订阅

UiPath Automation Cloud™

UiPath Automation Cloud™ 指南

有关 Automation Cloud 和我们的云服务当前状态的信息,请参阅“状态”页面。

设置 Azure AD 集成

This feature is only available if you are on the Enterprise licensing plan.

概述


如果您的组织使用的是 Azure Active Directory (Azure AD) 或 Office 365,则可以将 Automation Cloud 组织直接连接到 Azure AD 租户,以查看 UiPath 云环境中的现有用户帐户和组。
The Azure AD integration allows you to continue leveraging the invitation-based user management model, if you want, while bootstrapping your organization with the additional benefits of using the Azure AD model. For more information about these models, see About Users.

如果您的组织已决定使用 Azure AD 模型,请按照此页面上的说明设置集成。

👍

无停机时间

Azure AD 集成经过精心设计,您可以逐步激活和推出,而不会影响现有用户的生产。

 

先决条件


要设置 Azure AD 集成,您需要:

  • an Automation Cloud organization with an Enterprise license
  • Automation Cloud 和 Azure AD(可为不同对象)中的管理员权限;
  • 组织管理员需要一个 Azure AD 帐户,该帐户使用与 Automation Cloud 本地帐户相同的电子邮件地址;Azure AD 帐户仅用于测试集成,因此 Azure AD 用户不需要 Azure 中的管理员权限;
  • UiPath Studio 和 UiPath Assistant 2020.10.3 或更新版本;
  • UiPath Studio and UiPath Assistant to use the recommended deployment.

 

配置 Azure 以进行集成


Automation Cloud 要求在您的 Azure AD 租户中注册一个应用程序并进行一些配置,以便它可以查看您的 Active Directory 成员,建立用户身份。稍后在将 Automation Cloud 连接到您的 Azure AD 租户时,也需要提供应用程序注册详细信息。

权限:您必须是 Azure 中的管理员才能执行此部分中的任务。以下管理员角色具有必需的权限:全局管理员、云端应用程序管理员或应用程序管理员。

有两种方法可以设置集成的 Azure 租户:

  • 请按照以下说明为集成手动配置 Automation Cloud 的应用程序注册。
  • Use the UiPath Azure AD scripts that we created for this task, which are available on GitHub: The configAzureADconnection.ps1 script performs all the actions described in this section and returns the app registration details. Then you can run the testAzureADappRegistration.ps1 script to make sure the app registration was successful.

要手动配置 Azure 租户,请在 Azure Portal 中执行以下操作:

  1. 为 Automation Cloud 创建应用程序注册
    在注册过程中,选择“仅此组织目录中的帐户”,并将“重定向 URI”设置为 https://cloud.uipath.com/identity_/signin-oidc
    如果您已经为 Automation Cloud 注册了应用程序,则无需创建新应用程序,但请确保按照上述说明进行设置。
  2. 打开应用程序的“概述”页面,复制应用程序(客户端)ID目录(租户)ID,并保存以备后用:
498
  1. 转到应用程序的“身份验证”页面:
    a. 在“重定向 URIs”下,单击“添加 URI”以添加新条目。
    b. 在“重定向 URIs”列表中添加 https://cloud.uipath.com/portal_/testconnection
    c.选中底部的“ID 令牌”复选框。
    d. 单击顶部的“保存”
1316
  1. 转到“令牌配置”页面。
  2. 选择“添加可选声明”
  3. 在“令牌类型”下,选择“ ID”
  4. 选中“family_name”、“given_name”、“upn”的复选框,将其添加为可选声明:
598
  1. 转到“API 权限”页面。
  2. 单击“添加权限”,然后从“Microsoft Graph”类别添加以下委派权限:
    • OpenId 权限 - 电子邮件、OpenID、配置文件;
    • 组成员权限 - GroupMember.Read.All;
    • 用户权限 - User.Read、User.Read.All。

The above API permissions allow the app (Automation Cloud) to read all user profiles and groups in the organization.

1695
  1. 选中“授予管理员同意”复选框。
    管理员代表租户 Active Directory 中的所有用户表示同意。这允许应用程序访问所有用户的数据,而不会提示用户同意。
    有关权限和同意的更多信息,请参阅 Azure AD 文档

  2. 转到“证书和密码”页面。

  3. 创建新的客户端密码

  4. 复制客户端密码并保存以备后用

1071
  1. 与 Automation Cloud 组织管理员共享Directory(租户)ID应用程序(客户端)ID客户端密码的值,以便他们继续配置 Automation Cloud。

 

将集成部署到 Automation Cloud


Azure 安装完成后,您可以为集成做准备,激活它,然后清理旧帐户。
流程分为多个阶段,因此不会给您的用户造成中断。

权限:您必须是 Automation Cloud 中的组织管理员才能执行此部分中的任务。

清理非活动用户

If inactive email addresses are not reused in your organization, also known as email address recycling, you can skip this step.

When you connect Automation Cloud to Azure AD by activating the integration, accounts with matching email addresses are linked so that the Azure AD account benefits from the same permissions as the matching Automation Cloud account (local account).
如果您的组织实行电子邮件回收,这意味着使用过的电子邮件地址日后可能会分配给新用户,这可能会增加访问的风险。

为防止发生此类情况,请确保删除 Automation Cloud 中所有不再活动的用户,然后再继续下一步。

示例

Let's say you once had and employee whose email address was john.doe@example.com and this employee had a local account where he was an organization administrator, but has since left the company and the email address was deactivated, but the user was not removed from Automation Cloud.
When a new employee who is also named John Doe joins your company, he receives the same john.doe@example.com email address. In such a case, when accounts are linked for the Automation Cloud integration with Azure AD, John Doe inherits organization administrator privileges.

激活 Azure AD 集成

在开始之前

  • Make sure that Azure configuration is complete.
  • 从 Azure 管理员处获取在 Azure 中注册 Automation Cloud 应用程序时要使用的目录(租户ID)应用程序(客户端)ID客户端密码的值。

要激活 Azure AD 集成,请在 Automation Cloud 中执行以下操作:

  1. Go to Admin and, if not already selected, select the organization at the top of the left pane.
  2. Select Security.
  3. 在“身份验证设置”选项卡上,选择“用户可以使用 Azure Active Directory (AAD) SSO 登录”。
768
  1. 使用从 Azure 管理员处收到的信息填写这些字段。
  2. 选中复选框。
    这是必需项,因为在保存更改后,匹配的帐户会自动关联。
  3. 单击“测试连接”
  4. 出现提示时,使用您的 Azure AD 帐户登录。
    如登录成功,则表示集成已正确配置。万一失败,请让您的 Azure 管理员检查 Azure 的配置是否正确,然后重试。
  5. 单击“保存”
    现在已为您的组织激活集成。
  6. 转到“管理员” > “组织设置”,然后您标注组织的 URL。
  7. 注销。
  8. 导航到您组织的站点 URL (https://cloud.uipath.com/orgID/),并使用您的 Azure AD 帐户登录。

现在,您可以使用关联租户的 Azure AD 中的用户和组了。您可以使用搜索来查找 Azure AD 用户和组,例如,将用户添加到 Automation Cloud 组。
Directory accounts and groups are not listed in either the Users or Groups pages under Admin > Accounts & Groups, you can only find them through search.

集成生效后,对我的用户而言会有哪些变化?

用户可以立即使用其现有的 Azure AD 帐户登录,并享有与本地帐户相同的权限。

如果您尚未删除他们的 UiPath 用户帐户,则用户也可以继续使用其本地帐户登录,这两种方法均有效。

要使用 Azure AD 帐户,他们必须导航到特定于您组织的 Automation Cloud URL,其格式为 https:/cloud.uipath.com/myOrganization/,或在主登录页面上选择“企业 SSO”。
用户可能会注意到的另一个变化是,如果他们已经通过使用其他应用程序登录到 Azure AD 帐户,则在导航到此 URL 时会自动登录。


每个帐户都有哪些角色?

Azure AD 帐户:当用户使用 Azure AD 帐户登录时,他们将立即受益于其在本地帐户中拥有的所有角色,以及在 UiPath 中分配给 Azure AD 帐户或他们所属 Azure AD 组的任何角色。这些角色可以来自 Automation Cloud 组中包含的 Azure AD 用户或 Azure AD 组,也可以来自将角色分配给 Azure AD 用户或 Azure AD 组的其他服务(如 Orchestrator)。

本地帐户:在 Azure AD 集成处于活动状态时,对于本地帐户而言,取决于:

  • 如果用户没有至少使用其 Azure AD 帐户登录过一次,则他们仅拥有本地帐户的角色。
  • 如果他们以前至少使用 Azure AD 帐户登录过一次,则本地帐户还拥有 Azure AD 用户在 UiPath 中拥有的任何角色,无论是显式分配的角色,还是继承自 Automation Cloud 组成员资格的角色。本地帐户无法从已分配给 Azure AD 帐户所属 Azure AD 组的任何角色中受益。

是否需要为 Azure AD 帐户重新申请权限?

不需要。因为匹配帐户是自动关联的,所以在使用 Azure AD 帐户登录时,其现有权限也适用。但是,如果您决定停止使用本地帐户,请事先确保已为 Azure AD 中的用户和组设置适当的权限。


测试 Azure AD 集成

要检查集成是否在 Automation Cloud 中运行,请以组织管理员身份使用 Azure AD 帐户登录,并尝试在任何相关页面上搜索 Azure AD 用户和组,例如 Automation Cloud 中的“编辑组”面板(“管理员” > “帐户和组” > “组” > “编辑”)。

  • If you can search for users and groups that originate in Azure AD, it means the integration is running. You can tell the type of user or group by its icon.

📘

备注:

Azure AD 中的用户和组不会在“用户”页面或“组”页面中列出,只能通过搜索找到。

  • If you encounter an error while trying to search for users, as shown in the example below, this indicates that there is something wrong with the configuration in Azure. Reach out to your Azure administrator and ask them to check that Azure is set up as described in Configuring Azure for the Integration.

👍

检查:

请您的 Azure 管理员确认他们在配置 Azure 期间是否选中了“授予管理员同意”复选框。这是导致集成失败的常见原因。

故障排除

Azure administrators can use the UiPath Azure AD test script testAzureADappRegistration.ps1, which is available on GitHub, to find and fix any configuration issues when the cause is not clear, as in the case below:

860

 

完成向 Azure AD 的转换


集成程序活动后,我们建议您按照本节中的说明进行操作,以确保将用户创建和组分配迁移到 Azure AD。通过这种方式,您可以在现有身份和访问管理基础架构的基础上构建,以便更轻松地对 Automation Cloud 资源执行监管和访问管理控制。

配置权限和机器人的组(可选)

您可以通过此操作确保 Azure 管理员也可以使用与集成之前设置的 Automation Cloud 和其他服务的权限和机器人配置相同的权限和配置为新用户注册。为此,如果组具有已在 Automation Cloud 中分配的必要角色,他们可以将任何新用户添加到 Azure AD 组中。

您可以将 Automation Cloud 中的现有用户组映射到 Azure AD 中的新组或现有组。您可以通过多种方式执行此操作,具体取决于您在 Azure AD 中使用组的方式:

  • 如果在 Automation Cloud 中具有相同角色的用户已经在 Azure AD 中相同的组内,则组织管理员可以将这些 Azure AD 组添加至 Automation Cloud 中这些用户已经加入的用户组。这可确保用户拥有相同的权限和机器人设置。
  • 否则,Azure 管理员可以在 Azure AD 中创建与 Automation Cloud 中的组匹配的新组,并添加与 Automation Cloud 用户组中相同的用户。然后,组织管理员可以将新的 Azure AD 组添加到现有用户组中,以确保相同的用户具有相同的角色。

In either case, make sure you check for any roles that were explicitly assigned to users. If possible, eliminate the explicit role assignments by adding these users to groups that have the roles that were explicitly assigned.

示例:假设 Automation Cloud 中的 Administrators 组包括用户 Roger、Tom 和 Jerry。这些用户也属于 Azure AD 中名为 admins 的组。组织管理员可以将 admins 组添加到 Automation Cloud 中的 Administrators 组。这样,Roger、Tom 和 Jerry 作为 Azure AD 中 admins 组的成员,都可以从 Administrators 组的角色中受益。
由于管理员现在属于 Administrators 组,因此当您需要加入新的管理员时,Azure 管理员可以将此新用户添加到 Azure 中的 admins 组中,从而在 Automation Cloud 中向他们授予管理权限,而无需在 Automation Cloud 中进行任何更改。

Changes to Azure AD group assignments apply in Automation Cloud when the user logs in with their Azure AD account, or if already logged in, within an hour.

迁移现有用户

初始登录:要应用分配给 Azure AD 用户和组的权限,用户必须至少登录一次。我们建议,在集成运行后,您可以与所有用户通信以注销其本地帐户并使用其 Azure AD 帐户重新登录。他们可以通过以下方式使用 Azure Ad 帐户登录:

  • 导航到特定于组织的 URL,在这种情况下,您必须先选择登录类型;
    The URL must include the organization ID and end in a forward slash, such as https://cloud.uipath.com/orgID/.
  • 可以在主登录页面上选择“企业 SSO”
    Make sure you provide your organization-specific URL for Automation Cloud to all your users. Only organization administrators can see this information in Automation Cloud.

迁移的用户将自通过直接分配获得的权限与在 Azure AD 组中获得的权限相融合中获益。

为用户配置 Studio 和 Assistant:要设置这些产品以连接到 Azure AD 帐户,请执行以下操作:

  1. 在 Assistant 中,打开“首选项”,然后选择“Orchestrator 连接”选项卡。
  2. 单击“注销”
  3. 对于连接类型,请选择“服务 URL”
  4. 在“服务 URL”字段中,添加特定于组织的 URL
    URL 必须包含组织 ID,并以正斜杠结尾,例如 https://cloud.uipath.com/orgID/。否则,连接将失败,表明用户不属于任何组织。
  5. 使用 Azure AD 帐户重新登录。

Permissions from Azure AD groups don't influence the automations from classic folders or the robots that are connected using the machine key. To operate under group-based permissions, configure the automations in modern folders and use the Service URL option to connect to UiPath Assistant or Studio.

停止使用 UiPath 帐户(可选)

Although optional, we recommend that you remove the use of local accounts to maximize the core compliance and efficiency benefits of the complete integration between Automation Cloud and Azure AD.

🚧

仅删除非管理员帐户。您需要保留至少一个组织管理员本地帐户,以便将来能够更改身份验证设置。

After all users have been migrated, you can remove the non-admin users from the Users tab, so that your users won't be able to sign in using their local account anymore. You can find these accounts based on their user icons.

您还可以清理 UiPath 云服务(如 Orchestrator 服务)中的个人权限,并从 Automation Cloud 组中删除个人用户,这样权限就仅依赖于 Azure AD 的组成员身份。

异常

如果您决定停止使用本地帐户(UiPath 帐户),请牢记以下几点:

  • 在 Automation Cloud 中管理身份验证设置:要切换到其他身份验证设置或更新 Azure AD 应用程序密码,需要具有 Organization Administrator 角色的 UiPath 用户帐户。否则,“身份验证设置”选项不会处于活动状态。
  • API 访问:如果已有流程依赖于通过单击“API 访问”(“管理”>“租户”页面)获取的信息来对服务进行 API 调用,则您需要一个本地帐户,这是因为使用 Azure 帐户登录时,该按钮不可用。
    Alternatively, you can switch to using OAuth for authorization, in which case the information from API Access is no longer required.

最佳实践


以下这些实用建议介绍了设置 Azure AD 集成后可以使用的高级功能。

限制对 Automation Cloud 的访问

Because the integration with Azure AD is performed at the level of the Azure tenant, by default all Azure AD users can access Automation Cloud. The first time an Azure AD user signs in to Automation Cloud, they are automatically included in the Automation Cloud group Everyone, which grants them the User organization-level role.

If you want to only allow certain users to access Automation Cloud, you can activate user assignment for the Automation Cloud app registration in Azure. This way, users need to be explicitly assigned to the app (Automation Cloud) to be able to access it. For instructions, see this article in the Azure AD documentation.

限制对可信网络或设备的访问

If you want to only allow your users to access Automation Cloud from a trusted network or a trusted device, you can use the Azure AD Conditional Access feature.

Azure AD 中对 Automation Cloud 组的监管

If you have created groups in Azure AD for easy Automation Cloud onboarding directly from Azure AD, as described in Configure Groups for Permissions and Robots, you can use the advanced security options of Privileged Identity Management (PIM) for these groups to govern access requests for Automation Cloud groups.

Updated 4 days ago


设置 Azure AD 集成


建议的编辑仅限用于 API 参考页面

您只能建议对 Markdown 正文内容进行编辑,而不能建议对 API 规范进行编辑。