Automation Suite

2022.10

False

Automation Suite-Administratorhandbuch

Letzte Aktualisierung 25. März 2024

Konfigurieren der SAML-Integration

Sie können Ihre Automation Suite-Organisation mit jedem Identitätsanbieter (IdP) verbinden, der den SAML 2.0-Standard verwendet. Auf dieser Seite wird der Gesamtprozess mit einigen Beispielkonfigurationen für die SAML-Integration beschrieben.

Übersicht über den Konfigurationsprozess

Die SAML-Integration ist so konzipiert, dass sie schrittweise und ohne Unterbrechung für bestehende Benutzer implementiert werden kann.

Die Hauptphasen des Prozesses, die auf dieser Seite ausführlicher beschrieben werden, sind:

Bereinigen von inaktiven Benutzerkonten
Konfigurieren der SAML-Integration
Übergang von bestehenden Benutzern zur Anmeldung mit SAML-SSO
Berechtigungen und Roboter für neue Benutzer konfigurieren
Verwendung von lokalen Konten einstellen (optional)

Bekannte Einschränkungen

Konten von Ihrem Identitätsanbieter können nicht durchsucht werden.

Mit der SAML-Integration können Sie nicht alle Benutzer und Gruppen ihres Identitätsanbieters durchsuchen. Nur bereitgestellte Benutzer des Verzeichnisses sind für die Suche verfügbar.

Verzeichnisbenutzer auf Organisationsebene können nicht angezeigt werden.

Auf Organisationsebene werden nur lokale Benutzer angezeigt. Bei der Just-in-Time-Bereitstellung werden Verzeichnisbenutzer hinzugefügt, sodass sie nicht auf der Verwaltungsseite Konten und Gruppen angezeigt werden.

Falsche ACS-URL in der SAML-Konfigurationsbenutzeroberfläche

Die Seite SAML SSO-Konfiguration zeigt eine falsche Assertion Customer Service-URL an.

Problemumgehung: Um dieses Problem zu beheben, konfigurieren Sie die Assertion Customer Service-URL im IDP ohne die Partitions-ID. Beispielsweise würde die ursprüngliche URL https://{your-domain}/91483651-d8d6-4673-bd3f-54b0f7dc513a/identity_/Saml2/Acs zu https://{your-domain}/identity_/Saml2/Acs werden.

Hinweis:

Diese Abhilfe hat zwei Nachteile:

IDP-initiierte Anmeldeabläufe funktionieren nicht wie erwartet.
Dieses Problem wurde in 2023.4 behoben. Nach dem Upgrade auf 2023.4+ müssen Sie die Assertion Customer Service-URL ändern, um die Partitions-ID einzuschließen.

Voraussetzungen

Um die SAML-Integration einzurichten, benötigen Sie:

Eine Automation Suite-Organisation mit einer Enterprise- oder Enterprise-Testlizenz.
Administratorberechtigungen sowohl in der Automation Suite als auch in Ihrem Identitäts-Drittanbieter.

Wenn Sie bei Ihrem Identitätsanbieter nicht über Administratorberechtigungen verfügen, können Sie mit einem Administrator zusammenarbeiten, um den Einrichtungsprozess abzuschließen.
Version 2020.10.3 oder höher von UiPath Studio und vom UiPath Assistant, damit Sie sie so einrichten können, dass die empfohlene Bereitstellung verwendet wird.

Hinweis:

Wechseln von der Azure Active Directory-Integration

Wenn Sie derzeit das für die Authentifizierung verwenden, empfehlen wir, bei der AAD-Integration zu bleiben, da diese funktionsreicher ist.

Wenn Sie sich für einen Wechsel von der AAD-Integration entscheiden, müssen Sie die Rollenzuweisung über Verzeichnisgruppen manuell durch eine direkte Rollenzuweisung zu den Verzeichniskonten ersetzen. So müssen Sie Ihr Zugriffsschema nicht komplett neu erstellen.

Schritt 1. Inaktive Benutzerkonten bereinigen

Wenn Ihre Organisation E-Mail-Adressen wiederverwendet, ist es wichtig, dass Sie alle inaktiven Benutzerkonten entfernen, bevor Sie die SAML-Integration konfigurieren.

Wenn Sie die Integration aktivieren, können lokale Konten in der Automation Suite mit dem Verzeichniskonto im externen Identitätsanbieter verknüpft werden, der dieselbe E-Mail-Adresse verwendet. Diese Kontoverknüpfung erfolgt, wenn sich der Verzeichniskontobenutzer mit der E-Mail-Adresse zum ersten Mal anmeldet. Die Identität von Ihrem Identitätsanbieter übernimmt alle Rollen, die das lokale Konto hatte, sodass der Übergang nahtlos verläuft.

Aus diesem Grund besteht bei inaktiven lokalen Konten in der Automation Suite das Risiko, dass lokale Konten und Verzeichniskonten nicht übereinstimmen, was zu einer unbeabsichtigten Erhöhung von Berechtigungen führen kann.

So entfernen Sie inaktive Benutzerkonten:

Melden Sie sich bei der Automation Suite als Organisationsadministrator an.
Wechseln Sie zu Administrator, stellen Sie sicher, dass die Organisation oben im linken Bereich ausgewählt ist, und klicken Sie dann auf Konten und Gruppen.

Hinweis: Wenn Sie immer noch die alte Administratoroberfläche verwenden, wechseln Sie zu Administrator und wählen Sie Konten und Gruppen auf der linken Seite aus.
Klicken Sie auf der Seite Benutzer auf den Spaltenheader für die Spalte Zuletzt aktiv, um die Benutzer neu anzuordnen, sodass die Benutzer mit dem ältesten Datum für die letzte Anmeldung oben angezeigt werden:

In der Spalte Zuletzt aktiv wird das Datum angezeigt, an dem sich der Benutzer zum letzten Mal in der Automation Suite angemeldet hat. Wenn Sie in dieser Spalte „Ausstehend“ sehen, wie im obigen Beispiel, bedeutet das, dass der Benutzer sich nie angemeldet hat. Sie können diese Informationen verwenden, um Ihre inaktiven Benutzer zu identifizieren.
Klicken Sie auf das Symbol Löschen am Ende der Zeile, um das lokale Konto für diesen Benutzer zu entfernen.
Klicken Sie im Bestätigungsdialogfeld auf Löschen, um das Löschen des Kontos aus der Automation Suite zu bestätigen.

Das Benutzerkonto wird von der Seite entfernt.
Löschen Sie weiterhin alle inaktiven Benutzerkonten in Ihrer Organisation.

Schritt 2. Die SAML-Integration konfigurieren

Jetzt müssen Sie sowohl die Automation Suite als auch Ihren Identitätsanbieter (IdP) für die Integration konfigurieren.

Schritt 2.1. Informationen zum SAML-Dienstanbieter abrufen

Melden Sie sich bei der Automation Suite als Organisationsadministrator an.
Wechseln Sie zu Administrator, stellen Sie sicher, dass die Organisation oben im linken Bereich ausgewählt ist, und klicken Sie dann auf Sicherheit.

Hinweis: Wenn Sie immer noch die alte Administratorumgebung verwenden, wechseln Sie zu Administrator und wählen Sie links Sicherheitseinstellungen aus.
Klicken Sie auf SSO konfigurieren und dann im sich öffnenden Bereich auf SAML 2.0:

Hinweis: Klicken Sie im AbschnittExterne Anbieter unter SAML 2.0 stattdessen auf Konfigurieren.
Die nächste Seite bietet einen Überblick über die Integration.
Klicken Sie in der unteren rechten Ecke auf Weiter, um mit der Konfiguration fortzufahren.

Hinweis: Im Schritt Allgemeine Details finden Sie unter In IdP zu konfigurierende Daten die erforderlichen Informationen zur Konfiguration Ihres Identitätsanbieters für die Verbindung mit der Automation Suite.
Kopieren und speichern Sie die Werte für die Metadaten-URL, die Entitäts-ID und die Assertion Consumer Service-URL. Diese benötigen Sie im nächsten Schritt.
Lassen Sie diese Registerkarte im Browser für später geöffnet.

Schritt 2.2. Ihren Identitätsanbieter konfigurieren

Die Automation Suite kann sich mit jedem externen Identitätsanbieter (IdP) verbinden, der den SAML 2.0-Standard verwendet.

Obwohl die Konfiguration je nach Ihrem gewählten IdP variieren kann, haben wir die Konfiguration für die folgenden Anbieter validiert, die Sie als Referenz zum Konfigurieren der Integration verwenden können:

Okta
PingOne

Bei anderen Identitätsanbietern empfehlen wir Ihnen, deren Integrationsdokumentation zu befolgen.

Beispielkonfiguration für Okta

Die Anweisungen in diesem Abschnitt beziehen sich auf eine Beispielkonfiguration. Weitere Informationen zu IdP-Einstellungen, die hier nicht behandelt werden, finden Sie in der Okta-Dokumentation.

Melden Sie sich in einer anderen Registerkarte im Browser bei der Okta-Administratorkonsole an.
Gehen Sie zu „Anwendungen“ > „Anwendungen“, klicken Sie auf App-Integration erstellen und wählen Sie SAML 2.0 als Anmeldemethode aus.
Geben Sie auf der Seite Allgemeine Einstellungen einen Namen für die App an, mit der Sie die Integration vornehmen, also die Automation Suite.
Füllen Sie auf der Seite SAML konfigurieren den Abschnitt Allgemein wie folgt aus:
- URL für einmaliges Anmelden: Geben Sie den Wert der Assertion Consumer Service-URL ein, den Sie von der Automation Suite erhalten haben.
- Aktivieren Sie das Kontrollkästchen Dies für Empfänger-URL und Ziel-URL verwenden.
- Empfänger-URI: Geben Sie den Wert der Entitäts-ID ein, den Sie von der Automation Suite erhalten haben.
- Name ID-Format: E-Mail-Adresse auswählen.
- Anwendungsbenutzername: E-Mail auswählen
Fügen Sie bei Attributanweisungen Folgendes hinzu:
- Name: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
- Lassen Sie das Namensformat als Nicht angegeben.
- Legen Sie den Wert auf user.email oder das Benutzerattribut fest, das die eindeutige E-Mail-Adresse des Benutzers enthält.
- Fügen Sie optional weitere Attributzuordnungen hinzu. Die Automation Suite unterstützt auch die Benutzerattribute Vorname, Nachname, Berufsbezeichnung und Abteilung. Diese Informationen werden dann an die Automation Suite weitergegeben, wo sie anderen Diensten wie dem Automation Hub zur Verfügung gestellt werden können.
Wählen Sie auf der Seite Feedback die Option aus, die Sie bevorzugen.
Klicken Sie Beenden an.
Kopieren Sie auf der Registerkarte Anmelden im Abschnitt Einstellungen unter Setup-Anweisungen anzeigen den Wert Metadaten-URL des Identitätsanbieters und speichern sie ihn für später.
Wählen Sie die neu erstellte Anwendung für die Automation Suite auf der Seite Anwendung aus.
Wählen Sie auf der Registerkarte Zuweisungen die Option „Zuweisen“ > „Personen zuweisen“ aus und wählen Sie dann die Benutzer aus, die die SAML-Authentifizierung für die Automation Suite verwenden möchten. Die neu hinzugefügten Benutzer werden auf der Registerkarte Mitarbeiter (People) angezeigt.

Beispielkonfiguration für PingOne

Die Anweisungen in diesem Abschnitt beziehen sich auf eine Beispielkonfiguration. Weitere Informationen zu IdP-Einstellungen, die hier nicht behandelt werden, finden Sie in der PingOne-Dokumentation.

Melden Sie sich in einer anderen Registerkarte im Browser bei der Okta-Administratorkonsole an.
Gehen Sie zu „Anwendungen“ > „Anwendungen“, klicken Sie auf App-Integration erstellen und wählen Sie SAML 2.0 als Anmeldemethode aus.
Geben Sie auf der Seite Allgemeine Einstellungen einen Namen für die App an, mit der Sie die Integration vornehmen, also die Automation Suite.
Füllen Sie auf der Seite SAML konfigurieren den Abschnitt Allgemein wie folgt aus:
- URL für einmaliges Anmelden: Geben Sie den Wert der Assertion Consumer Service-URL ein, den Sie von der Automation Suite erhalten haben.
- Aktivieren Sie das Kontrollkästchen Dies für Empfänger-URL und Ziel-URL verwenden.
- Empfänger-URI: Geben Sie den Wert der Entitäts-ID ein, den Sie von der Automation Suite erhalten haben.
- Format der Namens-ID: EmailAddress auswählen.
- Anwendungsbenutzername: E-Mail auswählen
Fügen Sie bei Attributanweisungen Folgendes hinzu:
- Name: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
- Lassen Sie das Namensformat als Nicht angegeben.
- Legen Sie den Wert auf user.email oder das Benutzerattribut fest, das die eindeutige E-Mail-Adresse des Benutzers enthält.
- Fügen Sie optional weitere Attributzuordnungen hinzu. Die Automation Suite unterstützt auch die Benutzerattribute Vorname, Nachname, Berufsbezeichnung und Abteilung. Diese Informationen werden dann an die Automation Suite weitergegeben, wo sie anderen Diensten wie dem Automation Hub zur Verfügung gestellt werden können.
Wählen Sie auf der Seite Feedback die Option aus, die Sie bevorzugen.
Klicken Sie Beenden an.
Kopieren Sie auf der Registerkarte Anmelden im Abschnitt Einstellungen unter Setup-Anweisungen anzeigen den Wert Metadaten-URL des Identitätsanbieters und speichern sie ihn für später.
Wählen Sie die neu erstellte Anwendung für die Automation Suite auf der Seite Anwendung aus.
Wählen Sie auf der Registerkarte Zuweisungen die Option „Zuweisen“ > „Personen zuweisen“ aus und wählen Sie dann die Benutzer aus, die die SAML-Authentifizierung für die Automation Suite verwenden möchten. Die neu hinzugefügten Benutzer werden auf der Registerkarte Mitarbeiter (People) angezeigt.

Schritt 2.3. Automation Suite konfigurieren

Um die Automation Suite als Dienstanbieter zu aktivieren, der Ihren Identitätsanbieter erkennt, führen Sie die folgenden Schritte aus:

Kehren Sie zur Registerkarte SAML-Konfiguration in der Automation Suite zurück.
Füllen Sie im Schritt Allgemeine Details unter Daten aus IdP das Feld Metadaten-URL mit der Metadaten-URL aus, die während der Konfiguration abgerufen wurde.
Klicken Sie auf Daten abrufen.

Hinweis:
Nach Abschluss des Vorgangs werden die Felder Anmelde-URL, ID der Identitätsanbieterentität und Signaturzertifikat mit den IdP-Informationen gefüllt.
Klicken Sie in der unteren rechten Ecke auf Weiter, um zum nächsten Schritt zu wechseln.
Geben Sie in den Bereitstellungseinstellungen den Abschnitt Zulässige Domänen die Domänen an, von denen aus Sie Benutzern die Anmeldung ermöglichen möchten. Geben Sie alle Domänen ein, die vom konfigurierten Identitätsanbieter unterstützt werden.

Sie können mehrere Domains durch Kommata voneinander trennen.
Aktivieren Sie das Kontrollkästchen, um zu bestätigen, dass Sie mit der Verknüpfung von Konten mit übereinstimmenden E-Mail-Adressen einverstanden sind.
Geben Sie optional die Attributzuordnung ein.
Wenn Sie auch erweiterte Details konfigurieren möchten, klicken Sie unten rechts auf Weiter, um zum letzten Schritt zu gelangen.

Klicken Sie andernfalls auf Testen und Speichern, um die Konfiguration der Integration abzuschließen und die verbleibenden Schritte in diesem Abschnitt zu überspringen.
Konfigurieren Sie auf der Seite Erweiterte Einstellungen die Optionen nach Bedarf:
- Unangeforderte Authentifizierungsantwort zulassen: Aktivieren Sie diese Option, wenn Sie aus dem IdP-Dashboard zur Automation Suite navigieren möchten.
- SAML-Bindungstyp: Eine HTTP-Umleitung konfiguriert die SAML-Konfiguration für die Kommunikation mit URL-Parametern über den HTTP-Benutzer-Agent.
- Dienstzertifikatnutzung: Wählen Sie die gewünschte Option aus.
Klicken Sie auf Testen und Speichern, um die Integrationskonfiguration fertig zu stellen.

Schritt 2.4. Überprüfen Sie, ob die Integration ausgeführt wird.

Um zu überprüfen, ob die SAML-SSO-Integration ordnungsgemäß funktioniert, stellen Sie sicher, dass die Integration ausgeführt wird:

Öffnen Sie ein Inkognito-Browserfenster.
Navigieren Sie zu Ihrer organisationsspezifischen URL der Automation Suite.
Überprüfen Sie Folgendes:
- Werden Sie aufgefordert, sich mit Ihrem SAML-Identitätsanbieter anzumelden?
- Können Sie sich erfolgreich anmelden?
- Wenn Sie sich mit einer E-Mail-Adresse anmelden, die mit einem vorhandenen Benutzerkonto übereinstimmt, verfügen Sie dann über die entsprechenden Berechtigungen?

Schritt 2.5. Bereitstellungsregeln konfigurieren (optional)

Administratoren können Just-in-Time-Bereitstellungsregeln einrichten, die Benutzer automatisch zu einer vorhandenen UiPath-Gruppe hinzufügen, indem sie die Attributnamen-/Wertpaare verwenden, die vom IdP bei der Anmeldung angegeben wurden. Durch die Nutzung von Gruppen erhalten Benutzer automatisch die richtigen Lizenzen und Rollen, wenn sie sich anmelden.

Just-in-Time-Bereitstellungsregeln werden überprüft, wenn sich ein Benutzer anmeldet. Wenn das Benutzerkonto die Bedingungen für eine Regel erfüllt, wird es automatisch der Gruppe hinzugefügt, die der Regel zugeordnet ist.

Beispielsweise kann ein Administrator eine Regel konfigurieren, um Benutzer mithilfe dieser Einstellungen direkt in der Gruppe „Automation Users“ bereitzustellen: Anspruch=group, Beziehung=is, Wert=Automation User.

Phase 1. Bereitstellungsgruppen einrichten

Das Hinzufügen eines Kontos zu einer Gruppe bedeutet, dass das Konto die für die Gruppe definierten Lizenzen, Rollen und Roboterkonfigurationen erbt, sofern vorhanden.

Wenn Sie also eine Gruppe für einen bestimmten Benutzertyp einrichten (z. B. Ihre Mitarbeiter, die die Automatisierungen erstellen, oder Ihre Mitarbeiter, die die Automatisierungen testen), können Sie einen neuen Mitarbeiter dieses Typs aufnehmen, indem Sie einfach dessen Konto im IdP auf die gleiche Weise wie andere ähnliche Konten einrichten.

Auf diese Weise richten Sie die Gruppe einmal ein und wiederholen dann die Einrichtung, indem Sie der Gruppe bei Bedarf Konten hinzufügen. Wenn sich die Einrichtung für eine bestimmte Gruppe von Benutzern ändern muss, müssen Sie die Gruppe nur einmal aktualisieren und die Änderungen gelten für alle Konten in der Gruppe.

So richten Sie eine Gruppe für eine Bereitstellungsregel ein:

Neue lokale Gruppe erstellen. Siehe Hinzufügen von Gruppen.

Wenn Sie möchten, können Sie eine Ihrer vorhandenen Gruppen verwenden, anstatt eine neue zu erstellen.
(Optional und erfordert eine Benutzerlizenzverwaltung) Wenn Benutzer in dieser Gruppe Benutzerlizenzen benötigen, richten Sie Regeln für die Lizenzzuweisung für die Gruppe ein. Siehe Zuweisen von Lizenzen nach Gruppenmitgliedschaft.

Wenn Sie eine vorhandene Gruppe verwenden, überprüfen Sie die Lizenzzuweisung für die Gruppe, um sicherzustellen, dass die richtigen Lizenzen zugewiesen werden. Wenn dies nicht der Fall ist, ändern Sie entweder die Zuweisungen oder erstellen Sie eine neue Gruppe.
Weisen Sie Mandantenrollen zu und vervollständigen Sie optional die Robotereinrichtung für die Gruppe. Siehe Zuweisen von Rollen zu Gruppen.

Wenn Sie eine vorhandene Gruppe verwenden, überprüfen Sie die Rollen, die der Gruppe derzeit zugewiesen sind, um sicherzustellen, dass sie für den Benutzertyp geeignet sind, den Sie der Gruppe hinzufügen werden. Wenn dies nicht der Fall ist, bearbeiten Sie die Rollen, die dieser Gruppe zugewiesen sind, oder erstellen Sie eine neue Gruppe.
Fügen Sie die Gruppe zu Ordnern hinzu und weisen Sie nach Bedarf Ordnerrollen zu. Siehe Verwalten des Ordnerzugriffs.

Jetzt können Sie diese Gruppe in einer Bereitstellungsregel verwenden.

Phase 2. Eine Bereitstellungsregel für eine Gruppe erstellen

Hinweis:

Stellen Sie sicher, dass der mit der SAML-Bereitstellungsregel verbundene Anspruch an die SAML-Nutzlast gesendet wird, indem Sie sie in der SAML-Anwendung konfigurieren.

Nachdem die SAML-Integration konfiguriert und nachdem Sie eine Gruppe eingerichtet haben:

Wechseln Sie zu Administrator > Sicherheitseinstellungen > Authentifizierungseinstellungen.
Klicken Sie unter der Option SAML-SSO auf Bereitstellungsregeln anzeigen:

Die Seite SAML SSO-Bereitstellungsregeln wird geöffnet, auf der Ihre vorhandenen Regeln aufgeführt sind.
Klicken Sie in der oberen rechten Ecke der Seite auf Regel hinzufügen.

Die Seite Neue Regel hinzufügen wird geöffnet.
Füllen Sie unter Grundlegende Details das Feld Regelname und optional das Feld Beschreibung aus.
Klicken Sie unter Bedingungen auf Regel hinzufügen.

Eine Reihe von Feldern für eine neue Bedingung wird hinzugefügt. Gemeinsam definieren sie die Kriterien, die ein Konto bei der Anmeldung erfüllen muss, um einer (später ausgewählten) Gruppe hinzugefügt zu werden.
Geben Sie im Feld Anspruch den Namen des Anspruchs ein, so wie er im IdP angezeigt wird.

Wählen Sie auf der Liste Beziehung aus, wie sich der Anspruch auf den Wert bezieht. Die folgenden Optionen sind verfügbar:

Beziehung	Bedingungsanforderung	Beispiel
ist	genaue Übereinstimmung, Groß-/Kleinschreibung wird beachtet	`Department is RPA` setzt voraus, dass der Wert für den `Department`-Anspruch `RPA` ist. Die Bedingung wird nicht erfüllt, wenn der Wert z. B. `RPADev` ist. Diese Beziehung funktioniert für Ansprüche mit mehreren Werten. Wenn beispielsweise die Werte `administrator` und `developer` unter `Group` gesendet werden, dann wäre `Group is administrator` eine gültige Beziehung.
ist nicht	alles außer dem angegebenen Wert, Groß-/Kleinschreibung wird beachtet	Bei `Department is not ctr` wird der Gruppe jedes Konto hinzugefügt, es sei denn, der Wert von `Department` ist `ctr`. Die Bedingung ist erfüllt, wenn die Abteilung `Ctr` oder `electr` ist.
enthält	beinhaltet, erfordert keine exakte Übereinstimmung, Groß-/Kleinschreibung wird beachtet	`Department contains RPA` erfordert, dass der Wert für den `Department`-Anspruch `RPA` enthält. Die Bedingung wird erfüllt, wenn der Wert z. B. `RPADev`, `xRPAx` oder `NewRPA` ist.
enthält nicht	schließt aus, erfordert keine exakte Übereinstimmung, Groß- und Kleinschreibung wird beachtet	Bei `Department not contains ctr` wird der Gruppe jedes Konto hinzugefügt, es sei denn, der `Department`-Wert enthält `ctr`. Konten, für die die Abteilung z. B. `ctr` oder `electr` ist, werden der Gruppe nicht hinzugefügt.
Groß-/Kleinschreibung wird nicht berücksichtigt	genaue Übereinstimmung, Groß-/Kleinschreibung wird nicht beachtet	`Department is case insensitive RPA` erfordert, dass der Wert für den `Department`-Anspruch `rpa` ist, in beliebiger Groß-/Kleinschreibung Die Bedingung wird erfüllt, wenn der Wert z. B. `rpa` ist. Die Bedingung wird nicht erfüllt, wenn der Wert z. B. `crpa` ist.
enthält Elemente ohne Berücksichtigung von Groß-/Kleinschreibung	beinhaltet, erfordert keine exakte Übereinstimmung, Groß- und Kleinschreibung wird nicht beachtet	`Department contains case insensitive RPA` erfordern, dass der Wert für den `Department`-Anspruch in jeder Groß-/Kleinschreibung `RPA` enthält. Die Bedingung wird erfüllt, wenn der Wert z. B. `rpa`, `cRPA` oder `rpA` ist.

Geben Sie in das Feld Wert den Wert ein, der zum Erfüllen der Bedingung erforderlich ist.
Wenn Sie eine weitere Bedingung hinzufügen möchten, klicken Sie auf Regel hinzufügen und legen Sie so eine neue Bedingungszeile an.

Wenn Sie mehrere Bedingungen hinzufügen, müssen alle Bedingungen erfüllt sein, damit die Bereitstellungsregel gilt. Wenn Sie zum Beispiel die Regeln Department is RPA und Title is Engineer definieren, werden nur Benutzer, die sowohl in der RPA-Abteilung sind als auch den Titel „Engineer“ tragen, zu den angegebenen Gruppen hinzugefügt. Ein Konto mit der RPA-Abteilung, aber dem Titel „QA“ wird nicht zu den Gruppen hinzugefügt.
Beginnen Sie unter Gruppen zuweisen im Feld Gruppen hinzufügen mit der Eingabe des Namens einer Gruppe und wählen Sie dann eine Gruppe aus der Ergebnisliste aus. Wiederholen Sie den Vorgang, um bei Bedarf weitere Gruppen hinzuzufügen.

Wenn die Bedingungen erfüllt sind, werden diesen Gruppen automatisch Konten hinzugefügt, wenn sie sich anmelden.
Klicken Sie in der unteren rechten Ecke auf Speichern, um die Regel hinzuzufügen.

Wenn eine Regel vorhanden ist, sich ein Benutzer anmeldet und dessen Konto die Bedingungen für eine Regel erfüllt, dann wird sein Konto zu den Bereitstellungsgruppen hinzugefügt, die der Regel zugeordnet sind. Darüber hinaus wird sein Konto für die Verwendung eingerichtet.

Schritt 3. Ihre Benutzer auf SAML-SSO umstellen

Nachdem die Berechtigungen konfiguriert wurden, empfehlen wir Ihnen, alle bestehenden Benutzer aufzufordern, sich von ihrem UiPath-Konto abzumelden und über SAML-SSO anzumelden.

Um sich mit SAML-SSO bei Studio und dem Assistant anzumelden, müssen Benutzer den Assistant wie folgt konfigurieren:

Öffnen Sie im UiPath Assistant Einstellungen und wählen Sie die Registerkarte Orchestrator-Verbindung aus.
Klicken Sie auf Abmelden.
Wählen Sie für den Verbindungstyp Dienst-URL aus.
Fügen Sie im Feld Dienst-URL die organisationsspezifische URL hinzu.

Die URL muss die Organisations-ID enthalten und mit einem Schrägstrich enden, z. B. https://cloud.uipath.com/orgID/. Andernfalls schlägt die Verbindung mit dem Hinweis fehl, der Benutzer gehöre keiner Organisation an.
Melden Sie sich mit SAML-SSO wieder an.

Schritt 4. Berechtigungen und Roboter konfigurieren

Dies ist nur für neue Benutzer erforderlich, die die Automation Suite noch nicht verwendet haben und daher kein lokales Konto für sie in der Automation Suite eingerichtet hatten, als die Integration aktiviert wurde.

Sie können neue Benutzer zu Automation Suite-Gruppen anhand ihrer E-Mail-Adresse hinzufügen (wie sie beim externen IdP verwendet wird). Sobald ein Benutzer einer Gruppe zugewiesen wurde oder sich angemeldet hat, ist er über die Suche nach Rollenzuweisungen in allen Automation Suite-Diensten verfügbar.

Schritt 5. Lokale Benutzerkonten nicht mehr verwenden (optional)

Nachdem alle Benutzer auf SAML-SSO übertragen wurden und die neuen Benutzer eingerichtet sind, empfehlen wir Ihnen, alle lokalen Benutzerkonten, die keine Administratorkonten sind, zu entfernen. Dadurch wird sichergestellt, dass sich Benutzer nicht mehr mit ihren lokalen Kontoanmeldeinformationen anmelden können und sich mit SAML-SSO anmelden müssen.

Überlegungen zum Beenden der Verwendung lokaler Konten

Bei Problemen mit der SAML-Integration (z. B. bei der Aktualisierung eines abgelaufenen Zertifikats) oder beim Wechsel zu einer anderen Authentifizierungsoption wird ein lokales Benutzerkonto mit der Administratorrolle empfohlen.

Fehlersuche und ‑behebung

Wenn Sie den Fehler User login failed. (#216) erhalten, kann dies auf eine fehlende E-Mail-Adresszuordnung in der Konfiguration des SAML-Identitätsanbieters zurückzuführen sein.

Der SAML-Anspruch muss den Namen http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress tragen und der Wert muss eine gültige E-Mail-Adresse enthalten.

Auf dieser Seite