Amazon Web Services-Authentifizierung

Voraussetzungen

Use the following table to choose an authentication method based on your use case:

Method	Am besten geeignet für	Einschränkungen
Access Key	Quick connections and testing with existing IAM credentials	Session token expires (15 minutes to 12 hours); connections must be renewed when the token expires
Zugriffsschlüssel-Rollenübernahme	Robots running on AWS EC2 instances with an attached IAM role	Robot must be deployed on an EC2 instance; session token expires
UiPath Managed Cross-Account Assume Role	Production unattended automations without long-term IAM credentials	Requires a UiPath support request; provisioning takes approximately 3.5 weeks

Um eine Verbindung zu erstellen, müssen Sie die folgenden Anmeldeinformationen angeben:

• Für die Authentifizierungsmethode „Zugriffsschlüssel“ :
  • Zugriffsschlüssel-ID (der Zugriffsschlüssel, der zum Herstellen einer Verbindung mit Amazon Web Services verwendet wird)
  • Geheimer Zugriffsschlüssel (der geheime Schlüssel, der zum Herstellen einer Verbindung mit Amazon Web Services verwendet wird)
  • Token für temporäre Sitzung (zum Erstellen der AWS-Clientsitzung)
  • Region (gibt die AWS-Region an, mit der eine Verbindung hergestellt werden soll)
• Bei der Authentifizierungsmethode „Rolle annehmen“ des Zugriffsschlüssels :
  • Zugriffsschlüssel-ID (der Zugriffsschlüssel, der zum Herstellen einer Verbindung mit Amazon Web Services verwendet wird)
  • Geheimer Zugriffsschlüssel (der geheime Schlüssel, der zum Herstellen einer Verbindung mit Amazon Web Services verwendet wird)
  • IAM-Rolle (gibt den Namen der IAM-Rolle an)
  • Token für temporäre Sitzung (zum Erstellen der AWS-Clientsitzung)
  • Region (gibt die AWS-Region an, mit der eine Verbindung hergestellt werden soll)
• Für die von UiPath verwaltete kontoübergreifende Authentifizierungsmethode „Assume Role“ :
  • IAM role ARN
  • Externe ID
  • Region (gibt die AWS-Region an, mit der eine Verbindung hergestellt werden soll)

Hinweis:

The Temporary session token is issued by the AWS Security Token Service (STS) and has a limited lifetime (15 minutes to 12 hours by default). When the token expires, the connection fails and must be manually renewed. For automations that run longer than the session token lifetime, consider using the UiPath Managed Cross-Account Assume Role method instead, which does not require session tokens.

Erstellen einer Verbindung mit Zugriffsschlüsselannahmerolle erstellen

Führen Sie zuerst die folgenden Schritte aus, um eine Verbindung mit der Rolle „Zugriffsschlüssel“ zu erstellen:

Hinweis:

The IAM user whose credentials you provide must have the sts:AssumeRole permission for the target role in their own IAM policy.

1. Navigieren Sie zu AWS-Konsole > IAM > Rolle.

2. Wählen Sie Rolle erstellen aus.

3. Wählen Sie Benutzerdefinierte Vertrauensrichtlinie aus .

4. Hängen Sie die benutzerdefinierte Vertrauensrichtlinie an, wie im folgenden Codeabschnitt gezeigt:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "<user ARN>"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

5. Fügen Sie die erforderlichen Berechtigungen hinzu, um dem Benutzer zugewiesen zu werden.

6. Geben Sie alle erforderlichen Details ein und wählen Sie dann Erstellen.

7. Der UiPath-Roboter, der die Automatisierung ausführt, muss in einer AWS EC2-Instanz bereitgestellt werden, an die die angegebene IAM-Rolle angehängt ist, wie hier beschrieben .

Erstellen einer von UiPath verwalteten kontoübergreifenden Verbindung mit Rollenannahme

Dieser Verbindungstyp verwendet temporäre STS-Anmeldeinformationen anstelle von langfristigen IAM-Schlüsseln, um sicher auf AWS-Ressourcen zuzugreifen (S3, EC2, DynamoDB, Bedrock). Sie müssen nur minimale Eingaben machen und einmalig eine AWS-Kontoeinrichtung durchführen, es sind keine IAM-Zugriffsschlüssel oder Geheimnisse erforderlich.

Warnung:

Wenn Sie diesen Authentifizierungstyp verwenden möchten, müssen Sie zuerst eine Anforderung beim UiPath-Support erstellen. Nachdem Sie die Anforderung ausgelöst haben, kann es etwa drei jedoch eine halben Wochen dauern, bis Sie eine Verbindung mit diesem Authentifizierungstyp erstellen können.

UiPath erstellt und verwaltet pro Kunde einen anderen IAM-Benutzer, um sicherzustellen, dass der AWS-Zugriff auf der UiPath-Organisationsebene isoliert wird.

Hinweis:

Durch die Rollenannahme werden alle angehängten Berechtigungen für Ihre Rolle in einem Mandanten bereitgestellt, in dem dieser Verbindungstyp hergestellt wird.

So erstellen Sie eine Verbindung:

1. Geben Sie den ARN der IAM-Rolle an, die UiPath annehmen soll. Dieser Rollen-ARN wird in die Berechtigungsrichtlinie eines IAM-Benutzers integriert. Der IAM-Benutzer wird von UiPath speziell und isoliert für jeden Kunden erstellt und verwaltet.

2. Konfigurieren Sie die Vertrauensrichtlinie der IAM-Rolle. Aktualisieren Sie die Vertrauensrichtlinie der IAM-Rolle, um die Annahme durch den IAM-Benutzer von UiPath zu ermöglichen.

   • UiPath gibt den ARN seines IAM-Benutzers frei, der speziell für Ihr Kundenkonto erstellt wurde.

   • Sie müssen den UiPath IAM-Benutzer-ARN zum Prinzipalelement der Vertrauensrichtlinie der Rolle hinzufügen.

   • Wir benötigen eine externe ID als zusätzlichen Sicherheitsschutz bei Zugriffsszenarien Dritter und zur Vermeidung des Problems der Verwirrung von UiPath Assistant. Dies kann eine beliebige Zeichenfolge Ihrer Wahl sein. Fügen Sie zur Konfiguration eine Bedingung mit sts:ExternalId hinzu, wie im folgenden Beispiel veranschaulicht. Die externe ID wird während der Erstellung der Integration Service-Verbindung an UiPath übergeben. Beispiel für das Richtlinienformat:

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "<UiPath IAM user ARN>"
                 },
                 "Action": "sts:AssumeRole",
                 "Condition": {
                     "StringEquals": {
                         "sts:ExternalId": "<your External Id>"
                     }
                 }
             }
         ]
     }
     

3. Konfigurieren Sie die Berechtigungsrichtlinien der IAM-Rolle. Zum Beispiel:

   • S3: Bestimmte Buckets auflisten/abrufen/Put.
   • Bedrock: InvokeModel, InvokeModelWithResponseStream.
   Warnung:

   Die IAM-Rolle muss die Mindestanzahl an Berechtigungen erhalten, die für Ihren spezifischen Anwendungsfall erforderlich sind. Wenn der Anwendungsfall beispielsweise das Lesen von Objekten aus einem S3-Bucket umfasst, sollte die Rolle nur schreibgeschützten Zugriff auf diesen speziellen Bucket haben. Eine Beispielrichtlinie für einen solchen Anwendungsfall sieht folgendermaßen aus:

       {
           "Version": "2012-10-17",
           "Statement": [
               {
                   "Effect": "Allow",
                   "Action": [
                       "s3:GetObject",
                       "s3:ListBucket"
                   ],
                   "Resource": [
                       "arn:aws:s3:::your-bucket-name",
                       "arn:aws:s3:::your-bucket-name/*"
                   ]
               }
           ]
       }
   

4. Fügen Sie die Amazon Web Services-Verbindung im Integration Service hinzu.

Verbindung hinzufügen

Um eine Verbindung mit Ihrer Amazon Web Services-Instanz herzustellen, müssen Sie die folgenden Schritte ausführen:

1. Wählen Sie Orchestrator im Produktstartprogramm aus.

2. Wählen Sie einen Ordner aus und navigieren Sie dann zur Registerkarte Verbindungen .

3. Wählen Sie Verbindung hinzufügen aus.

4. Um die Seite zur Erstellung der Verbindung zu öffnen, wählen Sie den Konnektor in der Liste aus. Sie können die Suchleiste verwenden, um den Connector zu finden.

5. Wählen Sie im Feld Authentifizierungstyp eine der drei Optionen aus: Zugriffsschlüssel, Rolle annehmen-Zugriffsschlüssel oder UiPath Managed Cross Account Assume Role. Standardmäßig ist Zugriffsschlüssel ausgewählt.

   

6. Geben Sie die erforderlichen Anmeldeinformationen für Ihre bevorzugte Authentifizierungsmethode ein. Wählen Sie im Feld AWS-Dienstname den AWS-Dienst aus, mit dem Sie eine Verbindung herstellen möchten: s3, ec2, workspaces oderbedrock -runtime.

   Hinweis:

   Wenn Sie diese Verbindung mit Amazon Bedrock verwenden möchten (z. B. zum Aufrufen von KI-Modellen), müssen Sie berock-runtime auswählen. Wenn Sie einen anderen Dienstnamen auswählen, schlagen Bedrock-Anforderungen fehl.

7. Select Connect.