Grundlegendes zu Authentifizierungsmodellen

Das lokale Kontenmodell

Local user accounts represent each user's account and are internal to instanceName. In this model, an organization administrator adds new users to the organization. It's suitable for scenarios where you want complete control over user management within instanceName.

In UiPath sind SSO-Einstellungen Bestimmungen, die sowohl auf Hostebene als auch auf Organisationsebene implementiert werden können.

SSO-Einstellungen auf Hostebene werden für alle Organisationen verwendet, die an den Host gebunden sind. Das bedeutet, dass alle SSO-Einstellungen, die Sie auf dieser Ebene anpassen, auf jede Organisation unter dem Hosting angewendet werden. Zu den SSO-Einstellungen, die auf Hostebene verwaltet werden können, gehören die einfache Anmeldung, Google SSO, Azure AD SSO, Active Directory und SAML SSO. Bestimmte Einstellungen, z. B. die einfache Anmeldung, können auf Organisationsebene überschrieben werden.

Hinweis:

Dieses Modell ist mit dem Verzeichniskontenmodell kompatibel.

Das Verzeichniskontenmodell

The directory accounts model relies on a third-party directory that you integrate with instanceName. This lets you reuse your company's established identity scheme. Directory accounts are created and maintained in a directory which is external to instanceName. They are only referenced in the UiPath platform and used as identities.

In UiPath können Verzeichnisintegrationsmodelle sowohl auf Host- als auch auf Organisationsebene konfiguriert werden.

• Auf Hostebene umfassen die Verzeichnisintegrationsoptionen Active Directory. Die hier verwendeten Einstellungen werden konsistent auf alle Organisationen unter dem Host angewendet.
• Auf Organisationsebene ermöglicht UiPath Organisationsadministratoren, die Einstellungen auf Hostebene mithilfe der Azure Active Directory (AAD)-Integration zu überschreiben.

Active Directory ist für die meisten Unternehmen für die Koordinierung von Authentifizierungs- und Zugriffsverwaltungsrichtlinien unerlässlich. Beim Aufbau der Verzeichnisintegration dient Ihr Identitätsanbieter als Single Source of Truth für Benutzeridentitäten.

Da Einstellungen sowohl auf Host- als auch auf Organisationsebene möglich sind, bietet das Verzeichnismodell von UiPath ein ausgewogenes Verhältnis von Konsistenz und Flexibilität. Sie ermöglicht die Verwendung von einheitlichen Verzeichnisintegrationsdiensten auf dem gesamten Host und bietet bei Bedarf auch benutzerdefinierte Einstellungen auf Organisationsebene.

Authentifizierungsstufen und Vererbung

Choosing the identity provider for your organization affects the way users sign in, and how user and group accounts are created and managed. In instanceName, administrators can choose the authentication and related security settings either globally (host level) for all organizations at once, or for each organization:

• Globale Authentifizierungseinstellungen (Hostebene): Als Systemadministrator können Sie die Authentifizierung und die zugehörigen Standard-Sicherheitseinstellungen für Ihre Installation auf Hostebene auswählen. Wir bezeichnen diese als Hostauthentifizierungs- und Sicherheitseinstellungen, und sie werden von allen Organisationen standardmäßig übernommen. Erfahren Sie, wie Sie die Hostauthentifizierungs- und Sicherheitseinstellungen konfigurieren.
• Organization-level authentication settings: As an organization administrator, you can choose the authentication and related security settings for your organization. Some settings are inherited from the host level, but you can override them if different settings should apply for your organization. Learn to configure organization-level authentication and security settings.

In der folgenden Tabelle werden die Authentifizierung und die zugehörigen Sicherheitseinstellungen für Hostebenen für alle Organisationen gleichzeitig oder für jede Organisation beschrieben:

	Azure AD-Hostebene	Azure AD-Organisationsebene	SAML Host-Ebene	SAML-Organisationsebene
Verzeichnisintegration	Nein	Ja	Nein	Ja
Automatische Bereitstellung	Ja	Ja	Nein	Ja
Automatische Gruppenbereitstellung	Nein	Nein	Nein	Ja

Über externe Anbieter

Mit der Automation Suite können Sie einen externen Identitätsanbieter konfigurieren, um zu steuern, wie sich Ihre Benutzer anmelden. Die folgende Tabelle gibt einen Überblick über die verschiedenen verfügbaren externen Anbieter auf Hostebene:

Integration externer Anbieter	Authentication	Verzeichnissuche	Bereitstellungen durch Administratoren
Active Directory- und Windows-Authentifizierung	Administratoren können SSO mit Windows-Authentifizierung mit dem Kerberos-Protokoll verwenden.	Administratoren können im Active Directory nach Benutzern suchen.	Damit sich ein Benutzer anmelden kann, sollte der Benutzer oder eine Gruppe, der der Benutzer angehört, bereits zu Automation Suite hinzugefügt worden sein. Active Directory-Benutzer und -Gruppen sind über die Verzeichnissuche in der Automation Suite zu finden.
Azure Active Directory	Administratoren können SSO mit Azure AD mit dem OpenID Connect-Protokoll verwenden.	Nicht unterstützt	Benutzer müssen manuell in der Automation Suite bereitgestellt werden und dabei eine E-Mail-Adresse verwenden, die mit der des Azure AD-Kontos übereinstimmt.
Google	Benutzer können SSO mit Google mithilfe des OpenID Connect-Protokolls verwenden.	Nicht unterstützt	Benutzer müssen manuell in der Automation Suite-Organisation mit einer E-Mail-Adresse bereitgestellt werden, die ihrem Google-Konto entspricht.
SAML 2.0	Benutzer können SSO mit jedem Identitätsanbieter verwenden, der SAML unterstützt	Nicht unterstützt	Benutzer müssen manuell in die Automation Suite-Organisation eingetragen werden, und zwar mit dem Benutzernamen/der E-Mail-Adresse/dem externem Anbieterschlüssel, den der externe Identitätsanbieter verlangt und mit dem SAML-Konto übereinstimmt.

Hinweis:

Unterschiede zwischen der Integration von Azure AD auf Host- und Organisationsebene

Der externe Identitätsanbieter auf Hostebene „Azure AD“ aktiviert nur SSO-Funktionen. Das bedeutet, dass der Benutzer manuell bei der Automation Suite-Organisation mit einer E-Mail-Adresse eingetragen werden muss, die mit dem Azure AD-Konto übereinstimmt, damit er sich bei der Organisation anmelden kann.

Wenn die Organisationsebene konfiguriert wird, werden Benutzer, die sich über Azure AD (SSO) bei der Organisation anmelden, automatisch in der Automation Suite bereitgestellt. Darüber hinaus können angemeldete Verzeichnisbenutzer nach anderen Benutzern in Azure AD suchen.

Organisationsauthentifizierung

Azure Active Directory-Modell

The integration with Azure Active Directory (Azure AD) offers scalable user and access management for your organization, allowing for compliance across all the internal applications used by your employees. If your organization is using Azure AD or Office 365, you can connect your instanceName directly to your Azure AD tenant to obtain the following benefits:

Automatisches Benutzer-Onboarding mit nahtloser Migration

• Alle Benutzer und Gruppen von Azure AD sind für jeden Dienst zum Zuweisen von Berechtigungen verfügbar, ohne dass Azure AD-Benutzer im Organisationsverzeichnis eingeladen und verwaltet werden müssen.
• Sie können SSO für Benutzer bereitstellen, deren Unternehmensbenutzername von ihrer E-Mail-Adresse abweicht, was mit dem einladungsbasierten Modell nicht möglich ist.
• Die Berechtigungen aller vorhandenen Benutzer mit UiPath®-Benutzerkonten werden automatisch zu ihrem verbundenen Azure AD-Konto migriert.

Vereinfachte Anmeldung

• Benutzer müssen keine Einladung annehmen oder ein UiPath-Benutzerkonto erstellen, um auf die Organisation zugreifen zu können, wie im Standardmodell. Sie melden sich mit ihrem Azure AD-Konto an, indem sie die Option „Enterprise SSO“ auswählen oder ihre organisationsspezifische URL verwenden.

  Wenn der Benutzer bereits bei Azure AD oder Office 365 angemeldet ist, wird er automatisch angemeldet.

• UiPath Assistant and Studio versions 20.10.3 and higher can be preconfigured to use a custom instanceNameURL, which leads to the same seamless connection experience.

Skalierbare Governance- und Zugriffsverwaltung mit vorhandenen Azure AD-Gruppen

• Azure AD security groups or Office 365 groups, also known as directory groups, allow you to leverage your existing organizational structure to manage permissions at scale. You no longer need to configure permissions in instanceName services for each user.

• You can combine multiple directory groups into one instanceName group if you need to manage them together.

• Auditing instanceName access is simple. After you've configured permissions in all Orchestrator services using Azure AD groups, you utilize your existing validation processes associated with Azure AD group membership.

  Hinweis:

  Bei Nutzung des Azure AD-Modells können Sie weiterhin alle Funktionen des Standard-Modells verwenden. Um die Vorteile zu maximieren, empfehlen wir jedoch, sich ausschließlich auf die zentralisierte Kontoverwaltung von Azure AD zu verlassen.

  If you would like to use Azure Active Directory as the identity provider for your organization, follow the instructions in Setting up the Azure AD integration.

SAML-Modell

This model allows you to connect instanceName to your chosen identity provider (IdP) so that:

• Ihre Benutzer von SSO profitieren können und
• you can manage existing accounts from your directory in instanceName, without having to re-create identities.

instanceName can connect to any external identity provider that uses the SAML 2.0 standard to obtain the following benefits:

Automatisches Onboarding von Benutzern

Alle Benutzer Ihres externen Identitätsanbieters sind berechtigt, sich mit grundlegenden Rechten anzumelden, wenn die SAML-Integration aktiv ist. Das bedeutet:

• Benutzer können sich bei Ihrer Organisation über SSO mit ihrem vorhandenen Firmenkonto anmelden, wie im IdP definiert.
• Ohne weitere Einstellungen können sie standardmäßig auf die Organisation zugreifen. Zum Arbeiten in der Organisation benötigen die Benutzer Rollen und Lizenzen, die ihrer Rolle entsprechen.

Protokolle

Sie können Benutzer durch direkte Zuweisung zu Gruppen hinzufügen. Dazu müssen Sie nur die E-Mail-Adresse der Benutzer eingeben, wenn Sie sie der Gruppe hinzufügen.

In der Regel verwalten Administratoren lokale Konten über „Administrator“ > „Organisation“ > „Konten und Gruppen“ > Registerkarte „Benutzer“ . SAML-Benutzer sind jedoch Verzeichniskonten, sodass sie auf dieser Seite nicht sichtbar sind.

Nachdem ein Benutzer zu einer Gruppe hinzugefügt wurde oder sich mindestens einmal angemeldet hat (wodurch er automatisch der Gruppe „Everyone“ hinzugefügt wird), steht er in allen Diensten für die direkte Zuweisung von Rollen oder Lizenzen zur Verfügung.

Attributzuordnung

If you use UiPath Automation Hub, you can define custom attribute mapping to propagate attributes from your identity provider into instanceName. For example, when an account is first added to Automation Hub, the first name, last name, email address, job title, and department of the user are already populated.

Einrichten

Administratoren können die SAML-Integration für Ihre gesamte Organisation über Administrator > Sicherheitseinstellungen > Authentifizierungseinstellungen konfigurieren und aktivieren.

Anweisungen finden Sie unter .

Übergang von der Azure AD-Integration zur SAML-Integration

Nach dem Wechsel zur SAML-Integration ist die Azure AD-Integration deaktiviert. Die Gruppenzuweisungen von Azure AD gelten nicht mehr, so dass die Gruppenmitgliedschaft des Orchestrators und die von Azure AD geerbten Berechtigungen nicht mehr berücksichtigt werden.