OAuth-Apps

Externe OAuth-Anwendungen gibt es außerhalb der UiPath®-Plattform und können mit ihr integriert werden, um ihre Funktionen zu erweitern. Externe Apps können über das OAuth-Framework, das die Delegierung der Autorisierung an diese externen Entitäten ermöglicht, sicher auf Ihre UiPath-Ressourcen zugreifen, ohne dass Sie Ihre Anmeldeinformationen freigeben müssen.

Durch die Registrierung externer Apps bei UiPath erhalten sie die Möglichkeit, API-Aufrufe zu tätigen, um auf UiPath-Ressourcen zuzugreifen.

App-Typen

UiPath klassifiziert externe OAuth-Anwendungen in zwei Hauptkategorien – vertrauliche und nicht vertrauliche Anwendungen. Der App-Typ bestimmt den Authentifizierungsablauf, die Zugriffsebene auf Ressourcen und die Art und Weise, wie er mit dem Identity Server von UiPath kommuniziert.

Vertrauliche Apps mit Anwendungs-Scopes: Vertrauliche Apps mit Anwendungs-Scopes sind für Fälle gedacht, in denen die Anwendung Anmeldeinformationen sicher speichern kann. Zum Beispiel ein Programm, das das Kennwort in einem Tresor speichert.
Vertrauliche Apps mit Benutzer-Scopes: Vertrauliche Apps mit Benutzer-Scopes sind für Fälle gedacht, in denen die Anwendung Anmeldeinformationen sicher speichern und im Namen eines Benutzers agieren kann. Zum Beispiel eine CRM-Anwendung, die Warteschlangenelemente im Orchestrator erstellt. Sie tut dies im Namen des Benutzers, speichert aber auch die Anmeldeinformationen, die sie verwendet, in einer Datenbank.
Nicht vertrauliche Apps mit Benutzer-Scopes: Nicht vertrauliche Apps sind nicht auf sicher gespeicherte Anmeldeinformationen angewiesen. Stattdessen verlassen sie sich darauf, dass sich der Benutzer bei einer Anwendung authentifiziert und den Zugriff auf die App über temporäre Anmeldeinformationen delegiert. Die Anmeldeinformationen sind von kurzer Dauer und der Benutzer muss die App möglicherweise regelmäßig neu authentifizieren. Diese eignen sich am besten für Attended-Automatisierungen oder Automatisierungen, bei denen ein Benutzer die App erneut authentifizieren kann. Nehmen wir einmal an, ein Benutzer hat eine Attended-Automatisierung, die eine Automatisierung mit O365-Aktivitäten ausführt, um auf SharePoint zuzugreifen. Bei der ersten Ausführung wird der Benutzer aufgefordert, die App (die Automatisierung) zu autorisieren. Es kann sein, dass der Benutzer die Anwendung nach Ablauf der Anmeldeinformationen regelmäßig neu autorisieren muss.

Scopes

Wenn eine externe Anwendung für die Integration in UiPath eingerichtet wird, erhält sie bestimmte Berechtigungen und Zugriffsrechte, die als „Scopes“ bezeichnet werden. Im Wesentlichen definieren Scopes, was eine Anwendung innerhalb von UiPath tun und auf was nicht zugegriffen werden kann.

Hinweis:

Wenn Sie Zugriff auf externe Anwendungen gewähren, stellen Sie immer die Mindestberechtigungen zur Verfügung, die für die Funktion der App erforderlich sind. Diese Maßnahmen tragen dazu bei, potenzielle Folgen zu begrenzen, indem die Wahrscheinlichkeit eines unzulässigen Zugriffs verringert wird.

Auf Organisationsebene wird ein Scope im Format Service.Resource.Accesslevel oder Service.Resource. Beispielsweise hat die externe Anwendung mit OR.Machines.Read Lesezugriff auf Maschinen im Orchestrator in allen Ordnern und Mandanten in der Organisation. Mit OR.Machines hat die externe App beispielsweise Lese- und Schreibzugriff für alle Ordner und Mandanten in der Organisation.

Für vertrauliche Anwendungen ermöglicht UiPath die Zuweisung detaillierter Scopes, die speziell für die Ressourcen des Orchestrators gelten. Diese spezifischen Berechtigungen ermöglichen es einem Administrator, den Zugriff bis auf die Mandantenordnerebene zu steuern und anzupassen.

Eine differenzierte Zuweisung erfolgt, wenn der Administrator einer Organisation die externe vertrauliche App einem bestimmten Mandanten oder Ordner im Orchestrator zuweist und sie mit einer bestimmten Rolle verknüpft.

Scopes sind entweder auf einen Benutzer (Benutzer-Scope) oder auf die App selbst (Anwendungs-Scope) ausgerichtet.

Anwendungs-Scopes gewähren der App eine eigene Identität, in der sie Funktionen als eigenständige Entität ausführt.
In Benutzer-Scopes führt die App Funktionen im Namen eines authentifizierten Benutzers aus. Daher sind die Aktionen durch die Berechtigungen des Benutzers begrenzt. Beispielsweise kann die App nur auf die Assets zugreifen, auf die der Benutzer zugreifen darf.

Implementierung

Der Prozess der Verwendung externer UiPath-Apps umfasst verschiedene Phasen, von der Erstellung und Einrichtung durch einen Administrator bis hin zur Integration und Verwendung durch einen Entwickler.

A. Erstellung und Einrichtung durch den Administrator

Externe App-Registrierung: Der erste Schritt umfasst das Hinzufügen einer externen App zur Organisation. Der Administrator legt Details wie Name, Umleitungs-URL fest und wählt den geeigneten Anwendungstyp aus. Sobald die App mit ihren Scopes auf der Administratorebene erstellt wurde, erhält sie diese Berechtigungen auf Organisationsebene. Der Administrator kanndetaillierte Berechtigungen für vertrauliche Apps konfigurieren, indem er ihnen im Orchestrator eine Rolle auf Mandanten- und Ordnerebene zuweisen.
Benutzerzuweisung: Bei nicht vertraulichen oder vertraulichen Apps mit Benutzer-Scopes muss der Administrator sicherstellen, dass die Benutzer, die die App verwenden müssen, Zugriff auf das System haben, indem er dem Benutzer eine Rolle auf Organisations-, Mandanten- oder Ordnerebene zuweist .
Speichern von Anwendungsdetails: Nach Abschluss der Einrichtung ruft der Administrator Anwendungsdetails ab, z. B. die Anwendungs-ID. Für vertrauliche Apps wird auch ein geheimer Anwendungsschlüssel generiert. Der Administrator speichert diese Details sicher und gibt sie später an die Entwickler weiter.

B. Integration und Nutzung durch den Entwickler

Authentifizierung und Autorisierung: Der Entwickler verwendet die vom Administrator angegebene Anwendungs-ID (und den geheimen Schlüssel für vertrauliche Apps), um eine OAuth 2.0-Zugriffstokenanforderung an den UiPath Identity Server zu initiieren. Dadurch nimmt der Entwickler die erforderlichen Scopes in die Anforderung ein. Der OAuth 2.0-Flow ist erfolgreich, wenn der Server die ID der Anwendung und ihren geheimen Schlüssel (für vertrauliche Apps) überprüft und die angegebenen Scopes genehmigt.

Hinweis:
Bei externen Apps mit Benutzer-Scopes findet auch die Validierung der Benutzeridentität statt. Dies ist eine zusätzliche Sicherheitsebene, die sicherstellt, dass die Anfragen berechtigt sind, von authentifizierten und autorisierten Benutzern zu kommen.
Zugriffstokengenerierung: Sobald der Server die Anwendung und die Scopes erfolgreich authentifiziert, gibt er ein Zugriffstoken an den Entwickler zurück. Dieses Zugriffstoken stellt die Autorisierung der Anwendung dar, auf die angegebenen Scopes zuzugreifen.
Integrieren der externen App: Der Entwickler verwendet das empfangene Zugriffstoken im Header von API-Aufrufen an UiPath. Dadurch wird die angegebene Zugriffsebene auf die angeforderten Ressourcen gewährt, wodurch die externe Anwendung in UiPath-Ressourcen integriert wird.