Microsoft Azure Active Directory-Authentifizierung

Voraussetzungen

Der Microsoft Azure Active Directory-Connector unterstützt die folgenden Authentifizierungsmethoden:

• Anwendungszugriff – OAuth2.0 (Client-Anmeldeinformationen)
• Delegierter Zugriff – OAuth 2.0 (Autorisierungsgewährung)
• Client-Zertifikat-Authentifizierung – OAuth 2.0 (Client-Zertifikat)

Bevor Sie eine Verbindung erstellen, benötigen Sie eine aktive Microsoft Azure-Anwendungsregistrierung. So richten Sie eines ein:

1. Melden Sie sich beim Azure-Portal an und navigieren Sie zu Azure Active Directory > App-Registrierungen.
2. Wählen Sie Neue Registrierung aus.
3. Geben Sie einen Namen für Ihre Anwendung ein (z. B. UiPath IS Azure AD).
4. Wählen Sie unter Unterstützte Kontotypen eine der folgenden Optionen aus:
   • Nur Konten in diesem Organisationsverzeichnis – für eine Einzelmandantenanwendung.
   • Konten in einem beliebigen Organisationsverzeichnis – für eine Anwendung mit mehreren Mandanten.
5. Wählen Sie Registrieren aus.

Sammeln Sie nach der Registrierung die folgenden Werte von der Übersichtsseite der App – Sie benötigen sie beim Erstellen der Verbindung im Integration Service:

Wert	Wo sie zu finden ist
Anwendungs-ID (Client).	Übersichtsseite der App-Registrierung
Verzeichnis-ID (Mandant)	Übersichtsseite der App-Registrierung

Um eine Verbindung zu erstellen, müssen Sie die folgenden Anmeldeinformationen angeben:

• Für Anwendungszugriff:
  • Client-ID
  • Geheimer Clientschlüssel
  • Mandanten-ID
• Für delegierten Zugriff:
  • Client-ID
  • Geheimer Clientschlüssel
  • Mandanten-ID
  • Benutzername
  • Passwort
• Für die Client-Zertifikats-Authentifizierung:
  • Client-ID
  • OAuth Base64-Clientzertifikat
  • Passwort für das Zertifikat
  • Mandanten-ID
  • OAuth-Geltungsbereich

Weitere Informationen zu Authentifizierungsanmeldeinformationen und zum Einrichten der Azure Active Directory-Integration finden Sie unter Einrichten der Azure AD-Integration im Automation Cloud-Handbuch.

Zusätzliche Informationen sind in der offiziellen Microsoft-Dokumentation verfügbar: Grundlagen der Authentifizierung und Autorisierung, Einführung in Berechtigungen und Zustimmung, und Abrufen von Anmeldeinformationen.

Anwendungszugriff

Verwenden Sie diese Option, um sich als Anwendung selbst zu authentifizieren, ohne einen angemeldeten Benutzerkontext zu haben. Dies ist die empfohlene Option für Unattended-Automatisierungsszenarien.

Einrichten des geheimen Clientschlüssels in Azure

1. Wechseln Sie in Ihrer Azure-App-Registrierung zu Zertifikate und Geheimnisse > Geheime Clientschlüssel > Neuer geheimer Clientschlüssel.
2. Geben Sie eine Beschreibung ein und wählen Sie einen Ablaufzeitpunkt.
3. Select Add and immediately copy the Value — it is shown only once.

Wichtig:

Geheime Clientschlüssel laufen ab. Rotieren Sie das Geheimnis vor dem Ablaufdatum, um Verbindungsfehler zu vermeiden.

Erforderliche API-Berechtigungen

Wechseln Sie in Ihrer Azure-App-Registrierung zu API-Berechtigungen > Berechtigung hinzufügen > Microsoft Graph > Anwendungsberechtigungen und fügen Sie Folgendes hinzu:

Mindestens erforderlich

Berechtigung	Typ	Beschreibung
User.Read.All	Anwendung	Lesen Sie die vollständigen Profile aller Benutzer
Group.Read.All	Anwendung	Lesen Sie alle Gruppen
Directory.Read.All	Anwendung	Verzeichnisdaten lesen
RoleManagement.Read.Directory	Anwendung	Lesen Sie alle RBAC-Einstellungen im Verzeichnis

Optional (nur hinzufügen, wenn Ihre Automatisierung Objekte erstellt oder ändert)

Berechtigung	Typ	Beschreibung
Group.ReadWrite.All	Anwendung	Lesen und Schreiben Sie alle Gruppen
Directory.ReadWrite.All	Anwendung	Lesen und Schreiben von Verzeichnisdaten
RoleManagement.ReadWrite.Directory	Anwendung	Read and write all directory RBAC settings

Nachdem Sie die Berechtigungen hinzugefügt haben, wählen Sie Administratorzustimmung gewähren für [Ihre Organisation] aus.

Verbindungsfelder

Feld	Beschreibung
Client-ID	Die Anwendungs-ID (Client) aus dem Abschnitt „Übersicht“ Ihrer Azure-App-Registrierung.
Geheimer Clientschlüssel	The secret value from the Certificates & secrets section. Use the Value, not the Secret ID.
Mandanten-ID	Die Verzeichnis-ID (Mandanten) aus dem Abschnitt Übersicht Ihrer Azure-App-Registrierung.

Delegierter Zugriff

Verwenden Sie diese Option, um Aktionen im Namen eines angemeldeten Benutzers auszuführen. Die Verbindung authentifiziert sich mithilfe der delegierten OAuth 2.0-Berechtigungen und fordert den Benutzer während der Erstellung der Verbindung zur Zustimmung auf.

Einrichten des delegierten Zugriffs in Azure

1. Wechseln Sie in Ihrer Azure-App-Registrierung zu Authentifizierung > Plattform hinzufügen > Web.

2. Geben Sie im Feld Umleitungs-URIs die Rückruf-URL ein, die auf dem UiPath-Verbindungsbildschirm angezeigt wird: https://{baseURL}/provisioning_/callback (z. B. https://cloud.uipath.com/provisioning_/callback für die Automation Cloud).

   Hinweis:

   Die genaue Rückruf-URL wird auf dem Bildschirm zur Verbindungserstellung im Integration Service angezeigt. Kopieren Sie sie von dort, da sie sich je nach Ihrer Bereitstellung unterscheiden kann (Automation Cloud, Automation Suite oder private Cloud).

3. Lassen Sie unter Implizite Gewährung und hybride Flows beide Kontrollkästchen deaktiviert.

4. Wählen Sie Konfigurieren aus.

Erforderliche API-Berechtigungen

Wechseln Sie in Ihrer Azure-App-Registrierung zu API-Berechtigungen > Berechtigung hinzufügen > Microsoft Graph > Delegierte Berechtigungen und fügen Sie Folgendes hinzu:

Erforderliches Minimum (erforderlich zum Aufbau der OAuth-Verbindung)

Berechtigung	Typ	Beschreibung
openid	Delegiert	Benutzer anmelden
profile	Delegiert	Sehen Sie sich das Profil der Benutzer an
email	Delegiert	E-Mail-Adresse der Benutzer anzeigen
offline_access	Delegiert	Behalten Sie den Zugriff auf Daten bei, wenn der Benutzer nicht vorhanden ist
User.Read	Delegiert	Anmelden und Benutzerprofil lesen

Optional (hinzufügen basierend auf den Vorgängen, die Ihre Automatisierung ausführt; Berechtigungen, die mit * gekennzeichnet sind, erfordern die Administratorzustimmung)

Berechtigung	Typ	Beschreibung
User.ReadWrite	Delegiert	Benutzerprofil lesen und aktualisieren
User.Read.All*	Delegiert	Lesen Sie die vollständigen Profile aller Benutzer
Group.Read.All*	Delegiert	Lesen Sie alle Gruppen
Group.ReadWrite.All*	Delegiert	Lesen und Schreiben Sie alle Gruppen
Directory.Read.All*	Delegiert	Verzeichnisdaten lesen
Directory.ReadWrite.All*	Delegiert	Lesen und Schreiben von Verzeichnisdaten

Wählen Sie für Berechtigungen, die die Zustimmung des Administrators erfordern die Option Administratorzustimmung für [Ihre Organisation] gewähren aus, nachdem Sie sie hinzugefügt haben.

Verbindungsfelder

Feld	Beschreibung
Client-ID	Die Anwendungs-ID (Client) aus dem Abschnitt „Übersicht“ Ihrer Azure-App-Registrierung.
Geheimer Clientschlüssel	The secret value from the Certificates & secrets section. Use the Value, not the Secret ID.
Mandanten-ID	Die Verzeichnis-ID (Mandanten) aus dem Abschnitt Übersicht Ihrer Azure-App-Registrierung. Verwenden Sie für Anwendungen mit mehreren Mandanten common. Für Anwendungen mit einem einzelnen Mandanten geben Sie Ihre spezifische Mandanten-ID ein.

Nachdem Sie die Felder ausgefüllt haben, wählen Sie Verbinden aus. Ein Microsoft-Anmeldefenster wird geöffnet – melden Sie sich mit dem Benutzerkonto an, das für die Automatisierung verwendet werden soll, und erteilen Sie die angeforderten Berechtigungen.

Client-Zertifikats-Authentifizierung

Verwenden Sie diese Option, um sich mit einem Clientzertifikat anstelle eines geheimen Clientschlüssels zu authentifizieren.

Einrichten eines Zertifikats in Azure

1. Wechseln Sie in Ihrer Azure-App-Registrierung zu Zertifikate und Geheimnisse > Zertifikate.
2. Wählen Sie Zertifikat hochladen aus und laden Sie Ihre öffentliche .cer oder .pem -Schlüsseldatei hoch.
3. Notieren Sie sich nach dem Upload den Fingerabdruckwert für Ihre Datensätze.

Lokales Generieren des Zertifikats

So erstellen Sie ein Zertifikat lokal (wenn Sie noch keines haben):

1. Erstellen Sie ein selbstsigniertes Zertifikat, bei dem der Antragsteller auf CN=uipath.com und der Inhaltstyp auf PEM festgelegt ist.
2. Laden Sie das Zertifikat im Format PFX herunter Format.
3. Konvertieren Sie die .pfx -Datei in das Base64-codierte Format, bevor Sie sie in das Verbindungsfeld eingeben.

Sie können auch ein Powershell-Skript verwenden. Beispielsweise generiert das folgende Skript ein selbstsigniertes Zertifikat und exportiert es in den erforderlichen Formaten:

# Generate self-signed cert
$cert = New-SelfSignedCertificate `
    -Subject "CN=uipath.com" `
    -CertStoreLocation "Cert:\CurrentUser\My" `
    -KeyExportPolicy Exportable `
    -KeySpec Signature `
    -KeyLength 2048 `
    -HashAlgorithm SHA256 `
    -NotAfter (Get-Date).AddYears(2)

# Export public key (.cer) — upload this to Azure
Export-Certificate -Cert $cert -FilePath ".\uipath.cer" -Type CERT

# Export private key (.pfx)
$pfxPassword = Read-Host "Enter PFX password" -AsSecureString
Export-PfxCertificate -Cert $cert -FilePath ".\uipath.pfx" -Password $pfxPassword

# Convert .pfx to Base64 — paste this value into the connection field
$base64 = [Convert]::ToBase64String([IO.File]::ReadAllBytes(".\uipath.pfx"))
$base64 | Out-File ".\uipath_base64.txt"

Write-Host "Thumbprint: $($cert.Thumbprint)"
Write-Host "Base64 saved to uipath_base64.txt"
Write-Host "Upload uipath.cer to Azure > Certificates & secrets > Certificates"

Erforderliche API-Berechtigungen

Wechseln Sie in Ihrer Azure-App-Registrierung zu API-Berechtigungen > Berechtigung hinzufügen > Microsoft Graph > Anwendungsberechtigungen und fügen Sie Folgendes hinzu:

Mindestens erforderlich

Berechtigung	Typ	Beschreibung
User.Read.All	Anwendung	Lesen Sie die vollständigen Profile aller Benutzer
Group.Read.All	Anwendung	Lesen Sie alle Gruppen
Directory.Read.All	Anwendung	Verzeichnisdaten lesen

Optional (nur hinzufügen, wenn Ihre Automatisierung Objekte erstellt oder ändert)

Berechtigung	Typ	Beschreibung
Group.ReadWrite.All	Anwendung	Lesen und Schreiben Sie alle Gruppen
Directory.ReadWrite.All	Anwendung	Lesen und Schreiben von Verzeichnisdaten

Nachdem Sie die Berechtigungen hinzugefügt haben, wählen Sie Administratorzustimmung gewähren für [Ihre Organisation] aus.

Verbindungsfelder

Feld	Beschreibung
OAuth Base64-Clientzertifikat	Das Clientzertifikat im Base64-codierten Format, konvertiert aus der .pfx -Datei, die von Azure heruntergeladen wurde.
Passwort für das Zertifikat	Das während der Zertifikatserstellung festgelegte Kennwort.
Client-ID	Die Anwendungs-ID (Client) aus dem Abschnitt „Übersicht“ Ihrer Azure-App-Registrierung.
Mandanten-ID	Die Verzeichnis-ID (Mandanten) aus dem Abschnitt Übersicht Ihrer Azure-App-Registrierung.

Verbindung hinzufügen

Um eine Verbindung mit Ihrer Microsoft Azure Active Directory-Instanz herzustellen, müssen Sie die folgenden Schritte ausführen:

1. Wählen Sie Orchestrator im Produktstartprogramm aus.
2. Wählen Sie einen Ordner aus und navigieren Sie dann zur Registerkarte Verbindungen .
3. Wählen Sie Verbindung hinzufügen aus.
4. Um die Seite zur Erstellung der Verbindung zu öffnen, wählen Sie den Konnektor in der Liste aus. Sie können die Suchleiste verwenden, um den Connector zu finden.
5. Wählen Sie in der Dropdownliste Authentifizierungstyp eine der verfügbaren Optionen aus: Client-Zertifikat-Authentifizierung, Anwendungszugriff, oder Delegierter Zugriff. Standardmäßig ist Anwendungszugriff ausgewählt.
6. Geben Sie die erforderlichen Anmeldeinformationen ein und wählen Sie Verbinden aus .