Amazon Web Services-Authentifizierung

Voraussetzungen

Verwenden Sie die folgende Tabelle, um eine Authentifizierungsmethode basierend auf Ihrem Anwendungsfall auszuwählen:

Method	Am besten geeignet für	Einschränkungen
Zugriffsschlüssel	Schnelle Verbindungen und Tests mit vorhandenen IAM-Anmeldeinformationen	Sitzungstoken läuft ab (15 Minuten bis 12 Stunden); Verbindungen müssen erneuert werden, wenn das Token abläuft
Zugriffsschlüssel-Rollenübernahme	Roboter, die auf AWS EC2-Instanzen mit einer angehängten IAM-Rolle ausgeführt werden	Roboter muss auf einer EC2-Instanz bereitgestellt werden; Sitzungstoken läuft ab
Von UiPath verwaltete kontoübergreifende Rollenübernahme	Erstellen Sie unbeaufsichtigte Automatisierungen ohne langfristige IAM-Anmeldeinformationen	Erfordert eine UiPath-Supportanforderung

Um eine Verbindung zu erstellen, müssen Sie die folgenden Anmeldeinformationen angeben:

• Für die Authentifizierungsmethode „Zugriffsschlüssel“ :
  • Zugriffsschlüssel-ID (der Zugriffsschlüssel, der zum Herstellen einer Verbindung mit Amazon Web Services verwendet wird)
  • Geheimer Zugriffsschlüssel (der geheime Schlüssel, der zum Herstellen einer Verbindung mit Amazon Web Services verwendet wird)
  • Token für temporäre Sitzung (zum Erstellen der AWS-Clientsitzung)
  • Region (gibt die AWS-Region an, mit der eine Verbindung hergestellt werden soll)
• Bei der Authentifizierungsmethode „Rolle annehmen“ des Zugriffsschlüssels :
  • Zugriffsschlüssel-ID (der Zugriffsschlüssel, der zum Herstellen einer Verbindung mit Amazon Web Services verwendet wird)
  • Geheimer Zugriffsschlüssel (der geheime Schlüssel, der zum Herstellen einer Verbindung mit Amazon Web Services verwendet wird)
  • IAM-Rolle (gibt den Namen der IAM-Rolle an)
  • Token für temporäre Sitzung (zum Erstellen der AWS-Clientsitzung)
  • Region (gibt die AWS-Region an, mit der eine Verbindung hergestellt werden soll)
• Für die von UiPath verwaltete kontoübergreifende Authentifizierungsmethode „Assume Role“ :
  • IAM role ARN
  • Externe ID
  • Region (gibt die AWS-Region an, mit der eine Verbindung hergestellt werden soll)

Hinweis:

Das Token für temporäre Sitzung wird vom AWS Security Token Service (STS) ausgestellt und hat eine begrenzte Lebensdauer (standardmäßig 15 Minuten bis 12 Stunden). Wenn das Token abläuft, schlägt die Verbindung fehl und muss manuell erneuert werden. Bei Automatisierungen, die länger als die Lebensdauer des Sitzungstokens ausgeführt werden, sollten Sie stattdessen die von UiPath verwaltete kontoübergreifende Methode der Rollenübernahme verwenden, die keine Sitzungstoken erfordert.

Erstellen einer Verbindung mit Zugriffsschlüsselannahmerolle erstellen

Führen Sie zuerst die folgenden Schritte aus, um eine Verbindung mit der Rolle „Zugriffsschlüssel“ zu erstellen:

Hinweis:

Der IAM-Benutzer, dessen Anmeldeinformationen Sie angeben, muss über die Berechtigung sts:AssumeRole für die Zielrolle in seiner eigenen IAM-Richtlinie verfügen.

1. Navigieren Sie zu AWS-Konsole > IAM > Rolle.

2. Wählen Sie Rolle erstellen aus.

3. Wählen Sie Benutzerdefinierte Vertrauensrichtlinie aus .

4. Hängen Sie die benutzerdefinierte Vertrauensrichtlinie an, wie im folgenden Codeabschnitt gezeigt:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "<user ARN>"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

5. Fügen Sie die erforderlichen Berechtigungen hinzu, um dem Benutzer zugewiesen zu werden.

6. Geben Sie alle erforderlichen Details ein und wählen Sie dann Erstellen.

7. Der UiPath-Roboter, der die Automatisierung ausführt, muss in einer AWS EC2-Instanz bereitgestellt werden, an die die angegebene IAM-Rolle angehängt ist, wie hier beschrieben .

Erstellen einer von UiPath verwalteten kontoübergreifenden Verbindung mit Rollenannahme

Dieser Verbindungstyp verwendet temporäre STS-Anmeldeinformationen anstelle von langfristigen IAM-Schlüsseln, um sicher auf AWS-Ressourcen zuzugreifen (S3, EC2, DynamoDB, Bedrock). Sie müssen nur minimale Eingaben machen und einmalig eine AWS-Kontoeinrichtung durchführen, es sind keine IAM-Zugriffsschlüssel oder Geheimnisse erforderlich.

Warnung:

Wenn Sie diesen Authentifizierungstyp verwenden möchten, müssen Sie zuerst eine Anforderung beim UiPath-Support auslösen. Nachdem die Anforderung ausgelöst wurde, stellt UiPath den IAM Benutzer-ARN bereit, der vor dem Erstellen der Verbindung zu Ihrer Richtlinie für die Vertrauensstellung der IAM-Rolle hinzugefügt werden muss. Wenn die erforderlichen Aktualisierungen für IAM-Rollen und die Vertrauensrichtlinie auf beiden Seiten abgeschlossen sind, kann die Verbindung sofort erstellt und genutzt werden.

UiPath erstellt und verwaltet pro Kunde einen anderen IAM-Benutzer, um sicherzustellen, dass der AWS-Zugriff auf der UiPath-Organisationsebene isoliert wird.

Hinweis:

Durch die Rollenannahme werden alle angehängten Berechtigungen für Ihre Rolle in einem Mandanten bereitgestellt, in dem dieser Verbindungstyp hergestellt wird.

So erstellen Sie eine Verbindung:

1. Geben Sie den ARN der IAM-Rolle an, die UiPath annehmen soll. Dieser Rollen-ARN wird in die Berechtigungsrichtlinie eines IAM-Benutzers integriert. Der IAM-Benutzer wird von UiPath speziell und isoliert für jeden Kunden erstellt und verwaltet.

2. Konfigurieren Sie die Vertrauensrichtlinie der IAM-Rolle. Aktualisieren Sie die Vertrauensrichtlinie der IAM-Rolle, um die Annahme durch den IAM-Benutzer von UiPath zu ermöglichen.

   • UiPath gibt den ARN seines IAM-Benutzers frei, der speziell für Ihr Kundenkonto erstellt wurde.

   • Sie müssen den UiPath IAM-Benutzer-ARN zum Prinzipalelement der Vertrauensrichtlinie der Rolle hinzufügen.

   • Wir benötigen eine externe ID als zusätzlichen Sicherheitsschutz bei Zugriffsszenarien Dritter und zur Vermeidung des Problems der Verwirrung von UiPath Assistant. Dies kann eine beliebige Zeichenfolge Ihrer Wahl sein. Fügen Sie zur Konfiguration eine Bedingung mit sts:ExternalId hinzu, wie im folgenden Beispiel veranschaulicht. Die externe ID wird während der Erstellung der Integration Service-Verbindung an UiPath übergeben. Beispiel für das Richtlinienformat:

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "<UiPath IAM user ARN>"
                 },
                 "Action": "sts:AssumeRole",
                 "Condition": {
                     "StringEquals": {
                         "sts:ExternalId": "<your External Id>"
                     }
                 }
             }
         ]
     }
     

3. Konfigurieren Sie die Berechtigungsrichtlinien der IAM-Rolle. Zum Beispiel:

   • S3: Bestimmte Buckets auflisten/abrufen/Put.
   • Bedrock: InvokeModel, InvokeModelWithResponseStream.
   Warnung:

   Die IAM-Rolle muss die Mindestanzahl an Berechtigungen erhalten, die für Ihren spezifischen Anwendungsfall erforderlich sind. Wenn der Anwendungsfall beispielsweise das Lesen von Objekten aus einem S3-Bucket umfasst, sollte die Rolle nur schreibgeschützten Zugriff auf diesen speziellen Bucket haben. Eine Beispielrichtlinie für einen solchen Anwendungsfall sieht folgendermaßen aus:

       {
           "Version": "2012-10-17",
           "Statement": [
               {
                   "Effect": "Allow",
                   "Action": [
                       "s3:GetObject",
                       "s3:ListBucket"
                   ],
                   "Resource": [
                       "arn:aws:s3:::your-bucket-name",
                       "arn:aws:s3:::your-bucket-name/*"
                   ]
               }
           ]
       }
   

4. Fügen Sie die Amazon Web Services-Verbindung im Integration Service hinzu.

Verbindung hinzufügen

Um eine Verbindung mit Ihrer Amazon Web Services-Instanz herzustellen, müssen Sie die folgenden Schritte ausführen:

1. Wählen Sie Orchestrator im Produktstartprogramm aus.

2. Wählen Sie einen Ordner aus und navigieren Sie dann zur Registerkarte Verbindungen .

3. Wählen Sie Verbindung hinzufügen aus.

4. Um die Seite zur Erstellung der Verbindung zu öffnen, wählen Sie den Konnektor in der Liste aus. Sie können die Suchleiste verwenden, um den Connector zu finden.

5. Wählen Sie im Feld Authentifizierungstyp eine der drei Optionen aus: Zugriffsschlüssel, Rolle annehmen-Zugriffsschlüssel oder UiPath Managed Cross Account Assume Role. Standardmäßig ist Zugriffsschlüssel ausgewählt.

   

6. Geben Sie die erforderlichen Anmeldeinformationen für Ihre bevorzugte Authentifizierungsmethode ein. Wenn Sie die Aktivität HTTP Request verwenden möchten, wählen Sie den AWS HTTP-Dienstnamen aus, entweder s3, ec2, workspaces oder Bedrock-runtime.

   For any secret-type field, you can select the menu next to the field and choose Use credential asset to reference an Orchestrator credential asset linked to an external vault instead of entering the value directly. For more information, see Use credential assets for connections.

7. Geben Sie die erforderlichen Anmeldeinformationen für Ihre bevorzugte Authentifizierungsmethode ein. Wählen Sie im Feld AWS-Dienstname den AWS-Dienst aus, mit dem Sie eine Verbindung herstellen möchten: s3, ec2, workspaces oderbedrock -runtime.

   Hinweis:

   Wenn Sie diese Verbindung mit Amazon Bedrock verwenden möchten (z. B. zum Aufrufen von KI-Modellen), müssen Sie berock-runtime auswählen. Wenn Sie einen anderen Dienstnamen auswählen, schlagen Bedrock-Anforderungen fehl.

8. Select Connect.