要がある条件を定義します (グループは後で選択)。
995995
  1. [クレーム] フィールドに、IdP に表示されるとおりにクレームの名前を入力します。
  2. [リレーションシップ] リストから、クレームと値がどのような条件の組み合わせになるか選択します。次のオプションが利用可能です。
RelationshipCondition requirementExample
isexact match, case sensitiveDepartment **is** RPA requires that the value for the Department claim be RPA.
The condition is not met if the value is RPADev, for example.
is notanything except specified value, case sensitiveFor Department **is not** ctr, any account is added to the group unless Department has the value ctr.
The condition is met if the department is Ctr or electr.
containsincludes, does not require an exact match, case sensitiveDepartment **contains** RPA requires that the value for the Department claim include RPA.
The condition is met if the value is RPADev, xRPAx, or NewRPA, for example.
not containsexcludes, does not require an exact match, case sensitiveFor Department **not contains** ctr, any account is added to the group unless the Department value includes ctr.
Accounts for which the department is ctr or electr, for example, are not added to the group.
is case insensitiveexact match, not case sensitiveDepartment **is case insensitive** RPA requires that the value for the Department claim be rpa, in any capitalization.
The condition is met if the value is rpa, for example. The condition is not met if the value is crpa.
contains case insensitiveincludes, does not require an exact match, not case sensitiveDepartment **contains case insensitive** RPA requires that the value for the Department claim include RPA, in any capitalization.
The condition is met if the value is rpa, cRPA, or rpA, for example.
  1. [値] フィールドに、条件を満たすために必要な値を入力します。
  2. 別の条件を追加する場合は、[ルールを追加] をクリックして新しい条件の行を追加します。
    複数の条件を追加した場合、プロビジョニング ルールが適用されるには、すべての条件が満たされる必要があります。たとえば、 Department is RPA (部署 次に値に等しい RPA) と Title is Engineer (役職 次に等しい エンジニア) というルールを定義すると、RPA 部に所属し、かつ役職がエンジニアであるユーザーのみが指定したグループに追加されます。部署が RPA で、タイトルが QA であるアカウントは、グループに追加されません。
  3. [グループに割り当て] の下の [グループを追加] ボックスにグループ名を入力し、結果のリストからグループを選択します。必要に応じて、手順を繰り返してさらにグループを追加します。
    条件が満たされると、ログイン時にこれらのグループにアカウントが自動的に追加されます。
  4. 右下の [保存] をクリックしてルールを追加します。

ルールが設定されている状態で、ユーザーが Automation Cloud にログインした際にそのアカウントがルールで指定した条件を満たしていると、そのアカウントがルールにアタッチされたプロビジョニング グループに追加され、Automation Cloud で使用できるようなります。

 

手順 3: ユーザーを SAML SSO に移行する


権限を設定したら、既存のすべてのユーザーに、UiPath アカウントからサインアウトし、SAML SSO を使用してサインインしてもらうことをお勧めします。

Make sure you provide your organization-specific URL for Automation Cloud to all your users and follow the instructions below. Only organization administrators can see the organization URL in Organization Settings.

SAML SSO を使用して Automation Cloud にサインインするには、以下の手順を実行します。

  • 組織固有の URL に移動します。URL は組織 ID を含み、スラッシュで終る必要があります (例: https://cloud.uipath.com/orgID/)。
  • navigate to https://cloud.uipath.com, select Continue with SSO on the Login page, then provide their organization-specific URL.

To sign in to UiPath Studio and UiPath Assistant using SAML SSO, users must configure Assistant as follows:

  1. Assistant で [設定] を開き、[Orchestrator への接続] タブを選択します。
  2. [サインアウト] をクリックします。
  3. 接続の種類として [サービス URL] を選択します。
  4. [サービス URL] フィールドに組織固有の URL を入力します。
    URL は組織 ID を含んでいて、スラッシュで終わっている必要があります (例: https://cloud.uipath.com/orgID/)。そうでないと、ユーザーが組織に属していないというメッセージが表示され、接続が失敗します。
  5. SAML SSO でサインインし直します。

 

手順 4: 権限とロボットを設定する


この手順は、連携を有効化したときに、これまで Automation Cloud を使用したことがないため Automation Cloud でローカル アカウントが設定されていない新しいユーザーにのみ必要となります。

新しいユーザーは、外部 IdP で使用されたメール アドレスによって Automation Cloud グループに追加できます。ユーザーがグループに割り当てられるか、ユーザーがサインインすると、Automation Cloud のすべてのサービスでユーザーを検索してロールを割り当てられるようになります。

手順 5: ローカル ユーザー アカウントの使用を中止する (任意)


すべてのユーザーが SAML SSO に移行し、新しいユーザーが設定されたら、管理者アカウント以外のすべてのローカル ユーザー アカウントを削除することをお勧めします。これにより、そのユーザーはローカル アカウントの資格情報でサインインできなくなり、SAML SSO でサインインしなければならなくなります。
You can identify local user accounts based on the user icons.

ローカル アカウントの使用中止に関する考慮事項

Automation Cloud で認証設定を管理する

SAML 連携に問題がある場合 (期限切れの証明書の更新など)、または別の認証設定に切り替える場合は、Oganization Administrator ロールを持つローカル ユーザー アカウントの使用をお勧めします。

API アクセス

サービスへの API 呼び出しを行うときに [API アクセス] ([管理] > [テナント] ページ) をクリックして取得した情報を使用するプロセスがある場合は、UiPath アカウントが必要です。SAML SSO アカウントでログインした場合はこのボタンを使用できないからです。代替策として、OAuth による認可に切り替えれば、API アクセスによる情報は不要になります。

 

トラブルシューティング


[ユーザーのログインに失敗しました。(#216)] というエラーが発生する場合、SAML ID プロバイダーの設定にメール アドレスのマッピングが含まれていない可能性があります。
SAML クレームは http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress のように指定されている必要があり、値には有効なメール アドレスが必要です。

約 1 か月前に更新


SAML 連携を設定する


Automation Cloud は、SAML 2.0 標準を使用する任意の ID プロバイダー (IdP) に接続できます。ここでは、SAML 連携の設定例をいくつか示して、全体的なプロセスについて説明します。

改善の提案は、API リファレンスのページでは制限されています

改善を提案できるのは Markdown の本文コンテンツのみであり、API 仕様に行うことはできません。