Konfigurieren der Active Directory-Integration

Sie können SSO mit der Windows-Authentifizierung aktivieren und die Verzeichnissuchfunktion mit der Active Directory-Integration aktivieren. Mit der Verzeichnissuche können Sie nach Verzeichniskonten und -gruppen suchen und mit diesen arbeiten, wie Sie es mit lokalen Konten tun würden.

Bekannte Einschränkungen

• Die Verzeichnissuche findet keine Benutzer aus einer externen Vertrauensdomäne. Diese Funktion wird nicht unterstützt, da keine vertrauenswürdige Instanz mit externen Vertrauensstellungen vorhanden ist.
• Die Windows-Authentifizierung verwendet das Kerberos-Protokoll in der Automation Suite, daher kann die Windows-Anmeldung nur mit Maschinen verwendet werden, die der Domäne hinzugefügt wurden.

Schritt 1. Konfigurieren der Active Directory-Integration

Arbeiten Sie mit Ihren IT-Administratoren zusammen, um sicherzustellen, dass der Automation Suite-Cluster auf Ihr Active Directory (AD) zugreifen kann.

Die Active Directory-Integration kann mit einer von zwei Optionen konfiguriert werden:

1. Kerberos-Authentifizierung
2. UsernameAndPassword

Die Kerberos-Authentifizierung wird empfohlen, da sie mehr Szenarien unterstützt:

Szenario	UsernameAndPassword	Kerberos-Authentifizierung
Verzeichnissuche nach Domänen in derselben Gesamtstruktur	Wird unterstützt	Wird unterstützt
Verzeichnissuche nach Domänen in vertrauenswürdiger Gesamtstruktur	Nicht unterstützt	Wird unterstützt
Verzeichnissuche nach externen, vertrauenswürdigen Domänen	Nicht unterstützt	Nicht unterstützt

A. Kerberos-Konfiguration (empfohlen)

1. Konfigurieren Sie die Kerberos-Authentifizierung gemäß den Anweisungen unter Einrichten der Kerberos-Authentifizierung.
2. Melden Sie sich als Systemadministrator beim Hostportal der Automation Suite an.
3. Gehen Sie zu Benutzer und wählen Sie die Registerkarte Authentifizierungseinstellungen aus.
4. Klicken Sie im Abschnitt Externe Anbieter unter Active Directory auf Konfigurieren.
   • Aktivieren Sie das Kontrollkästchen Aktiviert.
   • Wählen Sie das Kontrollkästchen Kerberos-Authentifizierung verwenden aus.
5. Klicken Sie auf Testen und Speichern, um Ihre Änderungen zu speichern.
6. Starten Sie den Pod „identity-service-api-*“ neu.
   1. Stellen Sie mit SSH eine Verbindung mit dem primären Server her.
   2. Führen Sie den folgenden Befehl aus: kubectl -n uipath rollout restart deployment identity-service-api

B. Konfiguration mit Benutzername und Kennwort (nicht empfohlen)

Wichtig: Wenn Sie diese Option verwenden, verwendet der UiPath-Dienst die im Klartext bereitgestellten Anmeldeinformationen für die Kommunikation mit dem Active Directory.

Hinweis: Nur Benutzer aus der gleichen Domäne, die auf dieser Seite konfiguriert ist, können mit dem UiPath-Cluster interagieren.

1. Melden Sie sich als Systemadministrator beim Hostportal der Automation Suite an.
2. Gehen Sie zu Benutzer und wählen Sie die Registerkarte Authentifizierungseinstellungen aus.
3. Klicken Sie im Abschnitt Externe Anbieter unter Active Directory auf Konfigurieren.

   Der Bereich Konfigurieren des Active Directory wird rechts neben dem Fenster geöffnet.

4. Konfigurieren Sie die Integration wie folgt:
   • Aktivieren Sie das Kontrollkästchen Aktiviert.
   • Um die Anmeldung mit diesem Anbieter zu erzwingen, aktivieren Sie das Kontrollkästchen Automatische Anmeldung mit diesem Anbieter erzwingen.
   • Aktivieren Sie das Kontrollkästchen Kerberos-Authentifizierung verwenden, um das Kerberos -Protokoll für die Authentifizierung zu verwenden. (Empfohlen)
   • Geben Sie im Feld Anzeigename den Text ein, der auf der Anmeldeseite unter dieser Anmeldeoption angezeigt werden soll.
   • Geben Sie im Feld Standarddomäne Ihren vollqualifizierten Domänennamen (FQDN) für Active Directory (AD) ein.
   • Geben Sie im Feld Benutzername den Benutzernamen eines AD-Benutzers ein. Er muss im Format DOMAIN\username vorliegen. Beispiel: TESTDOMAIN\user1
   • Geben Sie im Feld Benutzerkennwort das Kennwort für das obige AD-Konto ein.
5. Klicken Sie auf Testen und Speichern, um die Änderungen zu übernehmen.
6. Starten Sie den Pod „identity-service-api-*“ neu.
   1. Stellen Sie mit SSH eine Verbindung mit dem primären Server her.
   2. Führen Sie den folgenden Befehl aus: kubectl -n uipath rollout restart deployment identity-service-api

Fehlersuche und ‑behebung

Wenn Sie den Fehler Domain unreachable erhalten, überprüfen Sie das DNS-Routing mithilfe des Befehls getent ahosts <AD domain>.

Wenn keine IP-Adresse zurückgegeben wird, überprüfen Sie den /etc/resolv.conf-Knoten. Der Nameserver-Wert muss auf den AD Domänen-DNS verweisen. Wenn dies nicht der Fall ist, wenden Sie sich an Ihren Systemadministrator, um die richtige Konfiguration zu erhalten.

Wenn der Knoten bei Azure ausgeführt wird, befolgen Sie die Anweisungen in der Namensauflösung für Ressourcen in virtuellen Azure-Netzwerken.

Eine Möglichkeit hierfür ist:

1. Wechseln Sie in Azure zum virtuellen Knotennetzwerk und legen Sie die DNS-Server des virtuellen Netzwerks auf die Active Directory-DNS fest.
2. Führen Sie systemctl restart NetworkManager.service aus und überprüfen Sie, ob /etc/resolv.conf aktualisiert ist.
3. Starten Sie das Cluster-Kern-DNS von ArgoCD aus neu.

Schritt 2. Konfigurieren einer Windows-Authentifizierung

Voraussetzung

Rufen Sie <KERB_DEFAULT_KEYTAB> ab, den base64-codierten String der Keytab-Datei, die als Teil der Kerberos-Einrichtung generiert wurde.

Konfigurieren des Automation Suite-Clusters

1. Gehen Sie zu Argo CD und melden Sie sich als Administrator an.
2. Wählen Sie die „UiPath“-Anwendung aus und öffnen Sie sie.
3. Klicken Sie in der linken oberen Ecke auf APP DETAILS.
4. Suchen Sie im Abschnitt PARAMETERS nach dem Parameter global.userInputs.identity.krb5KeytabSecret.

   Der Parameter hat standardmäßig einen Platzhalterwert.

5. Aktualisieren Sie den Platzhalterwert des Parameters mit <KERB_DEFAULT_KEYTAB> und speichern Sie dann.
6. Klicken Sie auf SYNC, um die Änderungen zu übernehmen.
7. Führen Sie nach einer erfolgreichen Synchronisierung den Befehl kubectl -n uipath rollout restart deployment identity-service-api aus, um den Identity Server neu zu starten.

Schritt 3. Browserkonfiguration

Microsoft Internet Explorer

Nicht unterstützt.

Microsoft Edge

Keine zusätzliche Konfiguration erforderlich.

Google Chrome

Normalerweise funktioniert Google Chrome ohne zusätzliche Konfiguration.

Wenn dies nicht der Fall ist, befolgen Sie die nachstehenden Anweisungen.

1. Gehen Sie zu Tools > Internetoptionen > Sicherheit.
2. Wählen Sie Lokales Intranet aus.
3. Klicken Sie auf Seiten.
4. Stellen Sie sicher, dass die Option Automatisches Erkennen des Intranet-Netzwerks ausgewählt ist oder dass alle Optionen ausgewählt sind.
5. Klicken Sie auf Erweitert.
6. Fügen Sie den FQDN der Automation Suite zum lokalen Intranet hinzu.
7. Klicken Sie auf Schließen und OK.
8. Klicken Sie auf Benutzerdefinierte Ebene.
9. Wählen Sie unter Benutzerauthentifizierung gegebenenfalls die Option Automatische Anmeldung nur in der Intranet-Zone aus

   Wenn diese Option ausgewählt ist, prüft der Browser die Quelle der Anforderung, wenn er die Authentifizierungsanforderung für die Umleitung erhält. Wenn die Domäne oder IP zum Intranet gehört, sendet der Browser den Benutzernamen und das Kennwort automatisch. Andernfalls öffnet der Browser ein Eingabedialogfeld für Benutzernamen und Kennwort und erwartet eine manuelle Eingabe.

10. Wählen Sie unter Benutzerauthentifizierung gegebenenfalls die Option Automatische Anmeldung mit aktuellem Benutzernamen und Kennwort aus.

    Wenn diese Option ausgewählt ist, sendet der Browser im Hintergrund den Benutzernamen und das Kennwort, wenn er die Authentifizierungsanforderung für die Umleitung erhält. Wenn das Authentifizierungsergebnis erfolgreich ist, setzt der Browser mit der ursprünglichen Aktion fort. Wenn die Authentifizierung fehlschlägt, öffnet der Browser ein Eingabedialogfeld für den Benutzernamen und das Kennwort und wiederholt die Authentifizierung, bis sie erfolgreich ist.

11. Stellen Sie sicher, dass die Option Integrierte Windows-Authentifizierung aktivieren unter der Registerkarte Internetoptionen > Erweitert und im Abschnitt Sicherheit ausgewählt ist.

Mozilla Firefox

1. Öffnen Sie das Fenster für die Browserkonfiguration.
2. Geben Sie about:config in die Adressleiste ein.
3. Geben Sie die Automation Suite-FQDNs an, für die Sie die Kerberos-Authentifizierung verwenden:
   1. Suchen Sie nach dem Begriff network.negotiate.
   2. Aktivieren und legen Sie Folgendes für Kerberos fest: network.negotiate-auth.delegation-uris (Beispielwert: uipath-34i5ui35f.westeurope.cloudapp.azure.com), network.negotiate-auth.trusted-uris (Beispielwert: uipath-34i5ui35f.westeurope.cloudapp.azure.com) und network.negotiate-auth.allow-non-fqdn (Wert: true).

Schritt 4. Zulassen der Windows-Authentifizierung für die Organisation

Nachdem die Automation Suite jetzt mit der Windows-Authentifizierung integriert ist, können Benutzer, für die ein Benutzerkonto in der Automation Suite erstellt wird, die Windows-Option auf der Anmeldeseite verwenden, um sich bei der Automation Suite anzumelden.

Jeder Organisationsadministrator muss dies für seine Organisation tun, wenn er die Anmeldung mit Windows-Anmeldeinformationen zulassen möchte.

1. Melden Sie sich als Organisationsadministrator bei der Automation Suite an.
2. Weisen Sie eine Rolle auf Organisationsebene einem Active Directory-Benutzer oder einer Gruppe zu, die Sie über die Suche auswählen können.
3. Wiederholen Sie den obigen Schritt für jeden Benutzer, dem Sie die Anmeldung mit der Windows-Authentifizierung erlauben möchten.

Die Benutzer, denen Sie Rollen zugewiesen haben, können sich dann mit ihrem Active Directory-Konto bei der Automation Suite-Organisation anmelden. Sie müssen sich von einer Maschine aus anmelden, die mit der Domäne verbunden ist.

Fehlersuche und ‑behebung

Wenn Sie eine HTTP 500-Fehlermeldung erhalten, wenn Sie versuchen, sich mit Windows-Anmeldeinformationen anzumelden, sollten Sie Folgendes überprüfen:

1. Ist die Windows-Maschinen mit der Domäne verbunden?

   Wechseln Sie auf der Maschine zu „Systemsteuerung“ > „System und Sicherheit“ > „System“ und überprüfen Sie, ob eine Domäne angezeigt wird. Wenn keine Domäne angezeigt wird, fügen Sie die Maschine zur Domäne hinzu. Maschinen müssen mit der Domäne verbunden sein, um die Windows-Authentifizierung mit dem Kerberos-Protokoll zu verwenden.

2. Können Sie sich bei der Windows-Maschine mit den gleichen Anmeldeinformationen anmelden?

   Wenn nicht, bitten Sie Ihren Systemadministrator um Hilfe.

3. Verwenden Sie einen anderen Browser als Microsoft Edge?

   Bei anderen unterstützten Browsern als Microsoft Edge ist eine zusätzliche Konfiguration erforderlich.

4. Überprüfen Sie die Keytab-Konfiguration:
   1. Nach dem Generieren der Keytab sollte die Eigenschaft des AD-Benutzers auf dem Active Directory Server (servicePrincpalName) in der Form HTTP/<Service Fabric FQDN> sein – z. B. HTTP/uipath-34i5ui35f.westeurope.cloudapp.azure.com.

   2. Die Option Dieses Konto unterstützt die Kerberos AES 256-Bit-Verschlüsselung muss für das Benutzerkonto in AD ausgewählt sein.

      Wenn sie nicht ordnungsgemäß konfiguriert ist, können Sie im Identity-Service-API-Protokoll Folgendes sehen:

      Microsoft.AspNetCore.Authentication.Negotiate.NegotiateHandler An exception occurred while processing the authentication request.
      GssApiException*GSSAPI operation failed with error - Unspecified GSS failure. Minor code may provide more information (Request ticket server HTTP/[e-mail] kvno 4 enctype aes256-cts found in keytab but cannot decrypt ticket).* at Microsoft.AspNetCore.Authentication.Negotiate.NegotiateHandler.HandleRequestAsync()

5. Wenn Sie mehrere Active Directorys in der von Ihnen verwendeten Domäne konfiguriert haben, schlägt die Authentifizierung fehl und im Identity-Service-API-Protokoll sehen Sie Folgendes:

   kinit: Client '[e-mail]' not found in Kerberos database while getting initial credentials

   Stellen Sie in diesem Fall sicher, dass das für die Authentifizierung erstellte Maschinenkonto in alle Active Directorys repliziert wird.

6. Wenn Sie ktpass ausführen und dem Benutzerkonto ein neues Kennwort zuweisen, erhöht sich die Schlüsselversion (kvno) und macht die alte Keytab ungültig. Im Identity-Service-API-Protokoll sehen Sie dann Folgendes:

   Request ticket server HTTP/rpasf.EXAMPLE.COM kvno 4 not found in keytab; ticket is likely out of date

   In diesem Fall müssen Sie krb5KeytabSecret in ArgoCD aktualisieren.
7. Wenn der folgende Fehler im identity-service-api -Pod angezeigt wird:

   GssApiException*GSSAPI operation failed with error - Unspecified GSS failure. Minor code may provide more information (Keytab FILE:/uipath/krb5/krb5.keytab is nonexistent or empty).

   1. Überprüfen Sie zuerst, ob Sie den Parameter global.userInputs.identity.krb5KeytabSecret in ArgoCD angegeben haben. Wenn der Parameter vorhanden ist, überprüfen Sie, ob Sie sich mit den Anmeldeinformationen des AD-Benutzers, der zum Generieren der Keytab verwendet wird, bei der Windows-Maschine anmelden können. Beachten Sie, dass Sie die Keytab neu generieren müssen, wenn das Kennwort geändert wurde oder abgelaufen ist.
   2. Eine weitere mögliche Ursache für dieses Problem ist, dass ArgoCD zuvor falsch synchronisiert wurde. Um das Problem zu beheben, entfernen Sie die vorhandene global.userInputs.identity.krb5KeytabSecret , synchronisieren Sie ArgoCD, und sobald der Vorgang erfolgreich ist, aktualisieren Sie global.userInputs.identity.krb5KeytabSecret , und synchronisieren Sie erneut.

8. Verwendet der Browser den erwarteten SPN?

   Wenn die Kerberos-Ereignisprotokollierung aktiviert wird, indem Sie diese Anweisungen befolgen, wird der Fehler KDC_ERR_S_PRINCIPAL_UNKNOWN in den Kerberos-Ereignisprotokollen angezeigt. Weitere Informationen zu diesem Problem finden Sie in der Microsoft-Dokumentation.

   Deaktivieren Sie zur Lösung dieses Problems die CNAME-Suche bei der Aushandlung der Kerberos-Authentifizierung, indem Sie die Gruppenrichtlinie ändern. Weitere Informationen finden Sie in den Anweisungen für Google Chrome und für Microsoft Edge .